धमकी (थ्रेट कंप्यूटर)
कंप्यूटर सुरक्षा में, धमकी(थ्रेट कंप्यूटर) संभावित नकारात्मक क्रिया या घटना है जो कोई कमियां (कंप्यूटिंग) द्वारा सुगम होती है जिसके परिणामस्वरूप कंप्यूटर सिस्टम या एप्लिकेशन पर अनावश्यक प्रभाव पड़ता है।
धमकी या तो कोई नकारात्मक निश्चयपूर्वक घटना हो सकती है (अर्थात् हैकिंग: प्रतिभावान व्यक्ति या आपराधिक संगठन) या कोई आकस्मिक नकारात्मक घटना (जैसे कंप्यूटर के खराब होने की संभावना, या भूकंप, अग्नि जैसी प्राकृतिक आपदा घटना की संभावना, या बवंडर) या अन्यथा परिस्थिति, क्षमता, क्रिया, या घटना हो सकती है।[1]
यह कोई खतरे वाले अभिनेता से अलग है जो व्यक्ति या समूह है जो खतरे की कार्रवाई कर सकता है, जैसे नकारात्मक प्रभाव को वास्तविक बनाने के लिए कमियों का उपयोग करता है।
सूचना आश्वासन बिंदु से जुड़ी अधिक व्यापक परिभाषा, संयुक्त राज्य अमेरिका के NIST द्वारा संघीय सूचना प्रसंस्करण मानक (FIPS) 200, संघीय सूचना और सूचना प्रणाली के लिए न्यूनतम सुरक्षा आवश्यकताएं में पाई जा सकती है।[2]
- ऐसी कोई भी परिस्थिति या घटना जिसमें किसी सूचना प्रणाली के माध्यम से सूचना के अनधिकृत उपयोग, विनाश प्रकटीकरण संशोधन, और/या सेवा से अस्वीकृति, के माध्यम से संगठनात्मक संचालन (मिशन कार्यों, छवि, या प्रतिष्ठा सहित) पर प्रतिकूल प्रभाव डालने की क्षमता हो, साथ ही किसी विशेष सूचना प्रणाली कमियां का सफलतापूर्वक उपयोग करने के लिए खतरे के स्रोत की भी क्षमता होनी चाहिए ।
राष्ट्रीय सूचना आश्वासन शब्दावली 'खतरे' को इस प्रकार परिभाषित करती है:
- ऐसी कोई भी परिस्थिति या घटना जिसमें डेटा के अनधिकृत उपयोग, विनाश प्रकटीकरण संशोधन और/या सेवा से अस्वीकृति, के माध्यम से आईएस पर प्रतिकूल प्रभाव पड़ने की संभावना हो।
एनीसा समान परिभाषा देता है:[3]
- अनधिकृत पहुंच, विनाश, प्रकटीकरण, डेटा के संशोधन, और/या सेवा से अस्वीकृति के माध्यम से किसी संपत्ति [जी.3] पर प्रतिकूल प्रभाव डालने की क्षमता वाली कोई भी परिस्थिति या घटना।
ओपन ग्रुप 'खतरे' को इस प्रकार परिभाषित करता है:[4]
- ऐसी कोई भी चीज़ जो किसी परिसंपत्ति और/या संगठन को हानि पहुँचाने वाले प्रणालीयों से कार्य करने में सक्षम हो; उदाहरण के लिए, भगवान के कार्य (मौसम, भूवैज्ञानिक घटनाएं, आदि); दुर्भावनापूर्ण अभिनेता; त्रुटियां; असफलताओं।
सूचना कठिनाई का कारक विश्लेषण 'खतरे' को इस प्रकार परिभाषित करता है:[5]
- खतरे कुछ भी (जैसे, वस्तु, पदार्थ, मानव, आदि) हैं जो किसी संपत्ति के खिलाफ इस प्रकार से कार्य करने में सक्षम हैं जिससे हानि हो सकती है। जैसे- बवंडर, धमकी, बाढ़, हैकर। मुख्य विचार यह है कि खतरे किसी संपत्ति के खिलाफ बल (पानी, हवा, उपयोग कोड, आदि) लागू करते हैं जिससे हानि की घटना हो सकती है।
राष्ट्रीय सूचना आश्वासन प्रशिक्षण और शिक्षा केंद्र 'खतरे' की अधिक स्पष्ट परिभाषा देता है:[6][7]
- 1. वह साधन जिसके माध्यम से किसी स्वचालित प्रणाली, सुविधा, या संचालन को प्रतिकूल रूप से प्रभावित करने के लिए खतरे वाले एजेंट की क्षमता या आशय प्रकट हो सकती है। खतरों को निम्नानुसार वर्गीकृत और वर्गीकृत करें: श्रेणियाँ वर्ग मानव निश्चयपूर्वक अनभिज्ञ पर्यावरण प्राकृतिक गढ़े हुए
- 2. कोई भी परिस्थिति या घटना जिसमें विनाश, प्रकटीकरण, संशोधन या डेटा, और/या सेवा से अस्वीकृति के रूप में सिस्टम को हानि पहुंचाने की क्षमता हो।
- 3. ऐसी कोई भी परिस्थिति या घटना जिसमें ADP सिस्टम या गतिविधि को विनाश, प्रकटीकरण, और डेटा के संशोधन, या सेवा से अस्वीकृति के रूप में हानि पहुँचाने की क्षमता हो। धमकी हानि की संभावना है। खतरे की उपस्थिति का अर्थ यह नहीं है कि यह अनिवार्य रूप से वास्तविक हानि का कारण होगा। सिस्टम या गतिविधि के अस्तित्व के कारण खतरे उपस्थित हैं न कि किसी विशिष्ट कमजोरी के कारण। उदाहरण के लिए, उपलब्ध अग्नि सुरक्षा की मात्रा की परवाह किए बिना अग्नि का धमकी सभी सुविधाओं पर उपस्थित है।
