साइबर युद्ध, आत्मरक्षा और रक्षक की दुविधा

विचार करने, शोध करने और शराब के कुछ गिलास के बाद, मैंने साइबर युद्ध पर एक विश्लेषण करने का निर्णय लिया है...

जैसा कि मैं वर्तमान में कनाडा में रहता हूं, मैं इस विषय पर कनाडा के दृष्टिकोण से लिखूंगा। कनाडा में अधिकांश चीजों की तरह, हम संयुक्त राज्य अमेरिका से अपना मार्गदर्शन लेते हैं, और साइबर सुरक्षा के प्रति हमारा दृष्टिकोण अलग नहीं है। संयुक्त राज्य अमेरिका में पूरे देश में कंप्यूटरों के वैध और गैरकानूनी उपयोग के आसपास कई कानून और नियम हैं। मैंने इनमें से कुछ को अपने पिछले ब्लॉग पोस्ट में सूचीबद्ध किया था जिसका शीर्षक द एज ऑफ़ साइबर वारफेयर था, इसलिए मैं उन्हें यहाँ नहीं दोहराऊँगा।

हालांकि, मैं यह दोहराना चाहता हूं कि सिस्टम के दुरुपयोग के कारण जितना सोचा जा सकता है उससे कहीं अधिक नुकसान हो सकता है। जब मैंने पहली बार साइबर सुरक्षा क्षेत्र में प्रवेश किया, तो मुझे अपनी टीम को भेद्यता प्रबंधन कार्यक्रम विकसित करने और लागू करने में मदद करने का काम सौंपा गया था। सूचना प्रौद्योगिकी की अधिकांश चीजों की तरह, किसी को भी जल्दी सीखना होता है और यह नहीं जानने में सहज होना चाहिए कि आपका अगला कार्य क्या होगा। ऐसे में Google और Youtube आपके सबसे अच्छे दोस्त बन जाते हैं।

जैसा कि मैंने आरंभ करने के लिए सभी आवश्यक जानकारी एकत्र की, यह केवल कुछ समय पहले की बात है जब मैं कार्यक्रम के आसपास के विभिन्न कानूनों और विनियमों से भर गया था। उदाहरण के लिए, क्या आप जानते हैं कि यदि आपके पास सिस्टम स्वामी से ऐसा करने की अनुमति नहीं है तो सिस्टम की जांच करना अवैध है?

मेरे एक अच्छे दोस्त ने मुझे अपनी बेटी की मास्टर की थीसिस भेजी क्योंकि उसने मेरी आखिरी साइबर युद्ध पोस्ट पढ़ी थी। कैनेडियन हैक-बैक?: निजी क्षेत्र की सक्रिय साइबर सुरक्षा के लिए कैनेडियन लीगल फ्रेमवर्क का एक विचार , एक अच्छी पढ़ाई है और इस विषय पर मेरे सामने आने वाले एकमात्र अकादमिक पत्रों में से एक है। अपने शोध के दौरान, लेखिका को एक्टिव साइबर डिफेंस ("एसीडी") शब्द का पता चलता है, जिसके बारे में लगता है कि इसकी कई परिभाषाएँ हो सकती हैं। हालांकि, वह ACD को "तकनीकी साधनों का उपयोग करके साइबर खतरों या घुसपैठ के लिए किसी भी गैर-सरकारी प्रतिक्रिया के रूप में परिभाषित करती है, जब उस प्रतिक्रिया का प्रभाव रक्षक के अपने नेटवर्क के बाहर होता है।" इस परिभाषा के साथ, एक रक्षक द्वारा की जाने वाली हर कार्रवाई को ACD के रूप में वर्गीकृत किया जाएगा, जिसमें घुसपैठ करने वाली प्रणाली की जांच करना भी शामिल है। ध्यान दें कि मैं उनकी थीसिस को इस पोस्ट में लाता हूं, आलोचना या मूल्यांकन के रूप में नहीं, बल्कि यह उजागर करने के लिए कि यह विषय कितना जटिल हो सकता है।

