Network-Centric Ransomware Intrusion Detection Framework

डिजिटल दुनिया में, एक विशिष्ट प्रकार का खतरा परेशानी से बदलकर एक वैश्विक संकट बन गया है। दशकों से, रैनसमवेयर (ransomware) नामक दुर्भावनापूर्ण सॉफ़्टवेयर ने कंप्यूटर डेटा को बंधक बना रखा है, फ़ाइलों को एन्क्रिप्ट कर रहा है और उनकी रिहाई के लिए भुगतान की मांग कर रहा है। हालांकि व्यक्तिगत कंप्यूटरों पर स्थापित सुरक्षा सॉफ़्टवेयर अक्सर इन प्रोग्रामों को शुरू होने से पहले ही रोक सकते हैं, लेकिन चतुर हमलावरों ने अपनी गतिविधियों को छिपाने और इन सुरक्षा घेरों से बच निकलने का तरीका सीख लिया है। जब कोई कंप्यूटर पहले से ही समझौता ग्रस्त (compromised) हो जाता है, तो वहां जो कुछ भी हो रहा है, उसे देखने का एकमात्र शेष दृश्य अक्सर नेटवर्क से ही आता है—मशीनों के बीच बहता डेटा का प्रवाह। यहीं पर अंतिम रक्षा पंक्ति स्थित है। कंप्यूटर और केंद्रीय फ़ाइल सर्वर जहाँ डेटा संग्रहीत है, के बीच बहने वाले ट्रैफ़िक पर नज़र रखकर, सुरक्षा विशेषज्ञ हमले के दौरान होने वाले विशिष्ट सिग्नेचर (signature) को पहचानने की उम्मीद करते हैं, भले ही दुर्भावनापूर्ण प्रोग्राम खुद को छिपाने की कोशिश करे।

ऑस्ट्रेलिया के ला ट्रोब यूनिवर्सिटी के शोधकर्ताओं की एक टीम ने इस डिजिटल ट्रैफ़िक को देखने का एक नया तरीका विकसित किया है, जिससे एक ऐसा ढांचा तैयार किया गया है जो उस रैनसमवेयर को पकड़ सके जो पहले ही सिस्टम में घुस चुका है। उनका दृष्टिकोण केवल ज्ञात बुरे तत्वों को खोजने से आगे बढ़कर डेटा के व्यवहार पर ध्यान केंद्रित करता है। उन्होंने एक विधि पेश की जिसे वे "ट्रैफ़िक ऑफ इंटरेस्ट" (Traffic of Interest) कहते हैं, जो एक फ़िल्टर की तरह कार्य करती है ताकि उन विशिष्ट सूचना पैकेटों को एक साथ समूहबद्ध किया जा सके जो यह बताते हैं कि एक कंप्यूटर क्या कर रहा है। हर उस डेटा का विश्लेषण करने के बजाय जो नेटवर्क से गुजरता है, जो कि अत्यधिक और धीमा हो सकता है, यह तकनीक उन विशिष्ट क्षणों को अलग करती है जब एक कंप्यूटर साझा ड्राइव पर फ़ाइलों को पढ़ रहा होता है, लिख रहा होता है, या उनमें बदलाव कर रहा होता है। इन महत्वपूर्ण क्षणों पर ध्यान केंद्रित करके, सिस्टम यह अंतर कर सकता है कि एक उपयोगकर्ता अपने काम का बैकअप ले रहा है या एक दुर्भावनापूर्ण प्रोग्राम हर चीज़ को एन्क्रिप्ट कर रहा है।

शोधकर्ताओं ने यह देखने के लिए कि क्या यह विधि वास्तविक दुनिया में काम कर सकती है, एक परीक्षण वातावरण बनाया। उन्होंने एक फ़ाइल सर्वर और कई क्लाइंट कंप्यूटरों के साथ एक वर्चुअल नेटवर्क स्थापित किया, और फिर 2013 से 2022 के बीच खोजे गए सबसे हालिया वेरिएंट्स से लेकर पुराने संस्करणों तक, रैनसमवेयर के विभिन्न परिवारों को पेश किया। महत्वपूर्ण रूप से, उन्होंने इन हमलों का परीक्षण केवल सामान्य, शांत कंप्यूटर गतिविधि के विरुद्ध नहीं किया। उन्होंने ऐसे 'बेनाइन' (benign) अनुप्रयोग भी चलाए जो भारी फ़ाइल संचालन करते हैं, जैसे कि बड़े फोल्डरों को कंप्रेस करना, गोपनीयता के लिए डेटा को एन्क्रrypt करना, या बड़ी मात्रा में फ़ाइलों को कॉपी करना। ये वैध क्रियाएं कभी-कभी रैनसमवेयर के समान दिख सकती हैं, और कई पिछले डिटेक्शन सिस्टम उन्हें पहचानने में संघर्ष करते रहे हैं, जिससे अक्सर गलत अलार्म (false alarms) बज जाते हैं। एक उपयोगकर्ता द्वारा फ़ाइल को कंप्रेस करने और एक वायरस द्वारा उसे एन्क्रिप्ट करने के बीच के सूक्ष्म अंतर को पहचानने के लिए अपने सिस्टम को प्रशिक्षित करके, शोधकर्ताओं का लक्ष्य एक ऐसा डिटेक्टर बनाना था जो खतरों के प्रति संवेदनशील और सामान्य गतिविधियों के प्रति शांत हो।

