Nimbus Vestige (NV)

क्लाउड और पहचान घटना प्रतिक्रिया के लिए एक फोरेंसिक पुनर्निर्माण इंजन।

खंडित क्लाउड, SaaS, और पहचान टेलीमेट्री — कंट्रोल-प्लेन लॉग, साइन-इन इवेंट, टोकन और सहमति गतिविधि — दिए जाने पर, NV पुनर्निर्माण करता है कि किसी घुसपैठ ने खातों और सेवाओं में सबसे संभावित रूप से कैसे गति की, उन अन्य सबसे-संभावित पथों की गणना करता है जिन्हें वह ले सकता था, और प्रत्येक चरण की रिपोर्ट अंशशोधित, व्याख्यायोग्य विश्वास के साथ करता है। यह उस बात पर दावा करने से इंकार करता है जिसे साक्ष्य समर्थित नहीं कर सकता।

डिटेक्शन आपको बताता है कि कुछ हुआ। Nimbus Vestige आपको बताता है कैसे — और और क्या।

यह क्यों मौजूद है

आधुनिक घुसपैठ "सेंध" नहीं लगाती। वे लॉग इन करती हैं। पहचान अब प्राथमिक आक्रमण वाहन है, जो अधिकांश क्लाउड IR जाँचों में शामिल है, और अधिकांश घुसपैठ कई सतहों — पहचान सहित क्लाउड सहित SaaS सहित एंडपॉइंट — में फैली होती हैं। उन्हें रिकॉर्ड करने वाली टेलीमेट्री खंडित और असंगत है, जो पहले से ही प्रतिक्रियाकर्ताओं को अपूर्ण डेटा से कहानी का पुनर्निर्माण हाथ से करने के लिए मजबूर करती है।

वह मैन्युअल पुनर्निर्माण धीमा है, और यह एक पूर्वानुमेय तरीके से विफल होता है: प्रतिक्रियाकर्ता पहले प्रशंसनीय आख्यान पर स्थिर हो जाता है और वास्तविक को चूक जाता है। NV पुनर्निर्माण को स्वचालित करता है और सीधे उस विफलता मोड पर हमला करता है, हमेशा प्रशंसनीय पथों के रैंक किए गए स्थान को प्रस्तुत करके, न कि एकल कहानी को।

महत्वपूर्ण रूप से, NV यह उत्पाद के रूप में ईमानदारी के साथ करता है। बाज़ार का घोषित शत्रु ब्लैक-बॉक्स विश्वास है — एक उपकरण जो अपना काम दिखाए बिना निष्कर्ष पर दावा करता है। NV द्वारा उत्पादित प्रत्येक संख्या उस विशिष्ट साक्ष्य तक अनुरेखणीय है जिसने उसे अर्जित किया, और जो कुछ भी यह समर्थित नहीं कर सकता, उसे अनुमान लगाने के बजाय रोक दिया जाता है।

यह क्या है — और क्या नहीं है

NV नहीं है एक डिटेक्टर, एक स्कैनर, एक ऑडिटर, या एक आक्रमण-चालक। वे उपकरण आपको बताते हैं कि कुछ हुआ और उसे मापते हैं। NV पीछे की ओर काम करता है — एक खंडित पहचान संपत्ति में पैटर्न से तंत्र का अपहरणात्मक पुनर्निर्माण।

डिटेक्टर नहीं — यह गतिविधि पर अलर्ट नहीं भेजता; यह बताता है कि गतिविधि कैसे एक साथ फिट बैठती है।
SIEM नहीं — यह एक संकीर्ण कील (घटना-पश्चात आख्यान पुनर्निर्माण) के माध्यम से प्रवेश करता है, लॉग प्लेटफ़ॉर्म के रूप में नहीं।
नियम इंजन नहीं — जब कुछ भी ज्ञात पैटर्न से मेल नहीं खाता, तब भी यह पुनर्निर्माण करता है, अंधा होने के बजाय शालीनता से क्षीण होता है।

