Overview of Information Security, Security threats, information Security vulnerability and Risk management


Cyber Security

साइबर सुरक्षा दुर्भावनापूर्ण हमलों से कंप्यूटर, सर्वर, मोबाइल डिवाइस, इलेक्ट्रॉनिक सिस्टम, नेटवर्क और डेटा का बचाव करने का अभ्यास है। इसे सूचना प्रौद्योगिकी सुरक्षा या इलेक्ट्रॉनिक सूचना सुरक्षा के रूप में भी जाना जाता है।कंप्यूटर सुरक्षा, साइबर सुरक्षा या सूचना प्रौद्योगिकी सुरक्षा (आईटी सुरक्षा) कंप्यूटर सिस्टम और नेटवर्क की सुरक्षा चोरी या उनके हार्डवेयर, सॉफ्टवेयर, या इलेक्ट्रॉनिक डेटा को नुकसान पहुंचाने के साथ-साथ सेवाओं के विघटन या गलत कार्य से है। वे मुहैया कराते हैं।

कंप्यूटर सिस्टम, इंटरनेट और ब्लूटूथ और वाई-फाई जैसे वायरलेस नेटवर्क मानकों और स्मार्टफोन, टेलीविज़न और "विभिन्न" "स्मार्ट" उपकरणों की वृद्धि के कारण क्षेत्र अधिक महत्वपूर्ण होता जा रहा है। ऐसे उपकरण जो "इंटरनेट ऑफ़ थिंग्स" का निर्माण करते हैं। राजनीति और तकनीक दोनों के संदर्भ में इसकी जटिलता के कारण, समकालीन दुनिया में साइबर सुरक्षा भी एक बड़ी चुनौती है। 
कंप्यूटर सुरक्षा की प्रौद्योगिकियां तर्क पर आधारित हैं। अधिकांश कंप्यूटर अनुप्रयोगों के लिए सुरक्षा आवश्यक रूप से प्राथमिक लक्ष्य नहीं होती है, लेकिन सुरक्षा को ध्यान में रखते हुए किसी कार्यक्रम को बनाए जाने से अक्सर ही उस कार्यक्रम के व्यवहार में रोक लग जाती है।

कंप्यूटिंग में सुरक्षा की 4 पद्धतियां होती हैं, कभी-कभी पद्धतियों का संयोजन मान्य होता है:

1 सुरक्षा नीति का पालन करने के लिए सभी सॉफ्टवेयर का भरोसा करें लेकिन सॉफ्टवेयर विश्वसनीय नहीं हुआ करते (यह कंप्यूटर असुरक्षा है).
2 सुरक्षा नीति का पालन करने के लिए सभी सॉफ्टवेयर का भरोसा करें और सॉफ्टवेयर विश्वसनीय के रूप में मान्य है (उदाहरण के लिए कठिन शाखा तथा कार्यप्रणाली विश्लेषण द्वारा).
3 सॉफ्टवेयर का भरोसा नहीं करना लेकिन ऐसे तंत्रों के साथ सुरक्षा नीति लागू करना जो कि भरोसेमंद नहीं है (यह भी कंप्यूटर असुरक्षा है).
4 सॉफ्टवेयर पर भरोसा नहीं करना लेकिन भरोसेमंद हार्डवेयर तंत्र के साथ एक सुरक्षा नीति को लागू करना।

Overview of Information Security

सूचना सुरक्षा एक प्रक्रिया है:
सूचना सुरक्षा सूचना उपलब्धता, डेटा अखंडता और गोपनीयता की रक्षा करने की प्रक्रिया है। ... फायरवॉल, घुसपैठ का पता लगाने वाले सिस्टम, और भेद्यता स्कैनर जैसे सुरक्षा उत्पाद। प्रमाणीकरण और एन्क्रिप्शन जैसी तकनीकें।

सूचना सुरक्षा अनधिकृत पहुँच से जानकारी हासिल करने के बारे में नहीं है। सूचना सुरक्षा मूल रूप से अनधिकृत पहुंच, उपयोग, प्रकटीकरण, व्यवधान, संशोधन, निरीक्षण, सूचना की रिकॉर्डिंग या विनाश को रोकने का अभ्यास है। जानकारी भौतिक या विद्युत हो सकती है। सूचना कुछ भी हो सकती है जैसे आपका विवरण या हम सोशल मीडिया पर आपकी प्रोफ़ाइल, मोबाइल फोन में आपका डेटा, आपके बायोमेट्रिक्स आदि कह सकते हैं। इस प्रकार सूचना सुरक्षा क्रिप्टोग्राफी, मोबाइल कम्प्यूटिंग, साइबर फ़ोरेंसिक्स, ऑनलाइन सोशल मीडिया आदि जैसे कई अनुसंधान क्षेत्रों तक फैल जाती है।
प्रथम विश्व युद्ध के दौरान, सूचना की संवेदनशीलता को ध्यान में रखते हुए मल्टी-टियर क्लासिफिकेशन सिस्टम विकसित किया गया था। द्वितीय विश्व युद्ध की शुरुआत के साथ वर्गीकरण प्रणाली का औपचारिक संरेखण किया गया था। एलन ट्यूरिंग वह था जिसने सफलतापूर्वक एनगमा मशीन को डिक्रिप्ट किया था जिसका उपयोग जर्मनों ने युद्ध के डेटा को एन्क्रिप्ट करने के लिए किया था।
Security threats