जैसा कि मैं कल्पना के किसी भी खंड से वकील नहीं हूं, मैं पेशेवरों के लिए बाकी कानूनी चर्चाओं को छोड़ दूंगा। हालाँकि, साइबर सुरक्षा अब हमारे जीवन के हर हिस्से को छूती है, साइबर सुरक्षा पेशेवरों को अब इन सभी कानूनों का पालन करने और अपने ग्राहकों को सक्षम सेवा प्रदान करने के लिए प्रशिक्षित करना होगा। यह धीरे-धीरे साइबर सुरक्षा के क्षेत्र में एक महत्वपूर्ण दोष बनता जा रहा है: अनुभवी, सक्षम और योग्य साइबर सुरक्षा पेशेवरों की कमी है। कल्पना कीजिए कि किसी भी चीज और हर चीज को सुरक्षित करना है जिसमें एक चिप है, जो प्रकृति में संवेदनशील है, और इसमें ऐसे लोग शामिल हैं जो मेरे जैसे ही त्रुटिपूर्ण हैं...

जैसा कि किसी भी साइबर सुरक्षा पेशेवर को पता होगा, साइबर सुरक्षा मोटे तौर पर 8 डोमेन में आती है:

1. सुरक्षा और जोखिम प्रबंधन

2. संपत्ति सुरक्षा

3. सुरक्षा वास्तुकला और इंजीनियरिंग

4. संचार और नेटवर्क सुरक्षा

5. पहचान और अभिगम प्रबंधन

6. सुरक्षा मूल्यांकन और परीक्षण

7. सुरक्षा संचालन

8. सॉफ्टवेयर विकास सुरक्षा

   
   

प्रत्येक डोमेन में उपखंड होते हैं जो किसी संगठन के लोगों, प्रक्रियाओं और प्रौद्योगिकी को कवर करते हैं। इनमें से कुछ अनुभागों में ऐसे क्षेत्र शामिल हैं जिनके बारे में आपको नहीं लगता कि वे साइबर से जुड़े हैं। उदाहरण के लिए, क्या आप जानते हैं कि आग बुझाने, बाढ़ के मैदानों को कम करने और बाहरी प्रकाश व्यवस्था को साइबर सुरक्षा के तहत वर्गीकृत किया जा सकता है? मैंने भी नहीं किया, जब तक कि मुझे यह एहसास नहीं हुआ कि आग लगने, पानी भरने, या रात की आड़ में चोरी होने पर सिस्टम को सुरक्षित नहीं किया जा सकता है। इतना कहना पर्याप्त होगा कि साइबर सुरक्षा में कई क्षेत्र शामिल हैं जिनमें से प्रत्येक को एक अनुभवी पेशेवर द्वारा सुरक्षित किया जाना चाहिए।

साइबर सुरक्षा रक्षा

जैसे-जैसे हम यह समझने लगते हैं कि साइबर सुरक्षा वास्तव में कितनी व्यापक है, हम यह समझना शुरू कर सकते हैं कि सबसे पहले हमारे सिस्टम पर हमलों से बचना कितना महत्वपूर्ण है। हालाँकि, ऐसा लगता है कि हम एक कठिन लड़ाई का सामना कर रहे हैं और हर कदम को प्रतिरोध के साथ पूरा किया जाता है।