उनके प्रयोगों के परिणाम चौंकाने वाले थे। जब सिस्टम का परीक्षण हमलों के पूर्ण दायरे के विरुद्ध किया गया, तो इसने लगभग 99.64 प्रतिशत की सटीकता (precision) के साथ रैनसमवेयर की सही पहचान की। शायद सबसे महत्वपूर्ण बात यह है कि यह हर हज़ार प्रयासों में से केवल एक बार रैनसमवेयर हमले का पता लगाने में विफल रहा, एक ऐसी दर जो इतनी कम है कि यह प्रभावी रूप से शून्य है। इसका मतलब है कि यह सिस्टम शायद ही कभी किसी खतरे को चूकता है। साथ ही, यह बहुत कम बार गलत चेतावनी देता है; इसने हर एक लाख जांचों में से केवल चार बार एक हानिरहित एप्लिकेशन को दुर्भावनापूर्ण के रूप में चिह्नित किया। शोधकर्ताओं ने यह भी प्रदर्शित किया कि यह पहचान एक हमले के बहुत शुरुआती चरण में हो सकती है। संदिग्ध गतिविधि के पहले कुछ दर्जन क्षणों का विश्लेषण करके, सिस्टम 99.44 प्रतिशत सटीकता के साथ घुसपैठ की पहचान कर सकता है, जो अक्सर नुकसान होने से पहले ही हो जाता है। यह प्रारंभिक चेतावनी क्षमता अत्यंत महत्वपूर्ण है, क्योंकि यह प्रशासकों को महत्वपूर्ण डेटा खोने से पहले हमले को रोकने का समय देती है।

डिटेक्शन को संचालित करने वाले मशीन लर्निंग मॉडल के अलावा, टीम ने व्यवहार संबंधी संकेतों का एक सेट भी खोजा, जिन्हें 'इंडिकेटर्स ऑफ कॉम्प्रोमाइज' (indicators of compromise) के रूप में जाना जाता है, जो रैनसमवेयर के लिए अद्वितीय हैं। ये केवल बुरे पते या फ़ाइल नामों की सरल सूचियाँ नहीं हैं, जिन्हें हमलावर आसानी से बदल सकते हैं। इसके बजाय, ये संकेतक इस बात के पैटर्न हैं कि डेटा कैसे चलता है। उदाहरण के लिए, शोधकर्ताओं ने पाया कि रैनसमवेयर अक्सर पीड़ित को यह बताने के लिए एक सुसंगत आकार वाली एक विशिष्ट प्रकार की संदेश फ़ाइल बनाता है, और फ़ाइलों को लॉक करने के लिए एक बहुत ही विशिष्ट कमांड अनुक्रम का पालन करता है। ये पैटर्न तब भी दिखाई देते हैं जब हमलावर अपने पदचिह्नों को छिपाने की कोशिश करते हैं। टीम ने इन पैटर्न को एक रिपॉजिटरी में संकलित किया है जिसका उपयोग ज्ञात खतरों के सिग्नेचर के रूप में किया जा सकता है, जो मशीन लर्निंग मॉडल के साथ मिलकर काम करने वाला रक्षा का दूसरा स्तर प्रदान करता है।

यह अध्ययन स्पष्ट रूप से इस विचार को चुनौती देता है कि पिछले डिटेक्शन तरीके पर्याप्त थे। लेखक तर्क देते हैं कि कई पिछले अध्ययनों ने ऐसे डेटासेट पर भरोसा किया जिनमें उन वैध अनुप्रयोगों को शामिल नहीं किया गया था जो रैनसमवेयर की तरह व्यवहार करते हैं, जिससे अत्यधिक आशावादी परिणाम मिले जो एक व्यस्त कार्यालय में टिक नहीं पाते। उन्होंने यह भी नोट किया कि कई मौजूदा उपकरण अनएन्क्रिप्टेड डेटा देखने पर निर्भर करते हैं, जो कम आम होता जा रहा है क्योंकि नेटवर्क अधिक मजबूत एन्क्रिप्शन अपना रहे हैं। हालाँकि, उनका ढांचा एन्क्रिप्टेड और अनएन्क्रिप्टेड दोनों ट्रैफ़िक का उपयोग करके परीक्षण किया गया, जिससे यह सिद्ध हुआ कि यह सुरक्षा सेटिंग्स के बावजूद शोर के पार देख सकता है। वायरस के केवल स्थिर कोड के बजाय फ़ाइल ऑपरेशन्स के वास्तविक व्यवहार पर ध्यान केंद्रित करके, शोधकर्ताओं ने नेटवर्क की सुरक्षा के लिए एक अधिक मजबूत तरीका प्रदान किया है। यह कार्य सुझाव देता है कि जबकि रैनसमवेयर विकसित होता रहेगा, विशिष्ट व्यवहारिक पैटर्न के लिए डेटा के प्रवाह पर पैनी नज़र रखना इसे रोकने का एक विश्वसनीय मार्ग है।