Real-Time Anomaly Detection in Software-Defined Networks using an Integrated ELK Stack and Machine Learning Framework

आधुनिक कंप्यूटर नेटवर्क विशाल और जटिल प्रणालियाँ हैं जो हर सेकंड लाखों उपकरणों के बीच डेटा स्थानांतरित करती हैं। दशकों तक, इन नेटवर्कों को व्यक्तिगत हार्डवेयर बॉक्स द्वारा प्रबंधित किया जाता था, जिनमें से प्रत्येक स्वयं यह निर्णय लेता था कि सूचना कहाँ भेजनी है। एक नया दृष्टिकोण, जिसे सॉफ्टवेयर-डिफ़ाइंड नेटवर्किंग (SDN) के रूप में जाना जाता है, इसे इस प्रकार बदलकर यह करता है कि निर्णय लेने की शक्ति को व्यक्तिगत बॉक्सों से निकालकर एक एकल, केंद्रीय कंप्यूटर प्रोग्राम में डाल दिया जाता है जिसे 'कंट्रोलर' कहा जाता है। यह केंद्रीय कंट्रोलर पूरे सिस्टम के मस्तिष्क के रूप में कार्य करता है, जो एक साथ पूरी प्रणाली को देखता है और ट्रैफ़िक को अत्यधिक लचीलेपन के साथ निर्देशित करता है। हालाँकि, यह केंद्रीकरण एक नया प्रकार का जोखिम पैदा करता है। यदि कोई हमलावर इस एकल मस्तिष्क को नियंत्रित करने में सफल हो जाता है, तो वे पूरे नेटवर्क को बाधित कर सकते हैं। क्योंकि कंट्रोलर इतना महत्वपूर्ण है, इसलिए सुरक्षा टीमों को इसे लगातार देखने की आवश्यकता होती है, ताकि असामान्य व्यवहार होते ही उसे तुरंत पकड़ा जा सके। चुनौती यह है कि कंट्रोलर और उसके द्वारा प्रबंधित उपकरण भारी मात्रा में डिजिटल रिकॉर्ड, या 'लॉग्स' उत्पन्न करते हैं, जिन्हें अक्सर पढ़ना और हमले के दौरान तुरंत विश्लेषण करना कठिन होता है।

शौआब दुकाली विश्वविद्यालय और इंटरनेशनल यूनिवर्सिटी ऑफ रबात के शोधकर्ताओं ने इस समस्या को हल करने के लिए एक प्रणाली विकसित की है जो शक्तिशाली लॉग विश्लेषण उपकरणों को आर्टिफिशियल इंटेलिजेंस (AI) के साथ जोड़ती है। उनका कार्य एक वास्तविक समय की निगरानी प्रणाली बनाने पर केंद्रित है जो एक सॉफ्टवेयर-डिफ़ाइंड नेटवर्क की निगरानी कर सके, समझ सके कि सामान्य क्या है, और तुरंत किसी भी असामान्य चीज़ को चिह्नित कर सके। अपने विचार का परीक्षण करने के लिए, उन्होंने एक लाइव, सार्वजनिक नेटवर्क का उपयोग नहीं किया, क्योंकि उस पर प्रयोग करना बहुत खतरनाक होता। इसके बजाय, उन्होंने 'मिनिनेट' (Mininet) नामक टूल का उपयोग करके कंप्यूटर के भीतर एक नेटवर्क की वर्चुअल प्रतिलिपि बनाई। इस वर्चुअल वातावरण में एक केंद्रीय कंट्रोलर और कई स्विच शामिल थे जो वास्तविक नेटवर्क हार्डवेयर की नकल करते हैं। फिर उन्होंने इस वर्चुअल नेटवर्क को 'ELK स्टैक' नामक ओपन-सोर्स सॉफ़्टवेयर से बने मॉनिटरिंग फ्रेमवर्क से जोड़ा। यह फ्रेमवर्क जानकारी के लिए एक उच्च-गति असेंबली लाइन की तरह कार्य करता है: यह कंट्रोलर और स्विच से कच्चे टेक्स्ट लॉग एकत्र करता है, उन्हें साफ करता है, उन्हें खोजने योग्य प्रारूप में व्यवस्थित करता है, और उन्हें मानव ऑपरेटरों को देखने के लिए एक स्क्रीन पर प्रदर्शित करता है।

शोधकर्ताओं को एक विशिष्ट बाधा का सामना करना पड़ा: केंद्रीय कंट्रोलर से आने वाले लॉग और नेटवर्क स्विच से आने वाले लॉग अलग-अलग प्रारूपों में लिखे जाते हैं और उनमें अलग-अलग प्रकार की जानकारी होती है। इसे संभालने के लिए, उन्होंने सिस्टम को इन दोनों स्रोतों के साथ अलग तरह से व्यवहार करने के लिए प्रोग्राम किया। केंद्रीय कंट्रोलर के लॉग सीधे मॉनिटरिंग सिस्टम को भेजे गए, जबकि स्विच के लॉग पहले एक स्थानीय सहायक प्रोग्राम द्वारा एकत्र किए गए और फिर आगे भेजे गए। एक बार जब सारा डेटा केंद्रीय प्रणाली पर पहुँच गया, तो उसे प्रोसेस किया गया और संरचित डेटा (structured data) में बदल दिया गया जिसे कंप्यूटर आसानी से समझ सके। उनके डिज़ाइन का सबसे महत्वपूर्ण हिस्सा विज़ुअलाइज़ेशन डैशबोर्ड में सीधे मशीन लर्निंग का एकीकरण था। इसने सिस्टम को यह सीखने की अनुमति दी कि सामान्य नेटवर्क ट्रैफ़िक कैसा दिखता है। एक बार जब सिस्टम ने सामान्य गतिविधि के आधार (baseline) को समझ लिया, तो यह स्वचालित रूप से पहचान सकता था कि नेटवर्क कब अजीब व्यवहार करने लगा है, जैसे कि जब अनुरोधों की बाढ़ कंट्रोलर को अभिभूत करने लगी।