यह दीर्घकालिक रूप से क्यों वैध है

ब्लू टीम पुनर्जीवित होती है; रेड टीम वस्तुकृत होती है। आक्रामक टूलिंग छिद्रों का एक सीमित, पैच करने योग्य सेट ढूंढती है और स्वचालित CI/CD सुरक्षा पाइपलाइनों में मोड़ी जा रही है। यह पुनर्निर्माण कि घुसपैठ कैसे हुई, कभी हल नहीं होता — हमलावर नए तरीके आविष्कार करते रहते हैं, इसलिए आवश्यकता स्थायी और स्व-नवीकरणीय है।
इंजन सब्सट्रेट-स्वतंत्र है। मूल तर्क — पैटर्न से तंत्र का पुनर्निर्माण, अंशशोधित विश्वास और एक स्टॉप रेल के साथ — पहले क्लाउड/पहचान के लिए प्रतिबद्ध है, लेकिन बाद में नेटवर्क, एंडपॉइंट, और OT में स्थानांतरित होता है। लक्ष्य थीसिस को फिर से लिखे बिना बदल सकता है।
पुनर्निर्माण सुदृढ़ीकरण को सक्षम करता है। एक बार जब आप जान जाते हैं कि वे कैसे अंदर आए — और कौन से अन्य दरवाजे खुले थे — तो आप रक्षा का निर्माण करते हैं। न लिए गए-लेकिन-प्रशंसनीय पथ एक सुदृढ़ीकरण बैकलॉग हैं, जो अक्सर पुनर्निर्माण से अधिक मूल्यवान होते हैं, क्योंकि अधिकांश उल्लंघन रोके जा सकने वाले एक्सपोज़र का शोषण करते हैं, न कि नई शिल्पकला का।
यह नई घुसपैठ पर शालीनता से क्षीण होता है — वही घटना जो सबसे अधिक मायने रखती है। एक सिग्नेचर/नियम इंजन ज़ीरो-डे पर अंधा हो जाता है; NV का अपहरणात्मक कोर अभी भी एक सबसे-संभावित पथ उत्पन्न करता है, ईमानदारी से कम-विश्वास के रूप में चिह्नित।
ईमानदारी एक खाई है। रैंक किए गए विकल्पों के साथ अंशशोधित, केस-आधारित विश्वास ठीक वही है जो बाज़ार कहता है कि वह चाहता है और जो ब्लैक-बॉक्स प्रतिस्पर्धी संरचनात्मक रूप से पुनःडिज़ाइन के बिना प्रदान नहीं कर सकते।

आर्किटेक्चर

कच्चे प्रदाता लॉग → सामान्यीकृत इवेंट/एंटिटी ग्राफ → पुनर्निर्माण इंजन → JSON → GUI।

  O365 / Entra audit logs      nv_extract_identity_events.py
  AWS CloudTrail (IAM/STS/S3)   nv_extract_cloudtrail_events.py   (ingest + normalize)
          ▼
  normalized identity events (JSONL)  ← one event model, any substrate
          │  nv/graph.py                      (typed per-actor timelines)
          ▼
  reconstruction engine
     ├─ nv/patterns.py     known layer: ATT&CK identity pattern library
     ├─ nv/providers.py    provider packs: per-substrate op→ATT&CK vocab (Entra + AWS)
     ├─ nv/validation.py   Phase 3: provenance + integrity gate on every pattern
     ├─ nv/feeds.py        live ATT&CK STIX / TAXII / Sigma clients + scheduler
     ├─ nv/confidence.py   evidence-corroboration scorer (calibratable weights)
     ├─ nv/calibration.py  fit + measure confidence against labeled ground truth
     ├─ nv/reconstruct.py  most-likely chain + ranked competing paths + trust floor
     └─ nv/scope.py        authorized-scope gate (refuses unauthorized tenants/accounts)
          │  run_nv.py
          ▼
  reconstruction.json  ──►  nv_gui.html  (embedding canvas + two-column view + trust slider)

GUI एक शुद्ध व्यू लेयर है — यह इंजन के आउटपुट को रेंडर करता है और विश्लेषक को ट्रस्ट फ्लोर को समायोजित करने देता है। इसमें अपना कोई पुनर्निर्माण लॉजिक नहीं है।

कॉन्फिडेंस मॉडल (पूरे उत्पाद की विश्वसनीयता)

