किसी ने हेल्प डेस्क पर कॉल किया, खुद को कर्मचारी बताया, और दूसरी तरफ बैठे व्यक्ति को पासवर्ड रीसेट करने के लिए मना लिया। बस, इतना ही। हमलावरों ने अगले कई दिनों तक नेटवर्क में इधर-उधर टोह ली, और जब तक नुकसान हो नहीं गया, तब तक किसी को कुछ असामान्य नजर ही नहीं आया।

मैं यह इसलिए बता रहा हूँ क्योंकि यह दिखाता है कि एक ही सुरक्षा नियंत्रण पर भरोसा करना क्यों खराब दांव है। MGM का फ़ायरवॉल शायद ठीक था। उनका एंटीवायरस भी शायद अपडेटेड था। कुछ भी मायने नहीं रखा क्योंकि हमला उस चैनल से आया जिसे वे टूल कवर नहीं करते।

इस लेख में, मैं आपको यह वास्तव में सेटअप करना सिखाऊँगा। कौन-से नियंत्रण कहाँ लगते हैं। किसी विक्रेता की सेल्स पिच के बजाय अपनी विशेष संस्था की ज़रूरतें कैसे समझें। और अंत में, एक बार सब चलने लगे तो कैसे पता करें कि यह वास्तव में कुछ काम कर रहा है या नहीं।

डिफ़ेंस इन डेप्थ का वास्तविक अर्थ

डिफ़ेंस इन डेप्थ यह मानकर चलता है कि आपके द्वारा तैनात हर एक नियंत्रण अंततः विफल हो सकता है। इसलिए आप उन्हें परत-दर-परत लगाते हैं। पहली रुकावट गिरती है, दूसरी हमलावरों को धीमा करती है। तीसरी शायद एक अलर्ट ट्रिगर कर देती है। उसी कड़ी में कहीं आप इतना समय खरीद लेते हैं कि कोई इंसान गौर करके कार्रवाई कर सके।

डिफ़ेंस इन डेप्थ का विचार सैन्य रणनीति से आया है। किले बनाने वालों ने यह अवधारणा सैकड़ों साल पहले समझ ली थी। कोई भी यह उम्मीद नहीं करता था कि एक ही दीवार हर सेना को रोक देगी। इसलिए उन्होंने खाइयाँ खोदीं। कई फाटक बनाए जिन्हें हमलावरों को एक के बाद एक तोड़ना पड़े। दूर से खतरे देखने के लिए बुर्ज खड़े किए। अंतिम सहारे के रूप में अंदरूनी किलाबंदी जोड़ी। आधुनिक सेनाओं की अपनी प्रणालियाँ हैं।

कंप्यूटर नेटवर्क भी वास्तव में इतने अलग नहीं हैं, इसलिए ‘डिफ़ेंस इन डेप्थ’ शब्द अपनाया गया है।

डिफ़ेंस इन डेप्थ के मूल घटक

मैं कुछ विशेषताओं को समझाऊँगा, जिनमें रेडंडेंसी, परतदार सुरक्षा, डिटेक्ट-डिले-रिस्पॉन्ड, और लीस्ट प्रिविलेज शामिल हैं।

रेडंडेंसी का मतलब है एक ही खतरे को कवर करने वाले बैकअप नियंत्रण होना। मान लें आपका ईमेल फ़िल्टर किसी फ़िशिंग लिंक को छोड़ देता है। अच्छा नहीं, लेकिन अगर आपका एंडपॉइंट डिटेक्शन पेलोड को पकड़ ले जब कोई उसे चलाने की कोशिश करे, तो आप अब भी सुरक्षित हैं। और अगर एंडपॉइंट डिटेक्शन भी किसी तरह चूक जाए, तो नेटवर्क मॉनिटरिंग मैलवेयर के कमांड-एंड-कंट्रोल से कनेक्ट होने पर असामान्य ट्रैफ़िक पैटर्न को फ़्लैग कर सकती है। इनमें से कोई भी प्रयास व्यर्थ नहीं है। ये सुरक्षा जाल हैं, जब कुछ फिसल जाए।

परतदार सुरक्षा आपके नियंत्रणों को फैलाती है। सर्वर रूम से लोगों को बाहर रखने के लिए भौतिक ताले। नेटवर्क सेगमेंटेशन ताकि एक सिस्टम के समझौता होने से सबकुछ सुलभ न हो जाए। एप्लिकेशन फ़ायरवॉल्स इंजेक्शन हमलों को रोकते हैं। एन्क्रिप्शन वास्तविक डेटा की रक्षा करता है, भले ही आपकी बाकी सारी सुरक्षा टूट जाए। अलग-अलग नियंत्रण समस्या के अलग-अलग हिस्सों को संबोधित करते हैं।

एक अवधारणा है जिसे लोग डिटेक्ट-डिले-रिस्पॉन्ड कहते हैं, जो बताती है कि परतें वास्तव में आपके लिए क्या करती हैं। कुछ नियंत्रण आपको खतरों पर ध्यान दिलाते हैं। लॉग, अलर्ट, अनोमली डिटेक्शन, वगैरह। अन्य नियंत्रण हमलावरों को धीमा करते हैं। सेगमेंटेशन, एक्सेस प्रतिबंध, एन्क्रिप्शन जो चुराए गए डेटा को बेकार बना देता है। और फिर आपकी प्रतिक्रिया क्षमताएँ होती हैं। प्लेबुक्स, स्वचालित कंटेनमेंट, फॉरेंसिक। कोई भी नियंत्रण जो इन तीन कार्यों में से कम-से-कम एक में योगदान नहीं देता, शायद अपनी कीमत नहीं वसूल रहा।

और फिर लीस्ट प्रिविलेज। किसी को भी उसके वास्तविक काम से अधिक एक्सेस नहीं मिलता। आपका मार्केटिंग व्यक्ति डोमेन कंट्रोलर पर एडमिन अधिकारों की ज़रूरत नहीं रखता। वेब सर्वर को कस्टमर डेटाबेस पर राइट एक्सेस की ज़रूरत नहीं है। इससे समझौता होने पर नुकसान सीमित रहता है। और अकाउंट्स समझौता होंगे।

