Solving the Cross-Sector Generalization Gap: A Generalizable AI Framework for Detecting Known and Unseen Cyberattacks in Critical Infrastructure

आधुनिक दुनिया मशीनों और नेटवर्कों के एक विशाल, अदृश्य तंत्रिका तंत्र पर चलती है। हमारे नल को साफ रखने वाले जल उपचार संयंत्रों से लेकर शहरों को रोशन करने वाले पावर ग्रिड तक, ट्रेनों को चलाने वाली रेलवे से लेकर महासागरों में नौकायन करने वाले जहाजों तक, और हमारे सामान बनाने वाली फैक्ट्रियों तक, ये प्रणालियाँ 'ऑपरेशनल टेक्नोलॉजी' (परिचालन तकनीक) पर निर्भर करती हैं। यह वह विशिष्ट सॉफ्टवेयर और हार्डवेयर है जो भौतिक प्रक्रियाओं की निगरानी और नियंत्रण करता है। दशकों से, सुरक्षा विशेषज्ञों ने इनमें से प्रत्येक क्षेत्र को एक अलग द्वीप के रूप में माना है। उन्होंने जल संयंत्र के लिए अलग, पावर ग्रिड के लिए अलग और रेलवे के लिए अन्य रक्षा प्रणालियाँ बनाईं, यह मानते हुए कि एक उद्योग के सेंसरों की अनूठी भाषा को दूसरे के लिए डिज़ाइन किए गए सिस्टम द्वारा नहीं समझा जा सकता। इस दृष्टिकोण ने एक खंडित परिदृश्य बना दिया है जहाँ परस्पर जुड़े विश्व को सुरक्षित करने के लिए हर काम के लिए एक अलग उपकरण की आवश्यकता होती है, जो एक ऐसी विधि है जो महंगी है और जैसे-जैसे ये प्रणालियाँ अधिक जुड़ी हुई होती जा रही हैं, इसे बड़े पैमाने पर लागू करना कठिन होता जा रहा है।

इंटरनेशनल इस्लामिक यूनिवर्सिटी चितगाँव के शोधकर्ताओं की एक टीम ने इस लंबे समय से चली आ रही धारणा को चुनौती दी है। उन्होंने एक सरल लेकिन गहन प्रश्न पूछा: क्या एक एकल कृत्रिम बुद्धिमत्ता (AI) प्रणाली सभी विभिन्न उद्योगों में साइबर हमले के सार्वभौमिक संकेतों को पहचानना सीख सकती है, भले ही उसने पहले उस विशिष्ट उद्योग को न देखा हो? उनका कार्य सुझाव देता है कि उत्तर 'हाँ' है। एक कंप्यूटर मॉडल को डेटा के विशिष्ट नामों के बजाय व्यवहार को देखने के लिए प्रशिक्षित करके, उन्होंने एक एकीकृत डिटेक्टर बनाया जो पांच अलग-अलग महत्वपूर्ण बुनियादी ढांचा क्षेत्रों में ज्ञात हमलों और बिल्कुल नए, अनदेखे खतरों दोनों का पता लगा सकता है। परिणाम संकेत देते हैं कि एक एकल, अनुकूलन योग्य प्रणाली अंततः विशेष डिटेक्टरों के बेड़े की जगह ले सकती है, जो उन आवश्यक सेवाओं की रक्षा के लिए एक अधिक कुशल और समझने योग्य तरीका प्रदान करती है जिन पर समाज निर्भर है।

शोधकर्ताओं ने पांच विविध क्षेत्रों पर ध्यान केंद्रित किया: जल और अपशिष्ट जल उपचार, विद्युत शक्ति ग्रिड, रेलवे सिग्नलिंग, समुद्री नेविगेशन और औद्योगिक विनिर्माण। वास्तविक दुनिया में, ये प्रणालियाँ अलग-अलग भाषाएँ बोलती हैं। एक जल संयंत्र दबाव और पानी की स्पष्टता की निगरानी कर सकता है, जबकि एक पावर ग्रिड वोल्टेज और विद्युत आवृत्ति को ट्रैक करता है। एक रेलवे प्रणाली ब्रेक प्रेशर और ट्रेन की गति पर नज़र रखती है, और एक जहाज अपने इंजन की गति और रडर एंगल की निगरानी करता है। पारंपरिक रूप से, जल डेटा पर प्रशिक्षित एआई जल संयंत्र के लिए बेकार होगा क्योंकि वह पावर ग्रिड के विशिष्ट नंबरों को नहीं समझ पाएगा। शोधकर्ताओं ने महसूस किया कि हालांकि सेंसरों के नाम अलग-अलग होते हैं, लेकिन जब किसी मशीन पर हमला किया जाता है तो उसका व्यवहार कुछ सामान्य पैटर्न साझा कर सकता है।

