A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

साइबर सुरक्षा की उच्च-दांव वाली दुनिया में, समय सबसे मूल्यवान मुद्रा है, फिर भी यह सबसे मायावी भी है। रक्षक घुसपैठ का पता लगाने और नुकसान होने से पहले प्रतिक्रिया देने के निरंतर दबाव में काम करते हैं, लेकिन आधुनिक साइबर हमलों की वास्तविकता एक निराशाजनक अंतराल (लैग) से परिभाषित होती है। हमलावर, जो अक्सर परिष्कृत और निरंतर समूहों के रूप में काम करते हैं, महीनों तक नेटवर्क के भीतर छिपे रह सकते हैं, धीरे-धीरे और चुपचाप आगे बढ़ सकते हैं। इस बीच, रक्षकों की अपनी प्रणालियाँ अक्सर गलत चेतावनियों (फॉल्स अलार्म) से भरी होती हैं और उस डेटा की विशाल मात्रा से अभिभूत हो जाती हैं जिसे उन्हें छानना पड़ता है। यह उस समय और जब हमला होता है और जब रक्षक अंततः यह समझ पाते हैं कि क्या हो रहा है और इसे रोकने के लिए कार्य कर पाते हैं, उसके बीच एक खतरनाक अंतर पैदा करता है। दशकों से, कंप्यूटर वैज्ञानिकों ने गणित का उपयोग करके इस चूहे-बिल्ली के खेल को मॉडल करने का प्रयास किया है, लेकिन इनमें से कई मॉडलों ने यह मान लिया था कि दोनों पक्ष तुरंत प्रतिक्रिया दे सकते हैं, जैसे कि समय का कोई अस्तित्व ही न हो। इस धारणा ने इस बात की अनदेखी की कि सूचना वास्तव में एक सुरक्षा टीम के माध्यम से कैसे यात्रा करती है और हमलावर दिनों या हफ्तों में अपनी रणनीति कैसे बदलते हैं, जो कि एक जटिल और धीमी वास्तविकता है।

सिना केहियानियन का एक नया अध्ययन इस सरलीकृत दृष्टिकोण को चुनौती देता है और साइबर संघर्ष का एक अधिक यथार्थवादी मॉडल बनाता है। तात्कालिक प्रतिक्रियाओं को मानने के बजाय, यह शोध इस लड़ाई को दो आबादी के बीच एक धीमी गति से चलने वाले विकासवादी संघर्ष के रूप में देखता है: रक्षक, जिन्हें यह तय करना होता है कि वे खतरों के लिए सक्रिय रूप से शिकार (हंटिंग) करें या अपने सिस्टम की निष्क्रिय निगरानी करें, और हमलावर, जो आक्रामक, तेज़ गति वाली रणनीतियों या गुप्त, धीमी गति वाली रणनीतियों के बीच चयन करते हैं। मॉडल का मुख्य केंद्र सूचना का विलंब (डिले) है। रक्षक हमलावरों को सीधे नहीं देखते; वे केवल अलर्ट की एक धारा देखते हैं जो देरी से आती है और अक्सर शोर भरी (नॉइजी) होती है। इसे समझने के लिए, रक्षक एक गणितीय फिल्टर का उपयोग करते हैं, जो एक प्रकार की स्मार्ट औसत प्रक्रिया है, जिससे वे अनुमान लगाते हैं कि हमलावर क्या कर रहे हैं। अध्ययन इस प्रणाली में दो विशिष्ट प्रकार के विलंब पेश करता है: घुसपैठ का पता लगाने में लगने वाला समय और समस्या का पता चलने के बाद उसे ठीक करने में लगने वाला समय। इन अंतराल को ध्यान में रखते हुए जटिल सिमुलेशन चलाकर, शोधकर्ताओं ने पाया कि सिस्टम पहले की तुलना में बहुत अलग व्यवहार करता है।

सबसे महत्वपूर्ण निष्कर्ष यह है कि एक सटीक 'टिपिंग पॉइंट' (निर्णायक बिंदु) है कि एक रक्षक कितनी देर तक प्रतीक्षा करने का जोखिम उठा सकता है इससे पहले कि उसकी प्रतिक्रिया अस्थिर हो जाए। यदि हमले का पता लगाने में होने वाला विलंब एक निश्चित सीमा के नीचे रहता है, तो रक्षक और हमलावर एक अनुमानित संतुलन में स्थिर हो जाते हैं। हालांकि, एक बार जब विलंब उस सीमा को पार कर जाता है, तो सिस्टम केवल थोड़ा खराब नहीं होता; बल्कि यह अनियत रूप से दोलन (ऑसिलेट) करने लगता है। रक्षक, पुरानी जानकारी पर प्रतिक्रिया करते हुए, आक्रामक शिकार के लिए अत्यधिक प्रतिबद्ध हो जाते हैं, जिससे उनके अपने सिस्टम गलत चेतावनियों और थकान से भर जाते हैं। यह उन्हें पीछे हटने के लिए मजबूर करता है, जिससे नेटवर्क असुरक्षित हो जाता है, ठीक उसी समय जब हमलावर, इस ढील को देखते हुए, आक्रमण की एक नई लहर शुरू करते हैं। यह चक्र दोहराता है, जिससे उल्लंघनों और उन्मादी प्रतिक्रियाओं का एक आवर्ती पैटर्न बनता है जो कभी हल नहीं होता। शोध यह सिद्ध करता है कि यह अस्थिरता कोई यादृच्छिक त्रुटि नहीं है, बल्कि एक गणितीय निश्चितता है जो तब होती है जब सूचना सीखने की रक्षकों की गति के सापेक्ष समय का अंतराल बहुत लंबा हो जाता है।