गेट के ठीक बाहर कुछ चीजें हैं जो हमारी साइबर सुरक्षा मुद्रा को कमजोर करती हैं। एक के लिए, एक प्रतिष्ठित स्टोर से खरीदा गया नया कंप्यूटर उतना सुरक्षित नहीं है जितना आप सोचते हैं। उदाहरण के लिए, क्या आपने कभी अपने कंप्यूटर पर इंस्टॉल किए गए ऐसे प्रोग्राम देखे हैं जिन्हें आप एंटीवायरस प्रोग्राम या गेमिंग सूट के परीक्षण संस्करण की तरह नहीं चाहते हैं? इसे ब्लोटवेयर कहा जाता है और आपके कंप्यूटर को हमलों के लिए खोल देता है। विंडोज पर 'लोकेशन सर्विसेज' और एआई वॉयस असिस्टेंट 'कोर्टाना' के बारे में क्या? ये सेवाएँ आपके भौतिक स्थान के साथ-साथ Microsoft को आपकी आवाज़ के पैटर्न को फ़िंगरप्रिंट कर सकती हैं। अपनी हमले की सतह को कम करने के लिए इन सेवाओं को अक्षम करें।

एक और मुद्दा यह है कि अधिकांश स्मार्ट डिवाइस जैसे स्मार्टवॉच और स्मार्ट टीवी बुनियादी साइबर हमलों की चपेट में हैं। ये उपकरण आमतौर पर लैपटॉप या डेस्कटॉप के रूप में सुरक्षित नहीं होते हैं क्योंकि इन उपकरणों को बनाने में सुरक्षा पहला विचार नहीं है। इसका एक चरम लेकिन अच्छा उदाहरण एक कैसीनो के फिश टैंक सेंसर के माध्यम से हुआ साइबर हमला है।

विचार करने के लिए एक और बिंदु यह है कि कंप्यूटर उपयोगकर्ता आमतौर पर साइबर-जागरूक नहीं होते हैं। उदाहरण के लिए, क्या आप जानते हैं कि आप बिना जाने ही हजारों साइबर हमलों का अनुभव कर सकते हैं? यह फ़िशिंग ईमेल , सेवा हमलों से इनकार , और डेटा उल्लंघनों (जैसे, 2017 के इक्विफ़ैक्स डेटा उल्लंघन ) के माध्यम से किया जा सकता है। यह कहने की बात नहीं है कि अधिकांश लोग अपने अधिकांश खातों के लिए कमजोर पासवर्ड का पुन: उपयोग करते हैं। आप दोषी हैं, और मैं भी कई साल पहले था। कृपया मुझ पर और बाकी समाज पर एक एहसान करें और ' 123456' को अपने एकमात्र पासवर्ड के रूप में उपयोग करना बंद करें।

मुझे लगता है कि यह कहना सुरक्षित है कि हालात हमारे खिलाफ हैं। हालाँकि, साइबर हमलों की बढ़ती लागत के कारण पिछले कुछ वर्षों में साइबर-सुरक्षित दुनिया की ओर कुछ प्रगति हुई है। उम्मीद तो है, लेकिन अभी इस दिशा में काफी काम करना बाकी है। इसलिए यदि आप साइबर सुरक्षा की दुनिया में कदम रखने में रुचि रखते हैं, तो यह एक अच्छा समय है।

साइबर सुरक्षा अपराध

जैसे ही हम आक्रामक रणनीति के विषय में प्रवेश करते हैं, यह ध्यान रखना महत्वपूर्ण है कि कोई भी हमला पीड़ित से प्रतिक्रिया आमंत्रित करता है। किसी पर शारीरिक हमला आत्मरक्षा के रूप में प्रतिशोध को आमंत्रित करता है जो एक साधारण झटका से लेकर मार देने वाली हड़ताल तक हो सकता है।

इसे ध्यान में रखते हुए, मैं दो प्रश्नों पर चर्चा करना चाहता हूं:

1. अगर हमारे सिस्टम पर साइबर हमला होता है, तो क्या हमें आत्मरक्षा में जवाब देने का अधिकार है?

2. अगर हमें आत्मरक्षा में जवाब देने का अधिकार है, तो हम किस हद तक जवाब दे सकते हैं?

