When Network Topology Supports Graph-Based Intrusion Detection: A Pre-Deployment Validity Framework

हर दिन, डिजिटल दुनिया डेटा के एक निरंतर, अदृश्य ट्रैफ़िक के साथ गूँजती रहती है। कंप्यूटर सर्वरों से बात करते हैं, फोन राउटरों से जुड़ते हैं, और उपकरण एक विशाल, बदलते हुए जाल में सूचनाओं का आदान-प्रदान करते हैं। दशकों से, सुरक्षा विशेषज्ञों ने संदेशों की सामग्री को देखकर इस भीड़ में बुरे तत्वों (bad actors) को पहचानने की कोशिश की है: जैसे कि फ़ाइल का आकार, कनेक्शन की गति, या भेजे जा रहे विशिष्ट कमांड। लेकिन एक नया, अधिक महत्वाकांक्षी दृष्टिकोण उभर कर आया है। केवल यह सुनने के बजाय कि क्या कहा जा रहा है, यह तरीका इस बात का मानचित्रण करता है कि कौन किससे बात कर रहा है। यह नेटवर्क को एक सामाजिक मानचित्र की तरह मानता है, जहाँ प्रत्येक कंप्यूटर एक व्यक्ति है और प्रत्येक कनेक्शन एक हाथ मिलाना (handshake) है। सिद्धांत यह है कि हमलावर सामान्य उपयोगकर्ताओं से अलग व्यवहार करते हैं; वे बहुत अधिक लोगों से हाथ मिलाते हैं, या वे अजीब, घनिष्ठ समूह बनाते हैं। इन कनेक्शनों के आकार का अध्ययन करके, सुरक्षा प्रणालियाँ घुसपैठियों को नुकसान पहुँचाने से पहले ही पहचानने की उम्मीद करती हैं।

हालाँकि, इस दृष्टिकोण में एक छिपा हुआ अनुमान है जो अब तक काफी हद तक अनछुआ रहा है। यह विधि मानती है कि मानचित्र स्वयं उपयोगी है। यह मानती है कि नेटवर्क की संरचना स्वाभाविक रूप से बुरे तत्वों को अच्छे तत्वों से अलग करती है, जिससे वे कोहरे में एक लाइटहाउस की तरह स्पष्ट दिखाई देते हैं। लेकिन क्या होगा यदि मानचित्र केवल एक धुंधलापन मात्र हो? क्या होगा यदि वह "लाइटहाउस" वास्तव में एक वैध सर्वर हो जिसे अपना काम करने के लिए हजारों लोगों से बात करनी पड़ती है? यदि हमला होने पर भी और हमला न होने पर भी अंतर्निहित नेटवर्क एक जैसा दिखता है, तो कोई भी चतुर सॉफ़्टवेयर घुसपैठिये को नहीं ढूँढ पाएगा। संरचना में वह संकेत (signal) ही नहीं होता जिसकी खोज की जा रही है।

यह सटीक प्रश्न है जिसका उत्तर देने के लिए हलवा विश्वविद्यालय के शोधकर्ताओं की एक टीम ने प्रयास किया। उन्होंने कोई बेहतर डिटेक्टर या तेज़ कंप्यूटर नहीं बनाया। इसके बजाय, उन्होंने मानचित्र को उपयोग में लाने से पहले स्वयं मानचित्र की जाँच करने के लिए एक नैदानिक उपकरण (diagnostic tool) बनाया। वे जानना चाहते थे: किन परिस्थितियों में नेटवर्क का आकार वास्तव में कनेक्शनों को देखकर हमलावरों को खोजने के विचार का समर्थन करता है? उनका काम प्रकट करता है कि उत्तर अपेक्षा से कहीं अधिक जटिल है। उन्होंने पाया कि एक नेटवर्क बेहद जटिल और असमान दिख सकता है, फिर भी घुसपैठियों को खोजने के लिए बेकार हो सकता है। इसके विपरीत, एक नेटवर्क जो लगभग सपाट और एकसमान दिखता है, वह कभी-कभी एक स्पष्ट, पता लगाने योग्य संकेत छिपा सकता है यदि आप जानते हों कि कैसे देखना है।

शोधकर्ताओं ने अपने विचारों का परीक्षण पांच अलग-अलग प्रकार के नेटवर्क वातावरणों पर किया, जिसमें छोटे प्रयोगशाला सेटअप से लेकर विशाल औद्योगिक प्रणालियाँ और हजारों उपकरणों वाले इंटरनेट-ऑफ-थिंग्स नेटवर्क शामिल थे। उन्होंने प्रत्येक नेटवर्क को एक अद्वितीय परिदृश्य (landscape) के रूप में माना। कुछ परिदृश्यों में, "लोकप्रिय" कंप्यूटर—जिनके पास सबसे अधिक कनेक्शन थे—वास्तव में हमलावर थे। अन्य में, सबसे अधिक जुड़े हुए कंप्यूटर पूरी तरह से निर्दोष थे, जैसे कि केंद्रीय गेटवे या फ़ाइल सर्वर जो स्वाभाविक रूप से सभी से बात करते हैं। टीम ने पाया कि केवल असमान कनेक्शनों की उपस्थिति ही सफलता की गारंटी देने के लिए पर्याप्त नहीं थी। एक नेटवर्क में उच्च स्तर की असमानता हो सकती है, जहाँ कुछ कंप्यूटरों के पास हजारों कनेक्शन हों और अधिकांश के पास केवल एक, फिर भी वह हमलावरों को प्रकट करने में विफल हो सकता है। ऐसा तब होता है जब "लोकप्रिय" कंप्यूटर केवल दैनिक कार्य करने वाला सामान्य बुनियादी ढांचा होते हैं, जो घुसपैठियों के सूक्ष्म संकेतों को दबा देते हैं।

