नेटवर्क सुरक्षा की बुनियाद: CIA त्रय और व्यावहारिक नियंत्रण

CIA त्रय और AAA

गोपनीयता पढ़ने का अधिकार अधिकृत पक्षों तक सीमित रखती है; इसके उपायों में एक्सेस अनुमतियाँ और एन्क्रिप्टेड VPN या HTTPS कनेक्शन शामिल हैं। अखंडता अनदेखे बदलावों से बचाती है, जिसमें SHA-256 जैसे हैश और डिजिटल हस्ताक्षर सहायक हैं। उपलब्धता आवश्यकता के समय सिस्टम उपयोग योग्य रखती है; इसके उपायों में अतिरिक्त वैकल्पिक व्यवस्था, उच्च उपलब्धता और सेवा-अस्वीकरण हमलों से सुरक्षा शामिल हैं।

AAA तीन प्रश्न अलग करता है। प्रमाणीकरण पासवर्ड, टोकन या बायोमेट्रिक से पहचान स्थापित करता है, जिसमें बहु-कारक विधियाँ शामिल हैं। प्राधिकरण अनुमत कार्रवाइयाँ तय करता है, जैसे VLAN 10 या SSH का एक्सेस। गतिविधि लेखांकन प्रासंगिक गतिविधि दर्ज करता है ताकि प्रशासक पता कर सकें कि किसने क्या और कब बदला।

CIA त्रय निर्णय लेने का मॉडल है

एक नियंत्रण कई लक्ष्यों में सहायता कर सकता है या उनके बीच समझौता पैदा कर सकता है। बहुत प्रतिबंधित फ़ायरवॉल गोपनीयता बचा सकता है, लेकिन गलत कॉन्फ़िगरेशन पर उपलब्धता बिगाड़ सकता है। प्रत्येक सिस्टम के लिए आवश्यक सुरक्षा और विफलता के परिणामों का आकलन करें।

सार्वजनिक स्थिति दस्तावेज़ की गोपनीयता आवश्यकता क्रेडेंशियल से अलग है, फिर भी उसे मज़बूत अखंडता चाहिए हो सकती है। यह संदर्भ जोखिम देखे बिना हर जगह समान नियंत्रण लगाने से रोकता है।

जोखिम संदर्भ पर निर्भर करता है

कमज़ोरी ऐसी खामी है जिसका लाभ उठाया जा सकता है; खतरा कोई संभावित व्यक्ति या घटना-कारक है। जोखिम वास्तविक वातावरण में संभावना और प्रभाव को जोड़ता है। अलग-थलग प्रयोगशाला में खुला प्रबंधन पोर्ट इंटरनेट पर खुले पोर्ट से अलग है। नियंत्रण संभावना, प्रभाव या दोनों घटाते हैं; बचा हुआ जोखिम कैसे संभालना है, यह जवाबदेह ज़िम्मेदार व्यक्ति तय करे।

बहुस्तरीय सुरक्षा पहचान, नेटवर्क विभाजन, सुरक्षित कॉन्फ़िगरेशन, पैच, लॉगिंग, बैकअप और घटना प्रतिक्रिया जोड़ती है। परतें पर्याप्त स्वतंत्र होनी चाहिए ताकि एक नियंत्रण विफल होने पर तुरंत सब कुछ असुरक्षित न हो जाए।

• मैन-इन-द-मिडल: हमलावर दो पक्षों का संवाद पढ़ता या बदलता है; प्रमाणित एन्क्रिप्शन, प्रमाणपत्र जाँच और सुव्यवस्थित कुंजी प्रबंधन जोखिम घटाते हैं।
• सेवा-अस्वीकरण: अत्यधिक अनुरोध सिस्टम को अभिभूत करते हैं; दर सीमाएँ और फ़ायरवॉल उपलब्ध नियंत्रणों में शामिल हैं।
• फ़िशिंग: भ्रामक अनुरोध लॉग-इन विवरण चुराते हैं; प्रशिक्षण और MFA जोखिम घटाते हैं।
• ब्रूट फ़ोर्स: बार-बार पासवर्ड का अनुमान लगाना; मज़बूत पासवर्ड और उचित खाता लॉकआउट नियंत्रण सहायक होते हैं।

संचालन में नियंत्रण प्रमाणित करें

लिखित नीति उन उपकरणों की रक्षा नहीं करती जिनका कॉन्फ़िगरेशन उससे अलग है। आधार मानक, नियमित स्कैन, केंद्रीय लॉग और परीक्षण दिखाते हैं कि अपेक्षित नियंत्रण प्रभावी है या नहीं। फ़ायरवॉल, रूटिंग और पहचान के बदलावों को पता लगाए जा सकने वाली समीक्षा और रोलबैक योजना चाहिए।

घटना के दौरान पहले से तय भूमिकाएँ, संवाद माध्यम और उपयोगी टाइमस्टैम्प महत्वपूर्ण हैं। अभ्यास वास्तविक हमले से पहले गायब एक्सेस, अधूरे लॉग और अस्पष्ट निर्णय सामने लाते हैं।