💻 computer science

A Dynamic Explainable AI FrameworkforReal-Time Intrusion Detection andAutomatedAlert Prioritization in Security OperationCenters

यह शोध पत्र डायनेमिक एक्सप्लेनेबल फ्रेमवर्क (DEF) का प्रस्ताव करता है, जो एक तीन-चरणीय पाइपलाइन है जो उच्च-सटीक घुसपैठ का पता लगाने के लिए टाइम-सीरीज ट्रांसफॉर्मर्स, ग्राफ कन्वोल्यूशनल नेटवर्क और पोस्ट-हॉक व्याख्यात्मक तकनीकों को एकीकृत करती है, महत्वपूर्ण घटनाओं को प्राथमिकता देकर विश्लेषक अलर्ट थकान को काफी कम करती है, और सुरक्षा संचालन केंद्र (SOC) परिवेशों के लिए पारदर्शी, वास्तविक समय के निकट तर्क प्रदान करती है।

मूल लेखक: Muhammad Usama Nazir, Asri Bin Ngadi

प्रकाशित 2026-06-24

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Muhammad Usama Nazir, Asri Bin Ngadi

मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ एक सरल भाषा और रचनात्मक उपमाओं (analogies) का उपयोग करके शोध पत्र (paper) का विवरण दिया गया है।

समस्या: सुरक्षा केंद्र में "भेड़िया आया" की पुकार

कल्पना कीजिए कि एक सिक्योरिटी ऑपरेशंस सेंटर (SOC) एक विशाल शहर के हाई-टेक कंट्रोल रूम की तरह है। इसके अंदर, मानव विश्लेषकों (human analysts) की एक टीम शहर की पुलिस बल के रूप में काम करती है, जो समस्याओं (साइबर हमलों) के संकेतों को देखने के लिए स्क्रीनों पर नज़र रखती है।

वर्तमान में, ये विश्लेषक डूब रहे हैं। उनके स्वचालित अलार्म सिस्टम (इंट्रूज़न डिटेक्शन सिस्टम, या IDS) हर घंटे 50 से 100 बार चिल्ला रहे हैं। समस्या क्या है? इनमें से अधिकांश अलार्म गलत अलार्म (false alarms) हैं—जैसे कि किसी इमारत में आग लगने के बजाय टोस्ट जल जाने के कारण स्मोक डिटेक्टर का बज जाना।

इससे दो बड़ी समस्याएँ पैदा होती हैं:

अलर्ट फटीग (Alert Fatigue): इंसान थक जाते हैं और अभिभूत हो जाते हैं। वे अलार्मों को अनदेखा करने लगते हैं, ठीक वैसे ही जैसे लोग "भेड़िया आया" चिल्लाने वाले भेड़िये की पुकार को अनदेखा कर देते हैं।
ब्लैक बॉक्स (The Black Box): जब कोई अलार्म बजता है, तो कंप्यूटर कहता है, "यह बुरा है," लेकिन वह यह नहीं समझा पाता कि क्यों। यह एक न्यायाधीश की तरह है जो सबूत पढ़े बिना फैसला सुना देता है। विश्लेषकों को इस पर भरोसा नहीं होता, इसलिए वे सब कुछ दोबारा जांचने में अपना समय बर्बाद करते हैं।

समाधान: "डायनामिक एक्सप्लेनेबल फ्रेमवर्क" (DEF)

लेखक एक नया सिस्टम प्रस्तावित करते हैं जिसे DEF कहा जाता है। DEF को केवल एक स्मार्ट अलार्म के रूप में नहीं, बल्कि एक सुपर-इंटेलिजेंट, बात करने वाले जासूस के रूप में सोचें जो मानव पुलिस बल की मदद करता है।

DEF तीन मुख्य चरणों में काम करता है, जैसे कि एक तीन-चरणीय असेंबली लाइन:

1. समय की यात्रा करने वाला जासूस (Time-Series Transformer)

