میلویئر کی وضاحت کرنا آسان تھا۔ وائرس نے خود کو فائل سے منسلک کیا اور اینٹی وائرس سافٹ ویئر نے اسے ہٹا دیا۔
وہ دنیا چلی گئی۔ آج، ایک ہی حملہ آپ کے پاس ورڈ چرا سکتا ہے، آپ کی تصاویر کو لاک کر سکتا ہے، آپ کے اندراجات کی جاسوسی کر سکتا ہے، اور انہیں بھروسہ مند سافٹ ویئر کے اندر چھپا سکتا ہے۔
بڑا مسئلہ حجم کا ہے۔ AV-TEST لیبز ہر روز 450,000 سے زیادہ نئے نقصان دہ پروگرام ریکارڈ کرتی ہیں۔ کوئی بھی سیکیورٹی ٹیم خود اتنی فائلوں کا جائزہ نہیں لے سکتی۔ لہذا کام مشینوں پر منتقل ہو گیا، اور اینٹی وائرس سافٹ ویئر کی فیصلہ سازی اسی کے مطابق بدل گئی۔
اس مضمون میں، ہم دیکھیں گے کہ دستخطی تلاش کیسے کام کرتی ہے اور یہ کیوں ناکام ہونا شروع ہوتی ہے۔ ہم اس بات کا بھی احاطہ کریں گے کہ مشین لرننگ میں کیا اضافہ ہوتا ہے، طرز عمل سے باخبر رہنا کس طرح رینسم ویئر کو چلتے ہوئے پکڑتا ہے، کس طرح کلاؤڈ خطرے کا ڈیٹا ہر ڈیوائس کو سینسر میں تبدیل کرتا ہے، اور جہاں AI اب بھی مسائل کا باعث بنتا ہے۔
ہم کیا احاطہ کریں گے:
دستخط کی جانچ اس وقت تک کام کرتی رہی جب تک کہ میلویئر نے اسے تبدیل کرنے کا طریقہ نہیں سیکھا۔
ابتدائی اینٹی وائرس سافٹ ویئر دستخطوں کا استعمال کرتے تھے۔ دستخط ایک چھوٹا سا نمونہ ہے جو کسی معروف خراب فائل سے لیا گیا ہے، جو فنگر پرنٹ کی طرح ہے۔
محققین نے میلویئر کو دریافت کیا، اس کے پیٹرن کو نکالا، اور انہیں ڈیٹا بیس میں شامل کیا۔ اینٹی وائرس نے اس ڈیٹا بیس کو ڈاؤن لوڈ کیا اور اس کا موازنہ ڈسک پر موجود تمام فائلوں سے کیا۔ میچ کا مطلب ہے کہ فائل مسدود ہے۔
یہ تیز، سستا اور قابل اعتماد تھا۔ اس میں بھی ایک بڑی کمزوری تھی۔
حملہ آوروں نے سمجھ لیا ہے کہ انہیں بس فائلوں میں چھوٹی تبدیلیاں کرنے کی ضرورت ہے۔ نیا نام، کچھ پیڈنگ، کوڈ کو لپیٹنے کا مختلف طریقہ اور فنگر پرنٹس اب مماثل نہیں ہیں۔ آپ کے پرانے دستخط اچانک بیکار ہوگئے۔
جس سے ایک خلا پیدا ہوا۔ ایک نیا خطرہ گھنٹوں یا دنوں تک پھیلتا ہے اس سے پہلے کہ کوئی اس پر دستخط کر سکے۔ اب حملہ آور جان بوجھ کر ایک ہی پروگرام کے ہزاروں چھوٹے تغیرات بنا رہے ہیں، جس سے ہر ورژن میں ایک دستخط لکھنا ایک ہارنے والی دوڑ ہے۔
دستخط اب بھی رکھنے کے قابل ہے۔ معلوم خطرات کو ملی سیکنڈ میں پکڑتا ہے۔ وہ واحد چیز نہیں ہو سکتی جو آپ اور حملے کے درمیان کھڑی ہو۔
آج کا میلویئر کیوں تلاش کرنا اتنا مشکل ہے۔
جدید میلویئر بورنگ نظر آنے کی کوشش کرتا ہے۔