- 4. कंप्यूटर सिस्टम से संबंधित प्रतिकूल घटनाओं के प्रकार (अर्थात्, संकट) जिसके परिणामस्वरूप हानि हो सकता है। बाढ़, तोड़फोड़ और धोखाधड़ी इसके उदाहरण हैं।
- 5. मुख्य रूप से बाहरी वातावरण (एजेंट) की संस्थाओं से संबंधित अभिकथन; हम कहते हैं कि कोई एजेंट (या एजेंटों का वर्ग) या अधिक संपत्तियों के लिए धमकी उत्पन्न करता है; हम लिखते हैं: T(e;i) जहां: e बाहरी इकाई है; और i आंतरिक इकाई या कोई खाली सेट है।
- 6. कोई अनावश्यक घटना जिसका अनुमान लगाया जा सकता है लेकिन यह कोई सचेत कार्य या निर्णय का परिणाम नहीं है। खतरे के विश्लेषण में, कोई खतरे को आदेशित जोड़ी के रूप में परिभाषित किया गया है, <peril; asset category>, इन घटनाओं की प्रकृति का सुझाव देते हैं लेकिन विवरण नहीं (विवरण घटनाओं के लिए विशिष्ट हैं) करते हैं।
- 7. सुरक्षा का संभावित उल्लंघन।
- 8. कोई विशिष्ट बाहरी इकाई (जो या तो व्यक्ति या संस्थाओं का वर्ग हो सकता है) के गुणों का सेट, जी जो कोई विशिष्ट आंतरिक इकाई के गुणों के कोई सेट के साथ मिलकर कठिनाई (ज्ञान के कोई निकाय के अनुसार) का अर्थ है।
घटना विज्ञान
धमकी शब्द कुछ अन्य मूलभूत सुरक्षा शर्तों से संबंधित है जैसा कि निम्नलिखित आरेख में दिखाया गया है:[1]
+ - - - - - - - - - - - - + + - - - - + + - - - - - - - - - - -+
| An Attack: | |Counter- | | A System Resource: |
| i.e., A Threat Action | | measure | | Target of the Attack |
| +----------+ | | | | +-----------------+ |
| | Attacker |<==================||<========= | |
| | i.e., | Passive | | | | | Vulnerability | |
| | A Threat |<=================>||<========> | |
| | Agent | or Active | | | | +-------|||-------+ |
| +----------+ Attack | | | | VVV |
| | | | | Threat Consequences |
+ - - - - - - - - - - - - + + - - - - + + - - - - - - - - - - -+
खतरों का वर्गीकरण
खतरों को उनके प्रकार और उत्पत्ति के अनुसार वर्गीकृत किया जा सकता है:[8]
- खतरों के प्रकार:
- भौतिक क्षति: अग्नि, पानी, प्रदूषण
- प्राकृतिक घटनाएं: जलवायु, भूकंपीय, ज्वालामुखी
- आवश्यक सेवाओं का हानि: बिजली, एयर कंडीशनिंग, दूरसंचार
- सूचना का समझौता: छिपकर बातें सुनना, मीडिया की चोरी, छोड़ी गई सामग्री की पुनः प्राप्ति
- तकनीकी असफलताएं: उपकरण, सॉफ्टवेयर, क्षमता संतृप्ति
- कार्यों का समझौता: उपयोग में त्रुटि, अधिकारों का दुरुपयोग, कार्यों का खंडन
ध्यान दें कि खतरे के प्रकार के कई मूल हो सकते हैं।
- निश्चयपूर्वक: सूचना संपत्ति का लक्ष्य
- जासूसी
- डेटा का अवैध प्रसंस्करण
- आकस्मिक
- उपकरण की असफलता
- सॉफ्टवेयर असफलता
- पर्यावरण
- प्राकृतिक घटना
- बिजली की आपूर्ति का हानि
- असावधानी: ज्ञात लेकिन उपेक्षित कारक, नेटवर्क सुरक्षा और स्थिरता से समझौता करना
धमकी वर्गीकरण
माइक्रोसॉफ्ट ने खतरे वाले समूहों के आद्याक्षर से कोई स्मरक, स्ट्राइड (सुरक्षा)[9] प्रकाशित किया,
- उपयोक्ता की पहचान को धोखा देने वाला आक्रमण
- डाटा सुरक्षा
- गैर परित्याग
- सूचना प्रकटीकरण (डेटा गोपनीयता या डेटा लीक)
- डेनियल-ऑफ़-सर्विस अटैक (D.o.S.)
- विशेषाधिकार वृद्धि
माइक्रोसॉफ्ट ने पहले DREAD नामक वर्गीकरण में पाँच श्रेणियों का उपयोग करके सुरक्षा खतरों के कठिनाई का मूल्यांकन किया: कठिनाई मूल्यांकन मॉडल। मॉडल को माइक्रोसॉफ्ट द्वारा अप्रचलित माना जाता है। श्रेणियां थीं:
- हानि - हमला कितना बुरा होगा?
- पुनरुत्पादन - हमले को पुन: उत्पन्न करना कितना आसान है?
- उपयोग - हमला करना कितना काम है?
- प्रभावित उपयोगकर्ता - कितने लोग प्रभावित होंगे?
- खोजे जाने योग्य - खतरे का पता लगाना कितना आसान है?
