سیکیورٹی میں مشین لرننگ کے خوبصورت جھوٹ

اس کے برعکس جو آپ نے پڑھا ہوگا، مشین لرننگ (ML) جادوئی پکسی ڈسٹ نہیں ہے۔ عام طور پر، ML بڑی تعداد میں دستیاب ڈیٹاسیٹس کے ساتھ محدود دائرہ کار کے مسائل کے لیے اچھا ہے، اور جہاں دلچسپی کے نمونے انتہائی دہرائے جا سکتے ہیں یا پیشین گوئی کے قابل ہیں۔ زیادہ تر حفاظتی مسائل کو نہ تو ML کی ضرورت ہوتی ہے اور نہ ہی فائدہ۔ بہت سے ماہرین، بشمول لوگ گوگل، تجویز کریں کہ جب آپ کو ایک پیچیدہ مسئلہ حل کرنا چاہئے۔ باقی سب ختم کریں ML کو آزمانے سے پہلے نقطہ نظر۔

ML شماریاتی تکنیکوں کا ایک وسیع مجموعہ ہے جو ہمیں کمپیوٹر کو کسی سوال کے جواب کا اندازہ لگانے کی تربیت دینے کی اجازت دیتا ہے یہاں تک کہ جب ہم نے صحیح جواب کو واضح طور پر کوڈ نہ کیا ہو۔ صحیح قسم کی دشواری پر لاگو ایک اچھی طرح سے ڈیزائن کردہ ML سسٹم ان بصیرت کو غیر مقفل کر سکتا ہے جو دوسری صورت میں قابل حصول نہ ہوتی۔

ایک کامیاب ایم ایل مثال ہے۔ قدرتی زبان پروسیسنگ
(این ایل پی)۔ NLP کمپیوٹرز کو انسانی زبان کو "سمجھنے" کی اجازت دیتا ہے، بشمول محاورات اور استعارے جیسی چیزیں۔ بہت سے طریقوں سے، سائبرسیکیوریٹی کو وہی چیلنجز کا سامنا ہے جیسے لینگویج پروسیسنگ۔ حملہ آور محاورات استعمال نہیں کر سکتے، لیکن بہت سی تکنیکیں ہم آہنگی کے مترادف ہوتی ہیں، ایسے الفاظ جن کے ہجے یا تلفظ ایک جیسے ہوتے ہیں لیکن معنی مختلف ہوتے ہیں۔ کچھ حملہ آور تکنیکیں بھی ان کارروائیوں سے ملتی جلتی ہیں جو ایک سسٹم ایڈمنسٹریٹر بالکل سومی وجوہات کی بناء پر لے سکتا ہے۔

IT ماحول مختلف تنظیموں میں مقصد، فن تعمیر، ترجیح، اور خطرے کی رواداری میں مختلف ہوتا ہے۔ الگورتھم بنانا ناممکن ہے، ML یا دوسری صورت میں، جو تمام منظرناموں میں سیکورٹی کے استعمال کے معاملات کو وسیع طور پر حل کرتے ہیں۔ یہی وجہ ہے کہ سیکیورٹی میں ML کی زیادہ تر کامیاب ایپلی کیشنز ایک بہت ہی مخصوص مسئلے کو حل کرنے کے لیے متعدد طریقوں کو یکجا کرتی ہیں۔ اچھی مثالوں میں سپیم فلٹرز، DDoS یا بوٹ کی تخفیف، اور میلویئر کا پتہ لگانا شامل ہیں۔

کچرا اندر، کچرا باہر

ML میں سب سے بڑا چیلنج آپ کے مسئلے کو حل کرنے کے لیے متعلقہ، قابل استعمال ڈیٹا کی دستیابی ہے۔ زیر نگرانی ایم ایل کے لیے، آپ کو ایک بڑے، درست لیبل والے ڈیٹاسیٹ کی ضرورت ہے۔ ایک ایسا ماڈل بنانے کے لیے جو بلی کی تصاویر کی شناخت کرتا ہو، مثال کے طور پر، آپ ماڈل کو بلیوں کی بہت سی تصاویر پر تربیت دیتے ہیں جن پر "بلی" کا لیبل لگا ہوا ہے اور ان چیزوں کی بہت سی تصاویر جن پر "بلی نہیں" کا لیبل لگا ہوا ہے۔ اگر آپ کے پاس کافی تصاویر نہیں ہیں یا ان پر خراب لیبل لگا ہوا ہے، تو آپ کا ماڈل ٹھیک کام نہیں کرے گا۔