अधिकांश पुराने सिस्टम एक समय में एक घटना को देखते हैं (जैसे फिल्म के एक सिंगल फ्रेम को देखना)। लेकिन हैकर्स अक्सर चरणों में हमला करते हैं, जैसे कि एक चोर पहले ताला तोड़ता है, फिर दरवाजा खोलता है, और फिर तिजोरी चुराता है।

उपमा: DEF एक टाइम-सीरीज ट्रांसफॉर्मर का उपयोग करता है ताकि वह केवल एक फ्रेम के बजाय पूरी फिल्म देख सके। यह समझ पाता है कि अभी क्या हो रहा है, यह समझने के लिए कि 10 सेकंड पहले क्या हुआ था। यह उन जटिल, बहु-चरणीय हमलों को पकड़ने में मदद करता है जिन्हें अन्य सिस्टम मिस कर देते हैं।

2. मोहल्ला निगरानी (Graph Convolutional Network)

पुराने सिस्टम व्यक्तिगत कंप्यूटरों को अलग-थलग देखते हैं। लेकिन हैकर्स अक्सर एक कंप्यूटर से दूसरे कंप्यूटर तक जाते हैं, जैसे कि एक मोहल्ले में वायरस फैलता है।

उपमा: DEF पूरे नेटवर्क का नक्शा बनाने के लिए एक ग्राफ कन्वोल्यूशनल नेटवर्क (GCN) का उपयोग करता है। यह देखता है कि कंप्यूटर आपस में कैसे जुड़े हैं। यदि कंप्यूटर A, कंप्यूटर B से बात करता है, और कंप्यूटर B, कंप्यूटर C से बात करता है, तो DEF पूरी चेन को देख लेता है। यह "लैटरल मूवमेंट" (lateral movement) हमले को पकड़ सकता है जहाँ एक हैकर एक मशीन से दूसरी मशीन पर कूदता है, जिसे केवल एकल कंप्यूटरों को देखने वाला सिस्टम मिस कर देगा।

3. व्याख्या करने वाला और फ़िल्टर करने वाला (XAI & Prioritization)

यह इंसानों के लिए सबसे महत्वपूर्ण हिस्सा है। एक बार जब DEF किसी खतरे को पहचान लेता है, तो वह केवल "अलार्म!" चिल्लाता नहीं है। यह दो काम करता है:

यह व्याख्या करता है: यह एक साधारण अंग्रेजी रिपोर्ट तैयार करने के लिए SHAP और LIME जैसे टूल्स का उपयोग करता है।
- उपमा: केवल "आग!" कहने के बजाय, यह कहता है, "आग! क्योंकि किचन का तापमान 200°F है और स्मोक सेंसर ट्रिगर हुआ है।" यह तुरंत "क्यों" का कारण बताता है।
- गति: यह अविश्वसनीय रूप से तेज़ करता है (एक सारांश के लिए 8.7 मिलीसेकंड, एक विस्तृत रिपोर्ट के लिए 234 मिलीसेकंड), ताकि यह सिस्टम को धीमा न करे।
यह फ़िल्टर करता है: यह एक क्लब के बाउंसर की तरह काम करता है। यह प्रत्येक अलर्ट के लिए एक "प्रायोरिटी स्कोर" (प्राथमिकता स्कोर) की गणना करता है।
- यदि अलर्ट संभवतः एक गलत अलार्म है (जला हुआ टोस्ट), तो DEF इसे "लो प्रायोरिटी" बिन में भेज देता है।
- यदि यह एक वास्तविक खतरा है (वास्तविक आग), तो इसे तुरंत मानव विश्लेषक के पास भेजा जाता है।

परिणाम: परीक्षण में क्या हुआ?

