महत्त्वपूर्ण रिपोर्ट्स की जिस्ट

इंटरनेट सेवा प्रदाताओं हेतु साइबर अपराध रोकथाम सिद्धांत | 08 Jun 2020 | आंतरिक सुरक्षा

कार्यकारी सारांश

यह सिद्धांतों का समूह ऐसी रणनीतिक कार्रवाइयों पर केंद्रित है जिन पर इंटरनेट सेवा प्रदाताओं का विश्वास है कि वे सामान्य ऑनलाइन अपराध से उपभोक्ताओं की सुरक्षा के प्रयोजन हेतु सक्षम है और इस प्रकार पूरे विश्व से इंटरनेट से संबंधित अपराधों  के परिशोधन में सहायता मिलेगी।

अपेक्षित परिणामों एवं कार्य के लिये प्रोत्साहित करना

(Incentives for Action and Expected Outcomes)

इंटरनेट सेवा प्रदाताओं एवं उपभोक्ताओं द्वारा सामना किये जा रहे कुछ सामान्य खतरे:

1. सोशल इंजीनियरिंग धोखाधड़ी (Social Engineering Fraud)

2. विभिन्न उद्देश्यों विशेष रूप से बोटनेट्स (Botnets) के संचालन के लिये मेलवेयर का वितरण एवं उपयोग।

3. विभिन्न तकनीकों का विस्तार नेमिंग एवं राउटिंग प्रोटोकॉल को कमजोर करने हेतु एवं बड़े पैमाने पर सेवा अवरोधन (Denial of Service-DoS) जैसे साइबर हमलों के लिये विभिन्न तकनीकों का उपयोग करना।

सिद्धांत 1: व्यापक साइबर हमलों से उपभोक्ताओं की सुरक्षा करना एवं ज्ञात खतरों को पहचानने एवं वांछित प्रतिक्रिया देने हेतु समकक्षों के साथ मिलकर कार्य करना।

यह सिद्धांत किन चुनौतियों का समाधान प्रस्तुत करता है?

यह सिद्धांत किस प्रकार प्रभावी है?

इस सिद्धांत के कार्यान्वयन से निम्नलिखित प्रभाव देखने को मिल सकते है:

केस स्टडी

1.यूनाइटेड किंगडम (UK) में BT समूह ने राष्ट्रीय साइबर सिक्योरिटी केंद्र (National Cybersecurity Centre-NCSC) एवं इंटरनेट सेवा प्रदाताओं (ISP) के साथ मिलकर दुर्भावनापूर्ण मेलवेयर कनेक्शन को ब्लॉक करने के लिये कार्य किया है। यह न केवल ग्राहकों की सुरक्षा करता है बल्कि UK के ऑनलाइन स्पेस के बचाव एवं सुरक्षा को सुनिश्चित करने में भी सहायता करता है, जिसमें से बहुत से राष्ट्रीय बुनियादी ढाँचा के लिये महत्त्वपूर्ण है। वर्तमान में BT अपने साइबर इंडेक्स पर इस कार्यक्रम के सकारात्मक प्रभावों से संबंधित आँकड़े प्रकाशित कर रहा है।
2. KT दक्षिण कोरिया में वायरलाइन एवं वायरलेस दोनों प्रकार के नेटवर्क की सेवाओं में कार्यरत प्रमुख कंपनी है। अभी हाल ही में कंपनी ने गीगा सिक्योर प्लेटफॉर्म (GiGA Secure Platform-GSP) नामक एक प्लेटफॉर्म विकसित किया है जहाँ सार्वजनिक संगठन एवं कंपनियाँ दुर्भावनापूर्ण कोड एवं वेबसाइट से संबंधित जानकारी एवं इनसे निपटने हेतु आवश्यक रणनीतियाँ साझा करती हैं। 

सिद्धांत के क्रियान्वयन हेतु अनुशंसाएँ

1. ज्ञात साइबर हमलों से उपभोक्ताओं को डिफॉल्ट रूप से सुरक्षा उपलब्ध कराना तथा यह सुनिश्चित करना कि उपभोक्ता को ऐसे प्रयासों से अवगत कराया जाए और उनके पास इससे बाहर रहने का अवसर उपलब्ध होना चाहिये। 
2. उपभोक्ताओं को डिफॉल्ट रूप से सुरक्षा उपलब्ध कराने, सर्वाधिक उपयुक्त तौर-तरीकों के निर्धारण करने तथा निगरानी तंत्र एवं विनियामक ढाँचे को परिभाषित करने हेतु समकक्षों, राष्ट्रीय एवं अंतर्राष्ट्रीय समूहों के साथ सहयोग करना।