व्यवसायों को डिफ़ेंस इन डेप्थ क्यों चाहिए

पहले यह धारणा थी कि आप बहुत मजबूत घेरा बना लें और उसके पीछे की हर चीज़ भरोसेमंद है। यह तब तक ठीक था जब सभी लोग एक ही बिल्डिंग में बैठकर एक ही नेटवर्क में प्लग किए कंप्यूटरों का इस्तेमाल करते थे।

अब वह दुनिया नहीं रही। लोग अब घर से काम करते हैं, या कॉफ़ी शॉप्स से, या बिज़नेस ट्रिप्स पर होटल वाई-फ़ाई से। कंपनी का डेटा AWS, Azure, Google Cloud और दर्जन भर SaaS एप्लिकेशनों में रहता है। आजकल, कंपनी का डेटा शायद ही उन सर्वरों पर सुरक्षित बैठा हो जिन्हें आप भौतिक रूप से नियंत्रित करते हैं।

हमलावरों ने भी अपना तरीका बदला है। रैनसमवेयर समूह डेटा एन्क्रिप्ट करने से पहले उसे चुरा लेते हैं। तो भले ही आपके पास शानदार बैकअप हों, वे सब कुछ सार्वजनिक करने की धमकी देकर फिर भी आपसे वसूली कर सकते हैं। बिज़नेस ईमेल कॉम्प्रोमाइज इंसानों को पैसे ट्रांसफर करने या क्रेडेंशियल्स सौंपने में फँसाता है, और कोई फ़ायरवॉल इसे नहीं रोकता। 

वाकई परिष्कृत समूह नेटवर्क में घुस आते हैं और बस... वहीं टिके रहते हैं। 

कभी-कभी महीनों तक। धीरे-धीरे चलते हुए। चुपचाप। इंतज़ार करते हुए।

एक नियंत्रण यह सब सम्भाल ही नहीं सकता। आपको परतें चाहिए।

कुछ मशहूर सेंधमारियाँ हैं जिन्होंने डिफ़ेंस इन डेप्थ की ज़रूरत को स्पष्ट कर दिया:

टारगेट 2013 में। हमलावर HVAC ठेकेदार से चुराए गए क्रेडेंशियल्स के जरिए अंदर आए। वहाँ से भुगतान प्रणालियों तक बढ़ गए। वे ऐसा इसलिए कर पाए क्योंकि टारगेट का आंतरिक नेटवर्क मूलतः फ्लैट था और लैटरल मूवमेंट रोकने के लिए बहुत कम था। अगर विक्रेताओं और कोर सिस्टम्स के बीच उचित नेटवर्क आइसोलेशन होता, या अंदर बेहतर मॉनिटरिंग, या पॉइंट-ऑफ-सेल टर्मिनलों पर एंडपॉइंट डिटेक्शन... इनमें से कोई भी हमले को पकड़ने का मौका दे सकता था।

और भी मशहूर उदाहरण है 2020 का SolarWinds। वैध सॉफ़्टवेयर अपडेट में दुर्भावनापूर्ण कोड फिसल गया। जिन संगठनों के पास सख्त नेटवर्क मॉनिटरिंग और व्यवहारिक विश्लेषण था, उन्होंने अजीब DNS ट्रैफ़िक देखकर सेंध पकड़ी। बाकी सबको तब तक कुछ गलत नज़र नहीं आया जब तक बहुत देर नहीं हो गई।

अपनी डिफ़ेंस इन डेप्थ रणनीति की योजना बनाना

उपकरण खरीदने से शुरू न करें। यह समझने से शुरू करें कि आप क्या सुरक्षित कर रहे हैं और उसे क्या खतरा है।

जोखिम का आकलन

पहले परिसंपत्तियों की सूची बनाएं। खुद से पूछें: किन प्रणालियों में संवेदनशील डेटा है? इसमें ग्राहक रिकॉर्ड, बौद्धिक संपदा, और वे ऑपरेशनल सिस्टम शामिल हो सकते हैं जो व्यवसाय को चलाए रखते हैं। लेकिन सिर्फ सूची न बनाएं। यह भी रैंक करें कि अगर उनमें से कोई समझौता हो जाए तो कितना बुरा होगा।

अगला, यह तय करें कि आपकी स्थिति पर कौन-सी धमकियाँ लागू होती हैं। अस्पतालों के जोखिम फिनटेक स्टार्टअप्स से अलग होते हैं, और वे रिटेल चेन से अलग। बाहरी हमलावरों पर विचार करें, ज़रूर। लेकिन अंदरूनी लोगों की गलतियों या दुर्भावनापूर्ण कृत्यों पर भी। संभावित दुर्घटनाओं पर भी विचार करें। MITRE ATT&CK फ्रेमवर्क शत्रु तकनीकों का कैटलॉग देता है, जो यह सुनिश्चित करने में मदद करता है कि आप स्पष्ट हमले के रास्ते न चूकें।

अगला, कमजोरियों का आकलन करें। स्कैन चलाएँ। कॉन्फ़िगरेशन की समीक्षा करें। एप्लिकेशनों का परीक्षण करें। जो मिला उसे अपनी परिसंपत्ति सूची से मैप करें। क्या कोई उच्च-मूल्य लक्ष्य है जिसमें शोषण योग्य कमजोरी है? यदि हाँ, तो यह आपकी प्राथमिकता सूची के शीर्ष पर जाता है।

जोखिम मूलतः खतरा × कमजोरी × प्रभाव है। सबसे उच्च जोखिम वाले संयोजनों को पहले संबोधित करें। मैं आपके पेमेंट प्रोसेसिंग सिस्टम में मध्यम-स्तर की कमजोरी को किसी रैंडम डेवलपमेंट सर्वर पर क्रिटिकल कमजोरी से अधिक महत्वपूर्ण सुधार मानूँगा।