लेखकों ने विभिन्न प्रकार के साइबर हमलों का प्रतिनिधित्व करने वाले एक विशाल डेटासेट (60,000 नमूने) पर इस सिस्टम का परीक्षण किया। यहाँ उन्हें क्या मिला:

स्मार्ट डिटेक्शन: सिस्टम ने हमलों को 94.6% सही ढंग से पकड़ा। यह रैंडम फॉरेस्ट (Random Forest) या LSTM जैसे मानक सिस्टम से बेहतर था।
कम गलत अलार्म: इसने केवल 1.16% बार गलत अलार्म उठाया। पुराने सिग्नेचर-आधारित सिस्टम (जैसे Snort) की तुलना करें, जिसमें 12% गलत अलार्म दर थी। यह 10 गुना सुधार है।
"बाउंसर" प्रभाव: यह सबसे बड़ी जीत है। इस सिस्टम ने उन अलर्ट्स की संख्या को कम कर दिया जिन्हें इंसानों को देखना पड़ता था, जो कि 68.9% कम थे।
- पहले: विश्लेषक प्रति घंटे 50-100 अलर्ट देखते थे।
- बाद में: विश्लेषक अब केवल 16-31 अलर्ट प्रति घंटा देखते हैं।
- महत्वपूर्ण: उन्होंने बुरे लोगों को मिस नहीं किया। सिस्टम ने अभी भी वास्तविक हमलों में से 90.7% को पकड़ा। इसने बस उनका समय "जले हुए टोस्ट" पर बर्बाद करना बंद कर दिया।

यह क्यों मायने रखता है

यह शोध पत्र तर्क देता है कि स्मार्ट डिटेक्शन (पूरी फिल्म और पूरे मोहल्ले को देखना) को तत्काल स्पष्टीकरण और स्वचालित फ़िल्टरिंग के साथ जोड़कर, हम "अलर्ट फटीग" की समस्या को हल कर सकते हैं।

एक मानव विश्लेषक के रूप में, जो भ्रमित और थका हुआ होकर फ्लैशिंग रेड लाइट्स की दीवार को घूर रहा है, अब उसे उच्च-प्राथमिकता वाले अलर्टों की एक प्रबंधनीय सूची मिलती है, जिसके साथ एक स्पष्ट नोट होता है कि वह क्यों खतरनाक है। यह उन्हें तेजी से प्रतिक्रिया करने और सिस्टम पर अधिक भरोसा करने की अनुमति देता है।

संक्षेप में: यह पेपर एक ऐसे सिस्टम को प्रस्तुत करता है जो एक अत्यधिक कुशल, बात करने वाले सहायक की तरह काम करता है जो शोर को फ़िल्टर करता है, संकेत (signal) की व्याख्या करता है, और मानव विशेषज्ञों को केवल वास्तविक आपात स्थितियों पर ध्यान केंद्रित करने देता है।

तकनीकी सारांश: वास्तविक समय में घुसपैठ का पता लगाने और स्वचालित अलर्ट प्राथमिकता के लिए एक गतिशील व्याख्यात्मक एआई (XAI) ढांचा

1. समस्या विवरण

सुरक्षा संचालन केंद्र (SOC) एक महत्वपूर्ण परिचालन बाधा का सामना कर रहे हैं: विश्लेषक प्रति घंटे 50-100 सुरक्षा अलर्ट से अभिभूत हो जाते हैं, जो संज्ञानात्मक थकान (cognitive fatigue) पैदा करता है और घटना प्रतिक्रिया में देरी करता है। वर्तमान घुसपैठ पहचान प्रणाली (IDS) उच्च 'फॉल्स-पॉजिटिव' दरों और व्याख्यात्मकता की कमी वाले "ब्लैक-बॉक्स" आर्किटेक्चर के माध्यम से इस समस्या में योगदान देती है। फलस्वरूप, डेटा उल्लंघन का वैश्विक औसत पता लगाने का समय (MTTD) 181 दिन बना हुआ है, जिससे औसतन 5.46 मिलियन अमेरिकी डॉलर का नुकसान होता है।