ड्रीड नाम सूचीबद्ध पांच श्रेणियों के पहले अक्षर से आता है।
खतरों के नेटवर्क में फैलने से खतरनाक स्थिति उत्पन्न हो सकती है। सैन्य और नागरिक क्षेत्रों में, खतरे के स्तर को परिभाषित किया गया है: उदाहरण के लिए सूचना संचालन की स्थिति अमेरिका द्वारा प्रयोग किया जाने वाला खतरे का स्तर है। अग्रणी एंटीवायरस सॉफ्टवेयर विक्रेता अपनी वेबसाइटों पर वैश्विक ख़तरा स्तर प्रकाशित करते हैं।[10][11]
संबद्ध शर्तें
धमकी एजेंट या अभिनेता
धमकी देने वाला एजेंट शब्द का उपयोग किसी ऐसे व्यक्ति या समूह को दर्शाने के लिए किया जाता है जो धमकी प्रकट कर सकता है। यह पहचान करना मौलिक है कि कौन किसी कंपनी की संपत्ति का उपयोग करना चाहेगा, और कंपनी के खिलाफ उनका उपयोग कैसे कर सकता है।[12]
खतरे वाली जनसंख्या के अन्दर के लोग; व्यावहारिक रूप से कोई भी और कुछ भी, सही परिस्थितियों में, कोई धमकी एजेंट हो सकता है - उत्तम विचार वाला, लेकिन अयोग्य कंप्यूटर ऑपरेटर जो गलत कमांड टाइप करके दैनिक बैच की नौकरी को बर्बाद कर देता है, नियामक ऑडिट कर रहा है, या गिलहरी जो डेटा केबल के माध्यम से चबाती है।[5]
किसी संपत्ति के खिलाफ धमकी एजेंट निम्नलिखित में से या अधिक कार्रवाई कर सकते हैं:[5]
- पहुँच - सरल अनधिकृत पहुँच
- दुरुपयोग - संपत्ति का अनधिकृत उपयोग (जैसे, पहचान की चोरी, समझौता किए गए सर्वर पर पोर्न वितरण सेवा स्थापित करना, आदि)
- खुलासा - धमकी देने वाला एजेंट अवैध रूप से संवेदनशील जानकारी का विवरण देता है
- संशोधित करें - किसी संपत्ति में अनधिकृत परिवर्तन
- पहुंच से इंकार - इसमें विनाश, गैर-डेटा संपत्ति की चोरी आदि सम्मिलित हैं।
यह पहचानना महत्वपूर्ण है कि इनमें से प्रत्येक क्रिया अलग-अलग संपत्तियों को अलग-अलग विधियों से प्रभावित करती है, जो हानि की डिग्री और प्रकृति को संचालित करती है। उदाहरण के लिए, नष्ट या चोरी हुई संपत्ति के परिणामस्वरूप उत्पादकता हानि की संभावना इस बात पर निर्भर करती है कि वह संपत्ति संगठन की उत्पादकता के लिए कितनी महत्वपूर्ण है। यदि कोई महत्वपूर्ण संपत्ति को अवैध रूप से एक्सेस किया जाता है, तो कोई प्रत्यक्ष उत्पादकता हानि नहीं होती है। इसी प्रकार, अत्यधिक संवेदनशील संपत्ति का विनाश जो उत्पादकता में महत्वपूर्ण भूमिका नहीं निभाता है, सामान्यतः महत्वपूर्ण उत्पादकता हानि का परिणाम नहीं होगा। फिर भी वही संपत्ति का विवरण दिया जाता है, तो प्रतिस्पर्धात्मक लाभ या प्रतिष्ठा का महत्वपूर्ण हानि हो सकता है, और कानूनी लागत उत्पन्न हो सकती है। उद्देश यह है कि यह संपत्ति का संयोजन है और संपत्ति के खिलाफ कार्रवाई का प्रकार है जो मौलिक प्रकृति और हानि की डिग्री निर्धारित करता है। कोई धमकी देने वाला एजेंट कौन सी कार्रवाई करता है, वह मुख्य रूप से उस एजेंट के उद्देश (जैसे, वित्तीय लाभ, बदला, मनोरंजन, आदि) और संपत्ति की प्रकृति से प्रेरित होगा। उदाहरण के लिए, वित्तीय लाभ पर तुला हुआ कोई खतरनाक एजेंट लैपटॉप जैसी आसानी से गिरवी रखी गई संपत्ति को चुराने की तुलना में महत्वपूर्ण सर्वर को नष्ट करने की संभावना कम है।[5]
घटना की अवधारणा को अलग करना महत्वपूर्ण है कि कोई धमकी एजेंट संपत्ति के संपर्क में आता है (यहां तक कि आभासी रूप से, अर्थात् नेटवर्क के माध्यम से) और घटना है कि कोई धमकी एजेंट संपत्ति के खिलाफ कार्य करता है।[5]
OWASP सिस्टम डिजाइनरों को रोकने के लिए संभावित खतरे एजेंटों की सूची एकत्र करता है, और प्रोग्रामर सॉफ्टवेयर में कमजोरियों को सम्मिलित करते हैं।[12]
धमकी एजेंट = क्षमताएं + उद्देश + पिछली गतिविधियां
इन व्यक्तियों और समूहों को निम्नानुसार वर्गीकृत किया जा सकता है:[12]
- गैर-लक्षित विशिष्ट: गैर-लक्ष्य विशिष्ट ख़तरा एजेंट कंप्यूटर वायरस, वर्म्स, ट्रोजन और लॉजिक बम हैं।
- कर्मचारी: कर्मचारी, ठेकेदार, परिचालन/रखरखाव कर्मी, या सुरक्षा गार्ड जो कंपनी से क्रोधित हैं।
- संगठित अपराध और अपराधी: अपराधी उन सूचनाओं को लक्षित करते हैं जो उनके लिए महत्वपूर्ण होती हैं, जैसे कि बैंक खाते, क्रेडिट कार्ड या बौद्धिक संपदा जिसे धन में परिवर्तित किया जा सकता है। अपराधी अधिकांशतः अपनी सहायता के लिए आतंरिक सूत्रों का प्रयोग करते हैं।
