एन्क्रिप्टेड ट्रैफ़िक को डिक्रिप्ट किए बिना उसका विश्लेषण

ट्रैफ़िक को डिक्रिप्ट किए बिना उसका विश्लेषण करने की एक प्रणाली। इस विधि को बस "मशीन लर्निंग" कहा जाता है। यह पता चला कि यदि विभिन्न ट्रैफ़िक की एक बहुत बड़ी मात्रा को एक विशेष क्लासिफायरियर के इनपुट में फीड किया जाता है, तो सिस्टम बहुत अधिक संभावना के साथ एन्क्रिप्टेड ट्रैफ़िक के अंदर दुर्भावनापूर्ण कोड की गतिविधियों का पता लगा सकता है।

ऑनलाइन खतरे बदल गए हैं और अधिक स्मार्ट हो गए हैं। हाल ही में, हमले और बचाव की अवधारणा ही बदल गई है। नेटवर्क पर घटनाओं की संख्या में उल्लेखनीय वृद्धि हुई है। हमले अधिक परिष्कृत हो गए हैं और हैकर्स की पहुंच व्यापक हो गई है।

सिस्को के आँकड़ों के अनुसार, पिछले वर्ष में, हमलावरों ने अपनी गतिविधियों के लिए उपयोग किए जाने वाले मैलवेयर या उन्हें छिपाने के लिए एन्क्रिप्शन की संख्या तीन गुना कर दी है। सिद्धांत से यह ज्ञात है कि "सही" एन्क्रिप्शन एल्गोरिदम को तोड़ा नहीं जा सकता है। एन्क्रिप्टेड ट्रैफ़िक के अंदर क्या छिपा है, इसे समझने के लिए, या तो कुंजी को जानकर इसे डिक्रिप्ट करना आवश्यक है, या विभिन्न ट्रिक्स का उपयोग करके, या सीधे हैकिंग करके, या क्रिप्टोग्राफ़िक प्रोटोकॉल में किसी प्रकार की कमजोरियों का उपयोग करके इसे डिक्रिप्ट करने का प्रयास करना आवश्यक है।

हमारे समय के नेटवर्क खतरों की एक तस्वीर

मशीन सीखने

तकनीक को व्यक्तिगत रूप से जानें! मशीन लर्निंग-आधारित डिक्रिप्शन तकनीक कैसे काम करती है, इसके बारे में बात करने से पहले, यह समझना आवश्यक है कि तंत्रिका नेटवर्क तकनीक कैसे काम करती है।

मशीन लर्निंग कृत्रिम बुद्धिमत्ता का एक व्यापक उपभाग है जो सीखने योग्य एल्गोरिदम के निर्माण के तरीकों का अध्ययन करता है। इस विज्ञान का उद्देश्य कंप्यूटर को "प्रशिक्षित" करने के लिए गणितीय मॉडल बनाना है। सीखने का उद्देश्य किसी चीज़ की भविष्यवाणी करना है। मानवीय समझ में हम इस प्रक्रिया को शब्द कहते हैं "बुद्धि". बुद्धि उन लोगों में प्रकट होती है जो काफी लंबे समय से जीवित हैं (2 साल का बच्चा बुद्धिमान नहीं हो सकता)। सलाह के लिए वरिष्ठ साथियों की ओर रुख करते समय, हम उन्हें घटना के बारे में कुछ जानकारी (इनपुट डेटा) देते हैं और उनसे मदद मांगते हैं। बदले में, वे जीवन की उन सभी स्थितियों को याद करते हैं जो किसी न किसी तरह आपकी समस्या (ज्ञान आधार) से संबंधित होती हैं और, इस ज्ञान (डेटा) के आधार पर, हमें एक प्रकार की भविष्यवाणी (सलाह) देते हैं। इस प्रकार की सलाह को भविष्यवाणी कहा जाने लगा क्योंकि सलाह देने वाला व्यक्ति निश्चित रूप से नहीं जानता कि क्या होगा, बल्कि वह केवल अनुमान लगाता है। जीवन का अनुभव बताता है कि कोई व्यक्ति सही भी हो सकता है, या ग़लत भी।

आपको तंत्रिका नेटवर्क की तुलना ब्रांचिंग एल्गोरिदम (यदि-अन्यथा) से नहीं करनी चाहिए। ये अलग-अलग चीजें हैं और इनमें प्रमुख अंतर हैं। ब्रांचिंग एल्गोरिदम में क्या करना है इसकी स्पष्ट "समझ" है। मैं उदाहरणों के साथ प्रदर्शित करूंगा।

काम। किसी कार की ब्रेकिंग दूरी उसके निर्माण और निर्माण के वर्ष के आधार पर निर्धारित करें।

ब्रांचिंग एल्गोरिदम का एक उदाहरण. यदि कोई कार ब्रांड 1 है और 2012 में रिलीज़ हुई थी, तो उसकी ब्रेकिंग दूरी 10 मीटर है, अन्यथा, यदि कार ब्रांड 2 है और 2011 में रिलीज़ हुई थी, इत्यादि।

