A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

आधुनिक डिजिटल दुनिया में, एप्लिकेशन अक्सर "कंटेनरों" के भीतर चलते हैं, जो हल्के, पोर्टेबल बक्सों की तरह होते हैं जिनमें एक प्रोग्राम को संचालित करने के लिए आवश्यक हर चीज़ होती है। ये बॉक्स इसलिए लोकप्रिय हैं क्योंकि वे सॉफ़्टवेयर को एक कंप्यूटर से दूसरे कंप्यूटर पर ले जाना आसान बनाते हैं। हालाँकि, एक पूरी तरह से अलग कमरे के विपरीत, ये सभी कंटेनर होस्ट कंप्यूटर के उसी अंतर्निदम ऑपरेटिंग सिस्टम को साझा करते हैं। यह साझा आधार एक भेद्यता (vulnerability) पैदा करता है: यदि कोई कंटेनर समझौता किया जाता है, तो हमलावर उनके बॉक्स से बाहर निकलकर पूरे होस्ट सिस्टम का नियंत्रण लेने में सक्षम हो सकता है। इसे रोकने के लिए, सुरक्षा विशेषज्ञ होस्ट-आधारित घुसपैठ का पता लगाने वाली प्रणालियों (intrusion detection systems) का उपयोग करते हैं। ये प्रणालियाँ सतर्क पर्यवेक्षकों की तरह कार्य करती हैं, जो कंप्यूटर के मूल (core) के प्रति प्रोग्राम द्वारा किए जाने वाले मौलिक अनुरोधों पर नज़र रखती हैं। ये अनुरोध, जिन्हें 'सिस्टम कॉल्स' (system calls) कहा जाता है, बुनियादी निर्देश हैं जिनका उपयोग एक प्रोग्राम फ़ाइल खोलने, नेटवर्क से जुड़ने या मेमोरी का उपयोग करने जैसे कार्य करने के लिए करता है। इन अनुरोधों के पैटर्न का विश्लेषण करके, सुरक्षा सॉफ़्टवेयर यह पहचान सकता है कि कोई प्रोग्राम असामान्य व्यवहार कर रहा है, जैसे कि जब वह उन कार्यों को करने की कोशिश करता है जो उसे कभी नहीं करने दिए गए थे।

चुनौती यह रही है कि इन सिस्टम कॉल्स के मौजूदा रिकॉर्ड अक्सर आधुनिक कंटेनरीकृत वातावरणों के खिलाफ इस्तेमाल की जाने वाली परिष्कृत चालों को पकड़ने के लिए बहुत सरल या पुराने थे। उनमें उस विस्तृत संदर्भ (context) की कमी थी जो यह समझने के लिए आवश्यक था कि न केवल एक प्रोग्राम क्या कर रहा था, बल्कि वह इसे कैसे कर रहा था, कब हुआ, और वह किन संसाधनों का उपयोग कर रहा था। इसे हल करने के लिए, शोधकर्ताओं अम्मार मुस्तफा, अली यूनेस और बालसम ईद ने CHASE नामक एक नया, अत्यधिक विस्तृत डेटासेट बनाया। इस संग्रह में कंप्यूटर गतिविधि के लगभग 5,000 विशिष्ट रिकॉर्ड शामिल हैं, जो सामान्य संचालन और विशिष्ट, हानिकारक हमलों दोनों को कैप्चर करते हैं। इस डेटासेट को एक नियंत्रित प्रयोगशाला सेटिंग में बनाया गया था जो वास्तविक दुनिया के क्लाउड वातावरण की नकल करता है, जिससे यह सुनिश्चित होता है कि डेटा आधुनिक कंप्यूटिंग की जटिलता को दर्शाता है। इसमें 4,482 सामान्य सत्रों और 498 हानिकारक सत्रों के ट्रेसेस (traces) शामिल हैं, जो कंटेनर एस्केप से लेकर आर्टिफिशियल इंटेलिजेंस संसाधनों पर हमलों तक विभिन्न परिदृश्यों को कवर करते हैं।

CHASE को जो चीज़ अलग बनाती है वह है प्रत्येक घटना के लिए रिकॉर्ड की गई जानकारी की गहराई। केवल यह सूचीबद्ध करने के बजाय कि एक प्रोग्राम ने कौन से कमांड जारी किए, यह डेटासेट प्रत्येक कमांड में लगने वाले समय, जारी करने वाले विशिष्ट प्रोसेस और थ्रेड, और उस सटीक क्षण पर मेमोरी और नेटवर्क उपयोग जैसे कंप्यूटर संसाधनों की स्थिति को कैप्चर करता है। इसमें स्वयं कंटेनर के बारे में मेटाडेटा भी शामिल है, जो उस वातावरण का पूर्ण चित्र प्रदान करता है जिसमें गतिविधि हुई। हानिकारक ट्रेसेस को ज्ञात सुरक्षा खामियों और नौ अलग-अलग हमलों के परिवारों, जैसे कि कमांड इंजेक्शन और रिसोर्स हाइजैकिंग पर आधारित बीस-दो विशिष्ट हमले के परिदृस्यों को दर्शाने के लिए सावधानीपूर्वक तैयार किया गया था। महत्वपूर्ण रूप से, डेटासेट में सामान्य गतिविधि केवल खाली बैकग्राउंड शोर नहीं थी; इसमें वेब सर्वर, डेटाबेस और आर्टिफिशियल इंटेलिजेंस कार्यों से जुड़े वास्तविक, जटिल वर्कलोड शामिल थे। यह सुनिश्चित करता है कि परीक्षण किए जा रहे सुरक्षा सिस्टम को खतरनाक व्यवहार और वैध कंप्यूटर उपयोग की अव्यवस्थित, विविध वास्तविकता के बीच अंतर करना पड़ता है।