मौजूदा समाधान तीन प्राथमिक कमियों से ग्रस्त हैं:

स्थिर स्पष्टीकरण (Static Explanations): अधिकांश व्याख्यात्मक एआई (XAI) अनुप्रयोग ऑफलाइन स्पष्टीकरण उत्पन्न करते हैं, जो वास्तविक समय के अनुमान (inference) में सहायता करने में विफल रहते हैं।
अस्थायी मॉडलिंग का अभाव (Missing Temporal Modeling): कई दृष्टिकोण नेटवर्क प्रवाहों को स्वतंत्र रूप से देखते हैं, जिससे मल्टी-स्टेज हमलों की विशेषता वाले अस्थायी संबंधों (temporal dependencies) की अनदेखी होती है।
अलर्ट प्राथमिकता का अभाव (Absent Alert Prioritization): साहित्य शायद ही कभी व्याख्यात्मकता और अलर्ट वॉल्यूम में कमी के संयुक्त अनुकूलन को संबोधित करता है, जिससे SOC वर्कलोड का मूल कारण (अलर्ट थकान) अनसुलझा रह जाता है।

2. कार्यप्रणाली: डायनेमिक एक्सप्लेनेबल फ्रेमवर्क (DEF)

यह शोध पत्र डायनेमिक एक्सप्लेनेबल फ्रेमवर्क (DEF) का प्रस्ताव करता है, जो एक तीन-चरणीय पाइपलाइन है जिसे डिटेक्शन, एक्सप्लेनेशन और प्रायोरिटाइजेशन को एक एकीकृत प्रणाली में एकीकृत करने के लिए डिज़ाइन किया गया है।

2.1 फ्रेमवर्क आर्किटेक्चर

DEF कच्चे नेटवर्क ट्रैफ़िक को निम्नलिखित क्रमिक चरणों के माध्यम से संसाधित करता है:

डिटेक्शन (Detection): टेम्पोरल और टोपोलॉजिकल विश्लेषण को संयोजित करने वाला एक हाइब्रिड डीप लर्निंग मॉडल।
एक्सप्लेनेशन (Explanation): इन्फरेंस के समय तर्क प्रदान करने वाले पोस्ट-हॉक XAI मॉड्यूल (SHAP और LIME)।
प्रायोरिटाइजेशन (Prioritization): एक स्कोरिंग लेयर जो विश्लेषक तक पहुँचने से पहले कम-विश्वास वाले अलर्ट को फ़िल्टर करती है।