तंत्रिका नेटवर्क का एक उदाहरण. हम पिछले 20 वर्षों में कार ब्रेकिंग दूरी पर डेटा एकत्र करते हैं। निर्माण और वर्ष के अनुसार, हम "निर्माण-ब्रेकिंग दूरी का निर्माण-वर्ष" प्रपत्र की एक तालिका संकलित करते हैं। हम इस तालिका को तंत्रिका नेटवर्क को जारी करते हैं और इसे पढ़ाना शुरू करते हैं। प्रशिक्षण निम्नानुसार किया जाता है: हम तंत्रिका नेटवर्क को डेटा खिलाते हैं, लेकिन बिना ब्रेकिंग पथ के। न्यूरॉन यह अनुमान लगाने की कोशिश करता है कि उसमें लोड की गई तालिका के आधार पर ब्रेकिंग दूरी क्या होगी। कुछ भविष्यवाणी करता है और उपयोगकर्ता से पूछता है "क्या मैं सही हूँ?" प्रश्न से पहले, वह एक चौथा कॉलम, अनुमान लगाने वाला कॉलम बनाती है। यदि वह सही है, तो वह चौथे कॉलम में 1 लिखती है; यदि वह गलत है, तो वह 0 लिखती है। तंत्रिका नेटवर्क अगले ईवेंट पर चला जाता है (भले ही उसने कोई गलती की हो)। इस प्रकार नेटवर्क सीखता है और जब प्रशिक्षण पूरा हो जाता है (एक निश्चित अभिसरण मानदंड तक पहुंच गया है), हम उस कार के बारे में डेटा जमा करते हैं जिसमें हम रुचि रखते हैं और अंततः एक उत्तर प्राप्त करते हैं।

अभिसरण मानदंड के बारे में प्रश्न को दूर करने के लिए, मैं समझाऊंगा कि यह आंकड़ों के लिए गणितीय रूप से व्युत्पन्न सूत्र है। दो भिन्न अभिसरण सूत्रों का एक आकर्षक उदाहरण। लाल - द्विआधारी अभिसरण, नीला - सामान्य अभिसरण।

द्विपद और सामान्य संभाव्यता वितरण

इसे स्पष्ट करने के लिए, प्रश्न पूछें "डायनासोर से मिलने की संभावना क्या है?" यहां 2 संभावित उत्तर हैं. विकल्प 1 - बहुत छोटा (नीला ग्राफ़)। विकल्प 2 - या तो बैठक होगी या नहीं (लाल ग्राफ)।

बेशक, कंप्यूटर कोई व्यक्ति नहीं है और वह अलग तरह से सीखता है। लोहे के घोड़े के प्रशिक्षण के 2 प्रकार हैं: केस-आधारित शिक्षा и निगमनात्मक शिक्षा.

मिसाल के तौर पर पढ़ाना गणितीय कानूनों का उपयोग करके पढ़ाने का एक तरीका है। गणितज्ञ सांख्यिकी तालिकाएँ एकत्र करते हैं, निष्कर्ष निकालते हैं और परिणाम को तंत्रिका नेटवर्क में लोड करते हैं - गणना के लिए एक सूत्र।

निगमनात्मक अधिगम - सीखना पूरी तरह से न्यूरॉन में होता है (डेटा संग्रह से उसके विश्लेषण तक)। यहां बिना किसी फॉर्मूले के, बल्कि आंकड़ों से एक टेबल बनाई जाती है.

प्रौद्योगिकी के व्यापक अवलोकन के लिए कुछ दर्जन अन्य लेखों की आवश्यकता होगी। फिलहाल हमारी सामान्य समझ के लिए इतना ही काफी होगा.

न्यूरोप्लास्टिकिटी

जीव विज्ञान में ऐसी एक अवधारणा है - न्यूरोप्लास्टिकिटी। न्यूरोप्लास्टिकिटी न्यूरॉन्स (मस्तिष्क कोशिकाओं) की "स्थिति के अनुसार" कार्य करने की क्षमता है। उदाहरण के लिए, एक व्यक्ति जिसने अपनी दृष्टि खो दी है वह आवाज़ें, गंध सुनता है और वस्तुओं को बेहतर ढंग से महसूस कर पाता है। यह इस तथ्य के कारण होता है कि दृष्टि के लिए जिम्मेदार मस्तिष्क का हिस्सा (न्यूरॉन्स का हिस्सा) अपने काम को अन्य कार्यक्षमता में पुनर्वितरित करता है।

जीवन में न्यूरोप्लास्टिकिटी का एक उल्लेखनीय उदाहरण ब्रेनपोर्ट लॉलीपॉप है।

2009 में, मैडिसन में विस्कॉन्सिन विश्वविद्यालय ने एक नया उपकरण जारी करने की घोषणा की जिसने "भाषा प्रदर्शन" के विचारों को विकसित किया - इसे ब्रेनपोर्ट कहा गया। ब्रेनपोर्ट निम्नलिखित एल्गोरिदम के अनुसार काम करता है: वीडियो सिग्नल कैमरे से प्रोसेसर तक भेजा जाता है, जो ज़ूम, चमक और अन्य चित्र मापदंडों को नियंत्रित करता है। यह डिजिटल संकेतों को विद्युत आवेगों में भी परिवर्तित करता है, जो अनिवार्य रूप से रेटिना के कार्यों को संभालता है।