आर्किटेक्चर बनाना

जो अभी है, उसे प्रलेखित करें। नेटवर्क जोन, ट्रस्ट बाउंड्री, और मौजूदा नियंत्रणों को ड्रॉ करें। अधिकांश संगठनों को सिर्फ कागज़ पर मैपिंग करने से ही महत्वपूर्ण गैप्स मिल जाते हैं।

फिर तय करें कि कहाँ पहुँचना है। हर परत के लिए देखें कि कौन-से नियंत्रण पहले से हैं या गायब हैं, वे कौन-सी धमकियों को संबोधित करते हैं, और वे अन्य परतों से कैसे जुड़ते हैं।

यह आख़िरी हिस्सा अक्सर लोगों की सोच से ज़्यादा मायने रखता है। ऐसा फ़ायरवॉल जो आपके SIEM को लॉग नहीं भेजता, ब्लाइंड स्पॉट बनाता है। ऐसा EDR जिसे आपके ईमेल सिक्योरिटी से थ्रेट इंटेल नहीं मिलता, संदर्भ से वंचित रहता है। सिर्फ कौन-से टूल खरीदने हैं, यह नहीं—अपने टूल्स के बीच डेटा फ्लो की योजना बनाएँ।

लेगेसी सिस्टम सब कुछ मुश्किल बना देते हैं। वह पुराना Windows Server 2012 बॉक्स जो कुछ चला रहा है जिसे कोई छूना नहीं चाहता? आप उसे कल पैच नहीं कर सकते। अगले महीने बदल भी नहीं सकते। लंबी अवधि की योजना बनाते हुए क्षतिपूरक नियंत्रण प्रलेखित करें। आप नेटवर्क आइसोलेशन, अतिरिक्त मॉनिटरिंग, और एप्लिकेशन व्हाइटलिस्टिंग के जरिए काम कर सकते हैं। माइग्रेशन पर काम करते हुए जोखिम घटाएँ।

और व्यवसाय को ध्यान में रखें। ऐसी सुरक्षा जो वैध काम में बाधा डाले, शैडो आईटी और जुगाड़ पैदा करती है। ऐसे नियंत्रण बनाएँ जो सुरक्षित ऑपरेशंस को सक्षम करें, न कि हर चीज़ पर ना कहें।

डिफ़ेंस इन डेप्थ तभी काम करती है जब आपको पता हो कि डेटा वास्तव में कहाँ रहता है और कैसे चलता है। Understanding Modern Data Architecture डेटा लेक, वेयरहाउस, पाइपलाइन्स और उनके आपसी जुड़ाव से गुज़ारती है, ताकि आप सही जगहों पर नियंत्रण लगा सकें।

डिफ़ेंस इन डेप्थ की परतें: कहाँ क्या लगता है

हर परत अलग-अलग अटैक सरफेस संभालती है। यहाँ हर स्तर पर क्या होना चाहिए।

भौतिक सुरक्षा

भौतिक पहुँच तकनीकी नियंत्रणों को मूलतः दरकिनार कर देती है। अगर कोई दुर्भावनापूर्ण व्यक्ति आपके डेटा सेंटर में घुस जाए, तो वह सारा एन्क्रिप्शन और नेटवर्क सेगमेंटेशन बेमानी हो जाता है।

यह कहना जरूरी नहीं होना चाहिए। आपको लॉगिंग के साथ बैज एक्सेस चाहिए, एंट्री पॉइंट्स पर कैमरे, और विज़िटर साइन-इन प्रक्रियाएँ। आपको ऐसे सर्वर रैक भी चाहिए जो सच में लॉक हों, और हार्डवेयर रिटायर करते समय सुरक्षित निपटान। रिमोट वर्क के लिए, लैपटॉप एन्क्रिप्शन अनिवार्य करें और पब्लिक स्पेसेज़ में काम करने की नीतियाँ रखें।

मूल सिद्धांत: सिर्फ अधिकृत लोग ही महत्वपूर्ण प्रणालियों को भौतिक रूप से छुएँ।

परिधि सुरक्षा

यह वह जगह है जहाँ आपका नेटवर्क इंटरनेट से मिलता है, और यही पहली तकनीकी रक्षा रेखा है।

• फ़ायरवॉल्स नियमों के आधार पर ट्रैफ़िक को फ़िल्टर करते हैं। नेक्स्ट-जेनरेशन फ़ायरवॉल एप्लिकेशन जागरूकता जोड़ते हैं और एन्क्रिप्टेड ट्रैफ़िक का निरीक्षण कर सकते हैं। इन्हें इंटरनेट सीमाओं पर और प्रमुख आंतरिक ज़ोन के बीच लगाएँ।
• IDS/IPS हमले के सिग्नेचर और अनियमितताओं की तलाश में ट्रैफ़िक पैटर्न का विश्लेषण करते हैं। IDS अलर्ट भेजता है। IPS स्वतः ब्लॉक करता है। इन्हें परिधि पर और महत्वपूर्ण आंतरिक चोकपॉइंट्स पर तैनात करें।
• DMZs उन सेवाओं को अलग-थलग करते हैं जिन्हें सार्वजनिक रूप से एक्सपोज़ होना होता है। वेब सर्वर DMZ में होते हैं। वे कंटेंट सर्व कर सकते हैं लेकिन दूसरी फ़ायरवॉल के पीछे मौजूद डेटाबेस तक सीधे नहीं पहुँच सकते।
• DDoS सुरक्षा हमलों को आपकी बैंडविड्थ संतृप्त होने से पहले सोख लेती है। ज़्यादातर संगठनों के लिए क्लाउड-आधारित स्क्रबिंग सेवाएँ ऑन-प्रेम उपकरणों से बेहतर हैंडल करती हैं।

आंतरिक नेटवर्क सुरक्षा

हमलावर अंततः परिधि को पार कर ही लेंगे। उसके बाद क्या होता है, यह तय करता है कि घटना मामूली है या बड़ा भंग।