सिद्धांत 2: खतरों से संबंधित जानकारी एवं जागरूकता फैलाने के लिये कार्यवाही करना एवं उपभोक्ताओं को उनके नेटवर्क एवं स्वयं की सुरक्षा में सहयोग करना।

यह सिद्धांत किन चुनौतियों का समाधान प्रस्तुत करता है?

यह सिद्धांत किस प्रकार प्रभावी है?

इस सिद्धांत के कार्यान्वयन से निम्नलिखित प्रभाव देखने को मिल सकते है:

केस स्टडी

सऊदी अरब की सऊदी टेलीकॉम कंपनी (STC) समूह ने स्पैम एवं धोखाधड़ी समाधान के रूप में एक बहु-स्तरीय व्यवस्था लागू की है- 

इस पाँच स्तरीय सुरक्षा परतों के कारण STC की SMS सेवाओं के माध्यम से भेजे गए अवांछित एवं धोखाधड़ी संदेशों की संख्या को कम करने में काफी सहायता मिली है। STC के नेटवर्क पर प्रतिदिन 338 मिलियन SMS का पंजीकरण होता है, जिसमें से औसत 20 मिलियन SMS संदिग्ध या दुर्भावनापूर्ण  विशेषताओं के कारण ब्लॉक कर दिये जाते है।

इस सिद्धांत के क्रियान्वयन हेतु अनुशंसाएँ 

1. उपभोक्ताओं का निर्देशन 

2. ई-मेल सुरक्षा

3. स्मिशिंग (Smishing) के प्रति सुरक्षा

सिद्धांत 3: सुरक्षा के न्यूनतम स्तर को बढ़ाने के लिये हार्डवेयर, सॉफ्टवेयर एवं अवसंरचना के विक्रेताओं तथा विनिर्माताओं के साथ मिलकर कार्य करना।

यह सिद्धांत किन चुनौतियों का समाधान प्रस्तुत करता है?

यह सिद्धांत किस प्रकार प्रभावी है?

इस सिद्धांत के कार्यान्वयन से निम्नलिखित प्रभाव देखने को मिल सकते है:

केस स्टडी

1. STC विश्व भर में भिन्न-भिन्न आपूर्तिकर्ताओं एवं प्रबंधित सेवा प्रदाताओं (Managed Service Providers-MSP) के साथ कार्य करती है जो विशेष रूप से STC की साइबर सुरक्षा टीम के लिये चुनौती है। आपूर्ति शृंखला द्वारा प्रस्तुत खतरों से निपटने के लिये STC ने इसके समस्त स्तरों पर लागू होने वाले थर्ड पार्टी मानकों एवं नीतियों को परिभाषित किया। तीसरे पक्ष के सभी आपूर्तिकर्त्ताओं एवं MSP को इन मानको एवं नीतियों का अनुपालन करना अनिवार्य था। इन नियंत्रणों को लागू करने के परिणामस्वरूप STC अपने आपूर्तिकर्त्ताओं की सुरक्षा में वृद्धि करने में सक्षम हो चुकी है। इस प्रकार STC व्यापक ऑनलाइन पारिस्थितिकी तंत्र को सुगम बनाने के साथ ही स्वयं के उपभोक्ताओं को कई प्रकार के  जोखिमों से संरक्षण प्रदान कर रही है।

2. यूरोपियन संचार मानक संस्थान (ETSI) से संबंधित केस स्टडी

ETSI ने इंटरनेट से जुड़े हुए किन्ही भी उपकरणों की खरीद के लिये तीन मुख्य मानदंड निर्दिष्ट किये है जिससे बड़ी संख्या में हमलों के विरुद्ध सुरक्षा में सहायता मिल सकती है-