महत्वपूर्ण रूप से, अध्ययन यह भी दिखाता है कि केवल हमलों का पता तेजी से लगाने की कोशिश करना हमेशा काम बचाने के लिए पर्याप्त नहीं होता है। शोधकर्ताओं ने पाया कि यदि हमलावर अत्यधिक अनुकूलनशील हैं और रक्षक डेटा से सीखने में धीमे हैं, तो पता लगाने की गति कितनी भी अधिक क्यों न हो, वह सिस्टम को अराजकता में ढहने से नहीं रोक सकती। एक न्यूनतम गति है जिस पर रक्षकों को सूचना को संसाधित करने और दुश्मन के बारे में अपने विश्वासों को अपडेट करने में सक्षम होना चाहिए। यदि वे इस गति से नीचे गिरते हैं, तो रक्षा विफल होने के लिए अभिशप्त है, चाहे वे प्रारंभिक उल्लंघन को कितनी भी तेज़ी से पकड़ लें। यह सुझाव देता है कि बेहतर सेंसर या तेज़ अलर्ट सिस्टम में निवेश करना केवल आधी लड़ाई है; तेजी से सीखना और अनुकूलित होना भी उतना ही महत्वपूर्ण है। मॉडल एक आश्चर्यजनक अंतःक्रिया को भी प्रकट करता है। जबकि कोई यह मान सकता है कि पता लगाने में विलंब और समस्या को ठीक करने में विलंब मिलकर स्थिति को और बदतर बना देंगे, अध्ययन दिखाता है कि समस्या को ठीक करने में मध्यम विलंब वास्तव में सिस्टम को स्थिर करने में मदद कर सकता है, जिससे बिना किसी पतन के थोड़ा लंबा डिटेक्शन डिले सहन किया जा सकता है।

यह सुनिश्चित करने के लिए कि ये निष्कर्ष केवल सैद्धांतिक नहीं थे, शोधकर्ताओं ने अपने मॉडल का परीक्षण वास्तविक दुनिया के डेटा के विरुद्ध किया। उन्होंने माइक्रोसॉफ्ट द्वारा प्रदान किए गए एक बड़े डेटासेट से 300,000 से अधिक सुरक्षा घटनाओं का विश्लेषण किया, जिसमें यह शामिल था कि विश्लेषकों ने अलर्ट को कैसे वर्गीकृत और ग्रेड किया। उन्होंने आईटी सर्विस डेस्क के लॉग्स का भी परीक्षण किया ताकि यह समझा जा सके कि समस्याओं को हल करने में वास्तव में कितना समय लगता है। डेटा ने पुष्टि की कि एक एकल संगठन हमलावर के व्यवहार के बारे में लगभग 0.07 बार प्रति दिन की दर से सीखता है, जिसका अर्थ है कि अपनी रणनीति को पूरी तरह से समायोजित करने में लगभग दो सप्ताह लगते हैं। हालांकि, जब कई संगठन अपना डेटा साझा करते हैं, तो यह सीखने की गति बढ़कर लगभग तीन बार प्रति दिन हो जाती है, जो एक बड़ा सुधार है और रक्षकों के उस समय को काफी बढ़ा देता है जिसे उनका सिस्टम अस्थिर होने से पहले सहन कर सकता है। इस सुधार के बावजूद, अध्ययन ने पाया कि साझा डेटा के साथ भी, एक नेटवर्क में हमलावर के रहने (ड्वेल टाइम) का विशिष्ट समय—अक्सर लगभग 14 दिन—अभी भी उस समय से अधिक है जिसे सिस्टम सुरक्षित रूप से संभाल सकता है।

शोध ने समस्याओं को ठीक करने के समय, जिसे रेमेडिएशन (उपचार) कहा जाता है, पर भी नज़र डाली। वास्तविक घटना समाधानों के लॉग का विश्लेषण करके, टीम ने पाया कि जबकि कई मुद्दे जल्दी हल हो जाते हैं, कुछ जटिल समस्याओं को हल करने में हफ्तों या महीनों लग जाते हैं। यह "लॉन्ग टेल" (लंबी पूंछ) वाली धीमी समाधान प्रक्रिया ही वास्तव में रक्षा की स्थिरता के लिए खतरा है। सिस्टम तब सबसे अधिक असुरक्षित होता है जब औसत समाधान में बहुत अधिक समय लगता है, बल्कि तब जब ये दुर्लभ, कठिन मामले जमा होने लगते हैं और बैकलॉग बना देते हैं। अध्ययन निष्कर्ष निकालता है कि सुरक्षा टीमों को अपने प्रदर्शन को केवल एक लक्ष्य के रूप में नहीं देखना चाहिए, जैसे कि "मीन टाइम टू रिस्पोंड", बल्कि तीन परस्पर जुड़े कारकों के एक संयुक्त बजट के रूप में देखना चाहिए: वे कितनी तेजी से सीख सकते हैं, वे कितनी तेजी से पता लगा सकते हैं, और वे कितनी तेजी से समाधान कर सकते हैं। यदि इनमें से कोई भी अंतराल दूसरों की तुलना में बहुत पीछे रह जाता है, तो संपूर्ण रक्षा तंत्र विफलता के चक्र में गिरने का जोखिम उठाता है। यह कार्य एक स्पष्ट, गणितीय चेतावनी प्रदान करता है कि आधुनिक साइबर परिदृश्य में, सीखने की गति प्रतिक्रिया की गति जितनी ही महत्वपूर्ण है, और इसके बिना, सिस्टम के स्वाभाविक विलंब अंततः आवर्ती और अपरिहार्य उल्लंघनों की ओर ले जाएंगे।