آپ کچھ بھی کرنے سے پہلے کچھ دن خاموش بیٹھنا چاہیں گے۔ یہ ایک بے ضرر نظر آنے والی اسکرپٹ کے طور پر آتا ہے، اور اصل پے لوڈ کو بعد میں ڈاؤن لوڈ کیا جا سکتا ہے۔ ان میں سے کچھ کسی بھی فائل کو ڈسک پر بالکل نہیں لکھتے ہیں، یہی وجہ ہے کہ مائیکروسافٹ انہیں فائل لیس خطرات کے طور پر درجہ بندی کرتا ہے۔
سب سے بری بات یہ ہے کہ بہت سے حملے ایسے ٹولز کا استعمال کرتے ہیں جو آپ کے کمپیوٹر پر پہلے سے موجود ہیں۔ رسائی حاصل کرنے والا حملہ آور پاور شیل کے ذریعے کمانڈ چلا سکتا ہے، جو کہ ونڈوز مینجمنٹ کے ایک عام ٹول ہے۔ LOLBAS پروجیکٹ سینکڑوں قابل اعتماد ونڈوز پروگراموں کی فہرست بناتا ہے جن کا اس طرح فائدہ اٹھایا جا سکتا ہے۔
یہاں کوئی بھی نقصان دہ چیز انسٹال نہیں ہوگی۔ ایک قابل اعتماد ٹول محض غلط وجوہات کی بنا پر استعمال ہو رہا ہے۔ فائل اسکینرز کو پکڑنے کے لئے بہت کم ہے۔
لہذا سیکیورٹی سافٹ ویئر کے سوالات بدل گئے ہیں۔ یہ اب نہیں ہے "کیا میں نے یہ فائل پہلے دیکھی ہے؟” "یہ پروگرام اصل میں کیا کرتا ہے؟” نہیں دیکھتے
مشین لرننگ تصویر میں کیا اضافہ کرتی ہے۔
مشین لرننگ سافٹ ویئر کو چھٹی حس نہیں دیتی۔ یہ ثبوت کی بنیاد پر فیصلے کرنے کا ایک طریقہ فراہم کرتا ہے۔
ماڈل کو محفوظ اور نقصان دہ فائلوں کے ایک بڑے سیٹ پر تربیت دی جاتی ہے۔ وقت گزرنے کے ساتھ، آپ سیکھتے ہیں کہ ہر گروپ میں کیا خصوصیات ابھرتی ہیں۔ آپ فائل کے ڈھانچے کے بارے میں سیکھیں گے، کوڈ کو کس طرح کمپریس کیا جاتا ہے، اسے کس سسٹم کا نام دیا جاتا ہے، یہ نیٹ ورک پر کیا بات چیت کرتا ہے، اور یہ دوسرے پروگراموں کے ساتھ کیسے تعامل کرتا ہے۔
جب کوئی نئی چیز ظاہر ہوتی ہے، تو ماڈل اس کی خصوصیات کے وزن کی پیمائش کرتا ہے اور اس کے خطرے کا تخمینہ لگاتا ہے۔ میں نے یہ درست فائل کبھی نہیں دیکھی، لیکن میں نے اس مسئلے کی شکل پہلے دیکھی ہے۔
یہ تبدیلی کے لیے سب سے اہم ہے۔ حملہ آور اکثر کوڈ کی سطح کو دوبارہ لکھتے ہیں اور مواد کو برقرار رکھتے ہیں۔ دستخط خاندانی مشابہت سے محروم ہے۔ طرز عمل اور ساخت پر تربیت یافتہ ماڈل اکثر اس پر گرفت کرتے ہیں۔
مشاہدہ کریں کہ سافٹ ویئر کیا کرتا ہے، نہ کہ یہ کیسا لگتا ہے۔
اینٹی وائرس کے تحفظ میں سب سے بڑی تبدیلی فائل اسکیننگ سے ٹاسک سرویلنس میں تبدیلی ہے۔
اپنے لیپ ٹاپ پر شروع ہونے والے ایک نامعلوم پروگرام کا تصور کریں۔ سیکنڈوں کے معاملے میں، آپ سینکڑوں دستاویزات کو کھولتے ہیں، ہر ایک کو دوبارہ بناتے ہیں، فائل ایکسٹینشنز کو تبدیل کرتے ہیں، ریکوری کاپیاں حذف کرتے ہیں اور سرورز کو کال کرتے ہیں جنہیں کوئی نہیں پہچان سکتا۔
کہیں بھی دستخط نہیں ہوسکتے۔ لیکن پیٹرن ransomware ہے، اور اس میں کوئی غلطی نہیں ہے.