سیکورٹی میں، ایک معروف زیر نگرانی ML استعمال کیس بغیر دستخط کے میلویئر کا پتہ لگانا ہے۔ بہت سے اینڈ پوائنٹ پروٹیکشن پلیٹ فارم (EPP) وینڈرز ML کا استعمال کرتے ہوئے بڑی مقدار میں بدنیتی پر مبنی نمونوں اور بے نظیر نمونوں کو لیبل کرتے ہیں، ایک ماڈل کو تربیت دیتے ہیں کہ "مالویئر کیسا لگتا ہے"۔ یہ ماڈل غلط تبدیلی کرنے والے میلویئر اور دیگر چالوں کی درست طریقے سے شناخت کر سکتے ہیں جہاں ایک فائل میں دستخط کو چکما دینے کے لیے کافی حد تک تبدیل کیا جاتا ہے لیکن وہ بدنیتی پر مبنی رہتی ہے۔ ML دستخط سے مماثل نہیں ہے۔ یہ کسی اور خصوصیت کے سیٹ کا استعمال کرتے ہوئے بدنیتی کی پیش گوئی کرتا ہے اور اکثر میلویئر کو پکڑ سکتا ہے جو دستخط پر مبنی طریقوں سے چھوٹ جاتا ہے۔

تاہم، چونکہ ML ماڈلز امکانی ہوتے ہیں، اس لیے ایک تجارتی بندش ہے۔ ML میلویئر کو پکڑ سکتا ہے جو دستخطوں سے چھوٹ جاتا ہے، لیکن اس سے دستخطوں سے چھوٹنے والے میلویئر کو بھی چھوٹ سکتا ہے۔ یہی وجہ ہے کہ جدید EPP ٹولز ہائبرڈ طریقے استعمال کرتے ہیں جو زیادہ سے زیادہ کوریج کے لیے ML اور دستخط پر مبنی تکنیکوں کو یکجا کرتے ہیں۔

کچھ، کچھ، غلط مثبت

یہاں تک کہ اگر ماڈل اچھی طرح سے تیار کیا گیا ہے، ML کچھ اضافی چیلنج پیش کرتا ہے جب یہ آؤٹ پٹ کی تشریح کرنے کے لئے آتا ہے، بشمول:

• نتیجہ ایک امکان ہے۔
  ایم ایل ماڈل کسی چیز کے امکان کو ظاہر کرتا ہے۔ اگر آپ کا ماڈل بلیوں کی شناخت کے لیے ڈیزائن کیا گیا ہے، تو آپ کو "یہ چیز 80% بلی ہے" جیسے نتائج ملیں گے۔ یہ غیر یقینی صورتحال ML سسٹمز کی موروثی خصوصیت ہے اور نتیجہ کی تشریح مشکل بنا سکتی ہے۔ کیا 80٪ بلی کافی ہے؟
• ماڈل کو ٹیون نہیں کیا جا سکتا، کم از کم آخری صارف کے ذریعہ نہیں۔ امکانی نتائج کو ہینڈل کرنے کے لیے، ایک ٹول میں وینڈر سیٹ تھریش ہولڈز ہو سکتے ہیں جو انہیں بائنری نتائج تک سمیٹتے ہیں۔ مثال کے طور پر، بلی کی شناخت کا ماڈل رپورٹ کر سکتا ہے کہ کوئی بھی چیز >90% "بلی" ایک بلی ہے۔ بلی کے لیے آپ کے کاروبار کی برداشت وینڈر کی سیٹ سے زیادہ یا کم ہو سکتی ہے۔
• غلط منفی (FN)، حقیقی برائی کا پتہ لگانے میں ناکامی، ML ماڈلز کا ایک دردناک نتیجہ ہے، خاص طور پر خراب ٹیون والے۔ ہم جھوٹے مثبت (FP) کو ناپسند کرتے ہیں کیونکہ وہ وقت ضائع کرتے ہیں۔ لیکن FP اور FN کی شرحوں کے درمیان ایک موروثی تجارت ہے۔ ML ماڈلز کو "بہترین" FP-FN ریٹ بیلنس کو ترجیح دیتے ہوئے، ٹریڈ آف کو بہتر بنانے کے لیے بنایا گیا ہے۔ تاہم، "صحیح" توازن تنظیموں کے درمیان مختلف ہوتا ہے، ان کے انفرادی خطرے اور خطرے کے جائزوں پر منحصر ہوتا ہے۔ ML پر مبنی مصنوعات استعمال کرتے وقت، آپ کو اپنے لیے مناسب حد منتخب کرنے کے لیے وینڈرز پر بھروسہ کرنا چاہیے۔
• الرٹ ٹرائیج کے لیے کافی سیاق و سباق نہیں ہے۔ ایم ایل میجک کا ایک حصہ ڈیٹاسیٹس سے طاقتور پیش گوئی کرنے والی لیکن من مانی "خصوصیات" نکال رہا ہے۔ تصور کریں کہ بلی کی شناخت کا موسم کے ساتھ بہت زیادہ تعلق ہے۔ کوئی بھی انسان اس طرح استدلال نہیں کرے گا۔ لیکن یہ ایم ایل کا نقطہ ہے - پیٹرن تلاش کرنے کے لئے جو ہم دوسری صورت میں نہیں ڈھونڈ سکتے تھے اور پیمانے پر ایسا کرنا ہے۔ پھر بھی، یہاں تک کہ اگر پیشین گوئی کی وجہ صارف کے سامنے آ سکتی ہے، تو یہ اکثر الرٹ ٹرائیج یا واقعے کے ردعمل کی صورت حال میں غیر مددگار ثابت ہوتی ہے۔ اس کی وجہ یہ ہے کہ وہ "خصوصیات" جو بالآخر ایم ایل سسٹم کے فیصلے کی وضاحت کرتی ہیں، پیشین گوئی کی طاقت کے لیے موزوں ہیں، سیکورٹی تجزیہ کاروں کے لیے عملی مطابقت نہیں۔

کیا کسی دوسرے نام کے "اعداد و شمار" سے میٹھی خوشبو آئے گی؟

ML کے فوائد اور نقصانات کے علاوہ، ایک اور کیچ ہے: تمام "ML" واقعی ML نہیں ہے۔ اعداد و شمار آپ کو اپنے ڈیٹا کے بارے میں کچھ نتائج فراہم کرتے ہیں۔ ML آپ کے پاس موجود ڈیٹا کی بنیاد پر ڈیٹا کے بارے میں پیشین گوئیاں کرتا ہے جو آپ کے پاس نہیں تھا۔ مارکیٹرز نے جوش و خروش سے "مشین لرننگ"اور "مصنوعی ذہانت" کسی قسم کی جدید، اختراعی، جدید ٹیکنالوجی پروڈکٹ کا اشارہ دینے کے لیے۔ تاہم، اس بارے میں اکثر بہت کم غور کیا جاتا ہے کہ آیا ٹیک ایم ایل کا بھی استعمال کرتا ہے، کوئی اعتراض نہیں اگر ایم ایل صحیح طریقہ تھا۔

تو، کیا ایم ایل برائی کا پتہ لگا سکتا ہے یا نہیں؟

ایم ایل برائی کا پتہ لگا سکتا ہے جب "برائی" کو اچھی طرح سے بیان کیا گیا ہو اور اس کا دائرہ محدود ہو۔ یہ انتہائی متوقع نظاموں میں متوقع رویے سے انحراف کا بھی پتہ لگا سکتا ہے۔ ماحول جتنا زیادہ مستحکم ہوگا، ایم ایل میں بے ضابطگیوں کی درست نشاندہی کرنے کا امکان اتنا ہی زیادہ ہوگا۔ لیکن ہر بے ضابطگی بدنیتی پر مبنی نہیں ہے، اور آپریٹر ہمیشہ جواب دینے کے لیے کافی سیاق و سباق سے لیس نہیں ہوتا ہے۔ ایم ایل کی سپر پاور زیادہ سے زیادہ کوریج اور کارکردگی کے لیے موجودہ طریقوں، نظاموں اور ٹیموں کی صلاحیتوں کو تبدیل کرنے میں نہیں ہے بلکہ ان کی صلاحیتوں کو بڑھانے میں ہے۔