सुरक्षा तंत्र क्या है?
सुरक्षा तंत्र एक तकनीकी उपकरण, प्रक्रिया, या तकनीक है जिसका उपयोग सुरक्षा सेवाओं को लागू करने के लिए किया जाता है। यह सुरक्षा हमलों का पता लगाने, रोकने, या उनसे उबरने के लिए डिज़ाइन किया गया है। OSI सुरक्षा वास्तुकला के अनुसार, सुरक्षा तंत्र सुरक्षा सेवाओं (गोपनीयता, अखंडता, प्रमाणीकरण, आदि) को लागू करने के लिए उपयोग किए जाते हैं।
सुरक्षा तंत्र के प्रकार (OSI X.800 मानक)
विशिष्ट सुरक्षा तंत्र (Specific Security Mechanisms)
- एन्क्रिप्शन (Encipherment): डेटा को अपठनीय रूप में बदलना (सममित/असममित क्रिप्टोग्राफी)
- डिजिटल हस्ताक्षर: प्रेषक की पहचान और डेटा अखंडता सत्यापित करना
- अभिगम नियंत्रण तंत्र: संसाधनों तक पहुंच प्रतिबंधित करना (ACL, RBAC, ABAC)
- डेटा अखंडता तंत्र: डेटा में अनधिकृत परिवर्तन का पता लगाना (हैश, MAC, चेकसम)
- प्रमाणीकरण विनिमय: पहचान सत्यापन के लिए प्रोटोकॉल (चुनौती-प्रतिक्रिया, Kerberos)
- ट्रैफिक पैडिंग: ट्रैफिक विश्लेषण रोकने के लिए डमी डेटा जोड़ना
- रूटिंग नियंत्रण: सुरक्षित मार्ग चयन और ट्रैफिक पुनर्निर्देशन
- नोटरीकरण: विश्वसनीय तृतीय पक्ष द्वारा डेटा/घटना सत्यापन
व्यापक सुरक्षा तंत्र (Pervasive Security Mechanisms)
- विश्वसनीय कार्यक्षमता: सुरक्षा नीति के अनुसार सही संचालन सुनिश्चित करना
- सुरक्षा लेबल: संसाधनों पर संवेदनशीलता लेबल लगाना
- घटना पहचान: सुरक्षा-प्रासंगिक घटनाओं का पता लगाना
- सुरक्षा ऑडिट ट्रेल: गतिविधियों का लॉग रखना
- सुरक्षा पुनर्प्राप्ति: हमले के बाद सुरक्षित स्थिति बहाल करना
सुरक्षा सेवाएं और तंत्र का संबंध
| सुरक्षा सेवा | संबंधित तंत्र |
|---|---|
| गोपनीयता (Confidentiality) | एन्क्रिप्शन, ट्रैफिक पैडिंग, रूटिंग नियंत्रण |
| अखंडता (Integrity) | डिजिटल हस्ताक्षर, डेटा अखंडता तंत्र, नोटरीकरण |
| प्रमाणीकरण (Authentication) | प्रमाणीकरण विनिमय, डिजिटल हस्ताक्षर |
| गैर-अस्वीकृति (Non-repudiation) | डिजिटल हस्ताक्षर, नोटरीकरण |
| अभिगम नियंत्रण (Access Control) | अभिगम नियंत्रण तंत्र, प्रमाणीकरण |
| उपलब्धता (Availability) | सुरक्षा पुनर्प्राप्ति, घटना पहचान |
वायरलेस नेटवर्क में सुरक्षा तंत्र (IEEE 802.11)
- प्रमाणीकरण: ओपन सिस्टम, साझा कुंजी, 802.1X/EAP
- अभिगम नियंत्रण: MAC फ़िल्टरिंग, 802.1X पोर्ट-आधारित नियंत्रण
- एन्क्रिप्शन: WEP (पुराना), WPA/TKIP, WPA2/AES-CCMP, WPA3/SAE
नोट: ये तंत्र परिष्कृत हमलों (KRACK, डिक्रिप्शन, MITM) के विरुद्ध पूर्ण सुरक्षा नहीं देते। अतिरिक्त परतें (VPN, एंडपॉइंट सुरक्षा) आवश्यक हैं।
सुरक्षा तंत्र के उदाहरण
- क्रिप्टोग्राफी: AES, RSA, ECC, TLS/SSL, IPsec
- प्रमाणीकरण: MFA, बायोमेट्रिक्स, OTP, FIDO2/WebAuthn
- फायरवॉल: पैकेट फिल्टर, स्टेटफुल, NGFW
- IDS/IPS: स्नॉर्ट, सर्का, क्लाउड-आधारित
- लॉगिंग/SIEM: स्प्लंक, ELK, QRadar
- प्रमाणपत्र प्रणाली: PKI, CRL, OCSP
सुरक्षा तंत्र की विशेषताएं
- व्यावसायिक कार्यों और व्यक्तिगत डेटा की सुरक्षा (प्रमाणीकरण)
- उपयोगकर्ताओं को उनके कार्यों के लिए जवाबदेह बनाना (गैर-अस्वीकृति)
- सिस्टम को आउटेज और व्यवधानों के प्रति लचीला बनाना
- सुरक्षा नीतियों को लागू करना
संरक्षण तंत्र के तीन पहलू
- उपयोगकर्ता पहचान (प्रमाणीकरण): उपयोगकर्ता कौन है?
- प्राधिकरण निर्धारण: उपयोगकर्ता क्या कर सकता है?
- लेखांकन/ऑडिटिंग: उपयोगकर्ता ने क्या किया?
वेब सुरक्षा तंत्र
HTTPS/TLS: वेबसाइट ट्रैफिक एन्क्रिप्ट करता है (128/256-बिट)। गोपनीय डेटा को इंटरनेट पर सुरक्षित रूप से प्रसारित करता है।
निष्कर्ष
सुरक्षा तंत्र रक्षा-इन-गहराई (Defense in Depth) रणनीति के निर्माण खंड हैं। कोई एक तंत्र पूर्ण सुरक्षा नहीं देता; स्तरित दृष्टिकोण—निवारक, जांचात्मक, सुधारात्मक तंत्रों का संयोजन—आवश्यक है।