सूचना सुरक्षा में सॉफ़्टवेयर के हमलों, बौद्धिक संपदा की चोरी, पहचान की चोरी, उपकरणों की चोरी या सूचना, तोड़फोड़, और सूचना जबरन वसूली जैसे कई खतरे हो सकते हैं। ... सॉफ्टवेयर हमलों का अर्थ है वायरस, वर्म्स, ट्रोजन हॉर्स आदि द्वारा हमला

1 Advanced persistent threat-----

एक उन्नत लगातार खतरा (APT) एक धमाकेदार कंप्यूटर नेटवर्क खतरा अभिनेता है, आमतौर पर एक राष्ट्र राज्य या राज्य-प्रायोजित समूह है, जो कंप्यूटर नेटवर्क तक अनधिकृत पहुंच प्राप्त करता है और विस्तारित अवधि के लिए अनिर्धारित रहता है।

2 Computer crime-----

साइबर अपराध, या कंप्यूटर-उन्मुख अपराध, एक अपराध है जिसमें एक कंप्यूटर और एक नेटवर्क शामिल है। कंप्यूटर का उपयोग किसी अपराध के कमीशन में किया जा सकता है, या यह लक्ष्य हो सकता है। साइबर अपराधों को इस प्रकार परिभाषित किया जा सकता है: "आपराधिक उद्देश्य वाले व्यक्तियों या समूहों के खिलाफ आपराधिक इरादे से किए गए अपराध, जानबूझकर पीड़ित की प्रतिष्ठा को नुकसान पहुंचाते हैं या प्रत्यक्ष या अप्रत्यक्ष रूप से, आधुनिक दूरसंचार नेटवर्क का उपयोग करते हुए, पीड़ित व्यक्ति को शारीरिक या मानसिक रूप से नुकसान पहुंचाते हैं। जैसे इंटरनेट (चैट रूम, ईमेल, नोटिस बोर्ड और समूह सहित नेटवर्क) और मोबाइल फोन (ब्लूटूथ / एसएमएस / एमएमएस) "। साइबर अपराध से किसी व्यक्ति या देश की सुरक्षा और वित्तीय स्वास्थ्य को खतरा हो सकता है। इस प्रकार के अपराधों के आस-पास के मुद्दे हाई-प्रोफाइल हो गए हैं, विशेष रूप से हैकिंग, कॉपीराइट उल्लंघन, अनुचित जन-निगरानी, ​​सेक्स्टॉर्शन, चाइल्ड पोर्नोग्राफ़ी और चाइल्ड ग्रूमिंग के बारे में।

3 Vulnerabilities------

(संक्षिप्त विवरण। कंप्यूटर सिस्टम में शोषक कमजोरी) (सूचना सुरक्षा) (कंप्यूटर हैकिंग) कंप्यूटर सुरक्षा में, एक भेद्यता एक कमजोरी है, जिसका खतरा एक धमकी देने वाले अभिनेता द्वारा किया जा सकता है, जैसे कि हमलावर, कंप्यूटर प्रणाली के भीतर अनधिकृत कार्यों को करने के लिए। । एक भेद्यता का फायदा उठाने के लिए, एक हमलावर के पास कम से कम एक लागू उपकरण या तकनीक होनी चाहिए जो सिस्टम की कमजोरी से जुड़ सके। इस फ्रेम में, कमजोरियों को हमले की सतह के रूप में भी जाना जाता है।

4 Eavesdropping------

एवेर्सड्रॉपिंग गुप्त रूप से या चुपके से दूसरों की निजी बातचीत या उनकी सहमति के बिना संचार सुनने का कार्य है।  इस प्रथा को व्यापक रूप से अनैतिक माना जाता है, और कई न्यायालयों में यह गैरकानूनी है।

5 Malware------

मैलवेयर (दुर्भावनापूर्ण सॉफ़्टवेयर के लिए एक पोर्टल) किसी भी सॉफ़्टवेयर को जानबूझकर कंप्यूटर, सर्वर, क्लाइंट, या कंप्यूटर नेटवर्क को नुकसान पहुँचाने के लिए डिज़ाइन किया गया है  (इसके विपरीत, सॉफ़्टवेयर जो किसी कमी के कारण अनजाने में नुकसान का कारण बनता है, जिसे आम तौर पर वर्णित किया जाता है। एक सॉफ्टवेयर बग)। कंप्यूटर वायरस, वर्म, ट्रोजन हॉर्स, रैंसमवेयर, स्पाईवेयर, एडवेयर, रॉग सॉफ्टवेयर और स्केवेयर सहित विभिन्न प्रकार के मैलवेयर मौजूद हैं।