• नेटवर्क सेगमेंटेशन आंतरिक नेटवर्क को कार्य और संवेदनशीलता के आधार पर जोनों में बाँटता है। प्रोडक्शन अलग, डेवलपमेंट अलग। फाइनेंस अलग, मार्केटिंग अलग। कर्मचारी डेटा वाले HR सिस्टम्स अपने अलग क्षेत्र में।
• VLANs डिवाइसेज़ को तार्किक रूप से समूहित करते हैं। माइक्रोसेगमेंटेशन व्यक्तिगत वर्कलोड्स को अलग-थलग करता है। खासकर क्लाउड वातावरणों में उपयोगी जहाँ भौतिक अलगाव संभव नहीं।
• आंतरिक फ़ायरवॉल और ACLs सेगमेंट्स के बीच नियम लागू करते हैं। नेटवर्क के अंदर होना अपने-आप में हर चीज़ तक पहुँच का अधिकार नहीं होना चाहिए।
• आंतरिक मॉनिटरिंग लैटरल मूवमेंट पर नज़र रखती है। सेगमेंट्स के बीच असामान्य SMB ट्रैफ़िक। अप्रत्याशित RDP कनेक्शन। असामान्य डेटा ट्रांसफ़र। सभी जाँच के लायक।

एंडपॉइंट सुरक्षा

एंडपॉइंट सुरक्षा का संबंध लैपटॉप, डेस्कटॉप, सर्वर्स और फ़ोन्स से है। यहीं उपयोगकर्ता अपना काम करते हैं और यहीं हमले वास्तविक रूप से उतरते हैं।

• EDR एंडपॉइंट गतिविधि मॉनिटर करता है, दुर्भावनापूर्ण व्यवहार का पता लगाता है, जाँच को सक्षम करता है। आधुनिक टूल्स सिर्फ ज्ञात मैलवेयर सिग्नेचर्स से फ़ाइल मिलान के बजाय व्यवहारिक विश्लेषण का उपयोग करते हैं।
• एंटीवायरस कम परिष्कृत चीज़ों को पकड़ता है। EDR के नीचे एक बुनियादी परत के रूप में अब भी रखने लायक।
• डिवाइस प्रबंधन कॉन्फ़िगरेशन मानकों को लागू करता है, पैच पुश करता है, खोए हुए डिवाइसेज़ को रिमोट से वाइप कर सकता है। मोबाइल और रिमोट वर्क परिदृश्यों के लिए महत्वपूर्ण।
• होस्ट-आधारित फ़ायरवॉल यह सीमित करते हैं कि एंडपॉइंट कौन-से नेटवर्क कनेक्शन बना सकते हैं।
• एप्लिकेशन व्हाइटलिस्टिंग यह सीमित करती है कि कौन-सा सॉफ़्टवेयर चल सकता है।
• पैच प्रबंधन प्रणालियों को अद्यतन रखता है। अधिकांश सेंधें अनपैच्ड कमजोरियों से शुरू होती हैं।

एप्लिकेशन सुरक्षा

एप्लिकेशन डेटा प्रोसेस करते हैं। एप्लिकेशन कमजोरियाँ छिपाते हैं।

• सुरक्षित विकास अभ्यास समस्याओं को प्रोडक्शन तक पहुँचने से पहले पकड़ लेते हैं। डिज़ाइन के दौरान थ्रेट मॉडलिंग। सुरक्षित कोडिंग मानक। शिप करने से पहले कोड रिव्यू। मुद्दों को जल्दी ढूँढना, डिप्लॉयमेंट के बाद ठीक करने से कहीं कम लागत का होता है।
• SAST और DAST कमजोरियों की खोज को स्वचालित करते हैं। बिल्ड्स के दौरान स्टैटिक एनालिसिस चलाएँ। डिप्लॉय की गई एप्लिकेशनों पर डायनेमिक टेस्टिंग चलाएँ।
• वेब एप्लिकेशन फ़ायरवॉल्स SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग, OWASP टॉप 10 के मानक अटैक क्लासेस से बचाते हैं। किसी भी सार्वजनिक-फेसिंग चीज़ के आगे इन्हें रखें।
• API सुरक्षा यही सोच प्रोग्रामेटिक इंटरफेस तक बढ़ाती है। इनपुट्स वैलिडेट करें। अनुरोधों को प्रमाणित करें। दुरुपयोग रोकने के लिए रेट-लिमिट करें।
• एप्लिकेशन पैचिंग ऑपरेटिंग सिस्टम पैचिंग जितनी ही महत्वपूर्ण है। 2021 में Log4j ने दिखाया कि कमजोर लाइब्रेरीज़ के अनपैच्ड रहने पर क्या होता है।

डेटा सुरक्षा

डेटा आमतौर पर वही है जो हमलावर वास्तव में चाहते हैं। जब आपकी बाकी सारी परतें विफल हो जाएँ, तब भी इसे सुरक्षित रखें।

• स्थिर अवस्था में एन्क्रिप्शन संग्रहीत डेटा की रक्षा करता है। एंडपॉइंट्स पर फुल-डिस्क एन्क्रिप्शन। संवेदनशील टेबलों के लिए डेटाबेस एन्क्रिप्शन। एन्क्रिप्टेड बैकअप। चोरी हुआ हार्डवेयर अगर डेटा अपठनीय है तो कुछ नहीं देता।
• परिवहन के दौरान एन्क्रिप्शन नेटवर्क पार करते समय डेटा की रक्षा करता है। वेब ट्रैफ़िक के लिए TLS। रिमोट एक्सेस के लिए VPNs।
• DLP ईमेल, क्लाउड अपलोड्स और USB ड्राइव्स के जरिए बाहर जाते संवेदनशील डेटा पर नज़र रखता है। डेटा वर्गीकरण के अनुसार अलर्ट, चेतावनी या ब्लॉक के लिए कॉन्फ़िगर करें।
• डेटा वर्गीकरण जानकारी को संवेदनशीलता स्तर के अनुसार लेबल करता है। हर चीज़ को अधिकतम सुरक्षा की ज़रूरत नहीं। वर्गीकरण आपकी सबसे मजबूत परतों को वहीं केंद्रित करता है जहाँ उनकी सबसे ज़्यादा ज़रूरत है।
• राइट्स मैनेजमेंट यह नियंत्रित करता है कि कौन विशिष्ट दस्तावेज़ों को एक्सेस, एडिट, साझा और डाउनलोड कर सकता है। बौद्धिक संपदा और किसी भी विनियमित सामग्री के लिए उपयोगी।