यह देखने के लिए कि क्या उनका सिस्टम काम करता है, शोधकर्ताओं ने 'डिस्ट्रीब्यूटेड डिनायल ऑफ सर्विस' (DDoS) नामक एक विशिष्ट प्रकार के साइबर हमले का अनुकरण (simulate) किया, जहाँ एक हमलावर नेटवर्क को इतने अधिक ट्रैफ़िक से भर देता है कि वह काम करना बंद कर देता है। उन्होंने डिवाइस एड्रेसों की बाढ़ से जुड़े एक अन्य प्रकार के हमले का अनुकरण करने का भी प्रयास किया, लेकिन उन्हें उस विशिष्ट परीक्षण को जल्दी रोकना पड़ा क्योंकि इसके लिए उनके सेटअप के लिए बहुत अधिक कंप्यूटिंग पावर की आवश्यकता थी। जब उन्होंने ट्रैफ़िक फ्लड सिमुलेशन चलाया, तो सिस्टम ने बिल्कुल इच्छानुसार कार्य किया। इसने कंट्रोलर और स्विच दोनों से लॉग को सफलतापूर्वक एकत्र और व्यवस्थित किया, और गतिविधि को एक डैशबोर्ड पर प्रदर्शित किया जिसने ट्रैफ़िक में स्पष्ट उछाल दिखाया। इससे भी महत्वपूर्ण बात यह है कि मशीन लर्निंग घटक ने असामान्य व्यवहार का पता लगाया। कुल मिलाकर, सिस्टम ने सिमुलेशन के दौरान असामान्य गतिविधि के 47 अलग-अलग क्षणों की पहचान की। इसके बाद इसने घटनाओं को उनकी गंभीरता के आधार पर वर्गीकृत किया, जिसमें 50 घटनाओं को गंभीर या बड़े खतरों के रूप में और 28 को चेतावनियों के रूप में वर्गीकृत किया गया।

परिणाम दर्शाते हैं कि यह एकीकृत दृष्टिकोण प्रभावी रूप से सॉफ्टवेयर-डिफ़ाइंड नेटवर्क की निगरानी कर सकता है और हमलों का पता चलते ही लगा सकता है। सिस्टम नेटवर्क के विभिन्न हिस्सों से आने वाले जटिल मिश्रण को संभालने और उसे सुरक्षा टीमों के लिए एक स्पष्ट तस्वीर में बदलने में सक्षम रहा। हालाँकि, शोधकर्ता सावधानीपूर्वक यह नोट करते हैं कि ये निष्कर्ष एक सिम्युलेटेड वातावरण से आए हैं। जबकि वर्चुअल परीक्षण नियंत्रित और सफल था, एक वास्तविक दुनिया का नेटवर्क कहीं अधिक जटिल और अप्रत्याशित होता है। सिस्टम उनके द्वारा परीक्षण किए गए ट्रैफ़िक फ्लड के प्रकार के लिए अच्छी तरह से काम कर गया, लेकिन इसे विविध प्रकार के परिष्कृत हमलों या लाइव, प्रोडक्शन नेटवर्क में अभी तक सिद्ध नहीं किया गया है। शोधकर्ताओं ने यह भी देखा कि कुछ प्रकार के डिटेक्शन कार्यों के लिए बहुत अधिक कंप्यूटिंग संसाधनों की आवश्यकता होती है, जो यह सुझाव देता है कि सिस्टम कितनी निगरानी करता है और वह कितनी तेज़ी से चलता है, इसके बीच एक ट्रेड-ऑफ (संतुलन) है।

आगे देखते हुए, टीम अपने सिस्टम को बड़े और अधिक जटिल नेटवर्क पर परीक्षण करने की योजना बना रही है ताकि यह देखा जा सके कि यह कैसे स्केल करता है। वे अधिक उन्नत आर्टिफिशियल इंटेलिजेंस मॉडल को शामिल करने का इरादा रखते हैं ताकि सूक्ष्म खतरों को पकड़ा जा सके और सॉफ्टवेयर-डिफ़ाइंड नेटवर्क को विशेष रूप से लक्षित करने वाले विभिन्न प्रकार के हमलों का पता लगाने की क्षमता का विस्तार किया जा सके। अंततः, उनका लक्ष्य केवल मानव को अलर्ट करने वाले सिस्टम से हटकर एक ऐसा सिस्टम बनने का है जो स्वचालित रूप से कार्रवाई कर सके, जैसे कि ट्रैफ़िक को पुनः रूट करना या समझौता किए गए डिवाइस को अलग करना, ताकि मानवीय हस्तक्षेप के बिना नेटवर्क की रक्षा की जा सके। फिलहाल, उनका कार्य आधुनिक नेटवर्कों के केंद्रीय मस्तिष्क को सुरक्षित करने के लिए एक व्यावहारिक मार्ग प्रदर्शित करता है, जो भ्रमित करने वाले डेटा की बाढ़ को एक स्पष्ट, कार्रवाई योग्य संकेत में बदल देता है।