- निगम: निगम आक्रामक सूचना युद्ध या प्रतिस्पर्धी खुफिया जानकारी में लगे हुए हैं। भागीदार और प्रतियोगी इस श्रेणी में आते हैं।
- मानव, अनायास: दुर्घटना, असावधानी।
- मानव, निश्चयपूर्वक: आतंरिक, बाहरी।
- प्राकृतिक: बाढ़, अग्नि, बिजली, उल्का, भूकंप।
धमकी स्रोत
खतरे के स्रोत वे हैं जो समझौता करना चाहते हैं। यह शब्द है जिसका उपयोग उन्हें खतरे के एजेंटों/अभिनेताओं से अलग करने के लिए किया जाता है जो हमले कर देते हैं और जिन्हें निश्चयपूर्वक या अज्ञानतः में हमले को परिणाम देने के लिए खतरे के स्रोत द्वारा कमीशन या मनाया जा सकता है।[13]
धमकी समुदायों
धमकी समुदायों
- समग्र धमकी एजेंट जनसंख्या के सबसेट जो प्रमुख विशेषताओं को अदान-प्रदान करते हैं। खतरे के समुदायों की धारणा यह समझने के लिए शक्तिशाली उपकरण है कि कठिनाई को प्रबंधित करने का प्रयास करते समय हम किसके खिलाफ हैं और हम किसके विरुद्ध हैं। उदाहरण के लिए, संभावना है कि कोई संगठन आतंकवादी खतरे वाले समुदाय से हमले के अधीन होगा, आतंकवादियों के उद्देश्यों, विचारों और क्षमताओं के संबंध में आपके संगठन की विशेषताओं पर अत्यधिक सीमा तक निर्भर करेगा। क्या संगठन विचारधारा से निकटता से जुड़ा है जो ज्ञात, सक्रिय आतंकवादी समूहों के साथ संघर्ष करता है? क्या संगठन कोई उच्च प्रोफ़ाइल, उच्च प्रभाव लक्ष्य का प्रतिनिधित्व करता है? क्या संगठन आसान लक्ष्य है? संगठन अन्य संभावित लक्ष्यों की तुलना कैसे करता है? यदि संगठन पर हमला होता है, तो संगठन के कौन से घटक संभावित लक्ष्य होंगे? उदाहरण के लिए, इसकी कितनी संभावना है कि आतंकवादी कंपनी की जानकारी या सिस्टम को लक्षित करेंगे?[5] :निम्न खतरे वाले समुदाय मानव दुर्भावनापूर्ण खतरे के परिदृश्य के उदाहरण हैं जिनका कई संगठन सामना करते हैं:
- आंतरिक
- कर्मचारी
- ठेकेदार (और विक्रेता)
- भागीदारों
- बाहरी
- साइबर अपराधी (प्रस्तुतेवर हैकर)
- जासूस
- गैर-प्रस्तुतेवर हैकर
- कार्यकर्ता
- राष्ट्र-राज्य की खुफिया सेवाएं (जैसे, CIA के समकक्ष, आदि)
- मैलवेयर (वायरस/कृमि/आदि) लेखक
धमकी की कार्रवाई
धमकी भरी कार्रवाई सिस्टम सुरक्षा पर हमला है।
कोई पूर्ण सुरक्षा संरचना निश्चयपूर्वक किए गए कार्यों (अर्थात् हमलों) और आकस्मिक घटनाओं दोनों से संबंधित है।[14]खतरे के परिणाम के अनुसार विभिन्न प्रकार की खतरे की कार्रवाइयों को सबएंट्री के रूप में परिभाषित किया गया है।
धमकी विश्लेषण
धमकी विश्लेषण प्रणाली के लिए हानिकारक कार्यों की घटनाओं और परिणामों की संभावना का विश्लेषण है।[1] यह आईटी कठिनाई प्रबंधन कठिनाई विश्लेषण का आधार है।
धमकी परिणाम
धमकी परिणाम सुरक्षा उल्लंघन है जो खतरे की कार्रवाई के परिणामस्वरूप होता है।[1]
प्रकटीकरण, छल, व्यवधान और कब्ज़ा करना सम्मिलित है।निम्नलिखित उप-प्रविष्टियाँ चार प्रकार के खतरे के परिणामों का वर्णन करती हैं, और प्रत्येक परिणाम के कारण होने वाले खतरे के कार्यों की सूची और वर्णन भी करती हैं।[1] खतरे की कार्रवाइयाँ जो आकस्मिक घटनाएँ हैं, उन्हें * द्वारा चिन्हित किया जाता है।
- अनधिकृत प्रकटीकरण (खतरे का परिणाम)
- कोई परिस्थिति या घटना जिससे इकाई उस डेटा तक पहुँच प्राप्त करती है जिसके लिए इकाई अधिकृत नहीं है। (डेटा गोपनीयता देखें।) निम्नलिखित खतरे की कार्रवाइयाँ अनधिकृत प्रकटीकरण का कारण बन सकती हैं:
- विक्ट
- एक्सपोजर:
- कोई खतरे की कार्रवाई जिससे संवेदनशील डेटा सीधे अनधिकृत संस्था को जारी किया जाता है। यह भी सम्मिलित है:
- निश्चयपूर्वक एक्सपोजर
- किसी अनाधिकृत संस्था को निश्चयपूर्वक संवेदनशील डेटा जारी करना।
- सीपीयू की सफाई
- संवेदनशील डेटा का अनधिकृत ज्ञान प्राप्त करने के लिए सिस्टम में डेटा अवशेषों के माध्यम से खोज करना।
- * मानव त्रुटि
- मानव क्रिया या निष्क्रियता जो अज्ञानतः में संवेदनशील डेटा के अनधिकृत ज्ञान प्राप्त करने वाली इकाई में परिणामित होती है।
- * हार्डवेयर/सॉफ्टवेयर त्रुटि
- सिस्टम की असफलता जिसके परिणामस्वरूप इकाई को संवेदनशील डेटा का अनधिकृत ज्ञान प्राप्त होता है।
