Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
यह अध्ययन प्रदर्शित करता है कि 23 प्री-एनक्रिप्शन विंडोज एपीआई संकेतकों का उपयोग करने वाला एक हेट्रोजेनियस एएनएन-लाइटजीबीएम स्टैकिंग मॉडल रैनसमवेयर परिवारों और बेनाइन सॉफ्टवेयर को वर्गीकृत करने में उच्च सटीकता (95.20%) प्राप्त कर सकता है, जो स्टैंडअलोन न्यूरल आर्किटेक्चर से बेहतर एक प्रोएक्टिव डिफेंस मैकेनिज्म प्रदान करता है और साथ ही आगे के बाहरी सत्यापन की आवश्यकता पर प्रकाश डालता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, रैनसमवेयर (ransomware) नामक एक विशिष्ट प्रकार का दुर्भावनापूर्ण सॉफ़्टवेयर एक डिजिटल बंधक लेने वाले की तरह कार्य करता है। एक बार जब यह कंप्यूटर में घुस जाता है, तो यह उपयोगकर्ता की फ़ाइलों को लॉक कर देता है और उन्हें मुक्त करने के लिए भुगतान की मांग करता है। वर्षों से, सुरक्षा विशेषज्ञ ज्ञात खराब प्रोग्रामों के अद्वितीय डिजिटल फिंगरप्रिंट्स (fingerprints) की तलाश करके इन हमलों को रोकने की कोशिश कर रहे हैं। हालाँकि, अपराधी लगातार इन फिंगप्रिंट्स को बदलते रहते हैं, जिससे पुराने तरीके कम प्रभावी हो जाते हैं। एक अधिक आधुनिक दृष्टिकोण में यह देखना शामिल है कि कोई प्रोग्राम चलते ही शुरू होते समय कैसा व्यवहार करता है। इससे पहले कि एक रैनसमवेयर प्रोग्राम फ़ाइलों को एन्क्रिप्ट करने का अपना विनाशकारी काम शुरू करे, उसे पहले तैयारी के चरणों की एक श्रृंखला पूरी करनी पड़ती है, जैसे कि कंप्यूटर की सेटिंग्स की जाँच करना या अन्य प्रोग्रामों को खोजना। ये प्रारंभिक क्रियाएं डिजिटल पदचिह्नों (footprints) का एक निशान छोड़ती हैं जो किसी भी नुकसान के होने से पहले प्रोग्राम की वास्तविक प्रकृति को प्रकट कर सकती हैं। चुनौती इन संदिग्ध प्रारंभिक कदमों को उन सामान्य, हानिरहित कार्यों से अलग करने में निहित है जो हर कंप्यूटर प्रोग्राम प्रतिदिन करता है।
बन्हा यूनिवर्सिटी (Benha University) के शोधकर्ताओं की एक टीम ने इस समस्या को हल करने के लिए एक ऐसा सिस्टम बनाने का लक्ष्य रखा जो इन बहुत ही शुरुआती व्यवहारों के आधार पर रैनसमवेयर के विभिन्न परिवारों (families) की पहचान कर सके। उन्होंने एक विशिष्ट समय अवधि पर ध्यान केंद्रित किया: वह क्षण जब वास्तविक फ़ाइल एन्क्रिप्शन शुरू होने वाला होता है। ऐसा करने के लिए, उन्होंने 3,432 कंप्यूटर प्रोग्रामों का एक संग्रह एकत्र किया, जिसमें पांच अलग-अलग प्रकार के रैनसमवेयर और सुरक्षित, निर्दोष (benign) प्रोग्रामों का एक समूह शामिल था। प्रत्येक प्रोग्राम का विश्लेषण उन 23 विशिष्ट क्रियाओं के लिए किया गया जो उसने शुरू होते ही की थीं। इन क्रियाओं में प्रोग्राम द्वारा अपने स्वयं के नाम के बारे में कंप्यूटर से जानकारी मांगना, नेटवर्क की जाँच करना, रजिस्ट्री को देखना, या मेमोरी तक पहुँचने का प्रयास करना शामिल था। शोधकर्ताओं ने इन प्रेक्षणों को 'हाँ या ना' के संकेतकों की एक सरल सूची में बदल दिया, जिससे प्रत्येक प्रोग्राम के लिए एक संक्षिप्त प्रोफाइल तैयार हुआ।