مائیکروسافٹ اس نقطہ نظر کو رویے کو روکنے اور دبانے کے لیے اپنی دستاویزات میں بیان کرتا ہے، جہاں مشین لرننگ ماڈل ایک فائل کے بجائے ایکشن کا ایک سلسلہ اسکور کرتا ہے۔ انفرادی اقدامات بے ضرر لگ سکتے ہیں۔ ان کو ایک ساتھ پڑھیں تو ایک کہانی سامنے آتی ہے۔
فائدہ ٹائمنگ ہے۔ سافٹ ویئر کو اس سے پہلے اس عین میلویئر کا سامنا کرنے کی ضرورت نہیں ہے۔ آپ کو بس اتنا کرنا ہے کہ حملے کی شکل کو جلد سے جلد پہچان لیں تاکہ اسے روکا جا سکے۔
ransomware چلانے کو مسدود کریں۔
Ransomware سے پتہ چلتا ہے کہ یہ خطرے کی دیگر اقسام سے زیادہ اہم کیوں ہے۔
معروف رینسم ویئر فیملیز بغیر کسی مسئلے کے دستخط کے ذریعے پکڑے جاتے ہیں۔ لیکن مکمل طور پر نئی قسمیں اکثر اس سے گزر جائیں گی۔ یہ نئی شکلیں بنانے کی کلید ہے۔
طرز عمل کی نگرانی دوسرا موقع فراہم کرتی ہے۔ سافٹ ویئر ایک سے زیادہ فولڈرز میں فائلوں کی تیز رفتار تبدیلیوں، بیک اپ یا شیڈو کاپیوں کو حذف کرنے کی کوششوں اور سیکیورٹی ٹولز کو بلاک کرنے کی کوششوں کو دیکھتا ہے۔ CISA StopRansomware ہب کے لیے وفاقی رہنما خطوط آف لائن بیک اپ کے ساتھ انہی سگنلز پر انحصار کرتے ہیں جنہیں حقیقت میں بحال کیا جا سکتا ہے۔
اگر کافی انتباہی سگنلز بن جاتے ہیں، تو سافٹ ویئر اس عمل کو ختم کر سکتا ہے یا ڈیوائس کو نیٹ ورک سے منقطع کر سکتا ہے۔ یہاں جزوی بچت بھی ضروری ہے۔ 50 انکرپٹڈ فائلوں کے بعد حملے کو روکنا 50,000 فائلوں کے بعد حملے کو روکنے سے بہت مختلف ہے۔
مصنوعات جن کا مقصد روزمرہ استعمال کنندگان ہیں اسی سمت میں آگے بڑھ رہے ہیں۔ NordVPN کا اگلی نسل کا اینٹی وائرس نقصان دہ ڈاؤن لوڈز اور اسکیم پیجز کو آپ کے آلے تک پہنچنے سے پہلے ہی روکتا ہے۔ یہ ظاہر کرتا ہے کہ کس طرح صارفی ٹولز باقاعدہ فائل میچنگ سے آگے بڑھ گئے ہیں۔
بادل ہر ڈیوائس کو سینسر میں بدل دیتا ہے۔
اب تک سب کچھ اس بارے میں رہا ہے۔ کیا سیکیورٹی سافٹ ویئر پہلے فائلوں کو اسکین کرتا ہے اور پھر رویہ۔ ایک اور بڑی تبدیلی ہے۔ کہاں امتحان ہوتا ہے۔
دستخطی اسکین آپ کے کمپیوٹر پر شروع سے آخر تک چلایا جاتا تھا۔ پورا فیصلہ اینٹی وائرس کا ڈیٹا بیس کو کھینچنے اور فائلوں کا مقامی طور پر موازنہ کرنے کا تھا۔