6 Spyware-----

स्पाइवेयर एक प्रकार का मैलवेयर है, जिसका उद्देश्य किसी व्यक्ति या संगठन के बारे में, उनकी जानकारी के बिना, और उपभोक्ता की सहमति के बिना किसी अन्य संस्था को हैक करने के लिए ऐसी जानकारी भेजना है। इसके अलावा, स्पाइवेयर उपभोक्ता की जानकारी के बिना एक डिवाइस पर नियंत्रण रखता है, कुकीज़ के माध्यम से उपभोक्ता की सहमति के साथ किसी अन्य संस्था को गोपनीय जानकारी भेजता है।

7 Ransomware-----

रैंसमवेयर क्रिप्टोवेरोलॉजी से एक प्रकार का मैलवेयर है जो पीड़ितों के डेटा को प्रकाशित करने या फिर जब तक फिरौती का भुगतान नहीं किया जाता है, तब तक इसे ब्लॉक करने की धमकी देता है। जबकि कुछ सरल रैंसमवेयर सिस्टम को एक तरह से लॉक कर सकते हैं जो किसी जानकार व्यक्ति के लिए उल्टा करना मुश्किल नहीं है, अधिक उन्नत मैलवेयर क्रिप्टोविरल एक्सटॉर्शन नामक एक तकनीक का उपयोग करता है, जिसमें यह पीड़ितों की फाइलों को एन्क्रिप्ट करता है, उन्हें दुर्गम बनाता है, और फिरौती के भुगतान की मांग करता है। उन्हें डिक्रिप्ट करें। डिक्रिप्ट कुंजी के बिना ठीक से लागू क्रिप्टोवायरल एक्सटॉर्शन अटैक में, एक अचूक समस्या है - और उकैश या बिटकॉइन जैसी डिजिटल मुद्राओं का पता लगाना मुश्किल है और अन्य क्रिप्टोकरेंसी का इस्तेमाल फिरौती के लिए किया जाता है, जिससे अपराधियों का पता लगाना और उन पर मुकदमा चलाना मुश्किल हो जाता है।

8 Trojans----

कंप्यूटिंग में, एक ट्रोजन हॉर्स,  या ट्रोजनकोई भी मैलवेयर है जो अपने सच्चे इरादे के उपयोगकर्ताओं को भ्रमित करता है। यह शब्द भ्रामक ट्रोजन हॉर्स की प्राचीन ग्रीक कहानी से लिया गया है जिसके कारण ट्रॉय शहर का पतन हुआ था।

9 Viruses-----

एक कंप्यूटर वायरस एक प्रकार का कंप्यूटर प्रोग्राम है, जिसे निष्पादित करते समय, अन्य कंप्यूटर प्रोग्रामों को संशोधित करके और अपने स्वयं के कोड को सम्मिलित करके खुद को दोहराता है।  जब यह प्रतिकृति सफल हो जाती है, तो प्रभावित क्षेत्रों को कंप्यूटर वायरस से "संक्रमित" कहा जाता है।

10 Worms----

एक कंप्यूटर वर्म एक स्टैंडअलोन मैलवेयर कंप्यूटर प्रोग्राम है जो अन्य कंप्यूटरों में फैलने के लिए खुद की प्रतिकृति बनाता है।  यह अक्सर खुद को फैलाने के लिए एक कंप्यूटर नेटवर्क का उपयोग करता है, इसे एक्सेस करने के लिए लक्ष्य कंप्यूटर पर सुरक्षा विफलताओं पर भरोसा करता है। यह अन्य कंप्यूटरों को स्कैन और संक्रमित करने के लिए एक मेजबान के रूप में इस मशीन का उपयोग करेगा। जब इन नए कृमि-आक्रमणित कंप्यूटरों को नियंत्रित किया जाता है, तो कृमि इन कंप्यूटरों को मेजबानों के रूप में उपयोग करके अन्य कंप्यूटरों को स्कैन और संक्रमित करते रहेंगे, और यह व्यवहार जारी रहेगा।  कंप्यूटर कीड़े मेजबान कार्यक्रम के बिना खुद को कॉपी करने और घातीय वृद्धि के कानून के आधार पर खुद को वितरित करने के लिए पुनरावर्ती विधि का उपयोग करते हैं, और फिर कम समय में अधिक से अधिक कंप्यूटरों को नियंत्रित और संक्रमित करते हैं।  कीड़े लगभग हमेशा नेटवर्क को कम से कम कुछ नुकसान पहुंचाते हैं, भले ही केवल बैंडविड्थ का उपभोग करके, जबकि वायरस लगभग हमेशा भ्रष्ट होते हैं या लक्षित कंप्यूटर पर फ़ाइलों को संशोधित करते हैं।

