مشین لرننگ زیرو ڈے حملوں کا کیسے پتہ لگاتی ہے

دہائیوں سے، سائبر سیکیورٹی دستخطوں (signatures) پر مبنی بلی اور چوہے کا کھیل رہی ہے۔ جب کوئی نیا مالویئر یا ایکسپلائٹ دریافت ہوتا تھا، تو سیکیورٹی محققین اس کا تجزیہ کرتے تھے، ایک منفرد ڈیجیٹل دستخط نکالتے تھے، اور اسے اینٹی وائرس ڈیٹا بیس میں تقسیم کرتے تھے۔

لیکن دستخط پر مبنی دفاع میں ایک مہلک خامی ہے: یہ مکمل طور پر ردِعمل پر مبنی (reactive) ہے۔ یہ اس چیز کو نہیں روک سکتا جسے اس نے پہلے کبھی نہیں دیکھا۔

یہاں داخلہ ہوتا ہے زیرو ڈے حملے (Zero-Day Attack) کا—ایک ایسا حملہ جو وینڈر کی طرف سے پیچ جاری کرنے سے پہلے ایک نامعلوم سافٹ ویئر کمزوری کو نشانہ بناتا ہے۔ چونکہ کوئی دستخط دستیاب نہیں ہوتے، روایتی فائر والز اور دراندازی کی روک تھام کے نظام (IPS) ان کے لیے مکمل طور پر اندھے رہتے ہیں۔

زیرو ڈے کے خطرات سے دفاع کے لیے، انڈسٹری ایک بڑی تبدیلی سے گزر رہی ہے: دستخطوں سے ہٹ کر مشین لرننگ (ML) کے ذریعے چلنے والے طرزِعمل کے تجزیے کی طرف بڑھنا۔

1. دستخطوں سے آگے: غیر معمولی سرگرمی کا پتہ لگانے کا طریقہ کار

مشین لرننگ پر مبنی سیکیورٹی کے مرکز میں غیر معمولی سرگرمی کا پتہ لگانا (Anomaly Detection) ہے۔ معلوم خراب طرزِعمل (دستخطوں) کو تلاش کرنے کے بجائے، ایم ایل ماڈلز کو یہ سمجھنے کے لیے تربیت دی جاتی ہے کہ ایک سسٹم یا نیٹ ورک میں “عام” طرزِعمل کیسا لگتا ہے، اور اس بیس لائن سے انحراف کرنے والی کسی بھی چیز کو نشان زد کیا جاتا ہے۔

• طرزِعمل کی بیس لائن بنانا: آئسولیشن فارسٹ اور آٹو انکوڈرز جیسے غیر زیر نگرانی سیکھنے کے الگورتھم عام آپریشنز کا ایک انتہائی تفصیلی ماڈل بنانے کے لیے نیٹ ورک ٹریفک، صارف کی سرگرمیوں، اور سسٹم لاگز کے بھاری ڈیٹا کا تجزیہ کرتے ہیں۔
• انحراف کی اسکورنگ: جب کوئی زیرو ڈے ایکسپلائٹ چلتا ہے، تو یہ لازمی طور پر ایسے اقدامات کرتا ہے جو بیس لائن سے انحراف کرتے ہیں—جیسه کہ اے پی آئی کالز کا ایک غیر معمولی سلسلہ چلانا، غیر متوقع پورٹ کنکشن کھولنا، یا ممنوعہ سسٹم میموری کو پڑھنے کی کوشش کرنا۔ ایم ایل ماڈل فوری طور پر اس رویے کو ہائی اینوملی اسکور کے ساتھ نشان زد کرتا ہے۔

2. متحرک خصوصیات کا اخراج: حقیقی وقت میں فائلوں کا تجزیہ

زیرو ڈے حملے اکثر ای میل اٹیچمنٹ یا ویب سائٹس سے خفیہ ڈاؤن لوڈز کے ذریعے آتے ہیں۔ چونکہ دستخط چیک کرنے والے ان نئی فائلوں کو نشان زد نہیں کر سکتے، اس لیے ایم ایل سے چلنے والے اینڈ پوائنٹس ملی سیکنڈز میں ان کا تجزیہ کرنے کے لیے جامد (static) اور متحرک (dynamic) خصوصیات کا اخراج استعمال کرتے ہیں۔

1. جامد تجزیہ: ماڈل فائل کو چلائے بغیر اس کے ڈھانچے، امپورٹ کردہ DLLs، اے پی آئی فنکشن کالز اور میٹا ڈیٹا کا تجزیہ کرتا ہے۔ ڈیپ لرننگ ماڈلز بدنیتی پر مبنی پیٹرن کو تب بھی نشان زد کر سکتے ہیں جب کوڈ کو چھپایا گیا ہو۔
2. متحرک سینڈ باکس تجزیہ: اگر جامد تجزیہ حتمی نہ ہو، تو فائل کو ایک محفوظ، ورچوئلائزڈ سینڈ باکس ماحول میں چلایا جاتا ہے۔ ایم ایل ایجنٹ اس کے حقیقی نفاذ کی نگرانی کرتا ہے اور درج ذیل رویوں کو ٹریک کرتا ہے:
   • پروسیس انجیکشن: جائز سسٹم پروسیسز (جیسے explorer.exe) میں کوڈ داخل کرنے کی کوشش۔
   • رجسٹری میں تبدیلی: حساس اسٹارٹ اپ کیز میں لکھنا یا سیکیورٹی سروسز کو غیر فعال کرنا۔
   • اختیارات کا بڑھنا (Privilege Escalation): سسٹم ایکسپلائٹس کے ذریعے غیر معمولی طور پر ایڈمنسٹریٹر تک رسائی کی درخواست کرنا۔