اس کے بجائے، جدید تحفظ کام کو تقسیم کرتا ہے۔ سستے چیک آپ کے آلے پر رہتے ہیں اور فوری طور پر تصدیق کی جا سکتی ہے، جبکہ مشکل کالیں آپ کے فراہم کنندہ کے کلاؤڈ پر بھیجی جاتی ہیں، جو آپ کو کسی بھی لیپ ٹاپ سے کہیں زیادہ مرئیت فراہم کرتی ہیں۔
اصل ترتیب حسب ذیل ہے: سب سے پہلے، آلہ پر نصب ایجنٹ سیکیورٹی سے متعلقہ واقعات (پروسیس اسٹارٹ اپ، پیرنٹ چائلڈ پروسیس ریلیشن شپ، رجسٹری ایڈیٹس، آؤٹ باؤنڈ کنکشنز، اور فائل ہیشز) کو لاگ کرتا ہے۔ جب اسے کسی ایسی چیز کا پتہ چلتا ہے جس کی وہ خود درجہ بندی نہیں کر سکتا، تو یہ اس کے بارے میں میٹا ڈیٹا بھیجتا ہے (عام طور پر پوری دستاویز کے بجائے ایک ہیش، فائل کی ساختی خصوصیات اور ارد گرد کی سرگرمی) ایک انکرپٹڈ چینل پر وینڈر کے بیک اینڈ پر بھیجتا ہے۔
مائیکروسافٹ اس ہینڈ آف کو ڈیفنڈر کو کلاؤڈ پروٹیکشن پر اپنے نوٹس میں دستاویز کرتا ہے۔ یہاں، مقامی کلائنٹ نتائج کے لیے کلاؤڈ سروس سے استفسار کرتا ہے اور جواب کا انتظار کرتے ہوئے فائل کو عارضی طور پر اسٹور کرتا ہے۔
بیک اینڈ ایک ساتھ دو کام کرتا ہے۔ ایک خودکار نظام جمع آوریوں کا موازنہ لاکھوں دیگر آلات کی رپورٹس اور اسکور ماڈلز سے کرتا ہے جو لیپ ٹاپ پر بھیجنے کے لیے بہت بڑے ہیں۔
جب تصویر واضح ہوتی ہے تو انسانی مداخلت کے بغیر ایک سیکنڈ سے بھی کم وقت میں فیصلہ کیا جاتا ہے۔ اگر نہیں، تو معاملہ دکاندار کے خطرے سے متعلق تحقیق اور سیکیورٹی آپریشنز ٹیموں تک پہنچ جاتا ہے، جنہوں نے تجزیہ کاروں کو خاص طور پر اس طرح کے کلسٹرز کو تلاش کرنے کے لیے رکھا ہے۔
یہ وہی ہے جو "ہزاروں آلات” سگنل کو قیمتی بناتا ہے۔ اگر ایک گھنٹہ کے اندر ہزاروں غیر متعلقہ تنظیموں میں ایک غیر مانوس بائنری یا عجیب و غریب عمل کا سلسلہ ظاہر ہوتا ہے، تو ان میں سے کوئی بھی نوٹس نہیں کرے گا۔ پسدید فوری طور پر کلسٹر کو دیکھتا ہے اور اسے انسانی افتتاح کے لیے جھنڈا لگاتا ہے۔ تجزیہ کار نمونے لیتے ہیں، انہیں سینڈ باکس میں اڑا دیتے ہیں، کوڈ کی فعالیت کو چیک کرتے ہیں، اور اس کے لیے کھوج لکھتے ہیں۔
