RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

डिजिटल दुनिया में, मूल्यवान जानकारी की सुरक्षा लंबे समय से एक सरल, दो-भाग वाली रणनीति पर टिकी रही है: घुसपैचारियों पर नज़र रखना और अपने काम की एक अतिरिक्त प्रति रखना। सुरक्षा सॉफ्टवेयर एक गार्ड की तरह कार्य करता है, जो ज्ञात चोरों या संदिग्ध व्यवहार का पता लगाने के लिए फाइलों और प्रोग्रामों को स्कैन करता है। यदि यह कुछ खतरनाक देखता है, तो यह अलार्म बजा देता है। अलग से, एक बैकअप सिस्टम एक सुरक्षा जाल (सेफ्टी नेट) के रूप में कार्य करता है, जो नियमित अंतराल पर फाइलों की प्रतियां बचाता है, जैसे कि हर घंटे या हर दिन घड़ी की सुई का बजना। दशकों तक, ये दोनों प्रणालियाँ स्वतंत्र रूप से संचालित होती थीं। गार्ड खतरे को देखकर चिल्लाता था, लेकिन बैकअप घड़ी अपने निर्धारित शेड्यूल पर चलती रहती थी, जो खतरे से अनभिज्ञ थी। इस अलगाव ने एक भेद्यता (वल्नरेबिलिटी) पैदा की। आधुनिक चोरों ने, विशेष रूप से वे जो पैसे के लिए डेटा को बंधक बनाते हैं, तेजी से हमला करना सीख लिया है और अक्सर बैकअप सिस्टम को ही निशाना बनाते हैं, नई प्रति बनने से पहले पुरानी प्रतियों को हटा देते हैं या उन्हें लॉक कर देते हैं। दो स्थानों पर तीन प्रतियां रखने का पुराना नियम उस समय के लिए बनाया गया था जब बैकअप निष्क्रिय लक्ष्य थे, सक्रिय युद्धक्षेत्र नहीं।

ओन्डो, नाइजीरिया के मेडिकल साइंसेज यूनिवर्सिटी के शोधकर्ताओं ने इस अंतर को पाटने का एक नया तरीका प्रस्तावित किया है। उन्होंने 'रैनसमशील्ड' (RansomShield) नामक एक प्रणाली बनाई है, जो गार्ड और सुरक्षा जाल को जोड़ती है ताकि वे एक एकल, जीवित इकाई के रूप में कार्य कर सकें। एक साधारण ऑन-या-ऑफ अलार्म के बजाय, उनकी प्रणाली एक निरंतर "थ्रेट स्कोर" (खतरे का स्कोर) की गणना करती है। यह स्कोर बढ़ता और घटता है, जो इस आधार पर होता है कि सिस्टम कंप्यूटर के भीतर क्या होते देख रहा है। यदि स्कोर कम है, तो सिस्टम सामान्य रूप से व्यवहार करता है, फाइलों को एक मानक गति से बचाता है। यदि स्कोर बढ़ने लगता है, जो यह संकेत देता है कि कुछ संदिग्ध हो रहा है, तो सिस्टम अपने बचाव को स्वचालित रूप से कड़ा कर देता है। यह फाइलों की प्रतियां अधिक बार बनाना शुरू कर देता है, उन प्रतियों को लॉक कर देता है ताकि उनमें बदलाव न किया जा सके, और उन्हें नेटवर्क के बाकी हिस्से से अलग कर देता है। सिस्टम पूर्ण निश्चितता का इंतजार नहीं करता; यह खतरे के स्तर के अनुपात में प्रतिक्रिया करता है।

इस प्रणाली को बनाने के लिए, शोधकर्ताओं ने कंप्यूटर की निगरानी करने के चार अलग-अलग तरीकों को संयोजित किया। सबसे पहले, उन्होंने कंप्यूटर की मेमोरी (मेमोरी) को देखा, जो सक्रिय प्रोग्रामों का अस्थायी स्थान है, और उसमें दुर्भावनापूर्ण कोड के विशिष्ट संकेतों की खोज की। दूसरा, उन्होंने एक प्रोग्राम द्वारा ऑपरेटिंग सिस्टम को भेजे जाने वाले कमांड के क्रम को ट्रैक किया, जिससे फाइल एन्क्रिप्शन के विशिष्ट पैटर्न की पहचान की जा सके। तीसरा, उन्होंने हार्ड ड्राइव पर डेटा लिखे जाने की प्रक्रिया की निगरानी की, जिससे गतिविधि में अचानक उछाल या फाइल प्रकारों में अजीब बदलावों की जांच की जा सके। अंत में, उन्होंने लिखे जा रहे डेटा की रैंडमनेस (यादृच्छिकता) को मापा; एन्क्रिप्टेड फाइलें शुद्ध स्टैटिक शोर की तरह दिखती हैं, जो गणितीय रूपनों से सामान्य दस्तावेजों या छवियों से अलग होती हैं। सिस्टम इन चार संकेतों को एक साथ तौलता है, और क्षणिक गड़बड़ियों से होने वाले गलत अलार्म से बचने के लिए परिणामों को सुचारू (स्मूथ) बनाता है। यह संयुक्त स्कोर फिर एक कंट्रोलर को संचालित करता है जो यह तय करता है कि डेटा की रक्षा कैसे की जाए।