2.2 मुख्य घटक

टाइम-सीरीज ट्रांसफॉर्मर मॉड्यूल: नेटवर्क ट्रैफ़िक को एक अनुक्रमिक स्ट्रीम के रूप में माना जाता है। एक मल्टी-हेड सेल्फ-अटेंशन मैकेनिज्म $T$ निरंतर प्रवाहों की एक विंडो में दीर्घकालिक अस्थायी निर्भरता को कैप्चर करता है, जिससे उन मल्टी-स्टेज अटैक पैटर्न का पता लगाना संभव होता है जिन्हें फ्लो-स्तरीय क्लासिफायर मिस कर देते हैं।
ग्राफ कन्वोल्यूशनल नेटवर्क (GCN) मॉड्यूल: नेटवर्क टोपोलॉजी को एक ग्राफ के रूप में मॉडल किया गया है जहाँ नोड्स होस्ट/सेवाओं का प्रतिनिधित्व करते हैं और एड्जेस संचार प्रवाहों का प्रतिनिधित्व करते हैं। GCN नोड एम्बेडिंग को सीखता है ताकि हमले के प्रसार पैटर्न (जैसे, लेटरल मूवमेंट) का पता लगाया जा सके जो प्रति-फ्लो मॉडल में अदृश्य होते हैं।
फीचर फ्यूजन और क्लासिफिकेशन: ट्रांसफॉर्मर से टेम्पोरल एम्बेडिंग ( $h_T$ ) और GCN से ग्राफ एम्बेडिंग ( $g$ ) को संयोजित किया जाता है और अटैक क्लास की भविष्यवाणी करने के लिए एक क्लासिफिकेशन हेड के माध्यम से भेजा जाता है।
XAI एक्सप्लेनेशन मॉड्यूल:
- SHAP (SHapley Additive exPlanations): ग्लोबल और लोकल फीचर एट्रिब्यूशन प्रदान करने के लिए शापली वैल्यूज की गणना करता है। फ्रेमवर्क दक्षता के लिए TreeExplainer एल्गोरिदम का उपयोग करता है।
- LIME (Local Interpretable Model-Agnostic Explanations): विशिष्ट निर्णयों को समझाने के लिए व्यक्तिगत इंस्टेंस के लिए स्थानीय रैखिक सन्निकटन (linear approximations) उत्पन्न करता है।
अलर्ट प्रायोरिटाइजेशन लेयर: प्रत्येक अलर्ट $a$ को एक संयुक्त प्राथमिकता स्कोर $P(a)$ सौंपा जाता है:
$P(a) = \alpha \hat{p}_{attack}(a) + \beta S_{SHAP}(a) + \gamma C_{GCN}(a)$
जहाँ $\hat{p}_{attack}$ हमले की अनुमानित संभावना है, $S_{SHAP}$ माध्य पूर्ण SHAP मान (व्याख्या आत्मविश्वास) है, और $C_{GCN}$ स्रोत नोड की बिटवीननेस सेंट्रैलिटी है। $\theta$ के कैलिब्रेटेड थ्रेशोल्ड से नीचे के अलर्ट को दबा दिया जाता है।

3. प्रयोगात्मक सेटअप

डेटासेट: CIC-IDS-2018 से प्राप्त एक संरचित बेंचमार्क, जिसमें आठ श्रेणियों (Benign, Bot, Brute Force FTP/SSH, DDoS, DoS Hulk, DoS Slowloris, Web Attack) में 60,000 नमूने शामिल हैं। डेटासेट वास्तविक दुनिया के क्लास इम्बैलेंस को दर्शाता है जिसमें ~70% बेनाइन ट्रैफ़िक है।
प्रीप्रोसेसिंग: इसमें क्लीनिंग, नॉर्मलाइजेशन, ट्रेनिंग सेट के लिए SMOTE ओवरसैंपलिंग और एक स्ट्रैटिफाइड 70/15/15 स्प्लिट शामिल है।
बेसलाइन्स: Snort (सिग्नेचर-आधारित), Random Forest, LSTM, XGBoost, और XGBoost+SHAP के विरुद्ध तुलना की गई।
मेट्रिक्स: Accuracy, Precision, Recall, Macro F1-score, AUC-ROC, False Positive Rate (FPR), और Alert Reduction Rate (ARR)।

4. प्रमुख परिणाम

9,000-नमूना टेस्ट सेट पर मूल्यांकित किए जाने पर, DEF ने निम्नलिखित प्रदर्शन प्रदर्शित किया:

4.1 डिटेक्शन प्रदर्शन

Accuracy: 94.58%
Macro F1-Score: 90.11%
AUC-ROC: 0.9855
False Positive Rate: 1.16% (Snort के ~12% FPR की तुलना में एक महत्वपूर्ण सुधार)।
तुलना: तुलनात्मक विश्लेषण में, DEF ने Random Forest (F1 87.97%) और LSTM (F1 90.11%) को पछाड़ दिया, विशेष रूप से Bot और Brute Force हमलों का पता लगाने में।

