Digital Security 1

डिजिटल उपकरणों, नेटवर्क, ऑनलाइन खातों और डेटा को अनधिकृत पहुंच, साइबर हमलों और डेटा क्षति से सुरक्षित रखने की प्रक्रिया।

Confidentiality (गोपनीयता), Integrity (अखंडता), और Availability (उपलब्धता)।

यह सुनिश्चित करना कि संवेदनशील डेटा केवल अधिकृत व्यक्तियों या प्रणालियों द्वारा ही देखा और एक्सेस किया जा सके।

डेटा की सटीकता और पूर्णता को बनाए रखना तथा यह सुनिश्चित करना कि उसमें कोई अनधिकृत फेरबदल या संशोधन न किया गया हो।

अधिकृत उपयोगकर्ताओं को आवश्यकता पड़ने पर सूचना और प्रणालियों तक निरंतर एवं निर्बाध पहुँच प्रदान करना।

यह सिद्धांत कि किसी डिजिटल संदेश या लेन-देन के प्रेषक को अपने द्वारा भेजे गए संदेश से मुकरने (इनकार करने) से रोकना।

प्रमाणीकरण उपयोगकर्ता की पहचान की पुष्टि करता है (आप कौन हैं), जबकि प्राधिकरण यह तय करता है कि उपयोगकर्ता को किन संसाधनों की अनुमति है (आप क्या कर सकते हैं)।

जोखिम = खतरा (Threat) × भेद्यता (Vulnerability) × प्रभाव (Impact)।

किसी सॉफ़्टवेयर, हार्डवेयर या सुरक्षा तंत्र में मौजूद ऐसी खामी या कमजोरी जिसका फायदा उठाकर हमलावर घुसपैठ कर सके।

एक ऐसा कोड या टूल जिसका उपयोग किसी प्रणाली की भेद्यता (Vulnerability) का लाभ उठाकर हमला करने के लिए किया जाता है।

सॉफ़्टवेयर में मौजूद ऐसी सुरक्षा खामी जिसका डेवलपर को ज्ञान होने से पहले ही हमलावरों द्वारा दुरुपयोग कर लिया जाता है।

किसी सिस्टम या नेटवर्क में वे सभी संभावित बिंदु या रास्ते जहाँ से कोई अनधिकृत व्यक्ति प्रवेश कर सकता है या डेटा निकाल सकता है।

तकनीकी खामियों के बजाय मानवीय मनोविज्ञान में हेरफेर करके संवेदनशील जानकारी हासिल करना।

ईमेल या फर्जी वेबसाइटों के माध्यम से वैध संस्था का छद्म रूप धारण कर पासवर्ड या वित्तीय जानकारी चुराना।

यह सामान्य जनसमूह के बजाय किसी विशिष्ट व्यक्ति या संगठन को लक्षित करके तैयार किया गया कस्टमाइज्ड हमला होता है।

संगठन के उच्च अधिकारियों जैसे CEO, CFO या शीर्ष प्रबंधकों (Executive Level) को निशाना बनाने वाला फिशिंग हमला।

विशिंग फोन कॉल (Voice) के जरिए और स्मिशिंग SMS मैसेज के जरिए की जाने वाली फिशिंग है।

किसी पीड़ित को मुफ्त डाउनलोड या मालवेयर-युक्त पेन ड्राइव जैसी लालच (चारा) देकर सिस्टम को संक्रमित करना।

एक झूठी स्थिति या कहानी (Scenario) रचकर पीड़ित का विश्वास जीतना और निजी जानकारी हासिल करना।

एक भौतिक सुरक्षा उल्लंघन जहाँ अनधिकृत व्यक्ति किसी अधिकृत कर्मचारी के ठीक पीछे सुरक्षित परिसर में प्रवेश कर जाता है।

किसी व्यक्ति के पीछे खड़े होकर या छिपकर उसके द्वारा दर्ज किए जा रहे पासवर्ड या PIN को सीधे देखना।

कचरे के डिब्बे या फेंके गए कागजातों से संवेदनशील पासवर्ड, प्रिंटआउट या हार्डवेयर जानकारी की तलाश करना।

प्रतिद्वंद्वी देशों या प्रतिस्पर्धी कंपनियों के गुप्त डेटा, बौद्धिक संपदा या रणनीतिक रहस्यों की चोरी करना।

