Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

बैंकिंग की उच्च-दांव वाली दुनिया में, पैसे और व्यक्तिगत डेटा की सुरक्षा हमेशा दो हिस्सों का खेल रही है। एक तरफ, सुरक्षा टीमें अपने कंप्यूटर सिस्टम में कमजोरियों को खोजने के लिए स्वचालित स्कैनर (automated scanners) का उपयोग करती हैं, और उन्हें इस आधार पर रैंक करती हैं कि वे कागजी तौर पर कितनी खतरनाक दिखती हैं। दूसरी ओर, जोखिम प्रबंधक (risk managers) यह अनुमान लगाने की कोशिश करते हैं कि यदि कोई हैकर सफल हो जाता है, तो बैंक को कितना नुकसान हो सकता है, जो अक्सर मोटे अनुमानों और रंगीन चार्टों पर निर्भर करता है। दशकों से, ये दोनों समूह समानांतर रूप से काम करते आए हैं, लेकिन शायद ही कभी एक ही भाषा बोल पाते हैं। स्कैनर उन्हें बताते हैं कि कौन सा एक छेद सबसे बड़ा है, जबकि जोखिम प्रबंधक कुल वित्तीय नुकसान की चिंता करते हैं। लेकिन आधुनिक बैंकिंग में, जहाँ डेटा जटिल क्लाउड नेटवर्क के माध्यम से बहता है, एक बड़ा छेद शायद ही कभी असली समस्या होता है। इसके बजाय, एक हैकर आमतौर पर कई छोटे, मामूली दिखने वाले कदमों को एक श्रृंखला में जोड़कर सफल होता है—जैसे एक खुला दरवाजा पार करना, एक भरोसेमंद दोस्त से चाबी उधार लेना, और फिर तिजोरी में घुस जाना। अब महत्वपूर्ण प्रश्न केवल यह नहीं है कि कौन सा छेद सबसे बड़ा है, बल्कि यह है कि कौन सी छोटी कदमों की श्रृंखला वास्तव में सबसे मूल्यवान खजाने तक ले जाती है।

डेटा आर्किटेक्ट गोपीनाथन रथिनेवेलु का एक नया अध्ययन इन दोनों दुनियाओं को अंततः जोड़ने का एक तरीका प्रस्तावित करता है। यह शोध एक ऐसी प्रणाली पेश करता है जो केवल अलग-थलग कमजोरियों को देखने के बजाय, उस पूरे सफर का मानचित्र तैयार करती है जिससे एक हैकर गुजर सकता है। बैंक के क्लाउड नेटवर्क का एक डिजिटल मानचित्र बनाकर, यह प्रणाली ट्रैक करती है कि एक हमलावर एक बिंदु से दूसरे बिंदु तक कैसे जा सकता है, और प्रत्येक कदम को ज्ञात हैकिंग व्यवहारों के साथ टैग करती है। फिर यह इस मानचित्र का उपयोग करके इस बात की गणना करती है कि संवेदनशील डेटा (जिसे 'क्राउन ज्वेल्स' कहा जाता है) तक पहुँचने वाली सेंधमारी की वास्तविक संभावना क्या है, और उस संभावना को संभावित वित्तीय नुकसान की एक विशिष्ट सीमा में बदल देती है। इसका लक्ष्य बैंकों को यह तय करने में मदद करना है कि उन्हें अपना सीमित सुरक्षा बजट कहाँ खर्च करना चाहिए ताकि सबसे खतरनाक रास्तों को रोका जा सके, न कि केवल सबसे स्पष्ट खामियों को ठीक करने में।

