Machine Learning Based Intrusion Detection for Cloud Storage: An Empirical Evaluation of Signature and Random Forest Fusion
यह अध्ययन माइक्रोसॉफ्ट अज़्योर (Microsoft Azure) के अनलेबल (unlabelled) ट्रेसेस में हमलों को इंजेक्ट करके क्लाउड स्टोरेज के लिए एक अर्ध-सिंथेटिक घुसपैठ पहचान प्रोटोटाइप का अनुभवजन्य मूल्यांकन करता है, जिसमें यह पाया गया है कि हालांकि रैंडम फॉरेस्ट (Random Forest) मॉडल उपयोगी रैंकिंग संकेत प्रदान करते हैं, लेकिन टेम्पोरल वर्कलोड ड्रिफ्ट (temporal workload drift) के तहत उनका अस्थिर प्रदर्शन और लो-एंड-स्लो (low-and-slow) हमलों का खराब पता लगाना यह दर्शाता है कि वे अभी उत्पादन तैनाती (production deployment) के लिए तैयार नहीं हैं।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आधुनिक डिजिटल दुनिया में, व्यक्तिगत और व्यावसायिक जानकारी की विशाल मात्रा क्लाउड स्टोरेज में रहती है, जो एक ऐसी प्रणाली है जहाँ डेटा को एकल कंप्यूटर के बजाय रिमोट सर्वर पर रखा जाता है। क्योंकि इस डेटा को कहीं से भी एक्सेस किया जा सकता है, इसलिए अनधिकृत प्रवेश की संभावना पारंपरिक, अलग-थलग स्टोरेज सिस्टम की तुलना में बहुत अधिक है। इस जानकारी की सुरक्षा के लिए, सुरक्षा टीमें घुसपैठ का पता लगाने वाले सिस्टम (इंट्रूज़न डिटेक्शन सिस्टम) पर भरोसा करती हैं, जो डिजिटल वॉचटावर की तरह कार्य करते हैं। ये सिस्टम आम तौर पर दो तरीकों से काम करते हैं: कुछ बुरे व्यवहार के ज्ञात पैटर्न को देखते हैं, जैसे कि एक सुरक्षा गार्ड किसी विशिष्ट अपराधी के चेहरे को पहचानता है, जबकि अन्य यह सीखते हैं कि सामान्य गतिविधि कैसी दिखती है और जब कुछ असामान्य होता है तो अलार्म बजा देते हैं। चुनौती यह है कि वैध उपयोगकर्ता अक्सर ऐसे तरीकों से व्यवहार करते हैं जो संदिग्ध लग सकते हैं, और हमलावर सामान्य व्यवहार की नकल कर सकते हैं, जिससे बिना अत्यधिक गलत अलार्म (फॉल्स अलार्म) पैदा किए अंतर करना कठिन हो जाता है।
शोधकर्ता साइमन उसिफो और ओलावाले ओलानियी ने माइक्रोसॉफ्ट एज़्योर (जो एक प्रमुख क्लाउड प्रदाता है) के वास्तविक डेटा का उपयोग करके इस समस्या को हल करने के लिए एक विशिष्ट दृष्टिकोण का परीक्षण करने का निर्णय लिया। उन्होंने एक प्रोटोटाइप सिस्टम बनाया जिसे दो विधियों को जोड़कर क्लाउड स्टोरेज में घुसपैठियों का पता लगाने के लिए डिज़ाइन किया गया था: नियमों का एक सेट जो परेशानी के स्पष्ट संकेतों को देखता है, और एक मशीन लर्निंग मॉडल जो डेटा पैटर्न से सीखता है। टीम ने नकली हमलों के बनावटी डेटासेट का उपयोग नहीं किया, जो इस क्षेत्र में आम है, बल्कि इसके बजाय उन्होंने वास्तविक अनुप्रयोगों (एप्लिकेशन्स) के तीस हजार वास्तविक, बिना लेबल वाले एक्सेस लॉग्स से शुरुआत की। चूंकि इन लॉग्स के साथ सुरक्षा लेबल नहीं आए थे, इसलिए शोधकर्ताओं ने उन्हें सामान्य गतिविधि के एक तटस्थ बैकग्राउंड के रूप में माना। इसके बाद उन्होंने वास्तविक डेटा में नियंत्रित सिमुलेशन (अभ्यास) के माध्यम से हमले के अभियानों को सावधानीपूर्वक इंजेक्ट किया। तीन विशिष्ट हमले के टेम्पलेट—बर्स्ट एक्सफिल्ट्रेशन (डेटा चोरी का तीव्र प्रवाह), ब्रॉड एक्सेस प्रोबिंग (व्यापक पहुंच की जांच), और ओवरराइट बर्स्ट्स—सभी प्रशिक्षण, सत्यापन और परीक्षण अवधियों में मौजूद थे, जबकि चौथे प्रकार के, 'लो-एंड-स्लो एक्सफिल्ट्रेशन' (धीमी और सूक्ष्म चोरी), को केवल परीक्षण अवधि में इंजेक्ट किया गया था। इसने उन्हें यह देखने की अनुमति दी कि वास्तविक, अस्त-व्यस्त मानवीय गतिविधि के भीतर छिपे खतरों का सामना करते समय उनके डिटेक्शन सिस्टम का प्रदर्शन कैसा रहता है।