डीप वेब सर्च इंजन द्वारा इंडेक्स न होने वाला नॉन-पब्लिक डेटा है (जैसे ईमेल inbox), जबकि डार्क वेब विशेष ब्राउज़र (Tor) द्वारा एक्सेस होने वाला एन्क्रिप्टेड नेटवर्क है जहाँ अवैध गतिविधियाँ होती हैं।

प्रतिस्पर्धी या शत्रु देश की सूचना प्रणाली और जनमत को प्रभावित करने या बाधित करने के लिए डिजिटल तकनीकों का सामरिक उपयोग।

Malicious Software; कंप्यूटर प्रणाली, डेटा या उपयोगकर्ताओं को नुकसान पहुँचाने के उद्देश्य से बनाया गया कोई भी हानिकारक सॉफ़्टवेयर।

एक ऐसा प्रोग्राम जो किसी होस्ट फाइल या निष्पाद्य (Executable) प्रोग्राम से जुड़कर स्वयं की प्रतियां बनाता है और उपयोगकर्ता की अनुमति के बिना फैलता है।

1971 में ARPANET पर पाया गया 'Creeper Virus' (जिसने 'I'm the creeper, catch me if you can!' संदेश दिखाया था)।

1986 में पाकिस्तान के अमत ब्रदर्स द्वारा निर्मित 'Brain Virus'।

स्टोरेज डिवाइस के Master Boot Record (MBR) या बूट सेक्टर को, जिससे ऑपरेटिंग सिस्टम चालू होने पर वायरस लोड हो जाता है।

मुख्यतः .exe, .com, .bat जैसी निष्पादन योग्य (Executable) फाइलों को।

यह Microsoft Word या Excel जैसे एम्बेडेड मैक्रो लैंग्वेज वाले दस्तावेज़ों को संक्रमित करता है।

क्योंकि यह हर बार फाइल को संक्रमित करते समय अपना सिग्नेचर या एन्क्रिप्शन कोड बदल लेता है।

यह ऑपरेटिंग सिस्टम के अनुरोधों को इंटरसेप्ट करके फाइल के आकार या संशोधित समय में बदलाव को छिपा देता है।

यह एक साथ बूट सेक्टर और एक्जीक्यूटेबल फाइलों दोनों को संक्रमित करने की क्षमता रखता है।

वर्म को फैलने के लिए किसी होस्ट फाइल या मानव हस्तक्षेप की आवश्यकता नहीं होती; यह नेटवर्क में स्वतः प्रतिकृति (Self-replicate) बनाता है।

1988 में रॉबर्ट तपन मॉरिस द्वारा बनाया गया 'Morris Worm'।

यह दुनिया का पहला परिष्कृत साइबर हथियार था जिसने ईरान के नतांज़ परमाणु केंद्र के SCADA और PLC नियंत्रकों को भौतिक रूप से क्षतिग्रस्त किया।

यह एक उपयोगी या वैध सॉफ़्टवेयर का स्वांग रचता है, लेकिन पृष्ठभूमि में हानिकारक पेलोड चलाकर सिस्टम में अनधिकृत बैकडोर खोलता है।

यह हमलावर को पीड़ित के कंप्यूटर का पूर्ण प्रशासनिक नियंत्रण (Full Administrative Control) दूरस्थ रूप से प्रदान कर देता है।

पीड़ित की फाइलों को एन्क्रिप्ट कर देना और डेटा को अनलॉक करने के बदले फिरौती (Ransom) के रूप में क्रिप्टोकरंसी माँगना।

WannaCry Ransomware (जिसने Windows की EternalBlue भेद्यता का लाभ उठाया था)।

उपयोगकर्ता की सहमति के बिना उसकी इंटरनेट गतिविधियों, क्रेडेंशियल्स और व्यक्तिगत डेटा की गुप्त निगरानी कर उसे तीसरे पक्ष को भेजता है।

एक ऐसा स्पाइवेयर (हार्डवेयर या सॉफ़्टवेयर) जो कीबोर्ड पर दबाए गए प्रत्येक बटन (Keystrokes) को रिकॉर्ड करके पासवर्ड चुराता है।

