"हमने अच्छी सावधानियां बरती हैं और मेरा मानना है कि हम अच्छी तरह से सुरक्षित हैं।" अक्सर बोला जाने वाला यह वाक्य सुरक्षा की झूठी भावना पैदा करता है। हालाँकि कई कंपनियों ने साइबर सुरक्षा में निवेश किया है, लेकिन उन्हें केवल आपातकालीन स्थिति में ही पता चलता है कि क्या सुरक्षा लचीलापन वास्तव में सभी क्षेत्रों में अपना वादा पूरा करता है या नहीं। आईटी सुरक्षा भेद्यता आकलन और प्रवेश परीक्षण पहले से कहीं अधिक महत्वपूर्ण हैं।
वर्तमान की तरह अध्ययन सोफोस ख़तरे की रिपोर्ट दिखाएँ कि तमाम प्रयासों के बावजूद, साइबर अपराधियों के लिए अभी भी बहुत सारी खामियाँ हैं। विश्लेषण किए गए सभी मैलवेयर मामलों में से लगभग 50 प्रतिशत मामलों में लक्षित छोटी और मध्यम आकार की कंपनियां शामिल थीं और सभी साइबर हमलों में से 90 प्रतिशत में डेटा या पहचान की चोरी शामिल थी। साइबर अपराधी बाद में इस चोरी की गई जानकारी का उपयोग अनधिकृत रिमोट एक्सेस, जबरन वसूली या रैंसमवेयर इंस्टॉल करने जैसे आगे के कार्यों के लिए करते हैं। इसके अलावा, असुरक्षित IoT डिवाइस अक्सर साइबर अपराधियों के लिए प्रवेश द्वार होते हैं।
आईटी अवसंरचना में अज्ञात कमजोरियाँ
समस्या शायद ही सुरक्षा समाधानों की है, बल्कि आईटी बुनियादी ढांचे में अज्ञात कमजोरियां हैं जिन्हें स्पष्ट पहचान के बिना सुरक्षित नहीं किया जा सकता है। इसलिए, नियमित भेद्यता मूल्यांकन और प्रवेश परीक्षण महत्वपूर्ण हैं। केवल वे ही कंपनी में सुरक्षा और साइबर लचीलेपन की वास्तविक स्थिति के बारे में विश्वसनीय प्रतिक्रिया प्रदान करते हैं।
भेद्यता आकलन और प्रवेश परीक्षण के अलग-अलग लक्ष्य हैं। एनआईएसटी के अनुसार, भेद्यता मूल्यांकन एक "सूचना प्रणाली की कमजोरियों का औपचारिक विवरण और मूल्यांकन" प्रदान करता है, जबकि प्रवेश परीक्षण एक पद्धति का उपयोग करता है "जिसमें ऑडिटर, आमतौर पर कुछ बाधाओं के तहत काम करते हैं, सिस्टम की सुरक्षा सुविधाओं को दरकिनार करने या दूर करने का प्रयास करते हैं।" केवल दोनों उपायों के परिणाम कंपनियों को मौजूदा जोखिमों के बारे में जानकारी प्रदान करते हैं और निष्कर्ष निकालने की अनुमति देते हैं कि इन जोखिमों को खत्म करते समय कौन सी प्राथमिकताएं निर्धारित की जानी चाहिए।
दोनों उपायों की आवृत्ति कंपनी के आईटी व्यवहार और कानूनी नियमों (जैसे भुगतान कार्ड उद्योग) पर निर्भर करती है। कम तकनीकी उतार-चढ़ाव वाली कंपनियां (जैसे कोड परिवर्तन, हार्डवेयर अपग्रेड, कार्मिक परिवर्तन, टोपोलॉजी परिवर्तन इत्यादि) परीक्षण के बिना नहीं कर सकती हैं, लेकिन कम आवृत्ति के साथ। उच्च तकनीकी परिवर्तन का अनुभव करने वाले संगठन अधिक लगातार परीक्षण के साथ अपने साइबर लचीलेपन को बढ़ाते हैं।
भेद्यता आकलन और प्रवेश परीक्षण के चरण
🔎 सोफोस में फील्ड सीटीओ कमर्शियल जॉन शियर की टिप्पणी (छवि: सोफोस)।
भेद्यता मूल्यांकन और प्रवेश परीक्षण आयोजित करने में 12 प्रमुख चरण शामिल हैं - खोज से मूल्यांकन तक उपचार और अंतिम रिपोर्टिंग तक:
- कार्यक्षेत्र की परिभाषा: परीक्षण किए जाने वाले सिस्टम, नेटवर्क और एप्लिकेशन और किसी विशिष्ट लक्ष्य या उद्देश्य सहित दायरे को स्पष्ट रूप से परिभाषित करें।