चश्मे और कैमरे के साथ ब्रेनपोर्ट लॉलीपॉप

काम पर ब्रेनपोर्ट

कंप्यूटर के साथ भी ऐसा ही है. यदि तंत्रिका नेटवर्क को प्रक्रिया में बदलाव का एहसास होता है, तो वह उसे अपना लेता है। अन्य एल्गोरिदम की तुलना में तंत्रिका नेटवर्क का यह प्रमुख लाभ है - स्वायत्तता। एक प्रकार की मानवता.

एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स

एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स स्टील्थवॉच सिस्टम का हिस्सा है। स्टील्थवॉच सुरक्षा निगरानी और विश्लेषण समाधानों में सिस्को का प्रवेश है जो मौजूदा नेटवर्क बुनियादी ढांचे से एंटरप्राइज़ टेलीमेट्री डेटा का लाभ उठाता है।

स्टील्थवॉच एंटरप्राइज फ्लो रेट लाइसेंस, फ्लो कलेक्टर, मैनेजमेंट कंसोल और फ्लो सेंसर टूल्स पर आधारित है।

सिस्को स्टील्थवॉच इंटरफ़ेस

एन्क्रिप्शन की समस्या इस तथ्य के कारण बहुत तीव्र हो गई कि बहुत अधिक ट्रैफ़िक एन्क्रिप्ट किया जाने लगा। पहले, केवल कोड एन्क्रिप्ट किया गया था (ज्यादातर), लेकिन अब सभी ट्रैफ़िक एन्क्रिप्ट किया गया है और वायरस से "स्वच्छ" डेटा को अलग करना अधिक कठिन हो गया है। इसका एक उल्लेखनीय उदाहरण WannaCry है, जिसने अपनी ऑनलाइन उपस्थिति को छिपाने के लिए Tor का उपयोग किया।

नेटवर्क पर ट्रैफ़िक एन्क्रिप्शन में वृद्धि का विज़ुअलाइज़ेशन

मैक्रोइकॉनॉमिक्स में एन्क्रिप्शन

एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स (ईटीए) प्रणाली एन्क्रिप्टेड ट्रैफ़िक को डिक्रिप्ट किए बिना उसके साथ काम करने के लिए आवश्यक है। हमलावर स्मार्ट हैं और क्रिप्टो-प्रतिरोधी एन्क्रिप्शन एल्गोरिदम का उपयोग करते हैं, और उन्हें तोड़ना न केवल एक समस्या है, बल्कि संगठनों के लिए बेहद महंगा भी है।

सिस्टम निम्नानुसार काम करता है. कुछ ट्रैफिक कंपनी के पास आता है. यह टीएलएस (ट्रांसपोर्ट लेयर सिक्योरिटी) में आता है। मान लीजिए कि ट्रैफ़िक एन्क्रिप्टेड है। हम कई सवालों के जवाब देने की कोशिश कर रहे हैं कि किस तरह का कनेक्शन बनाया गया था।

एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स (ईटीए) प्रणाली कैसे काम करती है

इन सवालों का जवाब देने के लिए हम इस प्रणाली में मशीन लर्निंग का उपयोग करते हैं। सिस्को से शोध लिया गया है और इन अध्ययनों के आधार पर 2 परिणामों से एक तालिका बनाई गई है - दुर्भावनापूर्ण और "अच्छा" ट्रैफ़िक। बेशक, हम निश्चित रूप से नहीं जानते हैं कि वर्तमान समय में किस प्रकार का ट्रैफ़िक सीधे सिस्टम में प्रवेश करता है, लेकिन हम विश्व मंच से डेटा का उपयोग करके कंपनी के अंदर और बाहर दोनों जगह ट्रैफ़िक के इतिहास का पता लगा सकते हैं। इस चरण के अंत में, हमें डेटा के साथ एक विशाल तालिका मिलती है।

अध्ययन के परिणामों के आधार पर, विशिष्ट विशेषताओं की पहचान की जाती है - कुछ नियम जिन्हें गणितीय रूप में लिखा जा सकता है। ये नियम अलग-अलग मानदंडों के आधार पर काफी भिन्न होंगे - स्थानांतरित फ़ाइलों का आकार, कनेक्शन का प्रकार, वह देश जहां से यह ट्रैफ़िक आता है, आदि। कार्य के परिणामस्वरूप, विशाल तालिका सूत्रों के ढेर के एक सेट में बदल गई। उनमें से कम हैं, लेकिन यह आरामदायक काम के लिए पर्याप्त नहीं है।

इसके बाद, मशीन लर्निंग तकनीक लागू की जाती है - सूत्र अभिसरण और अभिसरण के परिणाम के आधार पर हमें एक ट्रिगर मिलता है - एक स्विच, जहां डेटा आउटपुट होने पर हमें ऊंचे या नीचे की स्थिति में एक स्विच (ध्वज) मिलता है।

