इंटरनेट की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ हर उपकरण रास्ता खोजने के लिए लगातार चिल्ला रहा है। दशकों तक, ये चिल्लाहटें पड़ोसियों के बीच पास किए जाने वाले खुले पत्रों की तरह थीं: वहां से गुजरने वाला कोई भी व्यक्ति उन्हें पढ़ सकता था, उनके अंदर के रहस्यों को चुरा सकता था, या लोगों को गलत जगहों पर भेजने के लिए फर्जी पत्र भी बना सकता था। इसे ठीक करने के लिए, इंजीनियरों ने एक "सुरक्षित सुरंग" बनाई जिसे DNS over HTTPS (DoH) कहा जाता है। इसे उन खुले पत्रों को एक मजबूत, अटूट स्टील के बक्से के अंदर रखने और उन्हें एक विशेष डिलीवरी ट्रक के माध्यम से भेजने की तरह समझें जो बिल्कुल अन्य लाखों वैध ट्रकों जैसा दिखता है। यह गोपनीयता के लिए शानदार है क्योंकि कोई भी बक्से के अंदर नहीं झांक सकता, लेकिन यह सुरक्षा गार्डों के लिए एक नई समस्या पैदा करता है: यदि कोई अपराधी शहर से चोरी किया गया डेटा तस्करी करना चाहता है, तो वे इसे बस इन लॉक किए गए बक्सों के अंदर छिपा सकते हैं। गार्ड यह नहीं देख सकते कि अंदर क्या है, और बक्सा बिल्कुल एक सामान्य डिलीवरी जैसा दिखता है, जिससे बुरे लोगों को पहचानना अविश्वसनीय रूप से कठिन हो जाता है।

यह वह चुनौती है जिसे शोधकर्ता एनास सेलम और रानिया सलामा द्वारा हल किया जा रहा है। वे एक महत्वपूर्ण प्रश्न पूछ रहे हैं: हम ताले बिना तोड़े या शहर की गति धीमी किए बिना लॉक किए गए बक्सों में छिपे अपराधियों को कैसे पकड़ सकते हैं? यह पेपर एक चतुर "हाइब्रिड" डिटेक्टिव सिस्टम का प्रस्ताव देता है। केवल एक तरीके पर निर्भर रहने के बजाय, वे एक तेज नजर रखने वाले सुपरवाइजर (एक मशीन लर्निंग मॉडल जिसे XGBoost कहा जाता है) को दो "एनोमली डिटेक्टर्स" (Isolation Forest और Local Outlier Factor) के साथ जोड़ते हैं। कल्पना करें कि सुपरवाइजर एक अनुभवी पुलिसकर्मी की तरह है जो पिछले मामलों के आधार पर जानता है कि एक विशिष्ट अपराधी कैसा दिखता है। एनोमली डिटेक्टर्स उन सेंसरों की तरह हैं जो तब चिल्लाते हैं "यहाँ कुछ अजीब है!" जब किसी व्यक्ति का व्यवहार सामान्य, ईमानदार नागरिकों के पैटर्न में फिट नहीं बैठता, भले ही पुलिसकर्मी ने उस विशिष्ट प्रकार के अपराधी को पहले कभी न देखा हो। शोधकर्ताओं ने इस टीम की तुलना इंटरनेट ट्रैफिक के एक विशाल डेटासेट के साथ की, जिसमें वे पेचीदा परिदृश्य भी शामिल थे जहाँ अपराधियों ने ऐसे टूल्स का उपयोग किया जिन्हें सिस्टम ने पहले कभी नहीं देखा था। उन्होंने पाया कि जबकि हाइब्रिड टीम आसान स्थितियों में अनुभवी पुलिसकर्मी को हमेशा नहीं हरा पाती, लेकिन वे उन चालाक, अनदेखे अपराधियों को पकड़ने में अविश्वसनीय रूप से प्रभावी थी जिन्हें पुलिसकर्मी मिस कर देता है, जिससे सबसे कठिन परीक्षणों में मिस किए गए हमलों की संख्या में लगभग 70% से 74% की कमी आई।

हाइब्रिड डिटेक्टिव की कहानी

शोधकर्ताओं ने एक ऐसा सिस्टम बनाया है जो इंटरनेट ट्रैफिक के लिए एक सुरक्षा चेकपॉइंट की तरह काम करता है, लेकिन एक ट्विस्ट के साथ। लॉक किए गए स्टील के बक्सों को पढ़ने की कोशिश करने के बजाय (जो असंभव है क्योंकि वे एन्क्रिप्टेड हैं), सिस्टम यह देखता है कि बक्से कैसे चलते हैं। यह डिलीवरी के समय, पैकेज के आकार और वे कितनी बार आते हैं, इस पर नज़र रखता है।