- संकेत बुद्धि:
- कोई धमकी की कार्रवाई जिससे अनधिकृत संस्था अधिकृत स्रोतों और गंतव्यों के बीच यात्रा करने वाले संवेदनशील डेटा तक सीधे पहुंचती है। यह भी सम्मिलित है:
- डेटा चोरी
- किसी भौतिक माध्यम, जैसे चुंबकीय टेप या डिस्क, जो डेटा को धारण करता है, के शिपमेंट को चुराकर संवेदनशील डेटा तक पहुंच प्राप्त करना।
- वायरटैपिंग (निष्क्रिय)
- संरक्षण और रिकॉर्डिंग डेटा जो संचार प्रणाली में दो बिंदुओं के बीच बह रहा है। (देखें: टेलीफोन टैपिंग।)
- उत्सर्जन विश्लेषण
- कोई प्रणाली द्वारा उत्सर्जित सिग्नल की निगरानी और समाधान करके संचारित डेटा का प्रत्यक्ष ज्ञान प्राप्त करना और जिसमें डेटा सम्मिलित है लेकिन डेटा को संचार करने का विचार नहीं है।
- अनुमान
- कोई धमकी की कार्रवाई जिसके द्वारा अनधिकृत संस्था संचार की विशेषताओं या उपोत्पादों से तर्क करके अप्रत्यक्ष रूप से संवेदनशील डेटा (लेकिन जरूरी नहीं कि संचार में निहित डेटा) तक पहुंचती है। यह भी सम्मिलित है:
- यातायात विश्लेषण
- डेटा ले जाने वाले संचार की विशेषताओं को देखकर डेटा का ज्ञान प्राप्त करना।
- सिग्नल विश्लेषण
- कोई सिस्टम द्वारा उत्सर्जित सिग्नल की निगरानी और विश्लेषण करके संचारित डेटा का अप्रत्यक्ष ज्ञान प्राप्त करना और जिसमें डेटा सम्मिलित है लेकिन डेटा को संप्रेषित करने का विचार नहीं है।
- विक्ट
- बिना आज्ञा प्रवेश: धमकी भरी कार्रवाई जिससे कोई अनाधिकृत इकाई सिस्टम की सुरक्षा सुरक्षा को हटाकर कर संवेदनशील डेटा तक पहुंच प्राप्त करती है। यह भी सम्मिलित है:
- विक्ट
- अतिचार करना: सिस्टम की सुरक्षा को हटाकर कर संवेदनशील डेटा तक अनधिकृत भौतिक पहुंच प्राप्त करना।
- पैठ
- सिस्टम की सुरक्षा को हटाकर करके संवेदनशील डेटा तक अनधिकृत तार्किक पहुंच प्राप्त करना।
- प्रतिलोम अभियांत्रिकी
- सिस्टम कंपोनेंट के डिज़ाइन को अलग करके और उसका विश्लेषण करके संवेदनशील डेटा प्राप्त करना।
- क्रिप्ट एनालिसिस
- एन्क्रिप्शन मापदंडों या प्रक्रियाओं के पूर्व ज्ञान के बिना एन्क्रिप्टेड डेटा को सादे पाठ में परिवर्तन।
- धोखे (खतरे का परिणाम)
- कोई परिस्थिति या घटना जिसके परिणामस्वरूप अधिकृत इकाई गलत डेटा प्राप्त कर सकती है और इसे सच मान सकती है। निम्नलिखित खतरे की कार्रवाइयाँ धोखे का कारण बन सकती हैं:
- बहाना
- कोई धमकी की कार्रवाई जिससे अनधिकृत संस्था कोई सिस्टम तक पहुंच प्राप्त करती है या अधिकृत इकाई के रूप में प्रस्तुत करके कोई दुर्भावनापूर्ण कार्य करती है।
- स्पूफ
- कोई अनधिकृत संस्था द्वारा अधिकृत उपयोगकर्ता के रूप में प्रस्तुत करके सिस्टम तक पहुंच प्राप्त करने का प्रयास।
- दुर्भावनापूर्ण तर्क
- किसी भी हार्डवेयर, फ़र्मवेयर, या सॉफ़्टवेयर (जैसे, ट्रोजन हॉर्स) के बहाने के संदर्भ में, जो कोई उपयोगी या वांछनीय कार्य करता प्रतीत होता है, लेकिन वास्तविक में सिस्टम संसाधनों तक अनधिकृत पहुँच प्राप्त करता है या उपयोगकर्ता को अन्य दुर्भावनापूर्ण तर्क निष्पादित करने में धोखा देता है।
- जालसाजी (क्रिप्टोग्राफी)
- कोई धमकी भरी कार्रवाई जिससे गलत डेटा अधिकृत इकाई को धोखा देता है। (देखें: सक्रिय वायरटैपिंग।)
- विक्ट
- प्रतिस्थापन: वैध डेटा को गलत डेटा के साथ परिवर्तन या परिवर्तन जो अधिकृत इकाई को धोखा देने का काम करता है।
- विक्ट
- सम्मिलन: कोई अधिकृत इकाई को धोखा देने के लिए गलत डेटा प्रस्तुत करना।
- अस्वीकरण
- कोई धमकी भरी कार्रवाई जिसमें इकाई किसी कार्य के लिए दायित्व से झूठा अस्वीकृति करके दूसरे को धोखा देती है।
- उत्पत्ति का झूठा खंडन
- कार्रवाई जिसके द्वारा डेटा का प्रवर्तक इसके निर्माण के लिए जिम्मेदारी से अस्वीकृति करता है।
- प्राप्ति का झूठा खंडन
- कार्रवाई जिसके द्वारा डेटा प्राप्त करने वाला डेटा प्राप्त करने और रखने से अस्वीकृति करता है।
- विक्ट
- व्यवधान (खतरे का परिणाम):
- कोई परिस्थिति या घटना जो सिस्टम सेवाओं और कार्यों के सही संचालन को बाधित या रोकती है। (देखें: सेवा से अस्वीकृति।) निम्नलिखित खतरे की कार्रवाइयाँ व्यवधान उत्पन्न कर सकती हैं:
