Nimbus Vestige (NV)

क्लाउड और पहचान घटना प्रतिक्रिया के लिए एक फोरेंसिक पुनर्निर्माण इंजन।

खंडित क्लाउड, SaaS और पहचान टेलीमेट्री को देखते हुए — कंट्रोल-प्लेन लॉग, साइन-इन इवेंट, टोकन और सहमति गतिविधि — NV पुनर्निर्माण करता है कि एक घुसपैठ सबसे अधिक संभावित रूप से खातों और सेवाओं के बीच कैसे आगे बढ़ी, उन अन्य सबसे-संभावित पथों की गणना करता है जिन्हें वह ले सकती थी, और प्रत्येक चरण को अंशांकित, व्याख्या-योग्य विश्वास के साथ रिपोर्ट करता है। यह उस बात को प्रमाणित करने से इनकार करता है जिसे साक्ष्य समर्थन नहीं दे सकते।

डिटेक्शन आपको बताता है कि कुछ हुआ। Nimbus Vestige आपको बताता है कैसे — और क्या-क्या।

यह क्यों मौजूद है

आधुनिक घुसपैठें "अंदर नहीं घुसतीं।" वे लॉग इन करती हैं। पहचान अब प्राथमिक हमला वाहन है, जो क्लाउड IR जांचों के बड़े बहुमत में शामिल है, और अधिकांश घुसपैठें कई सतहों तक फैली होती हैं — पहचान प्लस क्लाउड प्लस SaaS प्लस एंडपॉइंट। उन्हें रिकॉर्ड करने वाली टेलीमेट्री खंडित और असंगत है, जो पहले से ही प्रतिक्रियाकर्ताओं को अधूरे डेटा से कहानी को हाथ से पुनर्निर्मित करने के लिए मजबूर करती है।

वह मैन्युअल पुनर्निर्माण धीमा है, और यह एक पूर्वानुमानित तरीके से विफल होता है: प्रतिक्रियाकर्ता पहले प्रशंसनीय वर्णन पर अड़ जाता है और वास्तविक वर्णन को चूक जाता है। NV पुनर्निर्माण को स्वचालित करता है और उस विफलता मोड पर सीधे हमला करता है, हमेशा प्रशंसनीय पथों के क्रमबद्ध स्थान को प्रस्तुत करके, न कि एक एकल कहानी।

महत्वपूर्ण बात यह है कि NV यह ईमानदारी को उत्पाद के रूप में करता है। बाजार का घोषित दुश्मन ब्लैक-बॉक्स विश्वास है — एक उपकरण जो बिना अपना काम दिखाए निष्कर्ष प्रस्तुत करता है। NV जो भी संख्या उत्पन्न करता है, वह उस विशिष्ट साक्ष्य से जुड़ी होती है जिसने उसे अर्जित किया, और जो कुछ वह समर्थन नहीं कर सकता, उसे अनुमान लगाने के बजाय रोक दिया जाता है।

यह क्या है — और क्या नहीं

NV नहीं है एक डिटेक्टर, स्कैनर, ऑडिटर, या अटैक-रनर। वे उपकरण आपको बताते हैं कि कुछ हुआ और उसे मापते हैं। NV उल्टे काम करता है — खंडित पहचान परिदृश्य में पैटर्न से तंत्र का अब्डक्टिव पुनर्निर्माण।

डिटेक्टर नहीं — यह गतिविधि पर अलर्ट नहीं भेजता; यह समझाता है कि गतिविधि एक साथ कैसे फिट होती है।
SIEM नहीं — यह एक संकीर्ण प्रवेश बिंदु (घटना-पश्चात कथा पुनर्निर्माण) से प्रवेश करता है, लॉग प्लेटफॉर्म के रूप में नहीं।
नियम इंजन नहीं — जब कुछ भी किसी ज्ञात पैटर्न से मेल नहीं खाता, तब भी यह पुनर्निर्माण करता है, अंधा होने के बजाय शालीनतापूर्वक क्षमता घटाता है।