शोधकर्ताओं ने इस नए डेटासेट को विसंगतियों (anomalies) को पहचानने के लिए डिज़ाइन किए गए विभिन्न प्रकार के आर्टिफिशियल इंटेलिजेंस मॉडल में फीड करके इसका परीक्षण किया। उन्होंने परिणामों को विश्वसनीय बनाने के लिए कठोर तरीकों का उपयोग किया, जैसे कि मॉडलों का परीक्षण उन हमलों के प्रकारों पर करना जिन्हें उन्होंने पहले कभी नहीं देखा था, और यह जांचना कि क्या मॉडल अभी भी काम कर सकते हैं जब डेटा किसी अन्य कंप्यूटर वातावरण से आता है। परिणामों ने दिखाया कि यह डेटासेट अत्यधिक प्रभावी था। रैंडम फॉरेस्ट (Random Forest) नामक एक मॉडल, जो भविष्यवाणियां करने के लिए निर्णय वृक्षों (decision trees) के एक संग्रह का उपयोग करता है, ने सामान्य और हानिकारक गतिविधि के बीच अंतर करने में बहुत उच्च स्कोर प्राप्त किया। इससे भी महत्वपूर्ण बात यह है कि जब शोधकर्ताओं ने मॉडल की सामान्यीकरण (generalize) करने की क्षमता का परीक्षण किया, तो इसने अधिकांश अनदेखे हमले के परिवारों में असाधारण रूप से अच्छा प्रदर्शन किया। एक परीक्षण में, जहाँ मॉडल को एक को छोड़कर सभी हमले के प्रकारों पर प्रशिक्षित किया गया था, इसने नेटवर्क इंटरसेप्शन और कमांड इंजेक्शन जैसे कई परिवारों के लिए लगभग पूर्ण सटीकता प्राप्त की, हालांकि अन्य के लिए प्रदर्शन भिन्न था, जिसमें वेब इंजेक्शन परिवार 0.8204 के निचले स्कोर पर रहा। यह सुझाव देता है कि डेटासेट हमलों के अंतर्निदम व्यवहारिक पैटर्न को इतनी अच्छी तरह से कैप्चर करता है कि एक सुरक्षा प्रणाली बिना देखे गए खतरों को पहचानने के लिए सीख सकती है, हालांकि पता लगाने की प्रभावशीलता विशिष्ट हमले के प्रकार पर निर्भर कर सकती है।

अध्ययन ने यह भी जांचा कि डेटा के कौन से हिस्से पहचान के लिए सबसे महत्वपूर्ण थे। सूचनाओं के विभिन्न समूहों, जैसे कि समय संबंधी विवरण या कमांड के संरचनात्मक विवरणों को हटाकर, शोधकर्ताओं ने पाया कि व्यवहारिक विशेषताएं (behavioral features) हमलों की पहचान करने के लिए सबसे महत्वपूर्ण थीं। जबकि घटनाओं के समय ने मदद की, लेकिन मुख्य क्रियाएं और जिस तरह से प्रोग्राम सिस्टम के साथ बातचीत करता था, वे खतरे के प्राथमिक संकेतक थे। डेटासेट ने अनसुपरवाइज्ड लर्निंग (unsupervised learning) की सीमाओं को दिखाने में भी अपना मूल्य सिद्ध किया, जहाँ एक सिस्टम बिना यह बताए कि बुरे तत्व कैसे दिखते हैं, उन्हें खोजने की कोशिश करता है। इन परीक्षणों में, मॉडल काफी संघर्ष करते दिखे, जो यह उजागर करता है कि इस विशिष्ट प्रकार की सुरक्षा समस्या के लिए, हमलों के लेबल वाले उदाहरणों का होना सफलता के लिए आवश्यक है।

अंततः, CHASE डेटासेट कंटेनरीकृत क्लाउड के लिए अगली पीढ़ी के सुरक्षा उपकरणों को विकसित करने और परीक्षण करने के लिए एक मजबूत आधार प्रदान करता है। यह कमांड की सरल सूचियों से आगे बढ़कर कंप्यूटर व्यवहार का एक समृद्ध, प्रासंगिक दृश्य प्रदान करता है, जिससे शोधकर्ता ऐसे सिस्टम बना सकते हैं जो उभरते साइबर खतरों के जटिल परिदृश्य से निपटने के लिए बेहतर रूप से सुसज्जित हों। यह कार्य प्रदर्शित करता है कि सही प्रकार के डेटा के साथ, ऐसे डिटेक्शन सिस्टम बनाना संभव है जो न केवल सटीक हैं बल्कि नए और अनदेखे खतरों के प्रति अनुकूलनीय भी हैं। यह प्रगति आधुनिक इंटरनेट को शक्ति देने वाले बुनियादी ढांचे को सुरक्षित करने की दिशा में एक महत्वपूर्ण कदम है, यह सुनिश्चित करते हुए कि कंटेनर तकनीक की साझा प्रकृति उन प्रणालियों के लिए कमजोरी न बन जाए जो इस पर निर्भर हैं।