इसे हल करने के लिए, टीम ने दो-चरणीय जाँच विकसित की। पहले, उन्होंने यह देखने के लिए देखा कि क्या नेटवर्क में कोई विशिष्ट आकार या पैटर्न है। उन्होंने इसे "संरचनात्मक विभेदन क्षमता" (structural differentiability) कहा। यदि नेटवर्क पूरी तरह से सपाट था, जहाँ प्रत्येक कंप्यूटर अन्यों के लगभग समान संख्या में लोगों से बात कर रहा था, तो कनेक्शनों के आधार पर हमलावरों को खोजने का कोई लाभ नहीं था; मानचित्र बहुत एकसमान था कि कोई सुराग दे सके। लेकिन भले ही नेटवर्क असमान था, वह केवल पहला अवरोध था। दूसरा, और अधिक महत्वपूर्ण, चेक यह देखना था कि क्या सबसे अधिक जुड़े हुए कंप्यूटर ही बुरे तत्व थे। उन्होंने इसे "प्रमुखता अलगाव" (prominence isolation) कहा। उन्हें यह जानने की आवश्यकता थी कि क्या सबसे सक्रिय कंप्यूटर भीड़ से अलग थे जो कुछ गलत होने का संकेत देते थे, या वे केवल सिस्टम के व्यस्त, वैध केंद्र (hubs) थे।

उनके परीक्षण के परिणाम चौंकाने वाले और विरोधाभासी थे। उन्होंने दो विशाल डेटासेट की तुलना की। एक एक जटिल एंटरप्राइज नेटवर्क से आया जिसमें 224,000 से अधिक उपकरण थे। यह नेटवर्क अत्यधिक असमान दिखता था, जिसमें कुछ कंप्यूटरों के पास हजारों कनेक्शन थे। सभी मानक पैमानों से, यह कनेक्शन-आधारित पहचान का उपयोग करने के लिए एक आदर्श स्थान लग रहा था। फिर भी, जब शोधकर्ताओं ने उनकी विधि लागू की, तो यह पूरी तरह से विफल रही। सबसे अधिक जुड़े हुए कंप्यूटर सभी वैध सर्वर थे। घुसपैठिए बीच की भीड़ में छिपे हुए थे, जो शोर (noise) से अलग नहीं पहचाने जा सकते थे। मानचित्र "सामान्य" गतिविधि से इतना भरा हुआ था कि बुरे तत्व अलग से दिखाई नहीं दे सके।

इसके विपरीत, उन्होंने इंटरनेट-ऑफ-थिंग्स उपकरणों के एक बड़े संग्रह से एक अलग नेटवर्क को देखा। यह नेटवर्क बहुत अधिक सपाट दिखता था। अधिकांश उपकरणों के पास केवल एक ही कनेक्शन था। वास्तव में, नेटवर्क के आकार को मापने के मानक तरीके ने सुझाव दिया कि यह बहुत एकसमान था कि उपयोगी हो सके। लेकिन शोधकर्ताओं ने एक छिपा हुआ अंतराल (break) पाया। जबकि अधिकांश उपकरणों के पास एक कनेक्शन था, एक मुट्ठी भर उपकरणों के पास हजारों कनेक्शन थे। यह लोकप्रियता का एक सहज वक्र (curve) नहीं था; यह एक तीखी ढलान (cliff) थी। वैध उपकरण एक सपाट मैदान बनाते थे, और हमलावर एक दूरस्थ शिखर पर खड़े थे। क्योंकि सामान्य और असामान्य के बीच का अंतर बहुत बड़ा था, शोधकर्ता उस घुसपैठियों को पहचानने के लिए एक अलग प्रकार के मापक यंत्र का उपयोग कर सके। उन्होंने पाया कि मानक नियमों को दरकिनार करके और उस तीखी ढलान को खोजकर, वे लगभग 91% सटीकता के साथ हमलावरों की पहचान कर सकते थे। दूसरे नेटवर्क में, जहाँ व्यस्त सर्वरों की भीड़ थी, वे अधिकतम शून्य प्रतिशत सटीकता ही प्राप्त कर सके।