پھر لوپ بند ہے. شناخت شدہ کیسز کا لیبل لگا ہوا تربیتی ڈیٹا بن جاتا ہے، جو بالکل وہی ہے جو اگلی نسل کے ماڈلز کو درکار ہوتا ہے۔ آؤٹ پٹ دو رفتار سے ہوتا ہے۔ نئے میٹرکس جیسے ہیشز، ڈومینز، اور رویے کے اصول منٹوں کے اندر تمام حفاظتی اقدامات تک پہنچ جاتے ہیں، جب کہ دوبارہ تربیت یافتہ ماڈل دنوں یا ہفتوں کے سست چکر کی پیروی کرتے ہیں۔
کسی بھی طرح سے، آپ کے اگلے سامعین کو آپ کے آلے کی رپورٹوں سے محفوظ کیا جاتا ہے، اور کسی کو بھی اگلے بڑے ڈیٹا بیس کے ڈاؤن لوڈ کا انتظار نہیں کرنا پڑتا۔
میلویئر لینڈ کرنے سے پہلے حملوں کو پکڑیں۔
تمام خطرات پروگرام کے طور پر ظاہر نہیں ہوتے ہیں۔ زیادہ تر ایک پیغام سے شروع ہوتا ہے۔
فشنگ اب بھی ایک رجحان ہے۔ APWG ایک سہ ماہی میں 1 ملین سے زیادہ فشنگ حملوں کا شمار کرتا ہے، اور جعلی صفحات کو تلاش کرنا مشکل ہوتا جا رہا ہے۔ حملہ آور بینک کی برانڈنگ، لاگ ان اسکرینز، اور ڈیلیوری نوٹسز کو اتنے قریب سے کاپی کرتے ہیں کہ وہ بے خبر لوگوں کو بیوقوف بنا سکتے ہیں۔
AI ان چیزوں کی جانچ کرنے میں مدد کرتا ہے جنہیں انسان چھوڑ دیتے ہیں: ڈومین کتنی پرانی ہے، کیا لنکس عجیب جگہوں پر ری ڈائریکٹ ہوتے ہیں، اور آیا صفحہ کسی معروف اسکیم کٹ سے میل کھاتا ہے۔
اس طرح کے صفحات کو بلاک کرنے سے حملہ ایک قدم پہلے رک جاتا ہے۔ کوئی ڈاؤن لوڈ، اسکین کرنے کے لیے کوئی فائلیں، کوئی ترتیب نہیں۔
جہاں AI پھر بھی غلط ہو جاتا ہے۔
AI اپنے فوائد کے ساتھ حقیقی چیلنجز بھی لاتا ہے، اور ان کے بارے میں واضح ہونا ضروری ہے۔
غلط مثبت باتیں عام ہیں۔ غیر معمولی نقصان دہ کے برابر نہیں ہے، اور سافٹ ویئر جو جائز ایپس کو روکتا ہے کیونکہ وہ عجیب لگتی ہیں لوگوں کو اپنا تحفظ بند کرنا سکھاتی ہے۔
رفتار ایک اور چیز ہے۔ یہ تمام تجزیہ یہ تاثر دیئے بغیر کیا جانا چاہیے کہ مشین سست ہے۔
پھر ہتھیاروں کی دوڑ ہے۔ حملہ آور بھی ان ماڈلز کا مطالعہ کرتے ہیں۔ مخالف مشین لرننگ پر NIST کی رپورٹ بتاتی ہے کہ کس طرح ماڈلز کو ٹریننگ کے دوران زہر دیا جا سکتا ہے یا فیصلے کے لمحات میں بے وقوف بنایا جا سکتا ہے۔ ایک ماڈل ایک ہدف ہے، قلعہ نہیں.