1. यह सुनिश्चित करना कि उपकरण पूर्व-निर्धारित पासवर्ड के साथ न हो और उसे उपभोक्ता द्वारा परिवर्तित किया जाना अपेक्षित हो बल्कि वह विशिष्ट और अद्वितीय होना चाहिये। इससे मिराई आक्रमण को रोकने में सहायता मिली थी।
2. इंटरनेट-कनेक्टेड उपकरणों एवं सेवाओं का उत्पादन करने वाली कंपनियों को एक ऐसा संपर्क स्थल प्रदान कराना चाहिये जिसे मामलों को सीधे रिपोर्ट किया जा सके। यह कंपनियों को समय पर किसी मामले में प्रतिक्रिया देने एवं समाधान करने में सक्षम बनाता है।
3. इंटरनेट से जुड़े हुए उपकरणों में सॉफ्टवेयर का अद्यतन आसान और समयबद्ध होना चाहिये। यह सुनिश्चित करता है कि आक्रमण की सुभेद्यता बढ़ाने वाली किसी सॉफ्टवेयर की गड़बड़ी को ठीक किया जा सकता है

इस सिद्धांत के क्रियान्वयन हेतु अनुशंसाएँ

प्रबंधन प्रोटोकॉल का उपयोग एवं संवर्द्धित विक्रेता सुरक्षा

सिद्धांत 4: राउटिंग और सिग्नलिंग/संकेतन (Signalling) की सुरक्षा को मजबूत करने के लिये आक्रमण के विरुद्ध रक्षा को प्रभावी तरीके से सुदृढ़ करने हेतु कार्यवाही करना।

यह सिद्धांत किन चुनौतियों का समाधान प्रस्तुत करता है?

यह सिद्धांत किस प्रकार प्रभावी है?

इस सिद्धांत को अपनाने से संपूर्ण रूप से ऑनलाइन पारितंत्र पर महत्त्वपूर्ण प्रभाव पड़ सकता है एवं ISPs की दक्षता में सुधार देखने को मिल सकता है जिससे अपने भागीदारों के साथ समकक्ष संबंधों (Peer Relations) में अधिक स्पष्टता आती है। इस सिद्धांत के कार्यान्वयन से निम्नलिखित प्रभाव देखने को मिल सकते है:

इस सिद्धांत के क्रियान्वयन हेतु अनुशंसाएँ

ISP के कार्यान्वयन को लागू करने के लिये प्रोटोकॉल संबंधित कई उपाय लागू कर सकता है जो अपराधियों के लिये ट्रैफिक राउटिंग का कुशलता पूर्वक उपयोग करना, सेवा अवरोधन अन्य आक्रमण करना अधिक कठिन बनाता है।

1. सिग्नलिंग/संकेतन और राउटिंग क्रियान्वयन हेतु प्रभावी आधारभूत प्रोटोकॉल्स को लागू करना।

वर्तमान BGP समकक्ष संबंधों को समझना और BGP हाईजैक की बेहतर तरीके से पहचान तथा प्रभावी प्रतिक्रिया सुनिश्चित करने हेतु समकक्षों के साथ सहयोग करना।

2. राउटिंग सुरक्षा हेतु पारस्परिक रूप से सहमत मानक (Mutually Agreed Norms for Routing Security-MANRS) प्रोजेक्ट से जुड़ने पर विचार करना एवं MANRS की आवश्यकताओं को लागू  करना।

3. इन्ग्रेस फ़िल्टरिंग (Ingress Filtering) का प्रयोग करना ताकि कुछ प्रकार के वितरित सेवा अवरोधन  (DDoS) हमलों को कठिन बनाया जा सके और नेटवर्क पर दुर्भावनापूर्ण गतिविधियों की मात्रा को कम किया जा सके।

4. DNS जैसे प्रोटोकॉल तक पहुँच और इनके उपयोग का उचित रूप से प्रबंधन किया जाना चाहिये जिनका DoS हमलों में प्रयोग किया जा सकता है।

5. SS7 प्रोटोकॉल की सुरक्षा संबंधी सुभेद्यताओं के बारे में जागरूकता का प्रसार करना एवं ग्राहकों की बेहतर सुरक्षा के लिये प्रासंगिक समाधानों को लागू करना और यह सुनिश्चित करना कि सिग्नलिंग की आगामी पीढ़ी अपेक्षाकृत अधिक सुरक्षित हो।

निष्कर्ष