शोधकर्ताओं ने इस प्रणाली को जटिल, क्लाउड-आधारित डेटा प्लेटफॉर्म के साथ काम करने के लिए बनाया है जिनका उपयोग आधुनिक बैंक लेनदेन को संसाधित करने और आर्टिफिशियल इंटेलिजेंस मॉडल चलाने के लिए करते हैं। ये प्लेटफॉर्म विशाल और परस्पर जुड़े हुए हैं, जिससे यह देखना कठिन हो जाता है कि किसी एक क्षेत्र में कमजोरी, जैसे कि तीसरे पक्ष के वेंडर (third-party vendor) का कनेक्शन, अंततः मुख्य डेटा वेयरहाउस की सेंधमारी का कारण कैसे बन सकती है। यह नया आर्किटेक्चर बैंक की सुरक्षा स्थिति, पहचान संबंधी अनुमतियों (identity permissions) और सिस्टम कॉन्फ़िगरेशन के बारे में वास्तविक समय की जानकारी एकत्र करने के साथ शुरू होता है। इसके बाद यह एक 'डायरेक्टेड ग्राफ' (directed graph) बनाता है, जो एक प्रकार का मानचित्र है जहाँ नोड्स संपत्तियों का प्रतिनिधित्व करते हैं और उनके बीच की रेखाएं हमलावर द्वारा किए जा सकने वाले संभावित कदमों का प्रतिनिधित्व करती हैं। प्रत्येक रेखा को एक विशिष्ट हैकिंग रणनीति के साथ टैग किया जाता है, जिससे एक स्पष्ट और ऑडिट योग्य मार्ग बनता है कि घुसपैठ कैसे हो सकती है।

इस मानचित्र को समझने के लिए, यह प्रणाली यह अनुमान लगाने के लिए एक विशेष प्रकार के आर्टिफिशियल इंटेलिजेंस का उपयोग करती है कि श्रृंखला के प्रत्येक चरण के सफल होने की कितनी संभावना है। यह बहुत सावधानी से किया जाता है ताकि परिणाम पारदर्शी और समझने योग्य बने रहें। जहाँ पर्याप्त डेटा उपलब्ध है, वहाँ एक मशीन लर्निंग मॉडल ट्रांजिशन की संभावना को स्कोर करता है; जहाँ डेटा कम है, वहाँ यह एक सरल, पारदर्शी गणना या विशेषज्ञ निर्णय पर निर्भर करता है। यह प्रणाली भाषा मॉडल (language models) का उपयोग केवल असंरचित दस्तावेजों, जैसे नीतिगत पाठ (policy text), को मानचित्र की संरचना में व्यवस्थित करने के लिए करती है, लेकिन केवल तभी जब मानव विशेषज्ञों ने कार्य को सत्यापित कर लिया हो। यह सुनिश्चित करता है कि जोखिम गणना के पीछे का मूल गणित निरीक्षण योग्य और विश्वसनीय बना रहे, जिससे "ब्लैक बॉक्स" की समस्या से बचा जा सके जहाँ कोई नहीं जानता कि कंप्यूटर किसी निष्कर्ष पर कैसे पहुँचा।

एक बार जब मानचित्र बन जाता है और प्रत्येक चरण की संभावना को स्कोर कर दिया जाता है, तो यह प्रणाली हजारों सिमुलेशन चलाती है ताकि यह देखा जा सके कि कितनी बार एक हमलावर 'क्राउन ज्वेल्स' तक पहुँच सकता है। एक एकल संख्या देने के बजाय, यह संभावित वार्षिक नुकसान का एक वितरण (distribution) प्रस्तुत करता है, जिसमें सबसे संभावित परिणाम और सबसे खराब स्थिति, दोनों दिखाई देते हैं। यह दृष्टिकोण जोखिम समितियों को उनके वित्तीय जोखिम की पूरी तस्वीर देखने की अनुमति देता है, जिसमें दुर्लभ लेकिन विनाशकारी घटनाओं का लंबा प्रभाव भी शामिल है, जिसे एक साधारण औसत छोड़ देता है। इस पहेली का अंतिम हिस्सा एक ऑप्टिमाइज़र (optimizer) है जो उपलब्ध सुरक्षा नियंत्रणों और उनकी लागतों को देखता है। यह गणना करता है कि कौन से विशिष्ट नियंत्रण, यदि जोड़े जाते हैं, तो अपेक्षित वित्तीय नुकसान को सबसे अधिक कम करेंगे। इसका अर्थ है कि यह प्रणाली सुधारों को प्राथमिकता केवल इसलिए नहीं देती कि व्यक्तिगत कमजोरी कितनी गंभीर दिखती है, बल्कि इसलिए देती है कि वे हमलावर के मार्ग को कितनी प्रभावी ढंग से तोड़ते हैं।