परिणामी चरण ट्रिगर्स का एक सेट प्राप्त करना है जो 99% ट्रैफ़िक को कवर करता है।

ईटीए में यातायात निरीक्षण कदम

कार्य के परिणामस्वरूप, एक और समस्या हल हो जाती है - भीतर से हमला। अब बीच के लोगों को ट्रैफ़िक को मैन्युअल रूप से फ़िल्टर करने की आवश्यकता नहीं है (मैं इस बिंदु पर खुद को डुबो रहा हूं)। सबसे पहले, अब आपको एक सक्षम सिस्टम प्रशासक पर बहुत अधिक पैसा खर्च करने की आवश्यकता नहीं है (मैं खुद डूबना जारी रखता हूं)। दूसरे, अंदर से (कम से कम आंशिक रूप से) हैकिंग का कोई खतरा नहीं है।

आउटडेटेड मैन-इन-द-मिडिल अवधारणा

अब आइए जानें कि सिस्टम किस पर आधारित है।

सिस्टम 4 संचार प्रोटोकॉल पर काम करता है: टीसीपी/आईपी - इंटरनेट डेटा ट्रांसफर प्रोटोकॉल, डीएनएस - डोमेन नाम सर्वर, टीएलएस - ट्रांसपोर्ट लेयर सुरक्षा प्रोटोकॉल, एसपीएलटी (स्पेसवायर फिजिकल लेयर टेस्टर) - फिजिकल कम्युनिकेशन लेयर टेस्टर।

ईटीए के साथ काम करने वाले प्रोटोकॉल

तुलना डेटा की तुलना करके की जाती है। टीसीपी/आईपी प्रोटोकॉल का उपयोग करके, साइटों की प्रतिष्ठा की जांच की जाती है (विज़िट इतिहास, साइट बनाने का उद्देश्य, आदि), डीएनएस प्रोटोकॉल के लिए धन्यवाद, हम "खराब" साइट पते को त्याग सकते हैं। टीएलएस प्रोटोकॉल किसी साइट के फ़िंगरप्रिंट के साथ काम करता है और कंप्यूटर आपातकालीन प्रतिक्रिया टीम (प्रमाणपत्र) के विरुद्ध साइट का सत्यापन करता है। कनेक्शन की जाँच करने का अंतिम चरण भौतिक स्तर पर जाँच करना है। इस चरण का विवरण निर्दिष्ट नहीं है, लेकिन बिंदु इस प्रकार है: ऑसिलोग्राफिक इंस्टॉलेशन पर डेटा ट्रांसमिशन वक्रों के साइन और कोसाइन वक्रों की जांच करना, यानी। भौतिक स्तर पर अनुरोध की संरचना के लिए धन्यवाद, हम कनेक्शन का उद्देश्य निर्धारित करते हैं।

सिस्टम के संचालन के परिणामस्वरूप, हम एन्क्रिप्टेड ट्रैफ़िक से डेटा प्राप्त कर सकते हैं। पैकेटों की जांच करके, हम पैकेट में अनएन्क्रिप्टेड फ़ील्ड से यथासंभव अधिक जानकारी पढ़ सकते हैं। भौतिक स्तर पर पैकेट का निरीक्षण करके, हम पैकेट की विशेषताओं (आंशिक रूप से या पूरी तरह से) का पता लगाते हैं। साथ ही, साइटों की प्रतिष्ठा के बारे में भी न भूलें। यदि अनुरोध किसी .onion स्रोत से आया है, तो आपको उस पर भरोसा नहीं करना चाहिए। इस प्रकार के डेटा के साथ काम करना आसान बनाने के लिए, एक जोखिम मानचित्र बनाया गया है।

ईटीए के कार्य का परिणाम

और सब कुछ ठीक लग रहा है, लेकिन नेटवर्क परिनियोजन के बारे में बात करते हैं।

ईटीए का भौतिक कार्यान्वयन

यहां कई बारीकियां और बारीकियां सामने आती हैं। सबसे पहले, इस प्रकार का निर्माण करते समय
उच्च-स्तरीय सॉफ़्टवेयर वाले नेटवर्क के लिए डेटा संग्रह की आवश्यकता होती है। डेटा को पूरी तरह से मैन्युअल रूप से एकत्र करें
जंगली, लेकिन प्रतिक्रिया प्रणाली लागू करना पहले से ही अधिक दिलचस्प है। दूसरा, डेटा
बहुत कुछ होना चाहिए, जिसका अर्थ है कि स्थापित नेटवर्क सेंसर को काम करना चाहिए
न केवल स्वायत्त रूप से, बल्कि बारीक ट्यून्ड मोड में भी, जो कई कठिनाइयाँ पैदा करता है।