उनका मुख्य आविष्कार एक "हाइब्रिड" टीम है। मुख्य पात्र XGBoost है, एक शक्तिशाली मशीन लर्निंग मॉडल जो एक अनुभवी जासूस की तरह कार्य करता है। इसने हजारों पिछले मामलों का अध्ययन किया है और ज्ञात बुरे लोगों के विशिष्ट "सिग्नेचर" जानता है। लेकिन शोधकर्ता जानते थे कि यदि कोई अपराधी अपना पहनावा बदल देता है या कोई नया तरीका अपनाता है, तो जासूस भ्रमित हो सकता है। इसलिए, उन्होंने दो साइडकिक्स जोड़े: Isolation Forest और Local Outlier Factor।

इन साइडकिक्स को "अजीबोगरीब डिटेक्टरों" के रूप में सोचें। उन्हें विशिष्ट अपराधी हस्ताक्षरों की परवाह नहीं है। इसके बजाय, उन्हें केवल इस बात पर प्रशिक्षित किया गया है कि "सामान्य" नागरिक कैसे दिखते हैं। यदि कोई व्यक्ति स्टेशन में अजीब तरह से व्यवहार करते हुए प्रवेश करता है—शायद वह बहुत तेजी से टहल रहा है, या उसका पैकेज बाकी सभी के मुकाबले गलत वजन का है—तो ये डिटेक्टर्स रेड फ्लैग दिखाते हैं। उन्हें यह जानने की जरूरत नहीं है कि अपराधी कौन है; वे बस इतना जानते हैं कि यह व्यक्ति भीड़ में फिट नहीं बैठता है।

शोधकर्ताओं ने जासूस के ज्ञान को अजीबोगरीब डिटेक्टरों के अलर्ट के साथ एक एकल "सुपर-फीचर" सूची में जोड़ा। फिर, उन्होंने इस सूची को अंतिम निर्णय लेने के लिए जासूस को वापस दिया। उन्होंने जानबूझकर एक अधिक जटिल, डीप-लर्निंग "मस्तिष्क" (जैसे ऑटोएनकोडर) का उपयोग करने का निर्णय नहीं लिया क्योंकि उनके परीक्षणों ने दिखाया कि इससे सिस्टम वास्तव में अधिक अपराधियों को पकड़ने के बजाय धीमा और अधिक जटिल हो जाता है। उन्होंने पाया कि जासूस और दो अजीबोगरीब डिटेक्टरों की सरल, हल्की टीम का संयोजन एकदम सही संतुलन था।

बड़ा परीक्षण: अनदेखे को पकड़ना

इस पेपर का असली जादू यह नहीं है कि सिस्टम काम करता है; बल्कि यह है कि यह अज्ञात को कितनी अच्छी तरह संभालता है। शोधकर्ताओं ने अपने सिस्टम को "लीव-वन-अटैक-आउट" नामक परीक्षणों की एक श्रृंखला से गुजारा। एक खेल की कल्पना करें जहाँ जासूस को तीन प्रकार के चोरों पर प्रशिक्षित किया जाता है: वे जो क्रोबार (crowbar) से चोरी करते हैं, वे लॉकपिक से, और वे प्लास्टिक के क्रोबार से। लेकिन फिर, टेस्ट में उनके सामने एक ऐसा चोर आता है जो स्क्रूड्राइवर का उपयोग करता है—एक ऐसा टूल जिसे जासूस ने पहले कभी नहीं देखा है।

इन परीक्षणों में, शोधकर्ताओं ने "DoH फ्लैग" (एक सरल सुराग जो कहता है "यह एक लॉक किया गया बॉक्स है") को भी हटा दिया ताकि काम और कठिन हो सके। वे देखना चाहते थे कि क्या सिस्टम स्क्रूड्राइवर वाले चोर को केवल उसके व्यवहार के अजीब होने के आधार पर पकड़ सकता है।

परिणाम प्रभावशाली थे। पंद्रह अलग-अलग परीक्षण कॉन्फ़िगरेशन में से प्रत्येक में (निष्पक्षता सुनिश्चित करने के लिए विभिन्न रैंडम सीड्स का उपयोग करते हुए), हाइब्रिड टीम ने अकेले काम करने वाले जासूस की तुलना में काफी अधिक अपराधियों को पकड़ा।

• "null" प्रकार के अनदेखे हमले के लिए, हाइब्रिड टीम ने औसतन केवल 52.2 अपराधियों को मिस किया, जबकि अकेले जासूस ने 178.6 को मिस किया। यह मिस किए गए हमलों में 70.8% की कमी है।
• "srv" प्रकार के लिए, उन्होंने 127.6 के बजाय 39.4 को मिस किया (69.1% की कमी)।
• "txt" प्रकार के लिए, उन्होंने 101.2 के बजाय 26.2 को मिस किया (74.1% की कमी)।

सांख्यिकीय परीक्षणों ने पुष्टि की कि यह केवल किस्मत नहीं थी; अंतर वास्तविक और महत्वपूर्ण था। हाइब्रिड सिस्टम एक सुरक्षा जाल की तरह काम करता था, उन अपराधियों को पकड़ने के लिए जो जासूस की उंगलियों से फिसल जाते थे क्योंकि वे कुछ ऐसा कर रहे थे जो थोड़ा "अलग" था जिसे जासूस ने अभी तक याद नहीं किया था।