एक अत्यंत परिष्कृत जीरो-क्लिक (Zero-click) स्पाइवेयर जो स्मार्टफोन्स की गुप्त निगरानी करता है।

ऐडवेयर अवांछित विज्ञापन दिखाता है, जबकि मालवर्टाइजिंग वैध ऑनलाइन विज्ञापन नेटवर्क में मैलवेयर-युक्त कोड शामिल करने की तकनीक है।

ऑपरेटिंग सिस्टम के कर्नल लेवल पर गहराई से छिपकर अन्य मैलवेयर और हमलावर की उपस्थिति को एंटीवायरस से पूरी तरह अदृश्य बनाए रखना।

मैलवेयर से संक्रमित अनेक कंप्यूटरों (जॉम्बी) को एक केंद्रीय कमांड एंड कंट्रोल (C2) सर्वर से जोड़कर विशाल नेटवर्क बनाना।

वह साइबर अपराधी जो संक्रमित बॉटनेट नेटवर्क को नियंत्रित करता है और हमले के निर्देश देता है।

DoS हमला एक सिंगल सिस्टम से होता है, जबकि DDoS हमला बॉटनेट के माध्यम से हजारों/लाखों कंप्यूटरों द्वारा एक साथ लक्षित सर्वर को ओवरलोड करने के लिए किया जाता है।

जब सिस्टम में कोई विशिष्ट स्थिति (जैसे किसी कर्मचारी का नाम हटना या विशिष्ट समय आना) पूरी होती है।

यह लॉजिक बम का प्रकार है जो किसी पूर्व-निर्धारित तिथि या समय पर निष्पादित होता है।

यह हार्ड डिस्क पर कोई फाइल सेव नहीं करता बल्कि सीधे सिस्टम की RAM में चलता है और वैध एडमिन टूल्स (जैसे PowerShell) का दुरुपयोग करता है।

झूठे सुरक्षा अलर्ट दिखाकर पीड़ित को डराता है ताकि वह फर्जी एंटीवायरस सॉफ़्टवेयर खरीदे या मैलवेयर डाउनलोड कर ले।

किसी संक्रमित वेबसाइट पर केवल विजिट करने मात्र से उपयोगकर्ता के बिना क्लिक किए पृष्ठभूमि में मैलवेयर का स्वतः डाउनलोड हो जाना।

कम से कम 12-16 वर्ण लंबा, जिसमें अपरकेस, लोअरकेस, संख्याएँ और विशेष वर्ण (!@#$) का मिश्रण हो।

शब्दकोश के सभी सामान्य शब्दों और उनके संयोजनों की सूची का उपयोग करके तेजी से पासवर्ड का अनुमान लगाना।

सफल पासवर्ड न मिलने तक संभावित सभी वर्णों के संयोजनों (Combinations) को एक-एक करके आजमाना।

पहले से गणना किए गए पासवर्ड्स के हैश मानों की एक विशाल पूर्व-निर्मित तालिका (Precomputed Hash Table) का।

पासवर्ड का हैश बनाने से पहले उसमें एक यादृच्छिक स्ट्रिंग (Random Data) जोड़ना ताकि रेनबो टेबल अटैक को निष्फल किया जा सके।

अद्वितीय और जटिल पासवर्ड उत्पन्न करना तथा उन्हें एक ही मास्टर पासवर्ड द्वारा एन्क्रिप्टेड वॉल्ट में सुरक्षित रखना।

1. Something you know (पासवर्ड/PIN), 2. Something you have (OTP/स्मार्ट कार्ड), 3. Something you are (बायोमेट्रिक्स)।

फिंगरप्रिंट स्कैन, आइरिस (पुतली) स्कैन, फेस रिकग्निशन, और आवाज़ की पहचान।

वह दर जिस पर सिस्टम किसी अनधिकृत (गलत) व्यक्ति को गलती से स्वीकार कर लेता है।

वह प्रतिशत दर जिस पर सिस्टम किसी वैध और अधिकृत उपयोगकर्ता को अस्वीकार कर देता है।

उपयोगकर्ता को केवल एक बार लॉग इन करके विभिन्न संबंधित प्रणालियों तक पहुँच की अनुमति देना।

उपयोगकर्ता के पासवर्ड को साझा किए बिना तीसरे पक्ष के ऐप्स को सीमित पहुँच का अधिकार प्रदान करना (Secure Delegated Access)।