11 Rootkits----

एक रूटकिट कंप्यूटर सॉफ़्टवेयर का एक संग्रह है, आमतौर पर दुर्भावनापूर्ण, जिसे कंप्यूटर या इसके सॉफ़्टवेयर के एक क्षेत्र तक पहुंच को सक्षम करने के लिए डिज़ाइन किया गया है जो अन्यथा अनुमति नहीं है (उदाहरण के लिए, एक अनधिकृत उपयोगकर्ता के लिए) और अक्सर इसके अस्तित्व या अन्य सॉफ़्टवेयर के अस्तित्व को मास्क करता है। रूटकिट शब्द "रूट" (यूनिक्स की तरह ऑपरेटिंग सिस्टम पर विशेषाधिकार प्राप्त खाते का पारंपरिक नाम) और शब्द "किट" (जो उपकरण को लागू करने वाले सॉफ़्टवेयर घटकों को संदर्भित करता है) का एक यौगिक है। "रूटकिट" शब्द का मैलवेयर के साथ इसके जुड़ाव के माध्यम से नकारात्मक अर्थ है। 

12 Bootkits----

एक रूटकिट कंप्यूटर सॉफ़्टवेयर का एक संग्रह है, आमतौर पर दुर्भावनापूर्ण, जिसे कंप्यूटर या इसके सॉफ़्टवेयर के एक क्षेत्र तक पहुंच को सक्षम करने के लिए डिज़ाइन किया गया है जो अन्यथा अनुमति नहीं है (उदाहरण के लिए, एक अनधिकृत उपयोगकर्ता के लिए) और अक्सर इसके अस्तित्व या अन्य सॉफ़्टवेयर के अस्तित्व को मास्क करता है। रूटकिट शब्द "रूट" (यूनिक्स की तरह ऑपरेटिंग सिस्टम पर विशेषाधिकार प्राप्त खाते का पारंपरिक नाम) और शब्द "किट" (जो उपकरण को लागू करने वाले सॉफ़्टवेयर घटकों को संदर्भित करता है) का एक यौगिक है। "रूटकिट" शब्द का मैलवेयर के साथ इसके जुड़ाव के माध्यम से नकारात्मक अर्थ है।

13 Keyloggers----

कीस्ट्रोक लॉगिंग, जिसे अक्सर कीलिंग या कीबोर्ड कैप्चरिंग के रूप में संदर्भित किया जाता है, की-बोर्ड की कुंजी को रिकॉर्ड करने (लॉगिंग) की क्रिया है, आमतौर पर गुप्त रूप से, जिससे कीबोर्ड का उपयोग करने वाला व्यक्ति इस बात से अनजान होता है कि उनके कार्यों की निगरानी की जा रही है। डेटा तब लॉगिंग प्रोग्राम को संचालित करने वाले व्यक्ति द्वारा प्राप्त किया जा सकता है। एक keylogger सॉफ्टवेयर या हार्डवेयर हो सकता है।

14 Screen scrapers----

डेटा स्क्रैपिंग एक ऐसी तकनीक है जिसमें एक कंप्यूटर प्रोग्राम दूसरे प्रोग्राम से आने वाले मानव-पठनीय आउटपुट से डेटा को निकालता है।

15 Exploits------

एक शोषण (अंग्रेजी क्रिया से शोषण करने के लिए, जिसका अर्थ है "किसी को अपने लाभ के लिए कुछ का उपयोग करने के लिए") सॉफ्टवेयर का एक टुकड़ा है, डेटा का एक हिस्सा है, या आदेशों का एक क्रम है जो बग या भेद्यता का लाभ उठाता है जो अनपेक्षित या अप्रत्याशित कारण होता है कंप्यूटर सॉफ्टवेयर, हार्डवेयर या कुछ इलेक्ट्रॉनिक (आमतौर पर कम्प्यूटरीकृत) पर होने वाला व्यवहार। इस तरह के व्यवहार में अक्सर कंप्यूटर सिस्टम पर नियंत्रण हासिल करने, विशेषाधिकार बढ़ाने, या सेवा से वंचित (DoS या संबंधित DDoS) हमले जैसी चीजें शामिल होती हैं।