शोधकर्ताओं ने इस पद्धति का परीक्षण एक सिम्युलेटेड क्लाउड डेटा प्लेटफॉर्म पर किया जो एक विशिष्ट वित्तीय संस्थान की नकल करता है। उन्होंने तेरह अलग-अलग संपत्ति अवस्थाओं (asset states) और अठारह संभावित हमले के चरणों वाला एक परिदृश्य बनाया, जिसमें प्रत्येक को वास्तविक लागत और संभावित नुकसान आवंटित किया गया। इस सिमुलेशन में, प्रणाली ने पहचाना कि बैंक के सबसे मूल्यवान डेटा के लिए सबसे खतरनाक रास्ता सबसे स्पष्ट, उच्च-गंभीरता वाली भेद्यता (vulnerability) से नहीं आया था। इसके बजाय, सबसे बड़ा जोखिम एक तीसरे पक्ष के वेंडर एकीकरण (third-party vendor integration) से जुड़ी कदमों की एक श्रृंखला से आया था। इस पथ में व्यक्तिगत रूप से कमजोरियों का गंभीरता स्कोर मध्यम था, लेकिन जब उन्हें एक श्रृंखला में जोड़ा गया, तो वे 'क्राउन ज्वेल्स' तक पहुँचने का एक उच्च-संभावना वाला मार्ग प्रदान करते थे।

जब शोधकर्ताओं ने इस नई पद्धति की तुलना केवल उच्चतम-स्कोर वाली कमजोरियों को पहले ठीक करने वाले पारंपरिक दृष्टिकोण से की, तो वित्तीय सुरक्षा में अंतर स्पष्ट था। तीन लाख डॉलर के निश्चित बजट का उपयोग करते हुए, पारंपरिक गंभीरता-आधारित दृष्टिकोण ने अपेक्षित वार्षिक नुकसान को लगभग इकतालीस प्रतिशत कम कर दिया। इसके विपरीत, नए 'पाथ-अवेयर' (path-aware) पद्धति ने, जिसने विशेष रूप से 'क्राउन ज्वेल्स' तक जाने वाली श्रृंखलाओं को काटने पर ध्यान केंद्रित किया, अपेक्षित नुकसान को पचासी प्रतिशत कम कर दिया। प्रणाली ने सही ढंग से पहचाना कि तीसरे पक्ष के वेंडर को अलग करने और सीक्रेट्स (secrets) को बदलने (rotating secrets) पर पैसा खर्च करना, उस एकल उच्चतम-रेटेड खामी को पैच करने की तुलना में कहीं अधिक मूल्यवान था, जो महत्वपूर्ण डेटा के कम संभावित पथ पर स्थित थी।

अध्ययन यह निष्कर्ष निकालता है कि यह दृष्टिकोण बैंकों के लिए एक शक्तिशाली निर्णय-सहायता उपकरण (decision-support tool) प्रदान करता है, जो तकनीकी सुरक्षा निष्कर्षों और वित्तीय जोखिम प्रबंधन के बीच के अंतर को पाटता है। यह मानव निर्णय का स्थान नहीं लेता है या स्वायत्त रूप से कार्य नहीं करता है; बल्कि, यह एक स्पष्ट, डेटा-संचालित तर्क प्रदान करता है कि क्यों कुछ नियंत्रणों को प्राथमिकता दी जानी चाहिए। जोखिम को एक सूची के बजाय एक यात्रा के रूप में मानकर, यह पद्धति संगठनों को यह समझने में मदद करती है कि सबसे खतरनाक खतरा वह है जो बिंदुओं को जोड़ता है, न कि वह जो सबसे अधिक उभर कर सामने आता है। हालाँकि यहाँ दिखाए गए परिणाम एक कृत्रिम सिमुलेशन पर आधारित हैं, लेकिन इस ढांचे को वास्तविक दुनिया के डेटा के विरुद्ध मान्य करने के लिए डिज़ाइन किया गया है, जो अधिक सटीक और प्रभावी वित्तीय जोखिम प्रबंधन की दिशा में एक मार्ग प्रदान करता है।