यह दीर्घकालिक रूप से मान्य क्यों है

ब्लू टीम पुनः उत्पन्न होती है; रेड टीम कमोडिटी बन जाती है। आक्रामक टूलिंग छिद्रों का एक सीमित, पैच-योग्य सेट ढूंढती है और स्वचालित CI/CD सुरक्षा पाइपलाइनों में समाहित हो रही है। यह पुनर्निर्माण करना कि घुसपैठ कैसे हुई, कभी समाप्त नहीं होता — हमलावर लगातार नए आविष्कार करते रहते हैं, इसलिए आवश्यकता स्थायी और स्व-नवीकरणीय है।
इंजन सब्सट्रेट-स्वतंत्र है। मूल तर्क — पैटर्न से तंत्र का पुनर्निर्माण, अंशांकित विश्वास और एक स्टॉप रेल के साथ — पहले क्लाउड/पहचान के लिए प्रतिबद्ध है, लेकिन बाद में नेटवर्क, एंडपॉइंट और OT पर स्थानांतरित होता है। थीसिस को फिर से लिखे बिना लक्ष्य बदल सकता है।
पुनर्निर्माण हार्डनिंग को सक्षम बनाता है। एक बार जब आप जान जाते हैं कि वे अंदर कैसे आए — और कौन से अन्य दरवाजे खुले थे — तो आप सुरक्षा का निर्माण करते हैं। वे पथ जो नहीं लिए गए लेकिन संभावित हैं, हार्डनिंग बैकलॉग होते हैं, जो अक्सर स्वयं पुनर्निर्माण से अधिक मूल्यवान होते हैं, क्योंकि अधिकांश उल्लंघन रोके जा सकने वाले जोखिम का शोषण करते हैं, न कि नवीन तकनीक का।
यह नई घुसपैठ पर शालीनतापूर्वक क्षमता घटाता है — वही घटना जो सबसे अधिक मायने रखती है। एक सिग्नेचर/नियम इंजन zero-day पर अंधा हो जाता है; NV का अब्डक्टिव कोर अभी भी एक सबसे-संभावित पथ उत्पन्न करता है, जिसे ईमानदारी से निम्न-विश्वास के रूप में चिह्नित किया जाता है।
ईमानदारी एक खाई है। अंशांकित, केस-आधारित विश्वास और क्रमबद्ध विकल्पों के साथ, यह वही है जो बाजार कहता है कि वह चाहता है और जो ब्लैक-बॉक्स प्रतियोगी रीडिज़ाइन के बिना संरचनात्मक रूप से पेश नहीं कर सकते।

आर्किटेक्चर

कच्चे प्रदाता लॉग → सामान्यीकृत इवेंट/एंटिटी ग्राफ → पुनर्निर्माण इंजन → JSON → GUI.``` O365 / Entra audit logs nv_extract_identity_events.py AWS CloudTrail (IAM/STS/S3) nv_extract_cloudtrail_events.py (ingest + normalize) ▼ normalized identity events (JSONL) ← one event model, any substrate │ nv/graph.py (typed per-actor timelines) ▼ reconstruction engine ├─ nv/patterns.py known layer: ATT&CK identity pattern library ├─ nv/providers.py provider packs: per-substrate op→ATT&CK vocab (Entra + AWS) ├─ nv/validation.py Phase 3: provenance + integrity gate on every pattern ├─ nv/feeds.py live ATT&CK STIX / TAXII / Sigma clients + scheduler ├─ nv/confidence.py evidence-corroboration scorer (calibratable weights) ├─ nv/calibration.py fit + measure confidence against labeled ground truth ├─ nv/reconstruct.py most-likely chain + ranked competing paths + trust floor └─ nv/scope.py authorized-scope gate (refuses unauthorized tenants/accounts) │ run_nv.py ▼ reconstruction.json ──► nv_gui.html (embedding canvas + two-column view + trust slider)

GUI एक **शुद्ध दृश्य परत** है — यह इंजन आउटपुट प्रस्तुत करती है और विश्लेषक को विश्वास स्तर बदलने
देती है। इसमें अपना कोई पुनर्निर्माण तर्क नहीं होता।