- अन्वेषण: सार्वजनिक रूप से उपलब्ध जानकारी और सोशल इंजीनियरिंग तकनीकों जैसे निष्क्रिय साधनों का उपयोग करके लक्ष्य प्रणालियों, नेटवर्क और अनुप्रयोगों के बारे में जानकारी इकट्ठा करना।
- भेद्यता स्कैनिंग: ज्ञात कमजोरियों, गलत कॉन्फ़िगरेशन और कमजोरियों के लिए लक्ष्य प्रणालियों की जांच करने के लिए स्वचालित उपकरणों का उपयोग। इसमें आंतरिक और बाहरी दोनों स्कैन शामिल हो सकते हैं।
- जोखिम मूल्यांकन: गंभीरता, प्रभाव और शोषण की संभावना के आधार पर कमजोरियों की पहचान करने और प्राथमिकता देने के लिए भेद्यता स्कैन परिणामों का विश्लेषण करें।
- मैन्युअल परीक्षण: स्वचालित स्कैन के परिणामों को मान्य और सत्यापित करने के लिए मैन्युअल परीक्षण करें और स्वचालित उपकरणों द्वारा नहीं पहचानी गई अतिरिक्त कमजोरियों की पहचान करें।
- भेदन परीक्षण: लक्ष्य प्रणालियों, नेटवर्कों और अनुप्रयोगों की सुरक्षा स्थिति का आकलन करने के लिए कमजोरियों का सक्रिय रूप से शोषण करना। विभिन्न तकनीकों का उपयोग किया जा सकता है, उदा. बी. नेटवर्क शोषण, वेब अनुप्रयोगों और सोशल इंजीनियरिंग पर हमले।
- शोषण के बाद: एक बार जब लक्ष्य वातावरण में पैर जमा लिया जाता है, तो आगे की खोज की जाती है और वास्तविक हमलावर द्वारा पहुंचाए जाने वाले संभावित नुकसान की सीमा निर्धारित करने के लिए विशेषाधिकार बढ़ाए जाते हैं।
- दस्तावेज़ीकरण: खोजी गई कमजोरियों, उपयोग की गई शोषण तकनीकों और उपचार या शमन के लिए किसी भी सिफारिश सहित सभी निष्कर्षों को एकत्रित और संकलित करें।
- रिपोर्टिंग: मूल्यांकन के परिणामों के साथ सुरक्षा अधिकारियों और प्रबंधन दोनों के लिए एक व्यापक रिपोर्ट तैयार करें, जिसमें सारांश, कमजोरियों का तकनीकी विवरण, जोखिम मूल्यांकन और सुधार या शमन के लिए सिफारिशें शामिल हों।
- उपचारात्मक कार्य योजना: मूल्यांकन के परिणामों के साथ-साथ संगठन की जोखिम सहनशीलता और व्यावसायिक प्राथमिकताओं के आधार पर प्राथमिकताएं स्थापित करें और उपचारात्मक कार्रवाइयों की योजना बनाएं।
- पुनर्मूल्यांकन: यह सत्यापित करने के लिए अनुवर्ती मूल्यांकन करें कि कमजोरियों को प्रभावी ढंग से ठीक कर लिया गया है और यह सुनिश्चित करने के लिए कि कंपनी के सिस्टम, नेटवर्क और अनुप्रयोगों की सुरक्षा स्थिति में सुधार हुआ है।
- निरंतर निगरानी: नई सुरक्षा कमजोरियाँ उत्पन्न होने पर उनकी पहचान करने और उन्हें दूर करने के लिए नियमित निगरानी और परीक्षण प्रक्रियाओं को लागू करें।
सोफोस के बारे में सोफोस पर 100 देशों में 150 मिलियन से अधिक उपयोगकर्ता भरोसा करते हैं। हम जटिल आईटी खतरों और डेटा हानि के विरुद्ध सर्वोत्तम सुरक्षा प्रदान करते हैं। हमारे व्यापक सुरक्षा समाधानों को तैनात करना, उपयोग करना और प्रबंधित करना आसान है। वे उद्योग में स्वामित्व की सबसे कम कुल लागत की पेशकश करते हैं। सोफोस पुरस्कार विजेता एन्क्रिप्शन समाधान, एंडपॉइंट, नेटवर्क, मोबाइल डिवाइस, ईमेल और वेब के लिए सुरक्षा समाधान प्रदान करता है। मालिकाना विश्लेषण केंद्रों के हमारे वैश्विक नेटवर्क सोफोसलैब्स से भी समर्थन प्राप्त है। सोफोस का मुख्यालय बोस्टन, यूएसए और ऑक्सफोर्ड, यूके में है।