16 Backdoors----

एक बैकडोर एक कंप्यूटर, उत्पाद, एम्बेडेड डिवाइस (उदाहरण के लिए एक होम राउटर), या इसके अवतार (जैसे क्रिप्टोकरेंसी, एल्गोरिथ्म, चिपसेट, या यहां तक ​​कि "होम्युनकुलस कंप्यूटर" का सामान्य प्रमाणीकरण या एन्क्रिप्शन को बायपास करने का एक सामान्य रूप से गुप्त तरीका है) एक छोटे से कंप्यूटर के भीतर एक कंप्यूटर जैसे कि इंटेल की एएमटी तकनीक में पाया जाता है)। किसी कंप्यूटर पर दूरस्थ पहुँच को सुरक्षित करने के लिए या क्रिप्टोग्राफ़िक प्रणालियों में प्लेनटेक्स्ट तक पहुँच प्राप्त करने के लिए बैकस्ट का उपयोग अक्सर किया जाता है। वहाँ से इसका उपयोग पासवर्ड जैसे विशेषाधिकार प्राप्त जानकारी तक पहुँच प्राप्त करने, भ्रष्ट या हार्ड ड्राइव पर डेटा को हटाने या ऑटोसैकेडिस्टिक नेटवर्क के भीतर सूचना को स्थानांतरित करने के लिए किया जा सकता है।

17 Logic bombs-----

लॉजिक बम एक सॉफ़्टवेयर सिस्टम में जानबूझकर डाला गया कोड का एक टुकड़ा है जो निर्दिष्ट शर्तों के पूरा होने पर एक दुर्भावनापूर्ण फ़ंक्शन को बंद कर देगा। उदाहरण के लिए, एक प्रोग्रामर कोड के एक टुकड़े को छिपा सकता है जो फ़ाइलों को हटाना शुरू कर देता है (जैसे कि वेतन डेटाबेस ट्रिगर), क्या उन्हें कभी कंपनी से समाप्त किया जाना चाहिए।

18 Payloads----

पेलोड संचरित डेटा का एक हिस्सा है जो वास्तविक इच्छित संदेश है। केवल पेलोड वितरण को सक्षम करने के लिए हेडर और मेटाडेटा भेजे जाते हैं। 

कंप्यूटर वायरस या कृमि के संदर्भ में, पेलोड मालवेयर का वह भाग है जो दुर्भावनापूर्ण कार्रवाई करता है।

यह शब्द परिवहन से उधार लिया गया है, जहां पेलोड उस भार के हिस्से को संदर्भित करता है जो परिवहन के लिए भुगतान करता है।

19 Denial of service-----

कंप्यूटिंग में, एक इनकार-सेवा-सेवा हमला (DoS attack) एक साइबर-हमला है जिसमें अपराधी अपने इच्छित उपयोगकर्ताओं द्वारा अस्थायी रूप से या अनिश्चित काल के लिए इंटरनेट से जुड़ी एक होस्ट की सेवाओं को बाधित करने के लिए मशीन या नेटवर्क संसाधन उपलब्ध नहीं करना चाहता है। सेवा की अस्वीकृति आम तौर पर सिस्टम को ओवरलोड करने के प्रयास में सतही अनुरोधों के साथ लक्षित मशीन या संसाधन को भरकर पूरा किया जाता है और कुछ या सभी वैध अनुरोधों को पूरा होने से रोकता है। 

एक वितरित इनकार-की-सेवा हमले (DDoS हमले) में, पीड़ित व्यक्ति को आने वाला यातायात कई अलग-अलग स्रोतों से उत्पन्न होता है। यह प्रभावी रूप से केवल एक स्रोत को अवरुद्ध करके हमले को रोकना असंभव बनाता है।

DoS या DDoS का हमला एक दुकान के प्रवेश द्वार पर भीड़ लगाने वाले लोगों के समूह के अनुरूप होता है, जिससे वैध ग्राहकों को प्रवेश करने में मुश्किल होती है, इस प्रकार व्यापार में व्यवधान होता है

20 Web shells----

एक वेब शेल एक वेब सुरक्षा खतरा है, जो शेल अवधारणा का एक वेब-आधारित कार्यान्वयन है।  वेब सर्वर पर दूरस्थ पहुँच की अनुमति देने के लिए एक वेब शेल को एक वेब सर्वर पर अपलोड किया जा सकता है, जैसे कि वेब सर्वर की फ़ाइल प्रणाली। एक वेब शेल अद्वितीय है जिसमें यह उपयोगकर्ताओं को वेब ब्राउज़र के माध्यम से वेब सर्वर तक पहुंचने में सक्षम बनाता है जो कमांड-लाइन इंटरफ़ेस की तरह काम करता है। 

21 Web application security-----

वेब एप्लिकेशन सुरक्षा सूचना सुरक्षा की एक शाखा है जो विशेष रूप से वेबसाइटों, वेब एप्लिकेशन और वेब सेवाओं की सुरक्षा से संबंधित है। उच्च स्तर पर, वेब एप्लीकेशन सिक्योरिटी एप्लीकेशन सिक्योरिटी के सिद्धांतों पर चलती है, लेकिन उन्हें विशेष रूप से इंटरनेट और वेब सिस्टम पर लागू करती है।