अगर कोई एक परत है जिसे आपको सही करना ही है, तो वह डेटा है। Introduction to Data Security यह बताती है कि डेटा को कैसे वर्गीकृत करें, सही एन्क्रिप्शन रणनीतियाँ चुनें, और ऐसे नियंत्रण डिज़ाइन करें जो लोगों को अपना काम करने दें।

प्रशासनिक नियंत्रण

सिर्फ टेक्नोलॉजी से काम नहीं चलेगा।

• नीतियाँ और प्रक्रियाएँ अपेक्षाएँ दस्तावेज़ करती हैं। स्वीकार्य उपयोग। एक्सेस प्रबंधन। इन्सिडेंट रिस्पॉन्स। डेटा हैंडलिंग। प्रवर्तन के बिना नीतियाँ सिर्फ दिखावा हैं।
• सुरक्षा जागरूकता प्रशिक्षण मानव-परत की कमजोरियों को घटाता है। फ़िशिंग सिमुलेशन। सुरक्षित व्यवहार कोचिंग। स्पष्ट रिपोर्टिंग चैनल। कर्मचारियों को एक डिटेक्शन परत में बदलें।
• इन्सिडेंट रिस्पॉन्स प्लानिंग तब की तैयारी करती है जब रोकथाम विफल हो। प्रलेखित प्लेबुक्स। परिभाषित भूमिकाएँ। संचार टेम्पलेट्स। नियमित टेबलटॉप अभ्यास ताकि मसल मेमोरी बने।
• बैकग्राउंड जाँच और एक्सेस रिव्यू इनसाइडर जोखिम को प्रबंधित करते हैं। जिन्हें आप नियुक्त कर रहे हैं, उनकी जाँच-पड़ताल करें। समय-समय पर समीक्षा करें कि एक्सेस अधिकार मौजूदा नौकरी कार्यों से अब भी मेल खाते हैं या नहीं।

सामान्य उत्पाद और अभ्यास

बड़े टूल्स और कार्यप्रणालियाँ परतदार मॉडल में कैसे फिट बैठती हैं।

मल्टी-फैक्टर ऑथेंटिकेशन

MFA आपके पासवर्ड के साथ कुछ ऐसा जोड़ता है जो आपके पास है या जो आप हैं। चोरी हुए क्रेडेंशियल्स अपने-आप में अकाउंट समझौते में नहीं बदलते।

सबसे पहले हर इंटरनेट-फेसिंग चीज़ पर लागू करें। VPN, ईमेल, और क्लाउड एप्लिकेशन। फिर महत्वपूर्ण आंतरिक प्रणालियों तक बढ़ाएँ। FIDO2 या WebAuthn का उपयोग करने वाले हार्डवेयर टोकन, SMS कोड्स की तुलना में फ़िशिंग के प्रति बेहतर प्रतिरोधी होते हैं, जिन्हें इंटरसेप्ट या SIM-स्वैप किया जा सकता है।

ज़ीरो ट्रस्ट

ज़ीरो ट्रस्ट नेटवर्क को, अनुरोध कहीं से भी आएँ, शत्रुतापूर्ण मानता है। हर बार सब कुछ सत्यापित होता है।

इसके पीछे के विचार: पहचान, डिवाइस स्वास्थ्य, लोकेशन, और डेटा संवेदनशीलता जैसे हर उपलब्ध सिग्नल से वेरिफ़ाई करें। न्यूनतम समय के लिए न्यूनतम अनुमति दें। ऐसे डिज़ाइन करें मानो सेंध पहले से लगी हो, ताकि प्रभाव क्षेत्र सीमित हो और डिटेक्शन संभव हो।

यह कोई ऐसी चीज़ नहीं है जो आप शेल्फ से खरीद लें। यह एक आर्किटेक्चर परिवर्तन है जो पहचान प्रबंधन, डिवाइस नीतियों, नेटवर्क डिज़ाइन, और एप्लिकेशनों की पहुँच के तरीकों को छूता है। अधिकांश संगठन पहचान से शुरू करते हैं—मजबूत प्रमाणीकरण और कंडीशनल एक्सेस लगाकर—और फिर समय के साथ आगे बढ़ाते हैं।

पैच प्रबंधन

कमजोरियों का शोषण होता है। किसी चीज़ के सार्वजनिक रूप से उजागर होने और हमलावरों द्वारा उसे हथियार बनाने के बीच की खिड़की लगातार छोटी होती जा रही है।

पैचिंग शेड्यूल सेट करें। क्रिटिकल चीज़ें एक से तीन दिन में। उच्च-गंभीरता वाली एक सप्ताह में। मध्यम और निम्न मासिक चक्रों पर। सिस्टम और बिज़नेस यूनिट के हिसाब से ट्रैक करें कि यह वास्तव में हो भी रहा है या नहीं।

कुछ प्रणालियाँ सचमुच जल्दी पैच नहीं हो सकतीं। उनके लिए क्षतिपूरक नियंत्रण प्रलेखित करें। उन्नत मॉनिटरिंग। नेटवर्क आइसोलेशन। एप्लिकेशन व्हाइटलिस्टिंग। लंबी अवधि के समाधान पर काम करते हुए जोखिम घटाएँ।