- विक्ट:असामर्थ्य: कोई खतरे की कार्रवाई जो सिस्टम घटक को अक्षम करके सिस्टम ऑपरेशन को रोकता या बाधित करता है।
- दुर्भावनापूर्ण तर्क
- अक्षमता के संदर्भ में, कोई भी हार्डवेयर, फ़र्मवेयर, या सॉफ़्टवेयर (जैसे, लॉजिक बम) निश्चयपूर्वक सिस्टम के कार्यों या संसाधनों को नष्ट करने के लिए सिस्टम में प्रस्तुत किया जाता है।
- भौतिक विनाश
- सिस्टम के संचालन को बाधित करने या रोकने के लिए सिस्टम घटक का निश्चयपूर्वक विनाश।
- * मानव त्रुटि
- क्रिया या निष्क्रियता जो अज्ञानतः में सिस्टम घटक को अक्षम कर देती है।
- * हार्डवेयर या सॉफ्टवेयर त्रुटि
- त्रुटि जो कोई सिस्टम घटक की असफलता का कारण बनती है और सिस्टम के संचालन में व्यवधान उत्पन्न करती है।
- * प्राकृतिक आपदा
- कोई भी प्राकृतिक आपदा (जैसे, अग्नि, बाढ़, भूकंप, बिजली या हवा) जो सिस्टम घटक को निष्क्रिय कर देती है।[14]:; डेटा करप्शन: खतरनाक कार्रवाई जो सिस्टम के कार्यों या डेटा को प्रतिकूल रूप से संशोधित करके सिस्टम ऑपरेशन को अनावश्यक रूप से बदल देती है।
- छेड़खानी (अपराध)
- भ्रष्टाचार के संदर्भ में, सिस्टम के तर्क, डेटा, या नियंत्रण सूचना में निश्चयपूर्वक परिवर्तन, सिस्टम के कार्यों के सही संचालन को बाधित करने या रोकने के लिए।
- दुर्भावनापूर्ण तर्क
- भ्रष्टाचार के संदर्भ में, कोई भी हार्डवेयर, फ़र्मवेयर, या सॉफ़्टवेयर (जैसे, कोई कंप्यूटर वायरस) निश्चयपूर्वक सिस्टम में सिस्टम फ़ंक्शंस या डेटा को संशोधित करने के लिए प्रस्तुत किया जाता है।
- * मानवीय त्रुटि
- मानव क्रिया या निष्क्रियता जो अज्ञानतः में प्रणाली कार्यों या डेटा के परिवर्तन में परिणत होती है।
- * हार्डवेयर या सॉफ्टवेयर त्रुटि
- त्रुटि जिसके परिणामस्वरूप सिस्टम फ़ंक्शंस या डेटा में परिवर्तन होता है।
- * प्राकृतिक आपदा
- कोई भी प्राकृतिक घटना (जैसे बिजली की वजह से बिजली का उछाल) जो सिस्टम के कार्यों या डेटा को बदल देती है।[14]:; विक्ट: विघ्न: कोई खतरे की कार्रवाई जो सिस्टम संचालन में विघ्न डालकर सिस्टम सेवाओं के वितरण को बाधित करती है।
- हस्तक्षेप (संचार)
- संचार या उपयोगकर्ता डेटा या नियंत्रण सूचना को अवरुद्ध करके सिस्टम संचालन में व्यवधान।
- विक्ट
- ओवरलोड: सिस्टम घटक की प्रदर्शन क्षमताओं पर अतिरिक्त बोझ डालकर सिस्टम के संचालन में विघ्न। (देखें: नेटवर्क बाढ़।)
- आधिपत्य स्थापित करना (खतरे का परिणाम)
- कोई परिस्थिति या घटना जिसके परिणामस्वरूप अनधिकृत संस्था द्वारा सिस्टम सेवाओं या कार्यों का नियंत्रण होता है। निम्नलिखित खतरे की कार्रवाइयाँ आधिपत्य कारण बन सकती हैं:
- दुर्विनियोजन
- कोई खतरनाक कार्रवाई जिसके द्वारा इकाई सिस्टम संसाधन के अनधिकृत तार्किक या भौतिक नियंत्रण को ग्रहण करती है।
- सेवा की चोरी
- कोई इकाई द्वारा सेवा का अनधिकृत उपयोग।
- कार्यात्मकता की चोरी
- सिस्टम घटक के वास्तविक हार्डवेयर, सॉफ्टवेयर, या फर्मवेयर का अनाधिकृत अधिग्रहण।
- डेटा की चोरी
- अनधिकृत अधिग्रहण और डेटा का उपयोग।
- दुरूपयोग
- कोई खतरे की कार्रवाई जो सिस्टम घटक को कार्य या सेवा करने का कारण बनती है जो सिस्टम सुरक्षा के लिए हानिकारक है।
- विक्ट
- हस्तक्षेप करना: दुरूपयोग के संदर्भ में, प्रणाली के तर्क, डेटा, या नियंत्रण सूचना में संकल्पपूर्वक परिवर्तन करना जिससे कि प्रणाली अनाधिकृत कार्यों या सेवाओं को निष्पादित करे।
- दुर्भावनापूर्ण तर्क
- दुरुपयोग के संदर्भ में, किसी अनधिकृत कार्य या सेवा के निष्पादन या निष्पादन को नियंत्रित करने के लिए किसी हार्डवेयर, सॉफ़्टवेयर या फ़र्मवेयर को निश्चयपूर्वक सिस्टम में प्रस्तुत किया जाता है।
- विक्ट
- फ़ाइल सिस्टम अनुमतियों का उल्लंघन: इकाई द्वारा कार्रवाई जो कोई अनधिकृत कार्य को निष्पादित करके इकाई के सिस्टम विशेषाधिकारों को पार कर जाती है।
ख़तरा परिदृश्य या पर्यावरण
किसी विशेष डोमेन या संदर्भ में खतरों का कोई संग्रह, पहचानी गई कमजोर संपत्तियों, खतरों, जोखिमों, खतरे के कारकों और देखे गए प्रवृत्तिों की जानकारी के साथ।[15][16]
धमकी प्रबंधन