यह अंतर सुरक्षा टीमों को अपने उपकरणों के बारे में सोचने का तरीका बदल देता है। शोधकर्ताओं ने दिखाया कि आप केवल एक ग्राफ-आधारित पहचान प्रणाली को ले नहीं सकते और उसे किसी भी नेटवर्क में लगा नहीं सकते। यदि नेटवर्क की संरचना वैध, उच्च-ट्रैफ़िक वाले बुनियादी ढांचे द्वारा हावी है, तो सिस्टम विफल होने की संभावना है, चाहे सॉफ़्टवेयर कितना भी परिष्कृत क्यों न हो। विफलता मॉडल में नहीं है; यह वातावरण में है। मानचित्र स्वयं तर्क का समर्थन नहीं करता है। टीम ने एक तीसरा परिदृश्य भी पहचाना जहाँ मानचित्र केवल ट्रैफ़िक के अस्थायी उछाल के कारण टूटा हुआ दिखता है, जैसे कि छुट्टियों की भीड़ जो हर किसी को व्यस्त दिखा देती है। इन मामलों में, सिस्टम एक दिन के लिए विफल हो सकता है लेकिन अगले दिन ठीक हो सकता है, जो यह बताता है कि समस्या नेटवर्क का स्थायी दोष नहीं बल्कि एक अस्थायी घटना है।

शोधकर्ताओं ने अपने विचारों का परीक्षण एक वास्तविक दुनिया की प्रोडक्शन वेबसाइट पर भी किया जो प्रतिदिन लाखों अनुरोध प्राप्त करती है। उन्होंने एक महीने में नेटवर्क के आकार में बदलाव को देखा। उन्होंने पाया कि कनेक्शनों के आधार पर घुसपैठियों को पहचानने की क्षमता समय के साथ बदलती रही। पहले कुछ दिनों में, सबसे सक्रिय आगंतुक अक्सर बुरे तत्व थे। लेकिन जैसे-जैसे महीना आगे बढ़ा, बार-बार साइट पर आने वाले वैध उपयोगकर्ताओं ने कनेक्शनों को संचित करना शुरू कर दिया, जिससे अच्छे और बुरे के बीच की रेखा धुंधली हो गई। हमलावरों की "प्रमुखता" सामान्य उपयोगकर्ताओं की बढ़ती भीड़ द्वारा कम (dilute) हो गई। इसने सिद्ध किया कि इस पद्धति की वैधता नेटवर्क का एक स्थिर गुण नहीं है; यह एक ऐसी स्थिति है जो समय और अवलोकन के साथ बदलती रहती है।

इस कार्य का अंतिम योगदान सुरक्षा के बारे में सोचने का एक नया तरीका है। जटिल ग्राफ-आधारित पहचान प्रणालियों पर पैसा और प्रयास खर्च करने से पहले, संगठनों को पहले एक सरल नैदानिक (diagnostic) परीक्षण चलाना चाहिए। उन्हें यह जाँचने की आवश्यकता है कि क्या उनके नेटवर्क में इस पद्धति को सफल बनाने के लिए सही प्रकार का आकार है। यदि सबसे अधिक जुड़े हुए कंप्यूटर केवल अपना काम करने वाले सामान्य सर्वर हैं, तो कनेक्शनों को देखना मदद नहीं करेगा। यदि नेटवर्क बहुत सपाट है, तो खोजने के लिए कोई संकेत नहीं है। लेकिन यदि गतिविधि का एक तीखा, अलग शिखर है जो बाकी से अलग खड़ा है, तो यह पद्धति अविश्वसनीय रूप से शक्तिशाली हो सकती है। शोधकर्ताओं ने सुरक्षा टीमों के लिए केवल इस बात के कच्चे डेटा का उपयोग करके इस जाँच को करने के लिए एक स्पष्ट, चरण-दर-चरण मार्गदर्शिका प्रदान की कि कौन किससे बात कर रहा है, बिना यह जाने कि हमलावर पहले से कौन हैं।

यह दृष्टिकोण सुरक्षा के प्रति दृष्टिकोण को बेहतर मॉडल बनाने से हटाकर वातावरण को समझने की ओर ले जाता है। यह सुझाव देता है कि घुसपैठ का पता लगाने में सबसे महत्वपूर्ण कदम एल्गोरिदम नहीं, बल्कि भूभाग (terrain) का आकलन है। एक उपकरण जिसे घास के ढेर में सुई खोजने के लिए बनाया गया है, विफल हो जाएगा यदि वह घास का ढेर वास्तव में सुइयों का ढेर है। नेटवर्क के संरचनात्मक रूप से उपयुक्त होने या न होने के बीच अंतर करके, यह शोध उन तरीकों पर संसाधनों की बर्बादी को रोकता है जो नेटवर्क की प्रकृति के कारण विफल होने के लिए ही बने हैं। यह एक शांत, व्यावहारिक सत्य प्रस्तुत करता है: आपको अपने भीतर के अजनबी को खोजने का प्रयास करने से पहले अपनी दुनिया के आकार को जानना चाहिए।