3. نیٹ ورک ٹریفک کا تجزیہ اور سلسلہ وار ماڈلنگ

بہت سے زیرو ڈے حملوں میں ریموٹ کمانڈ کا نفاذ، ڈیٹا کی چوری، یا نیٹ ورک کے اندر ایک سسٹم سے دوسرے سسٹم میں جانے کی کوشش (Lateral Movement) شامل ہوتی ہے۔ مشین لرننگ نیٹ ورک ٹیلی میٹری کو واقعات کے ایک سلسلے کے طور پر لے کر ان سرگرمیوں کی نگرانی کرتی ہے۔

• LSTM اور اعادی نیورل نیٹ ورکس (RNNs): جیسے قدرتی زبان کی پروسیسنگ (NLP) میں جملے کے اگلے لفظ کی پیش گوئی کرنے کے لیے LSTMs کا استعمال کیا جاتا ہے، ویسے ہی سیکیورٹی میں نیٹ ورک کے بہاؤ کو ماڈل کرنے کے لیے ان کا استعمال کیا جاتا ہے۔ ماڈل آلات کے درمیان مواصلات کے مخصوص سلسلے کو سیکھتا ہے اور بدنیتی پر مبنی خرابیوں کو نشان زد کرتا ہے۔
• گراف نیورل نیٹ ورکس (GNNs): GNNs پورے نیٹ ورک ٹوپولوجی کو ایک گراف کے طور پر میپ کرتے ہیں، جہاں آلات نوڈس ہوتے ہیں اور مواصلات ان کے درمیان لنکس ہوتی ہیں۔ یہ ماڈل کو ان چھپی ہوئی سرگرمیوں کا پتہ لگانے کی اجازت دیتا ہے جہاں ایک حملہ آور زیرو ڈے ایکسپلائٹ کا استعمال کرتے ہوئے ایک سرور سے دوسرے سرور پر جانے کی کوشش کر رہا ہوتا ہے۔

4. چیلنجز: ایم ایل دفاع کی دو دھاری تلوار

اگرچہ مشین لرننگ ناقابل یقین حد تک طاقتور ہے، لیکن یہ کوئی جادوئی چھڑی نہیں ہے۔ ایم ایل کے ساتھ سسٹمز کو محفوظ بنانا اپنے انجینئرنگ چیلنجز کے ساتھ آتا ہے:

• غلط الرٹ (False Positive) کی الجھن: اگر اینوملی ڈیٹیکشن ماڈل بہت حساس ہے، تو یہ جائز سافٹ ویئر اپ ڈیٹس یا انتظامی کاموں کو حملوں کے طور پر نشان زد کرے گا، جس سے سیکیورٹی ٹیموں میں الرٹ تھکاوٹ پیدا ہوگی۔
• مخالفانہ مشین لرننگ (Adversarial ML): سائبر مجرم ایم ایل ماڈلز کو بائی پاس کرنے کے طریقے فعال طور پر تیار کر رہے ہیں۔ کوڈ میں معمولی تبدیلیاں کرکے، وہ کلاسیفائر ماڈل کو یہ سوچنے کے لیے دھوکہ دے سکتے ہیں کہ زیرو ڈے پے لوڈ مکمل طور پر محفوظ ہے۔

نتیجہ: ایک کثیر الجہتی، خود سیکھنے والا مستقبل

مشین لرننگ نے سائبر سیکیورٹی کو ایک ردِعمل کے عمل سے تبدیل کرکے ایک فعال، حقیقی وقت کی سیکیورٹی سسٹم میں بدل دیا ہے۔ رویے کا تجزیہ کرکے، متحرک خصوصیات کو نکال کر اور نیٹ ورک کے سلسلوں کو ماڈل کرکے، ایم ایل اداروں کو وسیع نقصان پہنچنے سے پہلے زیرو ڈے حملوں کو روکنے کے قابل بناتا ہے۔

جیسے جیسے حملہ آور زیادہ چالاک ہوتے جا رہے ہیں، دفاع کا مستقبل باہمی تعاون، خود سیکھنے والے سسٹمز میں مضمر ہے جو مسلسل نئے خطرات سے ہم آہنگ ہوتے ہیں، یہ یقینی بناتا ہے کہ سب سے چھپے ہوئے زیرو ڈے حملے بھی چھپے نہ رہ سکیں۔

غزنکس بلاگ پر مزید تکنیکی بصیرتیں دریافت کریں →