सेंसर और स्टील्थवॉच प्रणाली

सेंसर लगाना एक बात है, लेकिन इसे स्थापित करना बिल्कुल अलग काम है। सेंसर को कॉन्फ़िगर करने के लिए, एक कॉम्प्लेक्स है जो निम्नलिखित टोपोलॉजी के अनुसार संचालित होता है - ISR = सिस्को इंटीग्रेटेड सर्विसेज राउटर; एएसआर = सिस्को एग्रीगेशन सर्विसेज राउटर; सीएसआर = सिस्को क्लाउड सर्विसेज राउटर; डब्लूएलसी = सिस्को वायरलेस लैन नियंत्रक; IE = सिस्को औद्योगिक ईथरनेट स्विच; एएसए = सिस्को अनुकूली सुरक्षा उपकरण; एफटीडी = सिस्को फायरपावर खतरा रक्षा समाधान; डब्लूएसए = वेब सुरक्षा उपकरण; आईएसई = पहचान सेवा इंजन

किसी भी टेलीमेट्रिक डेटा को ध्यान में रखते हुए व्यापक निगरानी

पिछले पैराग्राफ में "सिस्को" शब्दों की संख्या से नेटवर्क प्रशासकों को अतालता का अनुभव होने लगता है। इस चमत्कार की कीमत छोटी नहीं है, लेकिन आज हम इसके बारे में बात नहीं कर रहे हैं...

हैकर का व्यवहार निम्नानुसार तैयार किया जाएगा। स्टील्थवॉच नेटवर्क पर प्रत्येक डिवाइस की गतिविधि पर सावधानीपूर्वक नज़र रखता है और सामान्य व्यवहार का एक पैटर्न बनाने में सक्षम है। इसके अतिरिक्त, यह समाधान ज्ञात अनुचित व्यवहार के बारे में गहरी जानकारी प्रदान करता है। समाधान लगभग 100 अलग-अलग विश्लेषण एल्गोरिदम या अनुमान का उपयोग करता है जो विभिन्न प्रकार के ट्रैफ़िक व्यवहार जैसे स्कैनिंग, होस्ट अलार्म फ्रेम, ब्रूट-फोर्स लॉगिन, संदिग्ध डेटा कैप्चर, संदिग्ध डेटा रिसाव आदि को संबोधित करता है। सूचीबद्ध सुरक्षा घटनाएँ उच्च-स्तरीय तार्किक अलार्म की श्रेणी में आती हैं। कुछ सुरक्षा घटनाएँ अपने आप भी अलार्म ट्रिगर कर सकती हैं। इस प्रकार, सिस्टम कई अलग-अलग असंगत घटनाओं को सहसंबंधित करने और संभावित प्रकार के हमले को निर्धारित करने के लिए उन्हें एक साथ रखने में सक्षम है, साथ ही इसे एक विशिष्ट डिवाइस और उपयोगकर्ता से जोड़ता है (चित्र 2)। भविष्य में, घटना का अध्ययन समय के साथ और संबंधित टेलीमेट्री डेटा को ध्यान में रखकर किया जा सकता है। यह सर्वोत्तम रूप से प्रासंगिक जानकारी है। रोगी की जांच करने वाले डॉक्टर यह समझने के लिए कि क्या समस्या है, लक्षणों को अलग से नहीं देखते हैं। वे निदान करने के लिए बड़ी तस्वीर देखते हैं। इसी तरह, स्टील्थवॉच नेटवर्क पर हर असामान्य गतिविधि को पकड़ती है और संदर्भ-जागरूक अलार्म भेजने के लिए इसकी समग्र रूप से जांच करती है, जिससे सुरक्षा पेशेवरों को जोखिमों को प्राथमिकता देने में मदद मिलती है।

व्यवहार मॉडलिंग का उपयोग करके विसंगति का पता लगाना

नेटवर्क की भौतिक तैनाती इस तरह दिखती है:

शाखा नेटवर्क परिनियोजन विकल्प (सरलीकृत)

शाखा नेटवर्क परिनियोजन विकल्प

नेटवर्क तैनात कर दिया गया है, लेकिन न्यूरॉन के बारे में प्रश्न खुला है। उन्होंने एक डेटा ट्रांसमिशन नेटवर्क का आयोजन किया, थ्रेसहोल्ड पर सेंसर स्थापित किए और एक सूचना संग्रह प्रणाली लॉन्च की, लेकिन न्यूरॉन ने इस मामले में भाग नहीं लिया। अलविदा।

बहुपरत तंत्रिका नेटवर्क

सिस्टम दुर्भावनापूर्ण संक्रमण, कमांड और नियंत्रण सर्वर के साथ संचार, डेटा लीक और संगठन के बुनियादी ढांचे में चल रहे संभावित अवांछित अनुप्रयोगों का पता लगाने के लिए उपयोगकर्ता और डिवाइस के व्यवहार का विश्लेषण करता है। डेटा प्रोसेसिंग की कई परतें हैं जहां कृत्रिम बुद्धिमत्ता, मशीन लर्निंग और गणितीय सांख्यिकी तकनीकों का संयोजन नेटवर्क को अपनी सामान्य गतिविधि को स्वयं सीखने में मदद करता है ताकि वह दुर्भावनापूर्ण गतिविधि का पता लगा सके।