   
   

भौतिक दुनिया में, यदि हमें किसी अन्य व्यक्ति द्वारा उकसाया या नुकसान पहुँचाया जाता है, तो एक समाज के रूप में हमने आत्मरक्षा के माध्यम से स्वीकार्य प्रतिक्रिया का निर्णय लिया है। यदि कोई व्यक्ति मुझे चोट पहुँचाने का प्रयास करता है, तो मुझे अपना बचाव करने का अधिकार है। और भले ही मुझे अपना बचाव करने का अधिकार है, यह उस समय मेरे ऊपर है कि मैं इस अधिकार पर कार्य करता हूं या नहीं। एक ऐसे व्यक्ति के रूप में जो वर्तमान में एक मार्शल आर्ट सीख रहा है, मुझे बस इतना कहना है कि मैं किसी क्षमता में हमले का जवाब दूंगा। आपको चेतावनी दी गई है।

हालाँकि, डिजिटल दुनिया में आत्मरक्षा का मुद्दा बहुत जटिल हो जाता है। शुरुआत करने वालों के लिए, आप कभी भी 100% सुनिश्चित नहीं हो सकते कि किसने आपको नुकसान पहुंचाया (या आपके सिस्टम पर साइबर हमला किया)। अधिकांश साइबर हमले एक निर्दोष तीसरे पक्ष की समझौता प्रणाली से होते हैं न कि वास्तविक हमलावर की मशीन से। यह डिज़ाइन द्वारा है क्योंकि यह असंभव नहीं तो कठिन हो जाता है कि कौन, क्या, कब, कहाँ, क्यों और कैसे हमला किया जाए। और इसलिए भले ही आपके पास अपराध करने वाली प्रणाली के खिलाफ एक पूर्ण पैमाने पर साइबर-हमला करने की क्षमता थी, आप एक निर्दोष तमाशबीन पर हमला कर सकते हैं, जिससे वे आपके सिस्टम के खिलाफ कार्रवाई कर सकते हैं... एक आत्म-पूर्ति की भविष्यवाणी।

एक अन्य मुद्दा यह है कि एक साइबर हमला एक प्रणाली को महत्वपूर्ण नुकसान पहुंचा सकता है, जिससे अप्रत्याशित परिणाम हो सकते हैं क्योंकि हमला किया गया सिस्टम सैकड़ों से जुड़ा हो सकता है, यदि नहीं, तो हजारों अन्य सिस्टम, प्रौद्योगिकी और भू-राजनीतिक दुनिया दोनों में। उदाहरण के लिए, यदि कोई साइबर हमला एक तेल पाइपलाइन को बंद करने में सफल रहा, तो एक देश बिना तेल के हो सकता है जब तक कि प्रभावित प्रणालियों को सुरक्षित रूप से ऑनलाइन वापस नहीं किया जा सकता। औपनिवेशिक पाइपलाइन रैंसमवेयर हादसा इसका एक उदाहरण है क्योंकि दक्षिणपूर्वी संयुक्त राज्य अमेरिका ने हमले के कारण तेल की कमी का अनुभव किया।

प्रतिशोध के साथ तीसरा मुद्दा दायित्व और वृद्धि की संभावना का है। प्रतिशोध के कारण हुए नुकसान के लिए कौन उत्तरदायी है? भले ही साइबर हमले ने हमलावर के सिस्टम को क्षतिग्रस्त कर दिया हो, कौन कह सकता है कि वे तरह से जवाब नहीं देंगे? यदि प्रतिशोध एक पेशेवर द्वारा नहीं किया जाता है, तो एक हमलावर की यह पता लगाने की संभावना है कि आप कौन हैं और किस सिस्टम पर हमला करना है, इसकी लगभग गारंटी है। क्या आप न केवल अपने सिस्टम बल्कि अपनी पहचान, परिवार और दोस्तों पर बड़े पैमाने पर साइबर हमले से निपटने के लिए तैयार हैं? कौन जानता है कि हमला किस हद तक जाएगा?