इसका परीक्षण करने के लिए, उन्होंने एक ऐसा ढांचा तैयार किया जो प्रत्येक क्षेत्र के कच्चे डेटा (raw data) को एक सामान्य, सरल भाषा में अनुवादित करता है। प्रत्येक समय अंतराल (window of time) के लिए कच्चे सेंसर रीडिंग को फीड करने के बजाय, उन्होंने सांख्यिकीय सारांशों का एक सेट गणना की। उन्होंने देखा कि संख्याएँ कितनी तेजी से बदल रही थीं, वे कितनी उछल-कूद कर रही थीं, और मान (values) कितने फैले हुए थे। इन सारांशों ने प्रत्येक क्षेत्र के लिए संख्याओं की एक एकल, निश्चित सूची बनाई, जिससे जल या बिजली की विशिष्ट शब्दावली हट गई और केवल डेटा का गणितीय आकार शेष रह गया। इसने उन्हें एक ही कंप्यूटर मॉडल, जिसे 'रैंडम फॉरेस्ट' नामक निर्णय लेने वाली प्रणाली कहा जाता है, को एक साथ पांचों क्षेत्रों के डेटा पर प्रशिक्षित करने की अनुमति दी।

टीम ने इस एकल मॉडल को कठोर परीक्षणों की एक श्रृंखला से गुजारा ताकि यह देखा जा सके कि क्या यह वास्तव में सामान्यीकरण (generalize) कर सकता है। सबसे पहले, उन्होंने जांचा कि क्या यह उस क्षेत्र में हमलों का पता लगा सकता है जिस पर इसे प्रशिक्षित किया गया था। मॉडल सफल रहा, जिसने जल, बिजली, रेल, समुद्री और औद्योगिक प्रणालियों में लगभग 79 प्रतिशत से 86 प्रतिशत की सटीकता दर के साथ हमलों की सही पहचान की। इसने सिद्ध किया कि मॉडल प्रत्येक उद्योग की विशिष्ट बारीकियों को सीख सकता है। लेकिन असली परीक्षा तब हुई जब उन्होंने उस ज्ञान को स्थानांतरित (transfer) करने का प्रयास किया। उन्होंने मॉडल को चार क्षेत्रों पर प्रशिक्षित किया और फिर उससे पांचवें क्षेत्र में हमलों की पहचान करने के लिए कहा, जो एक ऐसा डोमेन था जिसे उसने पहले कभी नहीं देखा था। उल्लेखनीय रूप से, मॉडल ने इन नए वातावरणों में भी उतना ही अच्छा प्रदर्शन किया, और 80 से 86 प्रतिशत के बीच सटीकता प्राप्त की। इसने प्रदर्शित किया कि सिस्टम ने हमले के अंतर्निहित तर्क को सीखा था, न कि केवल एक उद्योग के विशिष्ट सेंसर नामों को रटा था।

सबसे महत्वपूर्ण खोज शायद सिस्टम की उन हमलों का पता लगाने की क्षमता थी जिन्हें उसने पहले कभी नहीं देखा था। साइबर सुरक्षा की दुनिया में, सबसे खतरनाक खतरे "जीरो-डे" (zero-day) हमले हैं, जो नए और डिफेंडर्स के लिए अज्ञात होते हैं। शोधकर्ताओं ने अपने मॉडल का परीक्षण करने के लिए प्रशिक्षण डेटा से पूरी तरह से एक विशिष्ट प्रकार के गुप्त हमले को रोक दिया। जब उन्होंने इस अनदेखे हमले को मॉडल के सामने प्रस्तुत किया, तो इसने उच्च विश्वास के साथ इसे पहचानने में सफलता प्राप्त की, और 82 प्रतिशत से अधिक की पहचान दर हासिल की। यह सुझाव देता है कि मॉडल ने उस सूक्ष्म, अनियमित व्यवहार को पहचानना सीख लिया है जो एक साइबर घुसपैपात की विशेषता है, चाहे उसने पहले उस विशिष्ट चाल को देखा हो या नहीं।

