Automated Root Cause Analysis of Security Incidents Using Causal Machine Learning

जब एक सुरक्षा प्रणाली अलार्म बजाती है, तो तात्कालिक चुनौती केवल यह नोटिस करना नहीं है कि कुछ गलत हुआ है, बल्कि यह समझना है कि समस्या वास्तव में कहाँ से शुरू हुई। आधुनिक नेटवर्क डेटा की एक निरंतर धारा उत्पन्न करते हैं: किसने लॉग इन किया, कौन से प्रोग्राम चले, कौन सी फाइलें खोली गईं, और अनुमतियाँ (permissions) कैसे बदलीं। अक्सर, एक श्रृंखला अभिक्रिया (chain reaction) की शुरुआत में हुई एक छोटी सी गलती भी अजीब घटनाओं की एक ऐसी लहर पैदा कर सकती है जो समान रूप से संदिग्ध दिखती हैं। यदि कोई अन्वेषक केवल सबसे तेज़ या सबसे असामान्य संकेत को देखता है, तो वह एक लक्षण को कारण समझकर गलती कर सकता है, और वास्तविक समस्या ऊपर की ओर (upstream) छिपी रहने देते हुए, उसके निचले प्रभाव (downstream effect) का पीछा करने लगता है। इसे हल करने के लिए, शोधकर्ता 'कारण तर्क' (causal reasoning) नामक सोचने के एक तरीके की ओर मुड़ रहे हैं। केवल यह पूछने के बजाय कि कौन सी घटनाएँ साथ में होती हैं, यह दृष्टिकोण पूछता है कि कौन सी घटनाएँ वास्तव में अन्य घटनाओं को होने पर मजबूर करती हैं। यह सिस्टम को जुड़े हुए गियरों के एक सेट की तरह मानता है: यदि एक गियर घूमता है, तो वह अगले को धकेलता है, जो फिर अगले को धकेलता है। लक्ष्य उस पहले गियर को खोजना है जिसे धक्का दिया गया था, न कि केवल उसे जो सबसे तेज़ घूमा।

रेहाना डेवानी नामक एक शोधकर्ता ने एक नियंत्रित, सिम्युलेटेड वातावरण में उस पहले गियर को खोजने के लिए एक विशिष्ट पद्धति का परीक्षण किया है। यह अध्ययन वास्तविक दुनिया के हैकिंग प्रयासों या लाइव कॉर्पोरेट नेटवर्क का विश्लेषण नहीं करता है। इसके बजाय, यह सुरक्षा प्रणाली के छह अलग-अलग हिस्सों वाला एक डिजिटल मॉडल बनाता है, जो एक्सेस, पॉलिसी और निष्पादन (execution) जैसी चीजों का प्रतिनिधित्व करता है। इस मॉडल में, शोधकर्ताओं को पता है कि हिस्से आपस में कैसे जुड़े हैं और वे एक-दूसरे को कैसे प्रभावित करते हैं। इसके बाद वे एक विशिष्ट, कृत्रिम व्यवधान पेश करते हैं—शुरुआती हिस्सों में से एक के व्यवहार में अचानक चार-इकाई का बदलाव—और देखते हैं कि यह लहर शेष प्रणाली में कैसे फैलती है। प्रयोग एक सरल लेकिन कठिन प्रश्न पूछता है: यदि आप पूरे सिस्टम को अजीब तरह से व्यवहार करते देखते हैं, तो क्या एक कंप्यूटर प्रोग्राम सही ढंग से पहचान सकता है कि कौन सा एकल शुरुआती हिस्सा बदला गया था, या क्या वह उन हिस्सों के शोर से विचलित हो जाएगा जिन्होंने उस बदलाव के प्रति प्रतिक्रिया दी है?

शोधकर्ताओं ने डेटा को देखने के दो तरीकों की तुलना की। पहला तरीका, जिसे वे 'मार्जिनल स्कोरिंग' (marginal scoring) कहते हैं, एक हिस्से को अलग से देखने जैसा है और यह पूछना कि, "सामान्य की तुलना में यह हिस्सा कितना असामान्य है?" यह दृष्टिकोण अक्सर विफल हो जाता है क्योंकि एक हिस्सा जो केवल एक समस्या के प्रति प्रतिक्रिया दे रहा है, वह उस हिस्से जितना ही अजीब दिख सकता है जिसने समस्या पैदा की है। दूसरा तरीका, जिसे 'रेसिडुअल स्कोरिंग' (residual scoring) कहा जाता है, अधिक परिष्कृत है। यह कनेक्शनों के मानचित्र का उपयोग करके पूछता है, "यह देखते हुए कि इस हिस्से में फीड करने वाले हिस्से क्या कर रहे हैं, क्या यह हिस्सा अजीब व्यवहार कर रहा है?" यदि कोई हिस्सा केवल इसलिए अजीब व्यवहार कर रहा है क्योंकि उसके पड़ोसी अजीब व्यवहार कर रहे हैं, तो यह तरीका पहचान लेता है कि वह हिस्सा स्वयं स्रोत नहीं है। हालाँकि, यदि कोई हिस्सा अजीब व्यवहार कर रहा है भले ही उसके पड़ोसी सामान्य व्यवहार कर रहे हों, तो उसे संभावित अपराधी के रूप में चिह्नित किया जाता है।