22 Phishing----

फ़िशिंग एक साइबर अपराध है जिसमें किसी व्यक्ति द्वारा व्यक्तिगत रूप से पहचान योग्य जानकारी, बैंकिंग और क्रेडिट कार्ड विवरण और पासवर्ड जैसे संवेदनशील डेटा प्रदान करने के लिए एक वैध संस्था के रूप में किसी व्यक्ति द्वारा ईमेल, टेलीफोन या पाठ संदेश द्वारा एक लक्ष्य या लक्ष्य से संपर्क किया जाता है।
information Security vulnerability and Risk management
एक भेद्यता डिजाइन, कार्यान्वयन, संचालन या आंतरिक नियंत्रण में कमजोरी है। जिन कमजोरियों का पता चला है उनमें से अधिकांश आम कमजोरियों और एक्सपोजर (सीवीई) डेटाबेस में प्रलेखित हैं। एक शोषक भेद्यता वह है जिसके लिए कम से कम एक कार्यशील हमला या "शोषण" मौजूद है। कमजोरियों को अक्सर स्वचालित साधनों की सहायता से या स्वनिर्धारित स्क्रिप्ट का उपयोग करके शिकार किया जाता है। कंप्यूटर सिस्टम को सुरक्षित करने के लिए, उन हमलों को समझना महत्वपूर्ण है जो इसके खिलाफ किए जा सकते हैं, और इन खतरों को आमतौर पर नीचे दी गई इन श्रेणियों में से एक में वर्गीकृत किया जा सकता है:

1.1          Backdoor---- 

एक कंप्यूटर सिस्टम, एक क्रिप्टोकरेंसी या एक एल्गोरिथ्म में एक बैकडोर, सामान्य प्रमाणीकरण या सुरक्षा नियंत्रणों को दरकिनार करने की कोई गुप्त विधि है। वे कई कारणों से मौजूद हो सकते हैं, जिनमें मूल डिज़ाइन या खराब कॉन्फ़िगरेशन शामिल हैं। उन्हें किसी वैध पक्ष द्वारा, या दुर्भावनापूर्ण कारणों से हमलावर द्वारा अनुमति देने के लिए एक अधिकृत पार्टी द्वारा जोड़ा जा सकता है; लेकिन उनके अस्तित्व के उद्देश्यों की परवाह किए बिना, वे एक भेद्यता पैदा करते हैं। बैकडोर का पता लगाना बहुत कठिन हो सकता है, और बैकडोर का पता लगाना आमतौर पर किसी ऐसे व्यक्ति द्वारा खोजा जाता है, जिसके पास एप्लीकेशन सोर्स कोड या कंप्यूटर के ऑपरेटिंग सिस्टम का गहन ज्ञान हो।

1.2          Denial-of-service attack------

सेवा हमलों (डीओएस) से इनकार अपने इच्छित उपयोगकर्ताओं के लिए मशीन या नेटवर्क संसाधन उपलब्ध नहीं करने के लिए डिज़ाइन किया गया है।  हमलावर व्यक्तिगत पीड़ितों के लिए सेवा से इनकार कर सकते हैं, जैसे कि जानबूझकर एक गलत पासवर्ड दर्ज करने से लगातार पीड़ितों को खाता बंद हो जाता है, या वे किसी मशीन या नेटवर्क की क्षमताओं को अधिभारित कर सकते हैं और सभी उपयोगकर्ताओं को एक ही बार में ब्लॉक कर सकते हैं। जबकि एक एकल आईपी पते से एक नेटवर्क हमले को एक नया फ़ायरवॉल नियम जोड़कर अवरुद्ध किया जा सकता है, कई प्रकार के वितरित इनकार सेवा (DDoS) हमले संभव हैं, जहां हमले बड़ी संख्या में बिंदुओं से आते हैं - और बचाव करना बहुत अधिक कठिन है । इस तरह के हमले एक बोटनेट के ज़ोंबी कंप्यूटर से या प्रतिबिंब और प्रवर्धन हमलों सहित अन्य संभव तकनीकों की एक श्रृंखला से उत्पन्न हो सकते हैं, जहां निर्दोष प्रणालियों को पीड़ित को यातायात भेजने में मूर्ख बनाया जाता है।

1.3          Direct-access attacks------ 

एक अनधिकृत उपयोगकर्ता को कंप्यूटर तक भौतिक पहुँच प्राप्त करने की संभावना है, जो इससे सीधे डेटा कॉपी करने में सक्षम है। वे ऑपरेटिंग सिस्टम में संशोधन करके, सॉफ्टवेयर वर्म्स, कीगलर्स, गुप्त सुनने वाले उपकरणों को स्थापित करके या वायरलेस चूहों का उपयोग करके सुरक्षा से समझौता कर सकते हैं। यहां तक ​​कि जब सिस्टम को मानक सुरक्षा उपायों द्वारा संरक्षित किया जाता है, तो ये सीडी-रोम या अन्य बूट करने योग्य मीडिया से किसी अन्य ऑपरेटिंग सिस्टम या टूल को बूट करके पारित किया जा सकता है। डिस्क एन्क्रिप्शन और ट्रस्टेड प्लेटफ़ॉर्म मॉड्यूल इन हमलों को रोकने के लिए डिज़ाइन किए गए हैं।