खतरों को कोई आईएसएमएस के संचालन द्वारा प्रबंधित किया जाना चाहिए, जो कानूनों, मानकों और पद्धतियों द्वारा अपेक्षित सभी आईटी कठिनाई प्रबंधन गतिविधियों का प्रदर्शन करता है।
बहुत बड़े संगठन व्यवसाय-महत्वपूर्ण प्रक्रियाओं और प्रणालियों की सुरक्षा, रखरखाव और पुनर्प्राप्ति के लिए व्यवसाय निरंतरता प्रबंधन योजनाओं को अपनाने की ओर प्रवृत्त होते हैं। इनमें से कुछ योजनाएँ कंप्यूटर सुरक्षा घटना प्रतिक्रिया टीम (CSIRT) या कंप्यूटर आपातकालीन प्रतिक्रिया टीम (कंप्यूटर आपातकालीन प्रतिक्रिया टीम) स्थापित करने के लिए हैं।
ख़तरा प्रबंधन प्रक्रिया का किसी प्रकार का सत्यापन होता है:
अधिकांश संगठन गैर-व्यवस्थित दृष्टिकोण के आधार पर प्रत्युपायों को अपनाते हुए इन चरणों का कोई सबसेट निष्पादित करते हैं: कंप्यूटर असुरक्षा कंप्यूटर सुरक्षा कारनामों के युद्धक्षेत्र का अध्ययन करती है और परिणाम का बचाव करती है।
सूचना सुरक्षा जागरूकता महत्वपूर्ण बाजार है (देखें: श्रेणी: कंप्यूटर सुरक्षा कंपनियां)। आईटी खतरों से निपटने के लिए बहुत सारे सॉफ्टवेयर विकसित किए गए हैं, जिनमें खुला स्रोत सॉफ्टवेयर (देखें: श्रेणी: निःशुल्क सुरक्षा सॉफ़्टवेयर) और मालिकाना सॉफ़्टवेयर (आंशिक सूची के लिए: श्रेणी: कंप्यूटर सुरक्षा सॉफ़्टवेयर कंपनियां देखें) दोनों सम्मिलित हैं।
साइबर धमकी प्रबंधन
खतरे के प्रबंधन में बाढ़ और अग्नि जैसे भौतिक खतरों सहित कई प्रकार के खतरे सम्मिलित हैं। जबकि ISMS कठिनाई मूल्यांकन प्रक्रिया साइबर खतरों के लिए खतरे के प्रबंधन को सम्मिलित करती है जैसे रिमोट बफर ओवरफ्लो कठिनाई मूल्यांकन प्रक्रिया में खतरे की खुफिया प्रबंधन या प्रतिक्रिया प्रक्रियाओं जैसी प्रक्रियाएं सम्मिलित नहीं होती हैं।
आईएसएमएस में पाए जाने वाले मूलभूत कठिनाई मूल्यांकन से परे साइबर खतरों के प्रबंधन के लिए साइबर धमकी प्रबंधन (सीटीएम) सर्वोत्तम अभ्यास के रूप में उभर रहा है। यह खतरों की शीघ्र पहचान, डेटा-संचालित स्थितिजन्य जागरूकता, सटीक निर्णय लेने और समय पर खतरे को कम करने वाली कार्रवाइयों को सक्षम बनाता है।[17] सीटीएम में सम्मिलित हैं:
- मैनुअल और स्वचालित खुफिया जानकारी एकत्र करना और खतरे का विश्लेषण
- व्यवहारिक मॉडलिंग जैसी उन्नत तकनीकों सहित वास्तविक समय की निगरानी के लिए व्यापक कार्यप्रणाली
- इंटेलिजेंस को अनुकूलित करने, सुरक्षा इंटेलिजेंस उत्पन्न करने और स्थितिजन्य जागरूकता प्रदान करने के लिए उन्नत एनालिटिक्स का उपयोग
- प्रौद्योगिकी और कुशल लोग तेजी से निर्णय लेने और स्वचालित या मैन्युअल क्रियाओं को सक्षम करने के लिए स्थितिजन्य जागरूकता का लाभ उठा रहे हैं
धमकी शिकार
साइबर धमकी हंटिंग उपस्थिता सुरक्षा समाधानों से बचने वाले उन्नत खतरों का पता लगाने और उन्हें अलग करने के लिए नेटवर्क के माध्यम से सक्रिय रूप से और पुनरावृत्त रूप से खोज करने की प्रक्रिया है।[18] यह फ़ायरवॉल (कंप्यूटिंग) घुसपैठ का पता लगाने वाली प्रणाली, और सुरक्षा सूचना और घटना प्रबंधन जैसे पारंपरिक खतरे प्रबंधन उपायों के विपरीत है, जिसमें संभावित खतरे की सतर्कता या कोई घटना होने के बाद सामान्यतः जांच सम्मिलित होती है।
धमकी हंटिंग मैन्युअल प्रक्रिया हो सकती है, जिसमें कोई सुरक्षा विश्लेषक संभावित खतरों के बारे में परिकल्पना बनाने के लिए नेटवर्क के साथ अपने ज्ञान और परिचितता का उपयोग करके विभिन्न डेटा सूचनाओं की छानबीन करता है। चूंकि, अधिक प्रभावी और कुशल होने के लिए, खतरे का शिकार आंशिक रूप से स्वचालित या मशीन-सहायता भी हो सकता है। इस प्रकार की स्थितियों में, विश्लेषक ऐसे सॉफ़्टवेयर का उपयोग करता है जो संभावित अनिष्टो के बारे में विश्लेषक को सूचित करने के लिए मशीन लर्निंग और उपयोगकर्ता व्यवहार विश्लेषण (UEBA) का उपयोग करता है। विश्लेषक तब इन संभावित अनिष्टो की जांच करता है, नेटवर्क में संदिग्ध व्यवहार पर नज़र रखता है। इस प्रकार शिकार कोई पुनरावृत्त प्रक्रिया है, जिसका अर्थ है कि इसे परिकल्पना के साथ प्रारंभ करते हुए लगातार लूप में किया जाना चाहिए। तीन प्रकार की परिकल्पनाएँ हैं:
- 'एनालिटिक्स संचालित: मशीन-लर्निंग और यूईबीए का उपयोग समग्र कठिनाई स्कोर विकसित करने के लिए किया जाता है जो शिकार परिकल्पना के रूप में भी काम कर सकता है[19]
- स्थितिजन्य-जागरूकता संचालित: क्राउन ज्वेल विश्लेषण, उद्यम कठिनाई आकलन, कंपनी- या कर्मचारी-स्तर के प्रवृत्ति[19]
- इंटेलिजेंस से संचालित: धमकी इंटेलिजेंस रिपोर्ट्स, धमकी इंटेलिजेंस फीड्स, मालवेयर एनालिसिस, वल्नरेबिलिटी स्कैन[19] विश्लेषक नेटवर्क के बारे में बड़ी मात्रा में डेटा के माध्यम से अपनी परिकल्पना पर शोध करता है। परिणाम तब संग्रहीत किए जाते हैं ताकि उनका पता लगाने की प्रणाली के स्वचालित हिस्से को बेहतर बनाने और भविष्य की परिकल्पनाओं के आधार के रूप में काम करने के लिए उपयोग किया जा सके।
सैन्स संस्थान ने साइबर प्रतिद्वंद्वियों को उनकी प्रक्रिया में जितनी जल्दी हो सके ट्रैक करने और बाधित करने के लिए खतरे के शिकार की प्रभावशीलता पर अनुसंधान और सर्वेक्षण किया है। 2019 में किए गए सर्वेक्षण के अनुसार, "61% [उत्तरदाताओं] ने अपनी समग्र सुरक्षा स्थिति में कम से कम 11% औसत दर्जे का सुधार रिपोर्ट प्रस्तुत किया" और 23.6% उत्तरदाताओं ने ड्वेल टाइम को कम करने में 'महत्वपूर्ण सुधार' का अनुभव किया है।[20]
यह भी देखें
संदर्भ
- ↑ 1.0 1.1 1.2 1.3 1.4 Internet Engineering Task Force RFC 2828 Internet Security Glossary
- ↑ "संघीय सूचना प्रसंस्करण मानक (FIPS) 200, संघीय सूचना और सूचना प्रणाली के लिए न्यूनतम सुरक्षा आवश्यकताएँ" (PDF). Carc.nist.gov. Retrieved 5 November 2013.
- ↑ "शब्दावली - एनीसा". Enisa.europa.eu. 24 July 2009. Retrieved 5 November 2013.
- ↑ Technical Standard Risk Taxonomy ISBN 1-931624-77-1 Document Number: C081 Published by The Open Group, January 2009.
- ↑ 5.0 5.1 5.2 5.3 5.4 5.5 "सूचना जोखिम के कारक विश्लेषण का परिचय (FAIR)" (PDF). Riskmanagementinsight.com. November 2006. Archived from the original (PDF) on 18 November 2014. Retrieved 5 November 2013.
- ↑ Schou, Corey (1996). Handbook of INFOSEC Terms, Version 2.0. CD-ROM (Idaho State University & Information Systems Security Organization)
- ↑ "पारिभाषिक शब्दावली". Niatec.info. 12 December 2011. Retrieved 13 February 2012.
- ↑ ISO/IEC, "Information technology – Security techniques-Information security risk management" ISO/IEC FIDIS 27005:2008
- ↑ "स्ट्राइड थ्रेट मॉडल". msdn.microsoft.com (in English). Retrieved 28 March 2017.
- ↑ "McAfee थ्रेट इंटेलिजेंस". Mcafee.com. Retrieved 13 February 2012.
{{cite web}}: Text "मैकेफी, इंक" ignored (help)- ↑ "थ्रेटकॉन - सिमेंटेक कॉर्प". Symantec.com. 10 January 2012. Retrieved 13 February 2012.
- ↑ 12.0 12.1 12.2 "श्रेणी:खतरा एजेंट". OWASP. 9 December 2011. Retrieved 13 February 2012.
- ↑ HMG IA Standard No. 1 Technical Risk Assessment
- ↑ 14.0 14.1 14.2 "FIPS पब 31 संघीय सूचना प्रसंस्करण मानक प्रकाशन : जून 1974" (PDF). Tricare.mil. Retrieved 5 November 2013.[permanent dead link]
- ↑ ENISA Threat Landscape and Good Practice Guide for Smart Home and Converged Media (1 Dec 2014)
- ↑ ENISA Threat Landscape 2013–Overview of Current and Emerging Cyber-Threats (11 Dec 2013)
- ↑ "साइबर थ्रेट मैनेजमेंट क्या है". ioctm.org. Retrieved 28 January 2015.
- ↑ "साइबर खतरे का शिकार: यह भेद्यता का पता लगाने की रणनीति कैसे विश्लेषकों को बढ़त देती है - TechRepublic". TechRepublic. Retrieved 7 June 2016.
- ↑ 19.0 19.1 19.2 "साइबर थ्रेट हंटिंग - Sqrrl". Sqrrl (in English). Retrieved 7 June 2016.
- ↑ Fuchs, Mathias; Lemon, Joshua. "SANS 2019 थ्रेट हंटिंग सर्वे: नए और अनुभवी शिकारियों की अलग-अलग ज़रूरतें" (PDF) (in English). SANS Institute. pp. 2, 16. Archived (PDF) from the original on 2022-03-01. Retrieved 2022-05-11.
बाहरी संबंध
Wikimedia Commons has media related to [[commons:Category:धमकी (थ्रेट कंप्यूटर)|धमकी (थ्रेट कंप्यूटर)]].