नेटवर्क सुरक्षा विश्लेषण पाइपलाइन, जो एन्क्रिप्टेड ट्रैफ़िक सहित विस्तारित नेटवर्क के सभी हिस्सों से टेलीमेट्री डेटा एकत्र करती है, स्टील्थवॉच की एक अनूठी विशेषता है। यह क्रमिक रूप से इस बात की समझ विकसित करता है कि "विसंगति" क्या है, फिर "खतरे की गतिविधि" के वास्तविक व्यक्तिगत तत्वों को वर्गीकृत करता है, और अंत में अंतिम निर्णय लेता है कि क्या डिवाइस या उपयोगकर्ता के साथ वास्तव में समझौता किया गया है। किसी परिसंपत्ति से समझौता किया गया है या नहीं, इसके बारे में अंतिम निर्णय लेने के लिए साक्ष्य बनाने वाले छोटे-छोटे टुकड़ों को एक साथ जोड़ने की क्षमता बहुत सावधानीपूर्वक विश्लेषण और सहसंबंध के माध्यम से आती है।

यह क्षमता महत्वपूर्ण है क्योंकि एक सामान्य व्यवसाय को हर दिन बड़ी संख्या में अलार्म प्राप्त हो सकते हैं, और हर एक की जांच करना असंभव है क्योंकि सुरक्षा पेशेवरों के पास सीमित संसाधन हैं। मशीन लर्निंग मॉड्यूल उच्च स्तर के आत्मविश्वास के साथ महत्वपूर्ण घटनाओं की पहचान करने के लिए वास्तविक समय में बड़ी मात्रा में जानकारी संसाधित करता है, और तेजी से समाधान के लिए कार्रवाई के स्पष्ट पाठ्यक्रम प्रदान करने में भी सक्षम है।

आइए स्टील्थवॉच द्वारा उपयोग की जाने वाली कई मशीन लर्निंग तकनीकों पर करीब से नज़र डालें। जब कोई घटना स्टील्थवॉच के मशीन लर्निंग इंजन को सबमिट की जाती है, तो यह एक सुरक्षा विश्लेषण फ़नल से गुज़रती है जो पर्यवेक्षित और गैर-पर्यवेक्षित मशीन लर्निंग तकनीकों के संयोजन का उपयोग करती है।

बहु-स्तरीय मशीन सीखने की क्षमताएँ

स्तर 1। विसंगति का पता लगाना और विश्वास मॉडलिंग

इस स्तर पर, 99% ट्रैफ़िक को सांख्यिकीय विसंगति डिटेक्टरों का उपयोग करके हटा दिया जाता है। ये सेंसर मिलकर जटिल मॉडल बनाते हैं कि क्या सामान्य है और क्या, इसके विपरीत, असामान्य है। हालाँकि, असामान्य आवश्यक रूप से हानिकारक नहीं है। आपके नेटवर्क पर जो कुछ भी हो रहा है उसका खतरे से कोई लेना-देना नहीं है—यह बहुत अजीब है। धमकी भरे व्यवहार की परवाह किए बिना ऐसी प्रक्रियाओं को वर्गीकृत करना महत्वपूर्ण है। इस कारण से, अजीब व्यवहार को पकड़ने के लिए ऐसे डिटेक्टरों के परिणामों का और अधिक विश्लेषण किया जाता है जिन्हें समझाया और भरोसा किया जा सकता है। अंततः, सबसे महत्वपूर्ण थ्रेड्स और अनुरोधों का केवल एक छोटा सा अंश ही परत 2 और 3 तक पहुंच पाता है। ऐसी मशीन लर्निंग तकनीकों के उपयोग के बिना, सिग्नल को शोर से अलग करने की परिचालन लागत बहुत अधिक होगी।

असंगति का पता लगाये। विसंगति का पता लगाने में पहला कदम सांख्यिकीय रूप से सामान्य ट्रैफ़िक को असामान्य ट्रैफ़िक से अलग करने के लिए सांख्यिकीय मशीन लर्निंग तकनीकों का उपयोग करता है। 70 से अधिक व्यक्तिगत डिटेक्टर टेलीमेट्री डेटा को संसाधित करते हैं, स्टील्थवॉच आपके नेटवर्क परिधि से गुजरने वाले ट्रैफ़िक पर एकत्र करता है, आंतरिक डोमेन नाम सिस्टम (डीएनएस) ट्रैफ़िक को प्रॉक्सी सर्वर डेटा, यदि कोई हो, से अलग करता है। प्रत्येक अनुरोध को 70 से अधिक डिटेक्टरों द्वारा संसाधित किया जाता है, प्रत्येक डिटेक्टर पता लगाए गए विसंगतियों का आकलन करने के लिए अपने स्वयं के सांख्यिकीय एल्गोरिदम का उपयोग करता है। इन अंकों को संयोजित किया जाता है और प्रत्येक व्यक्तिगत क्वेरी के लिए एकल अंक तैयार करने के लिए कई सांख्यिकीय तरीकों का उपयोग किया जाता है। इस समग्र स्कोर का उपयोग सामान्य और असामान्य ट्रैफ़िक को अलग करने के लिए किया जाता है।