व्यवहारिक विश्लेषण

सिग्नेचर मिलान ज्ञात खतरों को पकड़ता है। व्यवहारिक विश्लेषण अनजाने खतरों को उनके अजीब व्यवहार से पकड़ता है।

UEBA टूल्स सामान्य गतिविधि की बेसलाइन बनाते हैं और विचलन होने पर फ़्लैग करते हैं। कोई उपयोगकर्ता जो सामान्यतः कुछ फाइलें छूता है, अचानक हज़ारों डाउनलोड कर रहा है? अलर्ट। कोई सर्विस अकाउंट जब नहीं करना चाहिए तब इंटरैक्टिव लॉगिन कर रहा है? संदिग्ध।

NDR नेटवर्क ट्रैफ़िक पर समान विश्लेषण करता है। असामान्य प्रोटोकॉल। अप्रत्याशित डेस्टिनेशंस। अजीब डेटा वॉल्यूम।

हालाँकि ये टूल्स बहुत शोर भी पैदा करते हैं। सावधानी से ट्यून करें। अलर्ट्स की जाँच के लिए पर्याप्त स्टाफ रखें। वरना सब ढेर लग जाएगा और वास्तविक खतरे खो जाएँगे।

लीस्ट प्रिविलेज

सरल विचार। अच्छी तरह से लागू करना कठिन।

भूमिका-आधारित एक्सेस कंट्रोल से शुरू करें। भूमिकाएँ नौकरी के कार्य के अनुसार परिभाषित करें। अनुमतियाँ भूमिकाओं को सौंपें। लोगों को भूमिकाओं में असाइन करें। नियमित समीक्षा करें क्योंकि लोग पद बदलते हैं और एक्सेस समय के साथ जमा होती चली जाती है यदि कोई साफ-सफाई न करे।

विशेषाधिकार प्राप्त खातों को अतिरिक्त सुरक्षा चाहिए। क्रेडेंशियल्स को वॉल्ट में रखें। चेकआउट वर्कफ़्लो अनिवार्य करें। सेशनों को रिकॉर्ड करें। उच्च-स्तरीय एक्सेस पर समय सीमा लगाएँ।

सर्विस अकाउंट्स को न भूलें। इन्वेंटरी बनाएँ। हर एक के लिए किसी को ज़िम्मेदार ठहराएँ। उनकी क्षमताएँ सीमित करें। समय-समय पर क्रेडेंशियल्स घुमाएँ।

निरंतर मॉनिटरिंग

जिसके बारे में आपको पता ही नहीं, उस पर आप प्रतिक्रिया नहीं दे सकते।

SIEM हर जगह से लॉग खींचता है और घटनाओं का सहसंबंध बनाता है। फ़ायरवॉल्स, एंडपॉइंट्स, एप्लिकेशन, पहचान प्रणालियाँ—सब एक जगह फीड होकर आप पूरे वातावरण में पैटर्न देख सकें।

सिक्योरिटी एनालिटिक्स मशीन लर्निंग का उपयोग करती है ताकि डेटा की मात्रा में वे चीज़ें भी सतह पर आएँ जिन्हें इंसान चूक जाएँ।

स्वचालित अलर्टिंग महत्वपूर्ण घटनाओं को तुरंत सही लोगों तक पहुँचाती है। एस्केलेशन पाथ सेट करें ताकि क्रिटिकल चीज़ें कतार में पड़ी न रहें।

ट्यूनिंग कभी खत्म नहीं होती। बहुत अधिक अलर्ट और लोग थक जाते हैं या नज़रअंदाज़ करने लगते हैं। बहुत कम और आप असली हमले चूक जाते हैं। उच्च-विश्वास डिटेक्शन से शुरू करें और सावधानी से विस्तार करें।

आधुनिक परिवेश

पारंपरिक डिफ़ेंस इन डेप्थ मानती थी कि सब कुछ ऑन-प्रेम स्पष्ट परिधि के पीछे रहता है। अब अधिकांश संगठन ऐसे काम नहीं करते।

क्लाउड और हाइब्रिड

क्लाउड ज़िम्मेदारियों को बदल देता है। प्रदाता भौतिक सुरक्षा और हाइपरवाइज़र जैसी चीज़ें संभालता है। IaaS के लिए आप ऑपरेटिंग सिस्टम से ऊपर की हर चीज़ संभालते हैं, या SaaS के लिए सिर्फ डेटा और एक्सेस।

AWS, Azure, और GCP सभी ऐसी मैट्रिसेस प्रकाशित करते हैं जो ठीक-ठीक बताती हैं कि किसकी क्या ज़िम्मेदारी है। इन्हें गलत पढ़ने से सेंध लगती है। लोग मान लेते हैं कि क्लाउड प्रदाता कुछ संभाल रहा है जो असल में उनका काम है।

क्लाउड-नेटिव सुरक्षा टूल्स गैप्स भरने के लिए उभरे हैं। CSPM लगातार मिसकन्फ़िगरेशन के लिए स्कैन करता है। CASB SaaS एप्लिकेशनों के लिए नीतियाँ लागू करता है। CWPP कंटेनर्स, सर्वरलेस फ़ंक्शंस और वर्चुअल मशीनों की रक्षा करता है।

मल्टी-क्लाउड सब कुछ और जटिल बनाता है। AWS, Azure, और GCP में सुसंगत नीतियाँ बनाने के लिए ऐसे टूल्स चाहिए जो प्रदाताओं के बीच के अंतर छिपा दें।

हाइब्रिड का मतलब है कुछ चीज़ें ऑन-प्रेम रहती हैं जबकि बाकी क्लाउड में चलती हैं। पहचान वह सामान्य धागा बन जाती है। फेडरेटेड आइडेंटिटी और कंडीशनल एक्सेस नीतियाँ जो इस परवाह के बिना काम करें कि एप्लिकेशन वास्तव में कहाँ रहते हैं।