Secure (Hypertext Transfer Protocol Secure), जो SSL/TLS द्वारा डेटा एन्क्रिप्ट करता है।

वेबसाइट और ब्राउज़र के बीच संचार कनेक्शन एन्क्रिप्टेड है और SSL/TLS सर्टिफिकेट वैध है।

वेबसाइटों की पहचान सत्यापित करके उन्हें डिजिटल SSL/TLS प्रमाणपत्र जारी करने वाली विश्वसनीय संस्था।

सेशन कुकीज़ ब्राउज़र बंद करते ही नष्ट हो जाती हैं, जबकि पर्सिस्टेंट कुकीज़ एक निश्चित समाप्ति तिथि तक हार्ड डिस्क पर बनी रहती हैं।

विभिन्न वेबसाइटों पर उपयोगकर्ता के ब्राउज़िंग पैटर्न को ट्रैक करके उसकी डिजिटल प्रोफ़ाइल बनाना।

यह स्थानीय डिवाइस पर ब्राउज़िंग हिस्ट्री और कुकीज़ नहीं सहेजता, लेकिन ISP, नेटवर्क एडमिन और वेबसाइट्स से गतिविधि नहीं छिपाता।

ईमेल हेडर में बदलाव करके प्रेषक के पते को किसी अन्य विश्वसनीय व्यक्ति या संस्था का ईमेल पता दर्शाना।

यह सत्यापित करता है कि ईमेल डोमेन के अधिकृत IP पते वाले मेल सर्वर से ही भेजा गया है या नहीं।

ईमेल में एक डिजिटल हस्ताक्षर (Cryptographic Signature) जोड़ना ताकि संदेश में रास्ते में फेरबदल की जाँच हो सके।

SPF और DKIM की जाँच विफल होने पर ईमेल को रिजेक्ट या क्वारंटाइन करने के लिए नीतियां निर्धारित करना।

Completely Automated Public Turing test to tell Computers and Humans Apart; यह स्वचालित बॉट्स को रोकने हेतु मानव प्रतिक्रिया सुनिश्चित करता है।

यह चित्र पहचान, 'I'm not a robot' चेकबॉक्स या अदृश्य (Invisible) व्यवहार विश्लेषण द्वारा उपयोगकर्ता अनुभव को बेहतर बनाता है।

हमलावर द्वारा वैध वाई-फाई नेटवर्क के नाम से एक फर्जी और समान SSID वाला दुष्ट हॉटस्पॉट बनाकर डेटा इंटरसेप्ट करना।

फाइलों के कोड की तुलना ज्ञात मैलवेयर के पूर्व-परिभाषित डेटाबेस (Virus Signatures) से करना।

कोड के संदिग्ध व्यवहार और संरचना के आधार पर अज्ञात या नए (Zero-Day) मैलवेयर की पहचान करना।

अज्ञात या संदिग्ध फाइलों को एक सुरक्षित और पृथक (Isolated) वर्चुअल वातावरण में चलाकर उनके व्यवहार की जाँच करना।

पूर्व-निर्धारित सुरक्षा नियमों के आधार पर आने वाले और जाने वाले (Inbound & Outbound) नेटवर्क ट्रैफिक को फ़िल्टर व नियंत्रित करना।

नेटवर्क लेयर (Network Layer) और ट्रांसपोर्ट लेयर पर (IP पते और पोर्ट नंबर की जाँच करके)।

यह केवल अलग-अलग पैकेट्स को नहीं देखता बल्कि संपूर्ण नेटवर्क कनेक्शन की स्थिति (State) और सत्रों का ध्यान रखता है।

OSI मॉडल की एप्लिकेशन लेयर (Layer 7) पर, जो विशिष्ट एप्लिकेशन प्रोटोकॉल (जैसे HTTP, FTP) का निरीक्षण करता है।

Deep Packet Inspection (DPI), एकीकृत IPS, TLS/SSL निरीक्षण और एप्लिकेशन अवेयरनेस।

IDS केवल सुरक्षा खतरों की निगरानी और चेतावनी (Alert) देता है (पैसिव), जबकि IPS खतरों को सक्रिय रूप से रोकता और ब्लॉक करता है (एक्टिव)।