मॉडलिंग ट्रस्ट. इसके बाद, समान अनुरोधों को समूहीकृत किया जाता है, और ऐसे समूहों के लिए कुल विसंगति स्कोर को दीर्घकालिक औसत के रूप में निर्धारित किया जाता है। समय के साथ, दीर्घकालिक औसत निर्धारित करने के लिए अधिक प्रश्नों का विश्लेषण किया जाता है, जिससे झूठी सकारात्मकता और झूठी नकारात्मकता कम हो जाती है। ट्रस्ट मॉडलिंग परिणामों का उपयोग ट्रैफ़िक के एक सबसेट का चयन करने के लिए किया जाता है जिसका विसंगति स्कोर अगले प्रसंस्करण स्तर पर जाने के लिए कुछ गतिशील रूप से निर्धारित सीमा से अधिक है।

लेवल 2। घटना वर्गीकरण और वस्तु मॉडलिंग

इस स्तर पर, पिछले चरणों में प्राप्त परिणामों को वर्गीकृत किया जाता है और विशिष्ट दुर्भावनापूर्ण घटनाओं को सौंपा जाता है। 90% से ऊपर लगातार सटीकता दर सुनिश्चित करने के लिए घटनाओं को मशीन लर्निंग क्लासिफायर द्वारा निर्दिष्ट मूल्य के आधार पर वर्गीकृत किया जाता है। उनमें से:

• नेमैन-पियर्सन लेम्मा पर आधारित रैखिक मॉडल (लेख की शुरुआत में ग्राफ से सामान्य वितरण का नियम)
• बहुभिन्नरूपी शिक्षण का उपयोग करके वेक्टर मशीनों का समर्थन करें
• तंत्रिका नेटवर्क और यादृच्छिक वन एल्गोरिथ्म।

ये अलग-थलग सुरक्षा घटनाएँ समय के साथ एक एकल समापन बिंदु से जुड़ी होती हैं। यह इस स्तर पर है कि एक खतरे का विवरण बनता है, जिसके आधार पर एक पूरी तस्वीर बनाई जाती है कि कैसे संबंधित हमलावर कुछ परिणाम प्राप्त करने में कामयाब रहा।

घटनाओं का वर्गीकरण. पिछले स्तर से सांख्यिकीय रूप से असंगत उपसमुच्चय को क्लासिफायर का उपयोग करके 100 या अधिक श्रेणियों में वितरित किया जाता है। अधिकांश वर्गीकरणकर्ता व्यक्तिगत व्यवहार, समूह संबंधों या वैश्विक या स्थानीय स्तर पर व्यवहार पर आधारित होते हैं, जबकि अन्य काफी विशिष्ट हो सकते हैं। उदाहरण के लिए, क्लासिफायरियर C&C ट्रैफ़िक, एक संदिग्ध एक्सटेंशन, या एक अनधिकृत सॉफ़्टवेयर अपडेट का संकेत दे सकता है। इस चरण के परिणामों के आधार पर, सुरक्षा प्रणाली में कुछ श्रेणियों में वर्गीकृत विसंगतिपूर्ण घटनाओं का एक समूह बनता है।

वस्तु मॉडलिंग. यदि इस परिकल्पना का समर्थन करने वाले साक्ष्य की मात्रा कि कोई विशेष वस्तु हानिकारक है, भौतिकता सीमा से अधिक है, तो एक खतरा निर्धारित होता है। खतरे की परिभाषा को प्रभावित करने वाली प्रासंगिक घटनाएं ऐसे खतरे से जुड़ी होती हैं और वस्तु के एक अलग दीर्घकालिक मॉडल का हिस्सा बन जाती हैं। जैसे-जैसे समय के साथ साक्ष्य जमा होते जाते हैं, भौतिकता सीमा तक पहुंचने पर सिस्टम नए खतरों की पहचान करता है। यह सीमा मान गतिशील है और खतरे के जोखिम के स्तर और अन्य कारकों के आधार पर समझदारी से समायोजित किया जाता है। इसके बाद, खतरा वेब इंटरफ़ेस के सूचना पैनल पर दिखाई देता है और अगले स्तर पर स्थानांतरित हो जाता है।

स्तर 3। संबंध मॉडलिंग

संबंध मॉडलिंग का उद्देश्य न केवल स्थानीय बल्कि प्रासंगिक घटना के वैश्विक संदर्भ को ध्यान में रखते हुए, वैश्विक परिप्रेक्ष्य से पिछले स्तरों पर प्राप्त परिणामों को संश्लेषित करना है। यह इस स्तर पर है कि आप यह निर्धारित कर सकते हैं कि कितने संगठनों ने इस तरह के हमले का सामना किया है ताकि यह समझ सकें कि क्या यह विशेष रूप से आपके लिए लक्षित था या एक वैश्विक अभियान का हिस्सा था, और आप बस पकड़े गए।