यदि आप इसे और समझना चाहते हैं, तो AWS Security and Cost Management दिखाती है कि साझा ज़िम्मेदारी मॉडल को ठोस गार्डरेइल्स—IAM, नेटवर्क नियंत्रण, लॉगिंग, और लागत-सचेत सुरक्षा निर्णयों—में कैसे बदला जाए।

OT और सप्लाई चेन

ऑपरेशनल टेक्नोलॉजी वातावरण बिल्कुल अलग तरह के होते हैं। मैन्युफैक्चरिंग फ्लोर। पावर प्लांट्स। मेडिकल डिवाइसेज़। दशकों तक चलने के लिए बने सिस्टम। पैचिंग जटिल या असंभव। डाउनटाइम के भौतिक सुरक्षा नतीजे होते हैं।

OT के लिए डिफ़ेंस इन डेप्थ का फोकस भारी रूप से सेगमेंटेशन पर होता है। OT नेटवर्क को एयर-गैप करें या IT प्रणालियों से किसी भी कनेक्शन को कड़े रूप से सीमित करें। ऐसे मॉनिटरिंग टूल्स का उपयोग करें जो औद्योगिक प्रोटोकॉल वास्तव में समझते हों। कौन जुड़ सकता है और किन तरीकों से—इसे सीमित करें। किसी भी बदलाव को प्रोडक्शन में छूने से पहले अच्छी तरह टेस्ट करें।

SolarWinds के बाद सप्लाई चेन जोखिम पर बहुत ध्यान गया। समझौता किए गए बिल्ड प्रोसेज़ वैध सॉफ़्टवेयर अपडेट्स के जरिए हज़ारों संगठनों तक मैलवेयर पहुँचा सकते हैं।

यहाँ नियंत्रणों में विक्रेता सुरक्षा प्रथाओं का आकलन, सॉफ़्टवेयर बिल ऑफ़ मटेरियल्स का विश्लेषण करके अपनी निर्भरताओं में क्या है यह जानना, कोड सिग्नेचर्स की जाँच, और विश्वसनीय सॉफ़्टवेयर से असामान्य व्यवहार की मॉनिटरिंग शामिल हैं।

इसे चरणों में बनाना

पहले तीन महीने: नींव

एसेट इन्वेंटरी और डेटा वर्गीकरण पूरा करें। हर इंटरनेट-फेसिंग चीज़ पर MFA डिप्लॉय करें। EDR और पैच प्रबंधन के साथ बुनियादी एंडपॉइंट सुरक्षा चालू करें। प्रमुख जोनों के बीच नेटवर्क सेगमेंटेशन सेट करें। केंद्रीकृत लॉगिंग कॉन्फ़िगर करें और एक बुनियादी SIEM खड़ा करें।

महीना चार से छह: सशक्तिकरण

MFA को महत्वपूर्ण आंतरिक एप्लिकेशनों तक बढ़ाएँ। एंटी-फ़िशिंग और सैंडबॉक्सिंग सहित ईमेल सुरक्षा डिप्लॉय करें। संवेदनशील डेटा प्रकारों के लिए DLP रोल आउट करें। आंतरिक नेटवर्क में मॉनिटरिंग जोड़ें। इन्सिडेंट रिस्पॉन्स प्लेबुक्स लिखें और उन्हें वास्तव में चलाएँ।

महीना सात से बारह: परिपक्वता

प्रिविलेज्ड एक्सेस मैनेजमेंट लागू करें। व्यवहारिक एनालिटिक्स डिप्लॉय करें। एप्लिकेशन सुरक्षा परीक्षण को विकास वर्कफ़्लो में एकीकृत करें। एक रेड टीम को बुलाएँ और अपनी सुरक्षा परतों का परीक्षण कराएँ। दीर्घकालिक ज़ीरो ट्रस्ट माइग्रेशन की योजना बनाना शुरू करें।

निरंतर

प्रत्येक तिमाही में एक्सेस रिव्यू। साल में कम-से-कम एक बार पेनिट्रेशन टेस्टिंग। कभी न रुकने वाला वल्नरेबिलिटी मैनेजमेंट। नियमित टेबलटॉप अभ्यास। समय-समय पर सुरक्षा जागरूकता रिफ्रेशर।

विभिन्न उद्योग इसे कैसे अपनाते हैं

वित्तीय सेवाओं के संगठन आमतौर पर डेटा एन्क्रिप्शन, नेटवर्क सेगमेंटेशन, धोखाधड़ी का पता लगाने, और विशेषाधिकार प्राप्त एक्सेस को नियंत्रित करने पर भारी फोकस रखते हैं। वे PCI DSS और SOX आवश्यकताओं, रीयल-टाइम ट्रांज़ैक्शन मॉनिटरिंग, और थर्ड-पार्टी पेमेंट प्रोसेसर्स से आने वाले जोखिमों से निपटते हैं।

हेल्थकेयर एंडपॉइंट सुरक्षा, एक्सेस नियंत्रण, DLP, और मेडिकल डिवाइसेज़ की सुरक्षा पर जोर देता है। HIPAA इसका बहुत कुछ निर्देशित करता है। ऐसा लेगेसी मेडिकल उपकरण जिसे विक्रेता पैच नहीं करेंगे या नहीं कर सकते, लगातार सिरदर्द पैदा करता है। रोगी सुरक्षा सिर्फ डेटा सुरक्षा से परे एक और आयाम जोड़ती है।

मैन्युफैक्चरिंग OT और IT नेटवर्क्स को अलग रखना, भौतिक सुरक्षा, और सप्लाई चेन वेरिफिकेशन को प्राथमिकता देता है। औद्योगिक नियंत्रण प्रणालियों की अपनी कमजोरियाँ होती हैं। अपटाइम आवश्यकताएँ अत्यधिक होती हैं। सेफ़्टी सिस्टम जटिलता बढ़ाते हैं।