संगठन के प्रत्येक एंडपॉइंट डिवाइस (लैपटॉप, मोबाइल) पर निरंतर निगरानी, खतरा पहचान और स्वचालित प्रतिक्रिया क्षमता।

डेटा की 3 प्रतियां रखें, 2 अलग-अलग प्रकार के मीडिया पर सहेजें, और 1 प्रति ऑफ-साइट (क्लाउड या अन्य स्थान) पर रखें।

अत्यंत संवेदनशील कंप्यूटर या नेटवर्क जिसे इंटरनेट या किसी भी बाह्य नेटवर्क से पूरी तरह भौतिक रूप से अलग (Disconnected) रखा जाता है।

सॉफ़्टवेयर विक्रेताओं द्वारा जारी सुरक्षा अपडेट स्थापित करके सिस्टम की ज्ञात खामियों (Vulnerabilities) को समय पर बंद करना।

'Never Trust, Always Verify' (कभी भरोसा न करें, हमेशा सत्यापित करें); नेटवर्क के भीतर या बाहर किसी को भी स्वतः विश्वसनीय न मानना।

नेटवर्क को छोटे-छोटे सुरक्षित क्षेत्रों में बाँटना ताकि यदि एक हिस्सा प्रभावित हो, तो हमलावर पूरे नेटवर्क में न फैल सके (Lateral Movement रोकना)।

यह सुनिश्चित करना कि संवेदनशील डेटा (जैसे क्रेडिट कार्ड नंबर) संगठन के नेटवर्क से बाहर अनधिकृत रूप से लीक या ट्रांसफर न हो।

1. Preparation, 2. Detection & Analysis, 3. Containment, 4. Eradication, 5. Recovery, 6. Post-Incident Lessons।

सूचना प्रौद्योगिकी अधिनियम 2000 के तहत साइबर सुरक्षा घटनाओं पर प्रतिक्रिया, चेतावनी और सुरक्षा उपायों के लिए राष्ट्रीय नोडल एजेंसी।

सार्वजनिक नेटवर्क पर उपयोगकर्ता और रिमोट सर्वर के बीच एक एन्क्रिप्टेड टनल (Encrypted Tunnel) बनाकर IP एड्रेस को छुपाता है।

OpenVPN, WireGuard, IPsec, और L2TP।

असममित एन्क्रिप्शन (Asymmetric Cryptography / Public Key Infrastructure) और क्रिप्टोग्राफिक हैशिंग पर।

यह पब्लिक की सर्टिफिकेट की संरचना और प्रारूप को परिभाषित करने वाला अंतर्राष्ट्रीय मानक (Standard Format) है।

पोर्ट नंबर 22 (Port 22) पर, जो दूरस्थ सर्वर तक सुरक्षित एन्क्रिप्टेड कमांड-लाइन एक्सेस देता है।

डिजिटल सुरक्षा बनाए रखने हेतु नियमित रूप से की जाने वाली सुरक्षित आदतें (जैसे बैकअप, पैच अपडेट, पासवर्ड परिवर्तन, एंटीवायरस स्कैन)।

कर्मचारियों के व्यक्तिगत उपकरणों में सुरक्षा नियंत्रण की कमी के कारण संस्थागत डेटा के लीक होने का खतरा।

संस्थागत डेटा की सुरक्षा हेतु कर्मचारियों के स्मार्टफोन्स को केंद्रीय रूप से कॉन्फ़िगर, मॉनिटर और दूरस्थ रूप से वाइप (Data Wipe) करने के लिए।

किसी सिस्टम की सुरक्षा खामियों को खोजने के लिए अधिकृत और नियंत्रित तरीके से किया जाने वाला सिम्युलेटेड साइबर हमला।

एथिकल हैकर मालिक की पूर्व अनुमति और कानूनी अधिकार के साथ सुरक्षा सुधारने हेतु खामियाँ खोजता है।

रेड टीम हमलावर की भूमिका निभाकर घुसपैठ का प्रयास करती है, जबकि ब्लू टीम रक्षात्मक प्रणाली की रक्षा और प्रतिक्रिया करती है।

रेड टीम और ब्लू टीम के बीच सहयोग और सूचना साझाकरण को सुगम बनाकर कुल सुरक्षा में सुधार करना।