Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
यह शोध पत्र 'टारगेटर' (Targeter) को प्रस्तुत करता है, जो एक व्यवहार-विशिष्ट ढांचा है जो सिस्टम प्रक्रियाओं को श्रेणियों में विभाजित करता है और प्रत्येक के लिए समर्पित हल्के ग्राफ ऑटोएनकोडर्स को प्रशिक्षित करता है, जिससे कम कम्प्यूटेशनल ओवरहेड बनाए रखते हुए प्रोवेनेंस-आधारित घुसपैठ का पता लगाने में एक बेहतर प्रिसिजन-रिकॉल ट्रेड-ऑफ और बेहतर अलर्ट गुणवत्ता प्राप्त होती है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, कंप्यूटर द्वारा की जाने वाली हर क्रिया एक निशान छोड़ देती है, ठीक वैसे ही जैसे बर्फ में पैरों के निशान। जब कोई उपयोगकर्ता एक फ़ाइल खोलता है, एक प्रोग्राम चलाता है, या एक संदेश भेजता है, तो सिस्टम रिकॉर्ड करता है कि किसने, क्या, कब और किन उपकरणों के साथ किया। सुरक्षा विशेषज्ञ इन रिकॉर्डों का उपयोग कारण और प्रभाव का एक मानचित्र बनाने के लिए करते हैं, जो यह दिखाता है कि कैसे एक घटना दूसरी घटना की ओर ले जाती है। इस मानचित्र को 'प्रोवेनेंस ग्राफ' (provenance graph) कहा जाता है। वर्षों से, शोधकर्ता इन मानचित्रों का उपयोग साइबर हमलों का पता लगाने के लिए करने की कोशिश कर रहे हैं, इस उम्मीद में कि वे घुसपैठिए द्वारा डेटा चुराने या सिस्टम को नुकसान पहुँचाने के लिए उठाए गए छिपे हुए चरणों को खोज सकें। हालाँकि, चुनौती यह है कि ये मानचित्र अविश्वसनीय रूप से विशाल और जटिल होते हैं। एक अकेला कंप्यूटर कम समय में लाखों ऐसे संबंध बना सकता है, और उनमें से अधिकांश पूरी तरह से सामान्य होते हैं। जब एक सुरक्षा प्रणाली इतने बड़े समूह में बुरे तत्वों को खोजने की कोशिश करती है, तो वह अक्सर भ्रमित हो जाती है। यह एक हानिरहित फ़ाइल के लिए अलार्म बजा सकती है क्योंकि वह थोड़ी असामान्य दिखती है, या यह एक खतरनाक प्रक्रिया को मिस कर सकती है क्योंकि वह लाखों साधारण प्रक्रियाओं के बीच छिप गई है। इसका परिणाम अक्सर झूठे अलार्मों की बाढ़ होता है जो मानव विश्लेषकों को थका देते हैं, या इससे भी बुरा, एक ऐसे हमले को देखने में विफल रहना जो पहले से ही चल रहा है।
शारिफ यूनिवर्सिटी ऑफ टेक्नोलॉजी, ईरान के शोधकर्ताओं की एक टीम ने डेटा को देखने के तरीके को बदलकर इस समस्या को हल करने का एक नया तरीका प्रस्तावित किया है। एक एकल, विशाल कंप्यूटर प्रोग्राम को मशीन पर होने वाली हर संभावित गतिविधि को समझने के लिए सिखाने के बजाय, उन्होंने समस्या को छोटे, अधिक प्रबंधनीय टुकड़ों में विभाजित करने का निर्णय लिया। उन्होंने महसूस किया कि कंप्यूटर के विभिन्न प्रकार के प्रोग्राम बहुत अलग तरह से व्यवहार करते हैं। उदाहरण के लिए, एक वेब ब्राउज़र स्वाभाविक रूप से नेटवर्क कनेक्शन खोलता है और विशिष्ट प्रकार की फ़ाइलों को पढ़ता है। घड़ी को प्रबंधित करने वाला एक सिस्टम टूल अलग तरह से व्यवहार करता है, और प्रशासकों द्वारा उपयोग किया जाने वाला कमांड-लाइन शेल अपनी एक अनूठी लय रखता है। जब एक एकल डिटेक्शन मॉडल एक साथ इन सभी अलग-अलग प्रोग्रामों के "सामान्य" व्यवहार को सीखने की कोशिश करता है, तो उसे एक हानिरहित भिन्नता और एक वास्तविक खतरे के बीच अंतर करने में संघर्ष करना पड़ता है।