4.2 अलर्ट प्रायोरिटाइजेशन और SOC प्रभाव

अलर्ट रिडक्शन: $\theta = 0.6$ पर, सिस्टम ने विश्लेषकों को प्रस्तुत किए जाने वाले अलर्ट की संख्या को 68.9% कम कर दिया (प्रति घंटा 50-100 अलर्ट से घटकर लगभग 16-31 अलर्ट)।
रिकॉल संरक्षण: इस कमी के बावजूद, सिस्टम ने 90.72% रिकॉल बनाए रखा, यह सुनिश्चित करते हुए कि वास्तविक हमलों के बड़े हिस्से को छोड़ा न जाए।
वर्कलोड रिडक्शन: यह कमी विश्लेषक ट्राइएज समय को ~1,000 मिनट/घंटा से घटाकर ~310 मिनट/घंटा करने में अनुवादित होती है।

4.3 XAI दक्षता और गुणवत्ता

SHAP स्पीड: इसने 8.7 ms प्रति सैंपल में ग्लोबल और लोकल स्पष्टीकरण उत्पन्न किए, जो निकट-वास्तविक समय (near-real-time) थ्रेशोल्ड को पूरा करता है।
LIME स्पीड: इसने प्रति इंस्टेंस 234.8 ms में स्थानीय स्पष्टीकरण उत्पन्न किए।
व्याख्यात्मकता: सिस्टम प्रत्येक अलर्ट के साथ मानव-व्याख्या योग्य तर्क (जैसे, विशिष्ट फीचर थ्रेशोल्ड जो भविष्यवाणी को "अटैक" की ओर धकेल रहे हैं) प्रदान करता है, जो ML विशेषज्ञता की आवश्यकता के बिना विश्लेषक के निर्णय लेने में सहायता करता है।

5. महत्व और दावे

पेपर का दावा है कि DEF एक साथ सटीकता, वर्कलोड रिडक्शन और पारदर्शिता के त्रय (triad) को संबोधित करता है, जिसे मौजूदा साहित्य अक्सर अलग-अलग रूप में देखता है।

परिचालन व्यवहार्यता: फ्रेमवर्क यह प्रदर्शित करता है कि वास्तविक खतरों के रिकॉल से समझौता किए बिना उच्च डिटेक्शन सटीकता और महत्वपूर्ण अलर्ट वॉल्यूम रिडक्शन को संयुक्त रूप से प्राप्त करना संभव है।
रियल-टाइम XAI: मिलीसेकंड (SHAP के लिए 8.7 ms) में स्पष्टीकरण उत्पन्न करके, फ्रेमवर्क जटिल डीप लर्निंग मॉडल और तत्काल विश्लेषक विश्वास और कार्रवाई की आवश्यकता के बीच के अंतर को पाटता है।
समग्र दृष्टिकोण: पिछले अध्ययनों के विपरीत जो केवल डिटेक्शन या ऑफलाइन स्पष्टीकरण पर ध्यान केंद्रित करते हैं, DEF एक एकल पाइपलाइन में टेम्पोरल मॉडलिंग (Transformer), टोपोलॉजिकल मॉडलिंग (GCN), और रियल-टाइम प्रायोरिटाइजेशन को एकीकृत करता है जो प्रोडक्शन SOC वातावरण के लिए उपयुक्त है।

लेखक सीमाओं का उल्लेख करते हैं, जिसमें पूर्ण कच्चे डेटासेट के बजाय CIC-IDS-2018 के एक संरचित उपसमुच्चय का उपयोग, पर्यावरण बाधाओं के कारण LSTM के प्रॉक्सी के रूप में XGBoost का उपयोग, और GCN मॉड्यूल के लिए वास्तविक समय के नेटवर्क टोपोलॉजी स्नैपशॉट की आवश्यकता शामिल है। भविष्य के कार्य में पूर्ण डेटासेट पर पूर्ण Transformer+GCN पाइपलाइन को मान्य करने और वास्तविक विश्लेषक प्रतिक्रिया समय में सुधार को मापने के लिए उपयोगकर्ता अध्ययन करने का प्रस्ताव है।