NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

आधुनिक घरों में एक शांत क्रांति हुई है। वे उपकरण जो कभी केवल एक कार्य करते थे, अब इंटरनेट से जुड़ जाते हैं, जैसे कि स्मार्ट थर्मोस्टेट जो हमारे शेड्यूल को सीखते हैं या कैमरे जो हमारे दरवाजों की निगरानी करते हैं। 'इंटरनेट ऑफ थिंग्स' के रूप में जानी जाने वाली जुड़ी हुई चीजों का यह नेटवर्क सुविधा तो प्रदान करता है, लेकिन साथ ही एक जटिल सुरक्षा चुनौती भी पेश करता है। क्योंकि ये उपकरण इतने विविध हैं और अक्सर सीमित कंप्यूटिंग शक्ति पर चलते हैं, इसलिए इन्हें प्रबंधित करना कठिन और हैक करना और भी आसान हो सकता है। जब कोई हैकर इन उपकरणों के एक समूह का नियंत्रण ले लेता है, तो वे उन्हें एक विशाल, अदृश्य सेना में बदल सकते हैं जो नेटवर्क को बाधित करने या डेटा चुराने में सक्षम होती है। इसे रोकने के लिए, सुरक्षा विशेषज्ञों को यह जानना आवश्यक है कि नेटवर्क पर किस प्रकार का उपकरण बात कर रहा है और क्या वह सामान्य रूप से व्यवहार कर रहा है। हालाँकि, इन उपकरणों की पहचान करना पेचीदा है। उनका व्यवहार इस बात पर निर्भर करता है कि वे उस क्षण क्या कर रहे हैं: एक कैमरा नेटवर्क पर तब पूरी तरह से अलग दिख सकता है जब वह पहली बार चालू होता है, जब वह निष्क्रिय (idle) बैठा होता है, और जब वह सक्रिय रूप से वीडियो रिकॉर्ड कर रहा होता है।

डालहौजी विश्वविद्यालय और सोलाना नेटवर्क्स के शोधकर्ताओं ने NIMSAFE नामक एक नई प्रणाली बनाकर इस समस्या को हल करने का प्रयास किया। सभी उपकरणों को एक एकल, कठोर श्रेणी में डालने के बजाय, उनका दृष्टिकोण उपकरण की वर्तमान स्थिति पर बारीकी से ध्यान देता है। उन्होंने कॉफी मेकर, डोरबेल और सुरक्षा कैमरों सहित नौ अलग-अलग प्रकार के आधुनिक स्मार्ट उपकरणों का अवलोकन किया, और उनके नेटवर्क ट्रैफ़िक को तीन विशिष्ट मोड में रिकॉर्ड किया: जब वे चालू होते हैं, जब वे निष्क्रिय होते हैं, और जब वे सक्रिय रूप से उपयोग किए जा रहे होते हैं। इन उपकरणों द्वारा संचार के दौरान छोड़े गए डिजिटल पदचिह्नों का विश्लेषण करके, टीम ने एक मशीन लर्निंग मॉडल बनाया जो न केवल उपकरण के प्रकार की पहचान कर सकता है, बल्कि यह भी बता सकता है कि वह सामान्य रूप से कार्य कर रहा है या उसे किसी बॉटनेट या डिनायल-ऑफ-सर्विस हमले द्वारा समझौता किया गया है।

शोधकर्ताओं ने पाया कि उपकरण की स्थिति अत्यंत महत्वपूर्ण थी। जब उन्होंने अपने सिस्टम को उन उपकरणों के डेटा का उपयोग करके प्रशिक्षित किया जो सक्रिय रूप से उपयोग किए जा रहे थे, तो मॉडल ने उस डेटा की तुलना में काफी बेहतर प्रदर्शन किया जब उन्हें केवल शुरू होते हुए या निष्क्रिय अवस्था में प्रशिक्षित किया गया था। यह सुझाव देता है कि संचार के सबसे जटिल और अद्वितीय पैटर्न तब होते हैं जब उपकरण अपना वास्तविक काम कर रहा होता है। अपने सिस्टम को मजबूत बनाने के लिए, उन्होंने विभिन्न प्रकार के मशीन लर्निंग एल्गोरिदम के विरुद्ध इसका परीक्षण किया। उन्होंने पाया कि 'रैंडम फॉरेस्ट' (Random Forest) नामक एक विधि, जो कई सरल निर्णय वृक्षों (decision trees) के निर्णयों को संयोजित करके काम करती है, अन्य सामान्य तकनीकों की तुलना में कहीं अधिक श्रेष्ठ थी। जबकि अन्य मॉडल विभिन्न उपकरणों के बीच अंतर करने में संघर्ष कर रहे थे या कुछ प्रकार के हार्डवेयर को पहचानने में विफल रहे, रैंडम फॉरेस्ट दृष्टिकोण ने सभी विभिन्न उपकरण प्रकारों और परिचालन अवस्थाओं में उच्च सटीकता बनाए रखी।