रिटेल पॉइंट-ऑफ-सेल सुरक्षा, पेमेंट कार्ड डेटा की सुरक्षा, और ई-कॉमर्स एप्लिकेशनों को मजबूत करने पर फोकस करता है। मौसमी ट्रैफ़िक ऐसे स्पाइक्स बनाता है जो इन्फ्रास्ट्रक्चर की परीक्षा लेते हैं। कई जगहों पर फैले स्टोर्स को सुसंगत रूप से मैनेज करना मुश्किल है। ग्राहक डेटा की सुरक्षा अनुपालन और प्रतिष्ठा दोनों के लिए मायने रखती है।

कैसे जानें कि डिफ़ेंस इन डेप्थ काम कर रहा है

ट्रैक करें कि आप खतरों का पता कितनी जल्दी लगाते हैं। पता लगने के बाद आप कितनी जल्दी प्रतिक्रिया करते हैं। क्या कमजोरियाँ आपके तय समय-सीमा में वाकई सुधरती हैं। आपके कितने प्रतिशत क्रिटिकल एसेट्स हर प्रकार के नियंत्रण से कवर हैं। कितने लोग फ़िशिंग सिमुलेशनों पर क्लिक करते हैं।

लेकिन मेट्रिक्स कहानी का सिर्फ एक हिस्सा बताते हैं। नियमित रूप से वल्नरेबिलिटी असेसमेंट्स चलाएँ। कम-से-कम साल में एक बार पेनिट्रेशन टेस्टरों को बुलाएँ। रेड टीम अभ्यास आपकी डिटेक्शन और रिस्पॉन्स की परीक्षा लेते हैं, सिर्फ यह नहीं कि आपके प्रिवेंटिव नियंत्रणों में छेद हैं या नहीं। टेबलटॉप्स उन प्रक्रिया समस्याओं और संचार टूटनों को उजागर करते हैं जिन्हें तकनीकी परीक्षण चूक जाते हैं।

कहाँ संगठन चूक जाते हैं

जटिलता बेकाबू हो सकती है। हर नया टूल चेक करने के लिए एक और कंसोल जोड़ता है, संभालने के लिए और अलर्ट, और इंटीग्रेशन का काम। जहाँ संभव हो, समेकित करें। सैद्धांतिक पूर्णता के बजाय वास्तविक जोखिम के आधार पर बेरहमी से प्राथमिकता दें।

बजट कभी भी आपकी सारी इच्छाएँ कवर नहीं करता। अपना खर्च उन सबसे बड़े जोखिमों पर केंद्रित करें जो आपकी सबसे क्रिटिकल परिसंपत्तियों को हैं। जो योजना वास्तव में लागू हो जाए, वह उस परफेक्ट योजना से बेहतर है जो अटक जाए।

जो टूल्स एक-दूसरे से बात नहीं करते, वे गैप्स बनाते हैं। ऐसे फ़ायरवॉल्स जो SIEM को लॉग नहीं भेज सकते। ऐसा EDR जिसे ईमेल सुरक्षा से थ्रेट इंटेल नहीं मिलता। प्रोक्योरमेंट के दौरान इंटीग्रेशन के बारे में सोचें, बाद में नहीं।

अलर्ट फ़टीग लोगों को थका देती है। जब सब कुछ अलर्ट है, तब कुछ भी अलर्ट नहीं है। आक्रामक रूप से ट्यून करें। जिन चीज़ों को आप फ़ॉल्स पॉज़िटिव जानते हैं, उन्हें दबाएँ। रूटीन चीज़ों को ऑटोमेट करें। वरना असली खतरे दब जाते हैं।

जो सुरक्षा काम में बाधा बनती है, उसे दरकिनार कर दिया जाता है। लोग जुगाड़ ढूँढ लेते हैं। शैडो आईटी फैलती है। बिज़नेस हितधारकों को डिज़ाइन प्रक्रिया में शामिल करें। वास्तविक उपयोगकर्ताओं के साथ टेस्ट करें। घर्षण बिंदुओं को ठीक करें।

समापन

डिफ़ेंस इन डेप्थ कोई ऐसी परियोजना नहीं है जिसका अंत दिनांक हो। यह सतत काम है। परतें लगाना, उन्हें संदर्भ साझा करने के लिए जोड़ना, यह परखना कि वे सच में खतरों को पकड़ती हैं या नहीं, और सीखे के आधार पर समायोजन करना।

व्यावहारिक काम में जोखिम मैप करना, हर परत पर नियंत्रण लगाना, उन नियंत्रणों को एक-दूसरे से जोड़ना, क्या हो रहा है इसे मापना, और लगातार सुधार करना शामिल है। क्लाउड और रिमोट वर्क ने पारंपरिक तरीके में बदलाव मजबूर किए हैं, पर बुनियादी विचार वही है।

कुछ चुनें और शुरू करें। 

MFA नहीं लगाया? यही आपका पहला प्रोजेक्ट है। नेटवर्क मूलतः फ्लैट है? सेगमेंट करें। अलर्ट्स में डूबे हैं जिन पर कोई नज़र नहीं डालता? ट्यून करें और ऑटोमेट करें। हर सुधार पिछले पर टिकता है।

यदि आप इसके बारे में और सीखना चाहते हैं, तो ये संसाधन हमने जो कवर किया उससे अच्छी तरह मेल खाते हैं:

• Introduction to Data Security, जो आपको डेटा परत सही करने में मदद करता है।
• AWS Security and Cost Management, जो आपको इन विचारों को ठोस AWS नियंत्रणों में बदलने देता है।
• Understanding Modern Data Architecture, जहाँ आप देख सकते हैं कि आपका डेटा और सिस्टम वास्तव में कहाँ रहते हैं।
• AI Security and Risk Management, यह समझने के लिए कि AI प्रणालियों और वर्कलोड्स पर डिफ़ेंस इन डेप्थ कैसे लागू करें।

यदि आप इस लेख के बाद सिर्फ एक काम करें: अपनी सबसे महत्वपूर्ण परिसंपत्तियों को उनके मौजूदा नियंत्रणों के मुकाबले मैप करें। जो गैप्स मिलें, वे बताएँगे कि अगला फोकस कहाँ होना चाहिए।