---

## विश्वास मॉडल (संपूर्ण उत्पाद की विश्वसनीयता)

प्रत्येक चरण [0, 1] में एक विश्वास रखता है, जो **साक्ष्य पुष्टिकरण** द्वारा निर्मित होता है:```
confidence = per-technique base rate
           + bonus for each independent corroborating signal
                 (source IP, device, successful outcome, temporal adjacency, broad-consent flags)
           − penalty for missing signals (e.g. no source IP to corroborate origin)

सत्यापित — आत्मविश्वास ≥ 0.70 और दो या अधिक स्वतंत्र संकेत सहमत हों।
केवल-पैटर्न — विश्वास सीमा से ऊपर लेकिन कमज़ोर या एकल रूप से समर्थित।
रोका गया — विश्वास सीमा से नीचे; धुंधला दिखाया गया, कभी भी चुपचाप अनुमानित या छिपाया नहीं जाता।

पथ स्कोर अपनी कड़ियों को ज्यामितीय माध्य से संयोजित करते हैं, इसलिए एक कमज़ोर कड़ी ईमानदारी से पथ को नीचे खींचती है, न कि औसत में विलीन हो जाती है।

ऊपर दिया गया हर भार — प्रति-तकनीक आधार दरें, प्रति-संकेत बोनस, लापता दंड — एक ही PARAMS तालिका में nv/confidence.py में रहता है। ये NV के v1 पूर्व मान हैं, और वे कैलिब्रेट करने योग्य हैं: nv/calibration.py उन्हें लेबल किए गए ग्राउंड ट्रुथ के विरुद्ध पुनः फिट कर सकता है, और इंजन परिणाम लोड करेगा, जब कोई कैलिब्रेशन न दिया गया हो तो v1 पूर्व मानों पर वापस आ जाएगा (नीचे देखें)।

विश्वास सीमा

रोकने का नियम, इंजन के आउटपुट अनुबंध में अंतर्निहित है — केवल UI में नहीं। सीमा से नीचे, एक चरण रोक दिया जाता है। सीमा को खींचना ईमानदारी-बनाम-कवरेज व्यापार-अप को मूर्त रूप देना है: ऊपर सख्त/उच्च-विश्वास के लिए, नीचे उदार/उच्च-कवरेज के लिए। डिफ़ॉल्ट सीमा एक संपादकीय निर्णय है कि विश्लेषक के छूने से पहले NV कहाँ स्थित है।

ग्राउंड ट्रुथ के विरुद्ध आत्मविश्वास कैलिब्रेट करना

v1 भार बचाव योग्य हैं, लेकिन वे पूर्व मान हैं। nv/calibration.py उन्हें लेबल किए गए ग्राउंड ट्रुथ के विरुद्ध ट्यून करता है — ऐसी घटनाएँ जहाँ हम जानते हैं कि कौन सी घुसपैठ का हिस्सा थीं और कौन सी हानिरहित थीं — और, महत्वपूर्ण रूप से, मापता है कि ट्यूनिंग ने वास्तव में मदद की या नहीं, इसलिए कैलिब्रेशन तभी अपनाया जाता है जब वह कैलिब्रेशन त्रुटि को कम करता है, न कि केवल संख्याओं को इधर-उधर करता है।

कैलिब्रेटेड आत्मविश्वास का एक ही अर्थ है: किसी चरण के लिए NV का आत्मविश्वास उस संभावना के बराबर होना चाहिए कि वह चरण वास्तव में हमले के पथ पर था। इसलिए प्रत्येक लेबल किए गए इवेंट के आत्मविश्वास को एक भविष्यवाणित संभावना के रूप में माना जाता है, और हार्नेस यह फिट करता है:

प्रति-ऑपरेशन आधार दरें — उस ऑपरेशन के लिए अनुभवजन्य हिट दर, Bayesian रूप से v1 पूर्व मान की ओर संकुचित, जिससे छोटे नमूने ओवरफिट न हों; और
प्रति-संकेत बोनस और दो दंड — बाउंडेड कोऑर्डिनेट डिसेंट द्वारा, जो Brier स्कोर को v1 मानों की ओर L2 खिंचाव के साथ न्यूनतम करता है।

सत्यापित/रोके-गए थ्रेशोल्ड नीति हैं, कैलिब्रेशन नहीं, और उन्हें यथावत छोड़ दिया जाता है।

Nimbus Vestige

सबसे लोकप्रिय