How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
यह शोध पत्र प्रदर्शित करता है कि डेटा डुप्लिकेट्स, आकार संबंधी भ्रम (size confounding), और एडवर्सरियल पैडिंग द्वारा एंट्रॉपी-आधारित मैलिशियस पीई (PE) फाइलों का पता लगाने की क्षमता गंभीर रूप से बाधित होती है, जो यह प्रकट करता है कि ऐसे मॉडल काफी हद तक ज्ञात सेक्शन को याद (memorize) कर लेते हैं और उन्हें हानिरहित दिखने वाले बाइट्स जोड़कर आसानी से चकमा दिया जा सकता है, जिससे अधिक सुदृढ़ पहचान रणनीतियों की आवश्यकता उत्पन्न होती है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, सुरक्षा विशेषज्ञ खतरनाक सॉफ़्टवेयर का पता लगाने के लिए 'एन्ट्रॉपी' (entropy) नामक एक सरल गणितीय विचार पर अक्सर भरोसा करते हैं। कल्पना कीजिए कि एक फ़ाइल संख्याओं की एक लंबी श्रृंखला है। यदि वे संख्याएँ एक अनुमानित पैटर्न का पालन करती हैं, जैसे कि साधारण अंग्रेजी में लिखा गया कोई किस्सा या एक मानक प्रोग्राम, तो उस श्रृंखला में एन्ट्रॉपी कम होती है; वह व्यवस्थित होती है और उसे समझाना आसान होता है। लेकिन यदि वे संख्याएँ बिखरी हुई हैं, जैसे कि किसी तिजोरी में बंद संदेश या स्थान बचाने के लिए कंप्रेस की गई कोई फ़ाइल, तो उस श्रृंखला में एन्ट्रॉपी उच्च होती है; वह यादृच्छिक (random) और अराजक दिखाई देती है। क्योंकि दुर्भावनापूर्ण प्रोग्राम अक्सर अपने कोड को बिखेरकर अपने वास्तविक स्वरूप को छिपाते हैं, इसलिए सुरक्षा उपकरण इस उच्च स्तर की यादृच्छिकता के लिए स्कैन करते हैं। यदि कोई फ़ाइल बहुत अधिक अराजक दिखती है, तो टूल उसे संदिग्ध मानकर चिह्नित कर देता है। यह विधि तेज़, सस्ती और लाखों फ़ाइलों को छाँटने के लिए व्यापक रूप से उपयोग की जाती है, जिससे यह तय होता है कि किन पर बारीकी से नज़र डालने की ज़रूरत है और किन्हें अनदेखा किया जा सकता है।
हालाँकि, फ्लोरेंस विश्वविद्यालय और पीसा विश्वविद्यालय के शोधकर्ताओं द्वारा किए गए एक नए अध्ययन में एक महत्वपूर्ण प्रश्न पूछा गया है: हम अराजकता के इस माप पर वास्तव में कितना भरोसा कर सकते हैं? टीम ने इस बात की जांच की कि क्या विंडोज निष्पादन योग्य (executable) फ़ाइल के एक विशिष्ट भाग—इसके कोड के पहले सेक्शन—की यादृच्छिकता वास्तव में खतरे का एक विश्वसनीय संकेत है, या यह एक चाल है जिसे आसानी से चकमा दिया जा सकता है। उन्होंने 43,000 से अधिक फ़ाइल हेडर और एक प्रमुख सुरक्षा डेटासेट से लगभग 8,00,000 लेबल किए गए नमूनों का विश्लेषण किया। उनका कार्य प्रकट करता है कि इस एकल माप पर वर्तमान निर्भरता पहले की तुलना में कहीं अधिक नाजुक है, जो अक्सर दोहराव को खतरे के रूप में गलत समझ लेती है और नए, अनदेखे खतरों के सामने पूरी तरह विफल हो जाती है।
शोधकर्ताओं ने सबसे पहले यह देखा कि इन सुरक्षा उपकरणों का परीक्षण करने के तरीके में एक छिपा हुआ दोष है। उन्होंने पाया कि उनके दोनों डेटासेट्स में, लगभग 64 प्रतिशत दुर्भावनापूर्ण फ़ाइलों ने कम से कम एक अन्य फ़ाइल के साथ अपने कोड के पहले सेक्शन को साझा किया था। इसका अर्थ यह है कि कई अलग-अलग दुर्भावनापूर्ण प्रोग्राम बिल्कुल एक ही बिखरे हुए टेम्पलेट से बनाए गए थे। जब सुरक्षा उपकरणों का परीक्षण रैंडम शफलिंग (random shuffling) का उपयोग करके किया जाता है, तो वही टेम्पलेट अक्सर प्रशिक्षण समूह (training group) और परीक्षण समूह (test group) दोनों में दिखाई देता है। टूल वास्तव में खतरे को पहचानना नहीं सीख रहा है; वह केवल उस विशिष्ट टेम्पलेट को याद कर रहा है। जब शोधकर्ताओं ने समान फ़ाइलों को एक साथ समूहित करके इसे सुधारा, तो नए खतरों को पहचानने की टूल की क्षमता काफी कम हो गई। वास्तविक दुनिया की स्थितियों की नकल करने वाले परीक्षण पर, जहाँ टूल उन फ़ाइलों का सामना करता है जिन्हें उसने पहले कभी नहीं देखा है, एन्ट्रॉपी-आधारित डिटेक्टर लगभग बेकार हो गया, जिसने एक सुरक्षित त्रुटि दर (error rate) पर एक प्रतिशत से भी कम मालवेयर को पकड़ा।