رازداری بھی قابل ذکر ہے۔ کلاؤڈ اینالیٹکس کا مطلب ہے کہ آپ کی فائلوں اور کنکشنز کے بارے میں کچھ معلومات آپ کے آلے کو چھوڑ دیتی ہیں۔ اپنے سپلائر سے یہ پوچھنا مناسب ہے کہ وہ کیا جمع کرتے ہیں اور اسے کب تک رکھتے ہیں۔
پرتیں ٹرمپ ہر ایک چال
اس میں سے کوئی بھی اس سے پہلے آنے والی کسی چیز کی جگہ نہیں لیتا۔ سب سے طاقتور ترتیبات جان بوجھ کر طریقوں کو اسٹیک کرتی ہیں۔
دستخط فوری طور پر معلوم میلویئر کا پتہ لگاتے ہیں۔ ساکھ چیک کرنے والا خراب سائٹس اور ناقابل اعتماد پروگراموں کو روکتا ہے۔ طرز عمل کی نگرانی مشتبہ سرگرمی کے ہوتے ہی اسے پکڑ لیتی ہے۔ مشین لرننگ خطرات میں ایک خلا کو پُر کرتی ہے جس کے بارے میں ابھی تک کسی نے بات نہیں کی۔
MITER ATT&CK فریم ورک یہاں مفید ہے کیونکہ یہ حملہ آور تکنیکوں کا نقشہ بناتا ہے تاکہ ٹیم دیکھ سکے کہ کون سی پرتیں کون سے قدموں کو ڈھانپتی ہیں۔
پرتیں سافٹ ویئر کا سیاق و سباق بھی فراہم کرتی ہیں۔ صاف ستھری تاریخ والی کوئی بھی فائل جو عجیب و غریب سلوک کرنے لگتی ہے اسے قریب سے دیکھنے کے قابل ہے۔ وہ فائلیں جو پہلے سے ہی بدنیتی پر مبنی کوڈ پر مشتمل ہیں ان کے لیے کسی تجزیہ کی ضرورت نہیں ہے۔
آپ کے لیے اس کا کیا مطلب ہے۔
اینٹی وائرس سافٹ ویئر فائلوں کو ملانے سے لے کر فہرستوں تک ایک طویل فاصلہ طے کر چکا ہے۔
آپ کے دستخط اب بھی ایک جگہ ہے، لیکن یہ صرف ایک سوال کا جواب دیتا ہے. AI اور طرز عمل کی نگرانی بہتر سوالات کا جواب دیتی ہے۔ یہ سافٹ ویئر اب کیا کر رہا ہے، اور کیا یہ معنی رکھتا ہے؟
عملی مواد مختصر ہے۔ آج کا اچھا تحفظ برا فائلوں کو پہچاننے کے بجائے برے سلوک کو تیزی سے بے نقاب کرنے کے بارے میں ہے۔ سیکیورٹی سافٹ ویئر کا انتخاب کرتے وقت، پوچھیں کہ آیا یہ آپ کی سرگرمی پر نظر رکھتا ہے یا صرف فائلوں کو اسکین کرتا ہے، اور اس بات کو یقینی بناتا ہے کہ یہ خطرناک سائٹس اور ڈاؤن لوڈز کو پہنچنے سے پہلے روکتا ہے۔
حملے تیز اور خودکار ہوتے جا رہے ہیں۔ ڈیفنس کو اسی طرح کام کرنے کی ضرورت ہے، یہی اصل وجہ ہے کہ AI میلویئر کا پتہ لگانے کا مرکز بن گیا ہے۔
مجھے امید ہے کہ آپ نے اس مضمون کا لطف اٹھایا۔ آپ مجھ سے LinkedIn پر رابطہ کر سکتے ہیں۔