प्रयोग के सबसे स्वच्छ संस्करण में, जहाँ डेटा पूरी तरह से स्पष्ट और किसी भी बैकग्राउंड शोर से मुक्त था, परिष्कृत पद्धति ने उल्लेखनीय रूप से अच्छा काम किया। इसने लगभग 98 प्रतिशत मामलों में व्यवधान के शुरुआती बिंदु की सही पहचान की। सरल पद्धति, जिसने हिस्सों के बीच के कनेक्शनों को अनदेखा किया था, केवल 87 प्रतिशत बार सही थी। यह अंतर दिखाता है कि सिस्टम की संरचना को समझने से वास्तविक कारण को लक्षणों से अलग करने में मदद मिलती है। हालाँकि, अध्ययन में यह भी देखा गया कि यह पद्धति तब कैसे काम करती है जब डेटा अव्यवस्थित होता है, जैसा कि वास्तविक दुनिया के सिस्टम में अक्सर होता है। शोधकर्ताओं ने माप में रैंडम स्टेटिक, या सेंसर नॉइज़ जोड़ा, ताकि अपूर्ण डेटा संग्रह का अनुकरण किया जा सके। जैसे-जैसे शोर बढ़ा, परिष्कृत पद्धति की सटीकता गिरती गई, जो मध्यम शोर के स्तर पर लगभग 81 प्रतिशत रह गई। सरल पद्धति और भी अधिक संघर्ष करती है, जो गिरकर लगभग 62 प्रतिशत रह गई। यह परिणाम पुष्टि करता है कि जबकि कनेक्शनों को जानना मददगार है, डेटा की गुणवत्ता भी उतनी ही महत्वपूर्ण है। यदि माप बहुत धुंधले हैं, तो सबसे अच्छा मानचित्र भी अन्वेषक को सही उत्तर तक नहीं ले जा सकता।

अध्ययन में यह भी पता लगाया गया कि क्या होता है यदि मानचित्र स्वयं थोड़ा गलत हो। एक परीक्षण में, शोधकर्ताओं ने जानबूझकर मॉडल से एक ज्ञात कनेक्शन को हटा दिया, यह मानकर कि उन्हें नहीं पता कि एक हिस्सा दूसरे को प्रभावित करता है। विधि ने अभी भी अच्छा प्रदर्शन किया, स्वच्छ डेटा में लगभग 94 प्रतिशत बार कारण को सही ढंग से पहचाना, लेकिन जैसे-जैसे शोर बढ़ा, सटीकता कम हो गई। यह सुझाव देता है कि यह दृष्टिकोण लापता जानकारी के प्रति कुछ हद तक सहिष्णु है, लेकिन यह पूर्ण नहीं है। शोधकर्ताओं ने यह भी जांचा कि क्या सही कारण को खोजना वास्तव में समस्या को ठीक करने में मदद करेगा। उन्होंने सिस्टम में इंजेक्ट किए गए बदलाव को उलटकर एक मरम्मत का अनुकरण किया। जब उन्होंने सही शुरुआती बिंदु को लक्षित किया, तो सिस्टम का अजीब व्यवहार लगभग पूरी तरह से गायब हो गया। जब उन्होंने गलत बिंदु को लक्षित किया, तो सिस्टम विक्षुब्ध बना रहा। इसने पुष्टि की कि यह पद्धति केवल अनुमान नहीं लगा रही है; यह उस विशिष्ट लीवर की पहचान कर रही है जिसे यदि वापस खींचा जाए, तो श्रृंखला अभिक्रिया रुक जाएगी।

इन आशाजनक परिणामों के बावजूद, पेपर सावधानीपूर्वक यह स्पष्ट करता है कि इसने क्या नहीं किया है। पूरा प्रयोग एक कंप्यूटर सिमुलेशन के भीतर एक छोटे, छह-भाग वाले मॉडल में हुआ। शोधकर्ताओं ने इसका परीक्षण वास्तविक कॉर्पोरेट नेटवर्क, वास्तविक हैकर्स या वास्तविक सुरक्षा लॉग पर नहीं किया। उन्होंने यह दावा नहीं किया कि उनकी पद्धति नए प्रकार के हमलों की खोज कर सकती है या यह बिना पूर्व-निर्धारित मानचित्र के काम करती है। यह अध्ययन यह सिद्ध नहीं करता है कि यह अराजक, शोर भरे और जटिल वास्तविक जीवन के उद्यमों में काम करेगा। इस कार्य का मूल्य इसकी स्पष्टता में निहित है: यह कारण खोजने के विचार को मानचित्र खोजने के विचार से अलग करता है, और यह दिखाता है कि डेटा की गुणवत्ता कितनी महत्वपूर्ण है। इससे पहले कि इस पद्धति का उपयोग वास्तविक संगठनों की रक्षा के लिए किया जा सके, इसे ऐसे वातावरण में परीक्षण करना होगा जहाँ कनेक्शन पहले से ज्ञात न हों और डेटा पूरी तरह से साफ न हो। फिलहाल, यह एक सटीक, पुनरुत्पादनीय प्रदर्शन के रूप में खड़ा है कि कैसे कारण तर्क सुरक्षा घटना के स्रोत की खोज में सुधार कर सकता है, बशर्ते कि नियम स्पष्ट रूप से समझे गए हों।