शोधकर्ताओं ने एक महत्वपूर्ण परिचालन समस्या का भी समाधान किया: एक दुर्भावनापूर्ण साइबर हमले और एक साधारण, हानिरहित मशीन दोष के बीच अंतर करना। अतीत में, सुरक्षा प्रणालियाँ अक्सर उम्र के कारण खराब होते सेंसर या घिसते हुए मोटर को जानबूझकर किए गए हमले के रूप में समझ लेती थीं, जिससे गलत अलार्म उत्पन्न होते थे जो भरोसे को कम करते थे। उनका ढांचा साइबर हमले और भौतिक दोष के बीच लगभग 90 प्रतिशत सटीकता के साथ अंतर करने में सक्षम था। यह एक महत्वपूर्ण क्षमता है, क्योंकि यह सुनिश्चित करती है कि ऑपरेटरों को नियमित उपकरणों के घिसाव के बजाय वास्तविक खतरों के प्रति सचेत किया जाए।

अंत में, टीम ने यह सुनिश्चित किया कि सिस्टम एक "ब्लैक बॉक्स" नहीं है जो बिना स्पष्टीकरण के उत्तर देता है। उन्होंने विश्लेषण किया कि मॉडल ने अपने निर्णय लेने के लिए किन सांख्यिकीय विशेषताओं पर सबसे अधिक भरोसा किया। उन्होंने पाया कि सिस्टम मुख्य रूप से परिवर्तन की दर की अस्थिरता (volatility of the rate of change) से संचालित था—अर्थात, डेटा कितनी तेजी से और बेतहाशा उछल रहा था। यह सहज रूप से समझ में आता है, क्योंकि एक साइबर हमला अक्सर मशीन डेटा के सुचारू, अनुमानित प्रवाह को बाधित करता है, जिससे अचानक, अनियमित स्पाइक्स आते हैं। चूंकि मॉडल इन स्पष्ट, समझने योग्य सांख्यिकीय नियमों पर बना है, इसलिए सुरक्षा ऑपरेटर देख सकते हैं कि अलर्ट क्यों ट्रिगर हुआ, जो एक रहस्यमय लेबल के बजाय साक्ष्य का एक पारदर्शी मार्ग प्रदान करता है।

इस अध्ययन की अपनी सीमाएं हैं। सिस्टम को प्रशिक्षित और परीक्षण करने के लिए उपयोग किया गया डेटा कंप्यूटर सिमुलेशन द्वारा उत्पन्न किया गया था जिसे वास्तविक दुनिया के भौतिकी की नकल करने के लिए डिज़ाइन किया गया था, न कि लाइव, परिचालन नेटवर्क से लिया गया था। हालांकि सिमुलेशन को वास्तविक शोर (noise) और जटिलता को शामिल करने के लिए सावधानीपूर्वक तैयार किया गया था, शोधकर्ता स्वीकार करते हैं कि वास्तविक दुनिया की प्रणालियों में अनिश्चितता की अतिरिक्त परतें होती हैं जिन्हें सिमुलेशन पूरी तरह से कैप्चर नहीं कर सकता है। वे यह भी नोट करते हैं कि उनका वर्तमान सिस्टम उनके निर्णयों के लिए एक सामान्य स्पष्टीकरण प्रदान करता है लेकिन अभी तक प्रत्येक व्यक्तिगत अलर्ट के पीछे के तर्क की व्याख्या नहीं करता है। इन सीमाओं के बावजूद, परिणाम महत्वपूर्ण बुनियादी ढांचा सुरक्षा के लिए एक सम्मोहक दृष्टिकोण पेश करते हैं। प्रत्येक नए उद्योग या प्रत्येक नए सेंसर के लिए एक नया, कस्टम बचाव बनाने के बजाय, एक एकल, अनुकूलन योग्य बुद्धिमत्ता सार्वभौमिक मशीन व्यवहार की भाषा सीख सकती है, जो एक एकीकृत, पारदर्शी और प्रभावी ढाल के साथ हमारे जल, बिजली, परिवहन और उद्योग की रक्षा कर सकती है।