इस समस्या के समाधान के लिए, शोधकर्ताओं ने एक प्रणाली बनाई जिसे वे 'टारगेटर' (Targeter) कहते हैं। यह प्रणाली पहले कंप्यूटर पर चल रहे प्रत्येक प्रोग्राम को उसके वास्तविक कार्यों के आधार पर विशिष्ट समूहों में वर्गीकृत करती है। एक वेब ब्राउज़र एक समूह में जाता है, एक टेक्स्ट एडिटर दूसरे में, और एक सिस्टम सर्विस तीसरे में। एक बार प्रोग्राम सॉर्ट हो जाने के बाद, सिस्टम प्रत्येक समूह के लिए एक अलग, विशिष्ट डिटेक्टर को प्रशिक्षित करता है। वेब ब्राउज़रों के लिए डिटेक्टर केवल यह सीखता है कि सामान्य ब्राउज़र व्यवहार कैसा दिखता है। सिस्टम सेवाओं के लिए डिटेक्टर केवल यह सीखता है कि सामान्य सिस्टम व्यवहार कैसा दिखता है। क्योंकि प्रत्येक डिटेक्टर गतिविधियों के एक संकीर्ण और सुसंगत समूह पर केंद्रित है, इसलिए वह यह पहचानने में बहुत बेहतर हो जाता है कि उस समूह में कुछ असामान्य कब हो रहा है। वह सब कुछ जानने का विशेषज्ञ नहीं है; वह एक विशिष्ट चीज़ का विशेषज्ञ है।
शोधकर्ताओं ने DARPA 'ट्रांसपेरेंट कंप्यूटिंग' कार्यक्रम के डेटा का उपयोग करके इस दृष्टिकोण का परीक्षण किया, जो वास्तविक दुनिया के सिस्टम लॉग का एक संग्रह है जिसमें सामान्य गतिविधियाँ और परिष्कृत साइबर हमले दोनों शामिल हैं। उन्होंने अपने नए सिस्टम की तुलना कई मौजूदा तरीकों से की जो वर्तमान में क्षेत्र में सर्वश्रेष्ठ माने जाते हैं। परिणामों ने दिखाया कि टारगेटर ने वास्तविक हमलों को पकड़ने और झूठे अलार्मों से बचने के बीच एक बेहतर संतुलन बनाया। पिछले सिस्टमों को अक्सर बहुत सख्त होने और कई हमलों को मिस करने, या बहुत ढीला होने और हजारों निर्दोष प्रोग्रामों को संदिग्ध घोषित करने के बीच चयन करना पड़ता था। टारगेटर ने संदिग्ध गतिविधियों के एक बड़े हिस्से को पकड़ने में सफलता प्राप्त की और साथ ही झूठे अलार्मों की संख्या को इतना कम रखा कि वे मानव जांचकर्ताओं के लिए उपयोगी रहे। दस लाख से अधिक सिस्टम घटनाओं वाले एक डेटासेट वाले एक परीक्षण में, नए सिस्टम ने अपने प्रतिस्पर्धियों की तुलना में हमला-संबंधी नोड्स की काफी अधिक पहचान की, बिना विश्लेषक को शोर से परेशान किए।
इस सफलता का एक प्रमुख हिस्सा वह तरीका था जिससे सिस्टम ने प्रारंभिक पहचान के बाद डेटा को संभाला। शोधकर्ताओं ने एक अंतिम चरण जोड़ा जहाँ सिस्टम संदिग्ध वस्तुओं के बीच के संबंधों को देखता है। यदि वह एक संदिग्ध फ़ाइल को एक संदिग्ध प्रक्रिया से जुड़ा हुआ पाता है, तो वह उस फ़ाइल को जांच के लिए सूची में जोड़ देता है, भले ही वह फ़ाइल अपने आप में अजीब न लग रही हो। यह सुनिश्चित करने में मदद करता है कि जांच हमले के पूर्ण पथ को कवर करे, न कि केवल अलग-थलग टुकड़ों को। टीम ने यह भी जांचा कि इस नई विधि के लिए कितनी कंप्यूटिंग शक्ति की आवश्यकता है। उन्होंने पाया कि यह तेज़ और कुशल था, जो महंगे, विशेष हार्डवेयर की आवश्यकता के बिना मानक कंप्यूटर प्रोसेसर पर सुचारू रूप से चलता है। यह सुझाव देता है कि यह दृष्टिकोण केवल एक रिसर्च लैब में ही नहीं, बल्कि वास्तविक दुनिया के उपयोग के लिए भी व्यावहारिक हो सकता है।
अध्ययन यह सुझाव देता है कि साइबर हमलों का पता लगाने का मार्ग अनिवार्य रूप से बड़े, अधिक जटिल मॉडल बनाने के बारे में नहीं है, बल्कि स्मार्ट, अधिक केंद्रित मॉडल बनाने के बारे में है। यह स्वीकार करते हुए कि एक वेब ब्राउज़र और एक सिस्टम यूटिलिटी मौलिक रूप से भिन्न हैं, और प्रत्येक को अपना समर्पित पर्यवेक्षक देकर, सिस्टम को वास्तव में क्या गलत है, इसका एक स्पष्ट दृश्य प्राप्त होता है। शोधकर्ताओं ने नोट किया कि हालांकि उनका तरीका अच्छी तरह से काम करता है, लेकिन वर्तमान में यह श्रेणियों को परिभाषित करने के लिए मनुष्यों पर निर्भर है। भविष्य में, वे एक ऐसा तरीका विकसित करने की आशा करते हैं जिससे सिस्टम इन श्रेणियों की खोज स्वयं कर सके। फिलहाल, यह कार्य प्रदर्शित करता है कि केवल डेटा ग्राफ में एक प्रोग्राम के आकार को देखने के बजाय, उसके विशिष्ट स्वभाव पर ध्यान देना, बहुत अधिक सटीक और विश्वसनीय सुरक्षा अलर्ट की ओर ले जा सकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।