मुझे लगता है कि यह कहना सुरक्षित है कि ज्यादातर लोग इतने बड़े नुकसान के लिए तैयार नहीं हैं।

तर्क के लिए, मान लें कि हमारे पहले प्रश्न का उत्तर हाँ है। अगला सवाल यह है कि हम साइबर हमले का किस हद तक जवाब दे सकते हैं? यह देखने के लिए कि क्या यह चालू या बंद है, हम सिस्टम की जांच के रूप में सबसे बुनियादी प्रतिक्रिया कर सकते हैं। हम अपराधी के सिस्टम पर पूर्ण पैमाने पर सेवा से इनकार , रैनसमवेयर , या क्रूर बल का हमला भी कर सकते हैं। हम रेखा कहां खींचते हैं? या बेहतर सवाल यह है कि हमारे द्वारा अनुभव किए जाने वाले प्रत्येक हमले के लिए उपयुक्त प्रतिक्रिया क्या है?

यदि हम किसी हमलावर का पता लगाते हैं जो हमारे सिस्टम को कमजोरियों के लिए स्कैन कर रहा है, तो क्या ऐसा करना उचित होगा? क्या होगा अगर कोई हमलावर हमारे ईमेल पतों पर फ़िशिंग ईमेल भेजता है, तो क्या हम उन्हें किसी तरह से स्कैम करने की कोशिश कर सकते हैं? अगर हम पर रैंसमवेयर का हमला होता है तो क्या हम फिशिंग हमला कर सकते हैं? मुझे लगता है कि आप देख सकते हैं कि मैं इसके साथ कहां जा रहा हूं, इस सवाल का कोई अच्छा जवाब नहीं है। सच्चाई यह है कि हमारे पास किसी अपराधी प्रणाली पर साइबर हमले को 'सुरक्षित' रूप से संचालित करने के लिए आवश्यक सभी जानकारी कभी नहीं होगी। सवाल अंतहीन हैं और हमने इसकी नैतिकता और नैतिकता के बारे में भी बात नहीं की है। मैं उस विषय को दूसरे दिन के लिए छोड़ दूँगा।

समापन विचार

मुझे यह स्वीकार करना होगा कि मुझे साइबर-आत्मरक्षा की अवधारणा पसंद है, लेकिन मेरी राय में ऐसा करना संभव नहीं है। यदि व्यक्तियों या कंपनियों ने 'वापस हैकिंग' शुरू की तो बहुत कम पेशेवर, बहुत सारे असुरक्षित उपकरण और बहुत अधिक जोखिम हैं। इसके साथ ही डिफेंडर की दुविधा हमेशा बनी रहेगी: हमलावर हमेशा डिफेंडरों से एक कदम आगे रहेंगे। एकमात्र मामला जिसे मैं 'हैकिंग बैक' के विकल्प के रूप में देख सकता था, अगर विश्व युद्ध जैसी घटना के माध्यम से दुनिया की आबादी को खतरा था। इस मामले में, सभी के लिए सामान्य जीवन बाधित हो जाएगा और वास्तव में इससे कोई फर्क नहीं पड़ेगा कि साइबर हमले हो रहे थे क्योंकि परमाणु पतन, भुखमरी, हत्या और बीमारी जैसे अधिक दबाव वाले मामलों में भाग लेना होगा। आइए प्रार्थना करें कि यह उस पर न आए ...

वैसे भी, मुझे उम्मीद है कि यह आपमें से उन लोगों के लिए उपयोगी होगा जो मेरे ब्लॉग को पढ़ते हैं। मैं हमेशा कहता हूं कि मैंने इस करियर को नहीं चुना है, इसने मुझे चुना है। मैं उन विषयों के बारे में लिखना जारी रखूंगा जो मेरे लिए मायने रखते हैं और जो मुझे विश्वास है कि समाज को मूल्य प्रदान करते हैं।

हमेशा की तरह, यदि आपके पास मेरे द्वारा लिखे गए प्रश्नों, टिप्पणियों या चिंताओं के बारे में कोई प्रश्न हैं, तो मैं उपलब्ध हूं।

शांति, प्रेम, और वह सब खुशियाँ!

यहाँ भी प्रकाशित हुआ।