शोधकर्ताओं ने फिर कई अलग-अलग प्रकार के आर्टिफिशियल इंटेलिजेंस (AI) मॉडल का परीक्षण किया यह देखने के लिए कि कौन सा मॉडल इन क्रियाओं की छोटी सूचियों से सबसे अच्छी तरह सीख सकता है। उन्होंने पांच अलग-अलग न्यूरल नेटवर्क डिज़ाइनों का परीक्षण किया, जो मानव मस्तिष्क से प्रेरित कंप्यूटर सिस्टम हैं, जिनमें कुछ ऐसे भी शामिल थे जिनका उपयोग आमतौर पर भाषण या पाठ जैसे लंबे अनुक्रमों (sequences) को प्रोसेस करने के लिए किया जाता है। उन्होंने एक ऐसी विधि का भी परीक्षण किया जिसमें कम महत्वपूर्ण क्रियाओं को हटा दिया गया ताकि यह देखा जा सके कि क्या छोटी सूची AI को अधिक स्मार्ट बना सकती है। परिणामों ने दिखाया कि इस प्रकार के छोटे, सरल डेटा के लिए, सबसे सीधा न्यूरल नेटवर्क डिज़ाइन वास्तव में अकेले ही सबसे अच्छा प्रदर्शन करता था, जिसने लगभग 94 प्रतिशत बार प्रोग्राम के प्रकार की सही पहचान की। दिलचस्प बात यह है कि लंबे अनुक्रमों के लिए डिज़ाइन किए गए अधिक जटिल मॉडल कोई महत्वपूर्ण लाभ नहीं दे पाए, जो यह सुझाव देता है कि इस विशिष्ट कार्य के लिए, एक सरल दृष्टिकोण अधिक प्रभावी था।
सटीकता को और बढ़ाने के लिए, टीम ने दो अलग-अलग प्रकार के AI मॉडलों को एक एकल, स्तरित (layered) सिस्टम में संयोजित किया। उन्होंने प्रोग्राम की पहचान के बारे में प्रारंभिक अनुमान लगाने के लिए सीधे न्यूरल नेटवर्क का उपयोग किया, और फिर उस अनुमान को अंतिम निर्णय को परिष्कृत करने के लिए दूसरे, शक्तिशाली ट्री-बेस्ड (tree-based) मॉडल को पास कर दिया। यह संयुक्त दृष्टिकोण, जिसे 'स्टैकिंग' (stacking) कहा जाता है, ने सिस्टम के प्रदर्शन में सुधार किया, जिससे सटीकता बढ़कर 95 प्रतिशत से ऊपर हो गई। सिस्टम विभिन्न रैनसमवेयर परिवारों के बीच अंतर करने में विशेष रूप से कुशल था, जिसमें प्रत्येक विशिष्ट प्रकार के लिए AUC स्कोर 0.92 से 0.99 के बीच था। हालाँकि, सिस्टम ने कुछ गलतियाँ भी कीं, कभी-कभी एक सुरक्षित प्रोग्राम को रैनसमवेयर परिवार के रूप में समझ लिया या दो अलग-अलग प्रकार के रैनसमवेयर को आपस में मिला दिया।
अध्ययन यह निष्कर्ष निकालता है कि शुरुआती, निम्न-स्तरीय क्रियाओं पर नज़र रखना रैनसमवेयर को नुकसान पहुँचाने से पहले पकड़ने का एक व्यवहार्य तरीका है, और विभिन्न AI विधियों को संयोजित करना पहचान को अधिक विश्वसनीय बना सकता है। फिर भी, शोधकर्ता सावधानीपूर्वक यह नोट करते हैं कि यह सफलता एक नियंत्रित वातावरण में ज्ञात प्रोग्रामों के एक विशिष्ट सेट का उपयोग करके प्राप्त की गई थी। इस सिस्टम का परीक्षण अभी तक नए, अनदेखे प्रकार के रैनसमवेयर या एक व्यस्त कॉर्पोरेट नेटवर्क के अराजक, वास्तविक समय के वातावरण में नहीं किया गया है। हालाँकि परिणाम उत्साहजनक हैं, यह कार्य तत्काल तैनाती के लिए तैयार एक पूर्ण उत्पाद के बजाय एक मजबूत 'प्रूफ ऑफ कॉन्सेप्ट' (proof of concept) के रूप में कार्य करता है। यह प्रदर्शित करता है कि सही डेटा और उपकरणों के स्मार्ट संयोजन के साथ, पहली फ़ाइल लॉक होने से पहले डिजिटल हमले के सूक्ष्म संकेतों को पहचानना संभव है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।