अध्ययन ने यह भी उजागर किया कि टूल अक्सर अराजकता के बजाय फ़ाइल के आकार पर निर्भर थे। एक डेटासेट में, दुर्भावनापूर्ण फ़ाइलें संयोग से सुरक्षित फ़ाइलों की तुलना में बड़ी थीं, इसलिए डिटेक्टर ने बड़ी फ़ाइलों को खतरनाक मानकर चिह्नित करना सीख लिया। लेकिन जब शोधकर्ताओं ने इसे एक अलग, बड़े डेटासेट पर परखा, तो यह आकार का अंतर गायब हो गया, और टूल का प्रदर्शन ढह गया। इससे सिद्ध हुआ कि डिटेक्टर किसी सार्वभौमिक नियम को नहीं खोज रहा था, बल्कि वह एक विशिष्ट डेटा संग्रह के संयोग का लाभ उठा रहा था। इसके अलावा, उन्होंने पाया कि खाली पहले सेक्शन वाली फ़ाइलें—जो कोड को छिपाने के लिए उपयोग किए जाने वाले 'पैकिंग सॉफ़्टवेयर' का एक सामान्य संकेत है—अक्सर सुरक्षित प्रोग्रामों में भी पाई जाती हैं, जिसका अर्थ है कि यह विशेषता अकेले वायरस और एक वैध एप्लिकेशन के बीच अंतर नहीं कर सकती।
शायद सबसे चौंकाने वाला निष्कर्ष यह है कि इन डिटेक्टरों को कितनी आसानी से बायपास किया जा सकता है। शोधकर्ताओं ने उस गणितीय सीमा की गणना की जो तब होती है जब एक हमलावर फ़ाइल के पहले सेक्शन के अंत में अतिरिक्त, हानिरहित बाइट्स जोड़ देता है। उन्होंने पाया कि एक हमलावर लगभग हमेशा पर्याप्त 'पैडिंग' (padding) जोड़ सकता है जिससे फ़ाइल का स्वरूप इतना बदल जाए कि डिटेक्टर को चकमा दिया जा सके, बिना प्रोग्राम को बाधित किए। यदि हमलावर के पास अधिक मात्रा में पैडिंग जोड़ने की अनुमति है, तो वह गारंटी दे सकता है कि डिटेक्टर 90 प्रतिशत से अधिक मामलों में खतरे को पहचानने में विफल रहेगा। यहाँ तक कि यदि हमलावर सूक्ष्म रहने की कोशिश करता है और केवल थोड़ी सी पैडिंग जोड़ता है, तो भी वह महत्वपूर्ण मामलों में पता लगाने से बचने में सफल हो सकता है, विशेष रूप से यदि वह पैडिंग को सामान्य, सुरक्षित डेटा की तरह दिखने के लिए सावधानीपूर्वक चुनता है।
शोधकर्ताओं ने यह भी पता लगाने की कोशिश की कि क्या वे एक ऐसा डिटेक्टर बना सकते हैं जो इन चालों से मुक्त हो। उन्होंने पाया कि एक सख्त गणितीय नियम पर आधारित मॉडल—कि फ़ाइल में जोड़ी गई बाइट्स के साथ कुल जानकारी कम नहीं हो सकती—वास्तव में पैडिंग जोड़ने से धोखा नहीं खाएगा। हालाँकि, यह "अनहैकबल" (unhackable) मॉडल इतना सतर्क था कि वह लगभग किसी भी मालवेयर का पता लगाने में विफल रहा। यह बचाव के लिए एक आदर्श मॉडल था, लेकिन खतरों को खोजने के लिए एक बुरा उपकरण था। अध्ययन का निष्कर्ष है कि हालांकि एन्ट्रॉपी एक उपयोगी संकेत है, केवल इस पर निर्भर रहना एक गलती है। यह जो संकेत प्रदान करता है वह अक्सर वास्तविक दुर्भावना के बजाय दोहराए गए कोड या फ़ाइल के आकार का प्रतिबिंब होता है, और इसे सरल, अनुमानित परिवर्तनों के साथ हटाया जा सकता है। सुरक्षा प्रभावी होने के लिए, विशेषज्ञों को इस एकल माप से परे देखना चाहिए और पूरी तस्वीर देखने के लिए इसे कई अन्य कारकों के साथ जोड़ना चाहिए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।