घटनाओं की पुष्टि या पता चल जाता है। एक सत्यापित घटना 99 से 100% विश्वास का संकेत देती है क्योंकि संबंधित तकनीकों और उपकरणों को पहले बड़े (वैश्विक) पैमाने पर कार्रवाई में देखा गया है। पाई गई घटनाएं आपके लिए अद्वितीय हैं और अत्यधिक लक्षित अभियान का हिस्सा हैं। पिछले निष्कर्षों को एक ज्ञात कार्रवाई के साथ साझा किया जाता है, जिससे प्रतिक्रिया में आपका समय और संसाधनों की बचत होती है। वे जांच उपकरण के साथ आते हैं जिन्हें आपको यह समझने की आवश्यकता है कि किसने आप पर हमला किया और अभियान किस हद तक आपके डिजिटल व्यवसाय को लक्षित कर रहा था। जैसा कि आप कल्पना कर सकते हैं, पुष्टि की गई घटनाओं की संख्या पता लगाए गए घटनाओं की संख्या से कहीं अधिक है, इसका सरल कारण यह है कि पुष्टि की गई घटनाओं में हमलावरों को अधिक लागत शामिल नहीं होती है, जबकि पता लगाई गई घटनाओं में ऐसा होता है।
महँगा क्योंकि उन्हें नया और अनुकूलित करना पड़ता है। पुष्टि की गई घटनाओं की पहचान करने की क्षमता पैदा करके, खेल का अर्थशास्त्र अंततः रक्षकों के पक्ष में स्थानांतरित हो गया है, जिससे उन्हें एक विशिष्ट लाभ मिला है।

ईटीए पर आधारित तंत्रिका कनेक्शन प्रणाली का बहु-स्तरीय प्रशिक्षण

वैश्विक जोखिम मानचित्र

वैश्विक जोखिम मानचित्र उद्योग में अपनी तरह के सबसे बड़े डेटासेट में से एक पर मशीन लर्निंग एल्गोरिदम द्वारा लागू विश्लेषण के माध्यम से बनाया गया है। यह इंटरनेट पर सर्वरों के व्यवहार के बारे में व्यापक आँकड़े प्रदान करता है, भले ही वे अज्ञात हों। ऐसे सर्वर हमलों से जुड़े होते हैं और भविष्य में किसी हमले के हिस्से के रूप में शामिल या उपयोग किए जा सकते हैं। यह कोई "ब्लैकलिस्ट" नहीं है, बल्कि सुरक्षा के दृष्टिकोण से संबंधित सर्वर की एक व्यापक तस्वीर है। इन सर्वरों की गतिविधि के बारे में यह प्रासंगिक जानकारी स्टील्थवॉच के मशीन लर्निंग डिटेक्टरों और क्लासिफायर को ऐसे सर्वरों के साथ संचार से जुड़े जोखिम के स्तर की सटीक भविष्यवाणी करने की अनुमति देती है।

आप उपलब्ध कार्ड देख सकते हैं यहां.

विश्व मानचित्र 460 मिलियन आईपी पते दिखा रहा है

अब नेटवर्क सीखता है और आपके नेटवर्क की सुरक्षा के लिए खड़ा होता है।

आख़िरकार कोई रामबाण इलाज मिल ही गया?

दुर्भाग्य से, नहीं. सिस्टम के साथ काम करने के अनुभव से, मैं कह सकता हूं कि 2 वैश्विक समस्याएं हैं।

समस्या 1. कीमत. पूरा नेटवर्क सिस्को सिस्टम पर तैनात है। दोनों ही अच्छे और बुरे हैं। अच्छी बात यह है कि आपको D-Link, MikroTik इत्यादि जैसे ढेर सारे प्लग इंस्टॉल करने की परेशानी नहीं उठानी पड़ेगी। नकारात्मक पक्ष सिस्टम की भारी लागत है। रूसी व्यापार की आर्थिक स्थिति को देखते हुए, वर्तमान समय में केवल किसी बड़ी कंपनी या बैंक का धनी मालिक ही यह चमत्कार कर सकता है।

समस्या 2: प्रशिक्षण. मैंने लेख में तंत्रिका नेटवर्क के लिए प्रशिक्षण अवधि नहीं लिखी है, लेकिन इसलिए नहीं कि यह अस्तित्व में नहीं है, बल्कि इसलिए क्योंकि यह हर समय सीख रहा है और हम भविष्यवाणी नहीं कर सकते कि यह कब सीखेगा। बेशक, गणितीय सांख्यिकी के उपकरण हैं (पियर्सन अभिसरण मानदंड का समान सूत्रीकरण लें), लेकिन ये आधे उपाय हैं। हमें ट्रैफ़िक फ़िल्टर करने की संभावना मिलती है, और तब भी केवल इस शर्त पर कि हमले पर पहले से ही महारत हासिल हो और ज्ञात हो।

इन 2 समस्याओं के बावजूद, हमने सामान्य रूप से सूचना सुरक्षा और विशेष रूप से नेटवर्क सुरक्षा के विकास में एक बड़ी छलांग लगाई है। यह तथ्य नेटवर्क प्रौद्योगिकियों और तंत्रिका नेटवर्क के अध्ययन के लिए प्रेरक हो सकता है, जो अब एक बहुत ही आशाजनक दिशा है।

स्रोत: www.habr.com