शोधकर्ताओं ने सार्वजनिक अभिलेखागार के डेटा का उपयोग करके और सात अलग-अलग रैनसमवेयर परिवारों के हमलों का अनुकरण (सिमुलेशन) करके इस विचार का परीक्षण किया। इन सिमुलेशन में, सिस्टम ने सफलतापूर्वक प्रत्येक हमले की पहचान की। औसतन, इसने केवल तेरह फाइल-सिस्टम घटनाओं को देखने के बाद खतरे का पता लगा लिया, जो डिजिटल संचालन की दुनिया में एक बहुत ही छोटा समय है। एक बार खतरा पकड़े जाने के बाद, सिस्टम ने तुरंत अपनी प्रतिक्रिया तेज कर दी। यह एक सामान्य अवस्था से उच्च अवस्था में चला गया जहाँ वह हर तीस सेकंड में डेटा की एक पूर्ण प्रति बचाता है। ये प्रतियां "इम्यूटेबल" (अपरिवर्तनीय) बनाई गईं, जिसका अर्थ है कि उन्हें इस तरह से लॉक किया गया था कि हमलावर भी उन्हें मिटा या बदल नहीं सकता था, और उन्हें एक अलग वातावरण में रखा गया, जो समझौता की गई मशीन से पूरी तरह अलग (एयर-गैप्ड) था। सिस्टम अपने उच्चतम स्तर के अलर्ट तक नहीं पहुँचा, जिसमें सभी प्रक्रियाओं को रोकना शामिल होता, क्योंकि सिम्युलेटेड हमलों का पता इतनी जल्दी चल गया था कि तीव्र, लेकिन अत्यधिक नहीं, बल्कि मजबूत प्रतिक्रिया शुरू की जा सके।

अध्ययन ने यह भी देखा कि सिस्टम कितनी बार "गलत अलार्म" (क्राई वुल्फ) बजाता है। एक परिदृश्य में जहाँ केवल सामान्य, हानिरहित कंप्यूटर गतिविधि हो रही थी, सिस्टम ने लगभग पांच प्रतिशत घटनाओं में संभावित खतरे को चिह्नित किया। हालांकि यह एक कम दर है, शोधकर्ताओं ने नोट किया कि वास्तविक दुनिया में, इससे अनावश्यक अतिरिक्त काम हो सकता है, जैसे कि फाइलों को अधिक बार बचाना। हालांकि, सिस्टम इन गलत अलार्मों को मध्यम स्तर पर रखने में स्मार्ट था; इसने सामान्य गतिविधि के लिए कभी भी सबसे चरम, विघटनकारी उपायों तक वृद्धि नहीं की। परिणामों ने दिखाया कि मेमोरी वॉचर सबसे शक्तिशाली एकल उपकरण था, जिसने परीक्षणों में लगभग पूर्ण सटीकता के साथ दुर्भावनापूर्ण गतिविधि की पहचान की। अन्य उपकरण, हालांकि अकेले कम सटीक थे, मिलकर मूल्यवान संदर्भ प्रदान करते थे।

यह कार्य अभी एक 'प्रूफ ऑफ कॉन्सेप्ट' है, एक प्रदर्शन है कि यह विचार नियंत्रित वातावरण में काम करता है। शोधकर्ताओं ने वास्तविक नेटवर्क में लाइव वायरस के बजाय सिम्युलेटेड हमलों का उपयोग किया है, और उन्होंने अभी तक इसे अस्पताल या व्यवसाय सेटिंग में परीक्षण नहीं किया है। वे स्वीकार करते हैं कि कंप्यूटर के व्यवहार को आंकने के लिए उनके द्वारा उपयोग किए गए नियम हस्तनिर्मित (हैंड-क्राफ्टेड) थे और सिस्टम को यह देखने के लिए और अधिक परीक्षण की आवश्यकता है कि यह वास्तविक दुनिया के विविध खतरों को कैसे संभालता है। लेखकों का सुझाव है कि भविष्य के कार्य में एक सुरक्षित सैंडबॉक्स में लाइव मैलवेयर के खिलाफ सिस्टम का परीक्षण करना, वास्तविक डेटा के आधार पर नियमों को परिष्कृत करना और अंततः उन संगठनों में इसे तैनात करना शामिल होना चाहिए जहाँ संसाधन सीमित हैं। मुख्य निष्कर्ष स्पष्ट है: खतरे का पता लगाने को सीधे बैकअप प्रतिक्रिया की तीव्रता से जोड़कर, एक ऐसा बचाव बनाया जा सकता है जो पारंपरिक, असंबद्ध तरीकों की तुलना में अधिक तेज़ और अधिक लचीला है। यह सिस्टम केवल मुसीबत की प्रतीक्षा नहीं करता; यह वास्तविक समय में अपने ढाल को अनुकूलित करता है, जैसे ही खतरा बढ़ने लगता है, अपनी पकड़ को कस लेता है।