1.4          Eavesdropping----

एवेर्सड्रॉपिंग एक निजी कंप्यूटर "वार्तालाप" (संचार) को सुनने की क्षमता है, जो आमतौर पर एक नेटवर्क पर मेजबानों के बीच होता है। उदाहरण के लिए, कार्निवोर और नार्सइन्साइट जैसे कार्यक्रमों का उपयोग एफबीआई और एनएसए द्वारा इंटरनेट सेवा प्रदाताओं की प्रणालियों पर अहंकार करने के लिए किया गया है। यहां तक ​​कि मशीनें जो एक बंद प्रणाली के रूप में काम करती हैं (यानी, बाहरी दुनिया से कोई संपर्क नहीं है) हार्डवेयर द्वारा उत्पन्न बेहोश विद्युत चुम्बकीय प्रसारण की निगरानी के माध्यम से प्राप्त की जा सकती है; इन हमलों का जिक्र NSA द्वारा TEMPEST एक विनिर्देशन है।

1.5          Multi-vector, polymorphic attacks-------

2017 में सर्फिंग, मल्टी-वेक्टर का एक नया वर्ग,  बहुरूपी  साइबर खतरे सामने आए हैं, जो फैलते ही साइबर सुरक्षा नियंत्रणों से बचने के लिए कई प्रकार के हमलों और बदले हुए रूप को मिलाते हैं। इन खतरों को पांचवीं पीढ़ी के साइबर हमले के रूप में वर्गीकृत किया गया है

1.6          Phishing-----

फ़िशिंग उपयोगकर्ताओं को धोखा देकर सीधे उपयोगकर्ताओं से उपयोगकर्ता नाम, पासवर्ड और क्रेडिट कार्ड विवरण जैसी संवेदनशील जानकारी प्राप्त करने का प्रयास है। [the] फ़िशिंग आमतौर पर ईमेल स्पूफिंग या इंस्टेंट मैसेजिंग द्वारा किया जाता है, और यह अक्सर उपयोगकर्ताओं को एक नकली वेबसाइट पर विवरण दर्ज करने के लिए निर्देशित करता है जिसका "लुक" और "फील" लगभग एक समान है। नकली वेबसाइट अक्सर व्यक्तिगत जानकारी मांगती है, जैसे लॉग-इन विवरण और पासवर्ड। फिर इस जानकारी का उपयोग वास्तविक वेबसाइट पर व्यक्ति के वास्तविक खाते तक पहुंच प्राप्त करने के लिए किया जा सकता है। पीड़ित व्यक्ति के भरोसे पर फ़िशिंग को सोशल इंजीनियरिंग के रूप में वर्गीकृत किया जा सकता है। हमलावर वास्तविक खातों तक पहुंच प्राप्त करने के लिए रचनात्मक तरीकों का उपयोग कर रहे हैं। एक बहुत ही सामान्य घोटाला तब होता है जब हमलावर व्यक्ति द्वारा हाल ही में खरीदे गए संगीत या ऐप के लिए नकली चालान भेजते हैं 

1.7          Privilege escalation-----

विशेषाधिकार वृद्धि एक ऐसी स्थिति का वर्णन करती है जहां एक हमलावर प्रतिबंधित स्तर के कुछ स्तर तक प्राधिकरण के बिना, अपने विशेषाधिकार या पहुंच के स्तर को बढ़ाने में सक्षम है। उदाहरण के लिए, एक मानक कंप्यूटर उपयोगकर्ता प्रतिबंधित डेटा तक पहुंच प्राप्त करने के लिए सिस्टम में भेद्यता का फायदा उठाने में सक्षम हो सकता है; या यहां तक ​​कि "रूट" बन जाते हैं और एक सिस्टम पर पूर्ण अप्रतिबंधित पहुंच रखते हैं।

1.8          Social engineering-----

सोशल इंजीनियरिंग का उद्देश्य किसी उपयोगकर्ता को पासवर्ड, कार्ड नंबर इत्यादि जैसे रहस्यों का खुलासा करना है, उदाहरण के लिए, एक बैंक, एक ठेकेदार या एक ग्राहक का प्रतिरूपण करना। 

सोशल इंजीनियरिंग, सूचना सुरक्षा के संदर्भ में, लोगों के प्रदर्शन या गोपनीय जानकारी को विभाजित करने का मनोवैज्ञानिक हेरफेर है।