प्रत्येक चरण में [0, 1] के बीच एक कॉन्फिडेंस होता है, जो साक्ष्य पुष्टि द्वारा निर्मित होता है:

confidence = per-technique base rate
           + bonus for each independent corroborating signal
                 (source IP, device, successful outcome, temporal adjacency, broad-consent flags)
           − penalty for missing signals (e.g. no source IP to corroborate origin)

verified — विश्वास ≥ 0.70 और दो या अधिक स्वतंत्र संकेत सहमत हों।
pattern-only — विश्वास सीमा से ऊपर लेकिन कमज़ोर या अकेले समर्थित।
withheld — विश्वास सीमा से नीचे; धूसर रूप में दिखाया गया, कभी भी चुपचाप अनुमान नहीं लगाया गया या छिपाया नहीं गया।

पथ स्कोर अपने लिंक को ज्यामितीय माध्य द्वारा संयोजित करते हैं, इसलिए एक कमज़ोर लिंक ईमानदारी से पथ को नीचे खींचता है, बजाय इसके कि उसे औसत में मिला दिया जाए।

ऊपर दिया गया प्रत्येक भार — प्रति-तकनीक आधार दरें, प्रति-संकेत बोनस, अनुपस्थिति दंड — nv/confidence.py में एक ही PARAMS तालिका में रहता है। ये NV के v1 प्रायर हैं, और ये कैलिब्रेटेबल हैं: nv/calibration.py इन्हें लेबल किए गए ग्राउंड ट्रुथ के विरुद्ध पुनः फिट कर सकता है और इंजन परिणाम लोड करेगा, और जब कोई कैलिब्रेशन प्रदान नहीं किया जाता तो v1 प्रायर पर वापस आ जाएगा (नीचे देखें)।

विश्वास सीमा

रोकने का नियम, इंजन के आउटपुट अनुबंध में अंतर्निहित — केवल UI में नहीं। सीमा से नीचे, एक चरण रोक दिया जाता है। सीमा को खींचना ईमानदारी बनाम कवरेज का व्यापार मूर्त रूप में है: सख्त/उच्च-विश्वास के लिए ऊपर, अनुमतिपूर्ण/उच्च-कवरेज के लिए नीचे। डिफ़ॉल्ट सीमा एक संपादकीय निर्णय है कि विश्लेषक के इसे छूने से पहले NV कहाँ स्थित है।

ग्राउंड ट्रुथ के विरुद्ध विश्वास का कैलिब्रेशन

v1 भार रक्षात्मक हैं, लेकिन वे प्रायर हैं। nv/calibration.py उन्हें लेबल किए गए ग्राउंड ट्रुथ के विरुद्ध ट्यून करता है — ऐसी घटनाएँ जहाँ हम जानते हैं कि कौन सी घुसपैठ का हिस्सा थीं और कौन सी सौम्य थीं — और, महत्वपूर्ण रूप से, मापता है कि क्या ट्यूनिंग ने वास्तव में मदद की, इसलिए कैलिब्रेशन तभी अपनाया जाता है जब यह कैलिब्रेशन त्रुटि को कम करता है, न कि केवल संख्याओं को इधर-उधर घुमाता है।

कैलिब्रेटेड विश्वास का एक ही अर्थ है: किसी चरण के लिए NV का विश्वास उस प्रायिकता के बराबर होना चाहिए कि वह चरण वास्तव में हमले के पथ पर था। इसलिए प्रत्येक लेबल की गई घटना के विश्वास को एक अनुमानित प्रायिकता के रूप में माना जाता है, और हार्नेस फिट करता है:

प्रति-ऑपरेशन आधार दरें — उस ऑपरेशन के लिए अनुभवजन्य हिट दर, बेयसियन रूप से v1 प्रायर की ओर सिकुड़ी हुई ताकि छोटे नमूने ओवरफिट न हों; और
प्रति-संकेत बोनस और दो दंड — सीमित निर्देशांक अवरोहण द्वारा जो Brier स्कोर को न्यूनतम करता है, v1 मानों की ओर L2 खिंचाव के साथ।

verified/withheld थ्रेसहोल्ड नीति हैं, कैलिब्रेशन नहीं, और इन्हें अछूता छोड़ दिया जाता है।

Nimbus Vestige

सबसे लोकप्रिय