Structural Leakage in Host Intrusion Alert Corpora: An Evaluation Framework for ATT&CK Technique and Tactic Mapping
यह शोध पत्र Wazuh होस्ट घुसपैठ अलर्ट को MITRE ATT&CK टैक्टिक्स और तकनीकों में मैप करने के लिए एक लीकेज-अवेयर (leakage-aware) मूल्यांकन ढांचे को प्रस्तुत करता है, जो यह प्रदर्शित करता है कि नियम पहचानकर्ताओं (rule identifiers) और अलर्ट टेम्पलेट्स से होने वाले संरचनात्मक डेटा लीकेज के कारण मानक मूल्यांकन विधियाँ प्रदर्शन को बढ़ा-चढ़ाकर दिखाती हैं, जबकि यह भी दर्शाता है कि जब इन पूर्वाग्रहों को नियंत्रित किया जाता है तो टैक्टिक-स्तरीय भविष्यवाणी सुदृढ़ बनी रहती है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, जब भी कोई किसी कंप्यूटर या सर्वर के साथ इंटरैक्ट करता है, तो हर कंप्यूटर और सर्वर अपने पीछे डिजिटल पदचिह्नों का एक निशान छोड़ देता है। इन पदचिह्नों को 'अलर्ट' कहा जाता है, और ये सुरक्षा टीमों के लिए यह जानने का प्राथमिक तरीका हैं कि कुछ असामान्य हो रहा है। एक ऐसी इमारत की कल्पना करें जिसमें सैकड़ों सुरक्षा कैमरे लगे हैं; हर बार जब कोई दरवाजा खुलता है या कोई लाइट टिमटिमाती है, तो एक कैमरा केंद्रीय मॉनिटर को एक संदेश भेजता है। साइबर जगत में, ये संदेश उस सॉफ़्टवेयर द्वारा उत्पन्न किए जाते हैं जो संदिग्ध गतिविधि पर नज़र रखता है, जैसे कि कोई पासवर्ड का अनुमान लगाने की कोशिश कर रहा हो या उन फाइलों को स्थानांतरित कर रहा हो जिन्हें उसे नहीं छूना चाहिए। इस सूचना के सैलाब को समझने के लिए, सुरक्षा विशेषज्ञ 'MITRE ATT&CK' नामक एक साझा भाषा का उपयोग करते हैं। यह कोई सॉफ़्टवेयर नहीं है, बल्कि ज्ञात आपराधिक व्यवहारों का एक विशाल कैटलॉग है, जिसे एक लाइब्रेरी की तरह व्यवस्थित किया गया है जहाँ प्रत्येक प्रविष्टि उस विशिष्ट रणनीति (tactic) का वर्णन करती है जिसका हमलावर उपयोग कर सकता है और उस तकनीक (technique) का जिसका वे इसे प्राप्त करने के लिए प्रयोग करते हैं। इसका लक्ष्य कच्चे, भ्रमित करने वाले कंप्यूटर संदेशों को इस स्पष्ट कहानी में बदलना है कि हमलावर क्या करने की कोशिश कर रहा है, जिससे रक्षकों को खतरे को समझने और उसे रोकने में मदद मिल सके।
हालाँकि, एक नया अध्ययन बताता है कि शोधकर्ताओं ने इन संदेशों को अनुवादित करने की अपनी क्षमता का परीक्षण करने के जिस तरीके का उपयोग किया है, वह मौलिक रूप से त्रुटिपूर्ण हो सकता है। डी मॉन्फोर्ट यूनिवर्सिटी के एक शोधकर्ता, एमेड शेरिफ ने जांच की कि क्या कंप्यूटर प्रोग्राम इन कच्चे सुरक्षा अलर्ट को आपराधिक व्यवहारों के कैटलॉग के साथ सफलतापूर्वक मेल करा सकते हैं। यह अध्ययन एक "साइबर रेंज" में किया गया था, जो एक नियंत्रित डिजिटल वातावरण है जो एक वास्तविक कॉर्पोरेट नेटवर्क की नकल करता है लेकिन बाहरी दुनिया से अलग होता है। इस डिजिटल सैंडबॉक्स के भीतर, शोधकर्ता ने एक सिमुलेशन सेट किया जहाँ एक हमलावर नेटवर्क के माध्यम से आगे बढ़ा, जिसमें कमजोरी खोजने, पासवर्ड चुराने और अपने पदचिह्नों को छिपाने जैसी क्रियाएं शामिल थीं। 'Wazuh' नामक सुरक्षा सॉफ़्टवेयर ने इस हमले के दौरान उत्पन्न होने वाले प्रत्येक अलर्ट को रिकॉर्ड किया, जिससे दो हजार से अधिक संदेशों का एक डेटासेट बना। चुनौती यह थी कि क्या एक आर्टिफिशियल इंटेलिजेंस इन संदेशों को देख सकता है और सही ढंग से पहचान सकता है कि वे कैटलॉग के किस व्यवहार का प्रतिनिधित्व करते हैं।