इस क्षेत्र में एक बड़ी बाधा लेबल किए गए डेटा (labeled data) की कमी है। किसी खतरे को पहचानने के लिए कंप्यूटर को प्रशिक्षित करने हेतु, विशेषज्ञों को आमतौर पर सामान्य और दुर्भावनापूर्ण ट्रैफ़िक के हजारों उदाहरणों को मैन्युअल रूप से टैग करने की आवश्यकता होती है, जो एक धीमी और महंगी प्रक्रिया है। NIMSAFE प्रणाली 'सेल्फ-ट्रेनिंग' नामक एक तकनीक का उपयोग करके इस समस्या का समाधान करती है। शोधकर्ताओं ने अपने कुल संग्रह के केवल 20 प्रतिशत के छोटे से लेबल किए गए डेटा के साथ शुरुआत की, और मॉडल को शेष बिना लेबल वाले डेटा का उपयोग करके स्वयं को सिखाने दिया। उल्लेखनीय रूप से, इस ज्ञात उदाहरणों के छोटे अंश पर प्रशिक्षित सिस्टम ने लगभग उतना ही अच्छा प्रदर्शन किया जितना कि पूरे डेटासेट पर प्रशिक्षित सिस्टम ने किया। यह निष्कर्ष बताता है कि सुरक्षा प्रणालियों को प्रभावी ढंग से तैनात किया जा सकता है, भले ही विशेषज्ञों के पास डेटा को लेबल करने के लिए बहुत कम समय हो, क्योंकि मॉडल उच्च विश्वसनीयता के साथ शेष भाग को स्वयं सीख सकता है।

टीम यह भी समझना चाहती थी कि उनका सिस्टम कभी-कभी गलतियाँ क्यों करता है, इसलिए उन्होंने कृत्रिम बुद्धिमत्ता (AI) के निर्णयों को समझाने के लिए डिज़ाइन किए गए उपकरणों का उपयोग किया। मॉडल के भीतर झाँककर, उन्होंने पाया कि सिस्टम डेटा पैकेट के संचलन के बारे में विशिष्ट विवरणों पर बहुत अधिक निर्भर था, जैसे कि भेजा जा रहा डेटा का आकार, कनेक्शन का समय, और अंतर्निहित संचार प्रोटोकॉल द्वारा उपयोग की जाने वाली विशिष्ट सेटिंग्स। इन अंतर्दृष्टि ने उन्हें यह देखने में मदद की कि सिस्टम केवल अनुमान नहीं लगा रहा था, बल्कि वह नेटवर्क ट्रैफ़िक की ठोस, मापने योग्य विशेषताओं के आधार पर निर्णय ले रहा था। एक अंतिम परीक्षण में, उन्होंने सिस्टम को सामान्य डिवाइस गतिविधि और परिष्कृत हमलों के बीच अंतर करने की चुनौती दी, जिसमें वे बॉटनेट भी शामिल थे जो छिपने के लिए वैध ट्रैफ़िक की नकल करते हैं। सिस्टम ने लगभग 99.9 प्रतिशत की सटीकता के साथ सफलता प्राप्त की, और अधिकांश खतरों की सही पहचान की। त्रुटियों का छोटा सा हिस्सा, जो घटित हुआ, मॉडल की विफलता के कारण नहीं था, बल्कि इसलिए था क्योंकि कुछ दुर्भावनापूर्ण ट्रैफ़िक सामान्य डिवाइस व्यवहार के इतना समान था कि उन्नत उपकरण भी उन्हें पहचानने में असमर्थ थे।

यह कार्य प्रदर्शित करता है कि इंटरनेट ऑफ थिंग्स को सुरक्षित करने के लिए, हमें उपकरणों को स्थिर वस्तुओं के रूप में नहीं, बल्कि गतिशील प्रणालियों के रूप में देखना चाहिए जो लगातार अपना व्यवहार बदलते रहते हैं। यह देखते हुए कि उपकरण चालू होने, निष्क्रिय होने या सक्रिय होने पर कैसे कार्य करते हैं, और कम मानवीय पर्यवेक्षण की आवश्यकता वाले स्मार्ट लर्निंग तकनीकों का उपयोग करके, एक ऐसा सुरक्षा तंत्र बनाना संभव है जो सटीक और व्यावहारिक दोनों हो। परिणाम बताते हैं कि भविष्य के सुरक्षा उपकरणों को उन उपकरणों की बदलती स्थिति के अनुकूल होने के लिए लचीला होना होगा, जिनकी वे रक्षा करते हैं, और सामान्य व्यवहार के पैटर्न का उपयोग करके हमले के सूक्ष्म संकेतों को पहचानने में सक्षम होना होगा।