एक सामान्य घोटाले में अकाउंटिंग और वित्त विभागों को भेजे गए फर्जी सीईओ ईमेल शामिल हैं। 2016 की शुरुआत में, एफबीआई ने बताया कि इस घोटाले में लगभग दो वर्षों में अमेरिकी व्यवसायों की लागत $ 2bn से अधिक है। 

मई 2016 में, मिल्वौकी बक्स एनबीए टीम इस प्रकार के साइबर घोटाले की शिकार थी, जिसमें एक अपराधी टीम के अध्यक्ष पीटर फेगिन को शामिल करता था, जिसके परिणामस्वरूप टीम के सभी कर्मचारियों के 2015 के डब्ल्यू -2 कर फॉर्म सौंप दिए गए थे। 

1.9          Spoofing----- 

स्पूफिंग एक वैध संस्था के रूप में डेटा के मिथ्याकरण (जैसे कि IP पता या उपयोगकर्ता नाम) के माध्यम से, सूचना या संसाधनों तक पहुँच प्राप्त करने के लिए है जो कि अन्यथा प्राप्त करने के लिए अनधिकृत है।  कई प्रकार के स्पूफिंग हैं, जिनमें शामिल हैं:

ईमेल स्पूफिंग, जहां एक हमलावर एक ईमेल भेजने (से, या स्रोत) का पता लगाने के लिए मजबूर करता है।
आईपी ​​एड्रेस स्पूफिंग, जहां एक हमलावर अपनी पहचान छिपाने या किसी अन्य कंप्यूटिंग सिस्टम को लगाने के लिए एक नेटवर्क पैकेट में स्रोत आईपी पते को बदल देता है।
मैक स्पूफिंग, जहां एक हमलावर एक नेटवर्क पर एक वैध उपयोगकर्ता के रूप में पोज देने के लिए अपने नेटवर्क इंटरफेस के मीडिया एक्सेस कंट्रोल (मैक) पते को संशोधित करता है।
बायोमेट्रिक स्पूफिंग, जहां एक हमलावर एक अन्य उपयोगकर्ता के रूप में मुद्रा बनाने के लिए एक नकली बायोमेट्रिक नमूना बनाता है। 

1.10        Tampering----

छेड़छाड़ एक दुर्भावनापूर्ण संशोधन या डेटा के परिवर्तन का वर्णन करता है। तथाकथित ईविल मेड हमलों और राउटर में निगरानी क्षमता के रोपण सुरक्षा सेवाएँ उदाहरण हैं

जोखिम शमन / प्रबंधन -

जोखिम शमन में जोखिम मूल्यांकन प्रक्रिया से अनुशंसित उपयुक्त जोखिम-कम करने वाले नियंत्रणों को प्राथमिकता देना, मूल्यांकन करना और उन्हें लागू करना शामिल है। चूंकि किसी संगठन में सभी जोखिम को समाप्त करना असंभव के करीब है, इसलिए यह वरिष्ठ प्रबंधन और कार्यात्मक और व्यवसाय प्रबंधकों की जिम्मेदारी है कि वे कम से कम लागत वाले दृष्टिकोण का उपयोग करें और स्वीकार्य स्तर तक जोखिम को कम करने के लिए सबसे उपयुक्त नियंत्रणों को लागू करें।

NIST SP 800 30 फ्रेमवर्क के अनुसार जोखिम शमन में 6 चरण हैं।

जोखिम आकलन: इसका मतलब है कि जोखिम को स्वीकार करना और सिस्टम को चालू रखना लेकिन उसी समय नियंत्रणों को लागू करने का प्रयास करना
जोखिम से बचाव: इसका मतलब यह है कि जोखिम के कारण या परिणाम को समाप्त करने के लिए जोखिम से बचने के लिए सिस्टम को बंद कर दिया जाता है यदि जोखिम की पहचान की जाती है।
जोखिम की सीमा: जोखिमों को नियंत्रित करने वाले जोखिमों को लागू करने के लिए जोखिम को सीमित करने के लिए, एक जोखिम की चपेट में आने के प्रतिकूल प्रभाव को कम करता है (जैसे, समर्थन, निवारक, जासूसी नियंत्रण का उपयोग)
जोखिम नियोजन: एक जोखिम शमन योजना विकसित करने के लिए जोखिम का प्रबंधन करने के लिए जो नियंत्रण को प्राथमिकता, लागू करता है और बनाए रखता है
अनुसंधान और आभार: इस कदम में भेद्यता या दोष को स्वीकार करना और भेद्यता को सही करने के लिए नियंत्रणों पर शोध करना शामिल है।
जोखिम हस्तांतरण: इसका मतलब है कि जोखिम की भरपाई के लिए जोखिम को हस्तांतरित करना उदाहरण के लिए खरीद बीमा सभी मामलों में 100% गारंटी नहीं देता है, लेकिन नुकसान से कुछ वसूली को कम कर देता है।

No comments:

Post a Comment

Please Do Not Enter Any Spam Link in the comment Box.