शोधकर्ता ने पाया कि इस समस्या को हल करने के पिछले प्रयासों में अनजाने में ही सही, लेकिन शॉर्टकट का सहारा लिया गया था। कई कंप्यूटर प्रयोगों में, डेटा को यादृच्छिक (random) रूप से एक प्रशिक्षण समूह (training group) और एक परीक्षण समूह (testing group) में विभाजित किया जाता है। कंप्यूटर प्रशिक्षण समूह से सीखता है और फिर अनदेखे परीक्षण समूह पर परीक्षण किया जाता है ताकि यह देखा जा सके कि वह कितनी अच्छी तरह सामान्यीकरण (generalize) कर पाता है। हालाँकि, इस विशिष्ट प्रकार के सुरक्षा डेटा में, अलर्ट मानव द्वारा लिखे गए अद्वितीय वाक्य नहीं हैं; वे निश्चित नियमों द्वारा उत्पन्न होते हैं। यदि कोई नियम कहता है "अलर्ट दें जब पासवर्ड विफल हो जाए," तो वह घटना होने पर हर बार बिल्कुल वही टेक्स्ट उत्पन्न करेगा। अध्ययन में पाया गया कि डेटासेट में, अलर्ट का टेक्स्ट और उसे बनाने वाला नियम उस विशिष्ट आपराधिक व्यवहार से इतनी पूर्णता से जुड़े थे कि एक कंप्यूटर बस नियम को याद रख सकता था और उच्च सटीकता के साथ उत्तर का अनुमान लगा सकता था। यह एक ऐसे छात्र द्वारा परीक्षा देने जैसा था जहाँ प्रश्न में ही उत्तर मौजूद हो। यदि वही नियम प्रशिक्षण और परीक्षण दोनों समूहों में दिखाई दिया, तो कंप्यूटर वास्तव में व्यवहार को पहचान नहीं रहा था; वह केवल नियम के टेम्पलेट को पहचान रहा था।
इसे ठीक करने के लिए, शोधकर्ता ने प्रयोग के नियमों को बदल दिया। डेटा को यादृच्छिक रूप से विभाजित करने के बजाय, उन्होंने अलर्ट को उस विशिष्ट नियम के आधार पर समूहीकृत किया जिसने उन्हें उत्पन्न किया था। इसका अर्थ यह था कि यदि किसी विशेष नियम का उपयोग कंप्यूटर को प्रशिक्षित करने के लिए किया गया था, तो उस नियम को परीक्षण चरण में पूरी तरह से प्रतिबंधित कर दिया गया था। कंप्यूटर को व्यवहार के अंतर्निहित अर्थ को सीखना था बिना यह भरोसा किए कि वह नियम को पहचानने के शॉर्टकट का उपयोग कर सके। जब यह सख्त परीक्षण लागू किया गया, तो कंप्यूटर का प्रदर्शन काफी गिर गया, जिससे पता चला कि पहले के उच्च स्कोर वास्तव में बढ़े हुए (inflated) थे। परिणामों ने दिखाया कि जबकि कंप्यूटर हमले की व्यापक श्रेणियों, जैसे कि "क्रेडेंशियल चुराना" या "साक्ष्य छिपाना", की पहचान कर सकता था, लेकिन जब वह नियम टेम्पलेट्स को याद रखने पर निर्भर नहीं रह सका, तो उसे सटीक, सूक्ष्म तकनीकों को पहचानने में संघर्ष करना पड़ा।
अध्ययन ने निष्कर्ष निकाला कि कच्चे सुरक्षा अलर्ट को आपराधिक व्यवहार की स्पष्ट तस्वीर में अनुवादित करना संभव है, लेकिन केवल तभी जब मूल्यांकन अत्यधिक सावधानी के साथ किया जाए ताकि इन संरचनात्मक शॉर्टकटों को रोका जा सके। कंप्यूटर ने हमले के सामान्य लक्ष्य को पहचानने में बेहतर प्रदर्शन किया, जैसे कि हमलावर डेटा चुराने की कोशिश कर रहा है या सेवाओं को बाधित करने की, बजाय इसके कि वह उपयोग किए गए सटीक तरीके की पहचान करे। यह सुझाव देता है कि सुरक्षा टीमों के लिए, ये अलर्ट घुसपैję के व्यापक इरादे को समझने के लिए अधिक उपयोगी हैं बजाय उनके उपकरणों के सूक्ष्म विवरणों के। यह शोध क्षेत्र के लिए एक महत्वपूर्ण चेतावनी है: डेटा में इन छिपे हुए पैटर्न को नियंत्रित किए बिना, नेटवर्क की रक्षा करने वाले उपकरण वास्तव में जितना सक्षम दिखते हैं, उससे कहीं कम सक्षम हो सकते हैं। आगे का रास्ता ऐसे सिस्टम बनाने में निहित है जो अलर्ट के संदर्भ को उसके दोहराव वाले टेक्स्ट से परे समझ सकें, यह सुनिश्चित करते हुए कि जब एक सुरक्षा टीम को चेतावनी मिले, तो वह खतरे के वास्तविक साक्ष्य पर आधारित हो न कि डेटा को एकत्र करने के तरीके के सांख्यिकीय प्रभाव पर।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।