जहाँ यह चमकता है और जहाँ यह लड़खड़ाता है

पेपर बहुत ईमानदारी से बताता है कि यह सिस्टम कहाँ सबसे अच्छा काम करता है और कहाँ नहीं।

• स्वीट स्पॉट (Sweet Spot): जब सिस्टम को एक नए प्रकार के हमले का सामना करना पड़ता है जिसे उसने पहले कभी नहीं देखा है, तो "अजीबोगरीब डिटेक्टर" नायक होते हैं। वे ट्रैफिक फ्लो में विसंगति को पहचानते हैं और जासूस को सही निर्णय लेने में मदद करते हैं।
• न्यूट्रल ज़ोन (Neutral Zone): जब सिस्टम का परीक्षण उस डेटा पर किया जाता है जो बिल्कुल वैसा ही दिखता है जैसा उसने सीखा है (जैसे "Standard" या "Full Data" परिदृश्य), तो हाइब्रिड टीम अकेले जासूस से थोड़ा बेहतर करती है या उसके बराबर होती है। एक विशिष्ट परिदृश्य "Cross-Scenario" में, जहाँ प्रशिक्षण और परीक्षण के बीच सामान्य ट्रैफिक खुद थोड़ा बदल गया था, दोनों सिस्टम लगभग बराबर थे। वास्तव में, अजीबोगरीब डिटेक्टरों ने यहाँ कभी-कभार गलत अलार्म भी दिए, सामान्य लेकिन थोड़े अलग ट्रैफिक को संदिग्ध के रूप में चिह्नित किया।
• स्पीड लिमिट (Speed Limit): शोधकर्ताओं ने यह भी जांचा कि सिस्टम कितनी तेजी से चल सकता है। उन्होंने पाया कि एक सिंगल पैकेज को चेक करना (स्ट्रीमिंग) हाइब्रिड टीम के लिए अकेले जासूस की तुलना में लगभग 16 गुना धीमा था। हालांकि, यदि वे पैकेजों को बैचों में (जैसे एक साथ पूरे ट्रक के भार की तरह) चेक करते हैं, तो धीमापन केवल लगभग 2.3 गुना था। इसका मतलब है कि सिस्टम छोटे अंतराल (बैच प्रोसेसिंग) में ट्रैफिक का विश्लेषण करने के लिए बहुत अच्छा है, लेकिन हर एक पैकेट को उसके आने के तुरंत बाद चेक करने के लिए शायद बहुत धीमा हो सकता है।

"फीचर गैप" की समस्या

एक मामला ऐसा था जहाँ सिस्टम संघर्ष करता है: dns2tcp नामक एक टूल। हाइब्रिड टीम के बावजूद, सिस्टम केवल लगभग 35% dns2tcp हमलों को ही पकड़ सका। शोधकर्ताओं ने गहराई से जांच की और पाया कि इस डेटासेट में dns2tcp ट्रैफिक मौलिक रूप से अलग है—यह अन्य टूल्स की तुलना में छोटा, तेज़ है और कम डेटा मूव करता है। यह एक ऐसे चोर को पहचानने की कोशिश करने जैसा है जो दूसरे ग्रह पर दौड़ रहा है; "अजीबोगरीब डिटेक्टर" यह नहीं बता सके कि व्यवहार अजीब था क्योंकि यह एक अपराध था या सिर्फ इसलिए क्योंकि यह एक अलग दुनिया से था। सिस्टम इसे केवल अधिक नियम जोड़कर ठीक नहीं कर सका; डेटा ही इतना अलग था जिस पर सिस्टम को प्रशिक्षित किया गया था।

निष्कर्ष

यह पेपर दिखाता है कि जब एन्क्रिप्टेड टनल में छिपे डिजिटल अपराधियों को पकड़ने की बात आती है, तो "दूसरा जोड़ा नेत्र" होना जो केवल फिंगरप्रिंट मिलाने के बजाय अजीबोगरीब व्यवहार को देखता है, एक गेम-चेंजर है। हाइब्रिड फ्रेमवर्क विशेषज्ञ जासूस की जगह नहीं लेता; यह उन्हें अज्ञात के लिए एक सुरक्षा जाल प्रदान करता है। हालांकि यह हर समस्या को तुरंत हल करने वाला कोई जादुई समाधान नहीं है (और इसके लिए थोड़ी अधिक कंप्यूटिंग शक्ति की आवश्यकता होती है), यह साबित करता है कि विभिन्न प्रकार की बुद्धिमत्ता को जोड़ना—ज्ञात खतरों के लिए सुपर्वाइज्ड लर्निंग और अजीबोगरीब एवं अज्ञात के लिए अनसुपर्वाइज्ड लर्निंग—एक बहुत अधिक मजबूत रक्षा प्रणाली बनाता है। शोधकर्ता सुझाव देते हैं कि यह दृष्टिकोण, इसके कठोर परीक्षण तरीकों के साथ, अगली पीढ़ी के चालाक हमलों को संभालने के लिए सुरक्षा प्रणालियों के निर्माण के लिए एक नया मानक होना चाहिए।