परिणामों ने एक जटिल तस्वीर पेश की कि वास्तविक सेटिंग में क्या काम करता है और क्या नहीं। मशीन लर्निंग मॉडल, जिसे रैंडम फॉरेस्ट (Random Forest) के रूप में जाना जाता है, घटनाओं को रैंक करने में काफी अच्छा साबित हुआ, जिसका अर्थ है कि वह सफलतापूर्वक पहचान सका कि कौन सी गतिविधियाँ हमलों की तुलना में अधिक संभावित थीं। हालांकि, जब शोधकर्ताओं ने अलार्म बजाने का निर्णय लेने के लिए एक विशिष्ट रेखा निर्धारित करने की कोशिश की, तो सिस्टम अस्थिर हो गया। कुछ परीक्षणों में, मॉडल ने लगभग इकसठ प्रतिशत हमलों को पकड़ा, लेकिन इसने कई हानिरहित गतिविधियों को भी खतरनाक के रूप में चिह्नित किया। जब उन्होंने मशीन लर्निंग मॉडल को निश्चित नियमों के साथ मिलाकर प्रदर्शन सुधारने की कोशिश की, तो सिस्टम बेहतर होने के बजाय और खराब हो गया, जिससे और भी अधिक गलत अलार्म उत्पन्न हुए। वास्तव में, सिस्टम का सबसे प्रभावी संस्करण केवल मशीन लर्निंग मॉडल ही था, क्योंकि इसे अन्य विधियों के साथ जोड़ने के प्रयास ने कोई मूल्य नहीं जोड़ा और केवल शोर (नॉइज़) बढ़ा दिया।
एक विशेष रूप से चौंकाने वाला निष्कर्ष सिस्टम की धीमी, सूक्ष्म हमलों का पता लगाने में असमर्थता थी। जबकि मॉडल डेटा चोरी के तीव्र प्रवाह, व्यापक स्कैनिंग और ओवरराइट बर्स्ट्स का पता लगाने में काफी सफल रहा, लेकिन वह उस विशिष्ट प्रकार के हमले को पहचानने में लगभग पूरी तरह विफल रहा जहाँ डेटा को बहुत धीरे-धीरे समय के साथ चुराया जाता है। यह "लो-एंड-स्लो" व्यवहार, जो अक्सर सबसे खतरनाक होता है क्योंकि यह मानक अलार्म को ट्रिगर करने से बचता है, नब्बे प्रतिशत से अधिक मामलों में पकड़ा नहीं जा सका। अध्ययन ने समय के मुद्दे को भी उजागर किया। सिस्टम को एक सप्ताह के डेटा पर प्रशिक्षित किया गया था और अगले सप्ताह के डेटा पर इसका परीक्षण किया गया था। भले ही अंतर्निहित तकनीक एक ही थी, लेकिन अनुप्रयोगों (एप्लिकेशन्स) के व्यवहार में समय के साथ स्वाभाविक रूप से बदलाव आया, जिसे शोधकर्ता 'टेम्पोरल ड्रिफ्ट' (समय के साथ होने वाला बदलाव) कहते हैं। इस बदलाव के कारण सिस्टम की कॉन्फिडेंस सेटिंग्स, जो शुरुआती डेटा पर अनुकूलित की गई थीं, बाद के डेटा पर लागू होने पर पूरी तरह विफल हो गईं, जिससे यह सिद्ध हुआ कि एक मॉडल जो एक क्षण में अच्छा काम करता है, वह अगले क्षण में काम नहीं कर सकता।
अंततः, अध्ययन यह निष्कर्ष निकालता है कि हालांकि मशीन लर्निंग दृष्टिकोण संदिग्ध पैटर्न की पहचान करने में आशाजनक है, लेकिन यह अपने वर्तमान रूप में वास्तविक दुनिया के उपयोग के लिए अभी तैयार नहीं है। यह सिस्टम व्यावहारिक होने के लिए बहुत अधिक गलत अलार्म पैदा करता है, और इसकी धीमी, गुप्त हमलों का पता लगाने की क्षमता वर्तमान में बहुत कमजोर है। शोधकर्ता इस बात पर जोर देते हैं कि उनके कार्य का मूल्य एक पूर्ण उत्पाद में नहीं, बल्कि एक पुनरुत्पादक ढांचे (reproducible framework) में है जो वास्तविक डेटा का उपयोग करके वर्तमान विधियों की सीमाओं को दर्शाता है। वे सुझाव देते हैं कि भविष्य के प्रयासों को ऐसे सिस्टम बनाने पर ध्यान केंद्रित करना चाहिए जो समय के साथ बदलते उपयोगकर्ता व्यवहार के अनुकूल हो सकें और धीमी, दुर्भावनापूर्ण गतिविधि तथा सामान्य, शांत अवधियों के बीच अंतर करने के बेहतर तरीके खोज सकें। जब तक ये चुनौतियाँ हल नहीं हो जातीं, ऐसे सिस्टम अनुसंधान और ऑडिटिंग के लिए उपयोगी उपकरण बने रहेंगे, लेकिन लाइव क्लाउड स्टोरेज की महत्वपूर्ण सुरक्षा के लिए नहीं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।