अभ्यास परीक्षा भाग 3: संचालन, घटना प्रतिक्रिया और फॉरेंसिक्स

प्रश्न: किसी संगठन का पारंपरिक एंटीवायरस ऐसे मैलवेयर को लगातार नहीं पकड़ पाता जो PowerShell का उपयोग करके कोड को पूरी तरह मेमोरी में चलाता है और कोई फ़ाइल नहीं बनाता। इस कमी को दूर करने के लिए कौन-सी सुरक्षा तकनीक BEST है?

उत्तर: Endpoint Detection and Response (EDR). पारंपरिक एंटीवायरस फ़ाइल हस्ताक्षर मिलान का उपयोग करता है — यह फ़ाइलों को स्कैन करके ज्ञात मैलवेयर हस्ताक्षरों के डेटाबेस से उनकी तुलना करता है। पूरी तरह मेमोरी में चलने वाला फ़ाइलरहित मैलवेयर कभी फ़ाइल नहीं लिखता, इसलिए हस्ताक्षर-आधारित AV उस दुर्भावनापूर्ण कोड को स्कैन नहीं करता। EDR व्यवहार-आधारित पहचान का उपयोग करता है — फ़ाइल मौजूद हो या न हो, यह प्रक्रिया के व्यवहार (मेमोरी ऐक्सेस पैटर्न, API कॉल, PowerShell स्क्रिप्ट ब्लॉक लॉगिंग और नेटवर्क कनेक्शन) की निगरानी करता है। EDR यह पहचान सकता है कि PowerShell असामान्य व्यवहार कर रहा है (कोड डाउनलोड और निष्पादित करना, LSASS तक पहुँचना), भले ही कोई हस्ताक्षर उपलब्ध न हो। EDR प्रतिक्रिया क्षमताएँ भी देता है — एंडपॉइंट को अलग करना, प्रक्रियाएँ बंद करना और फॉरेंसिक साक्ष्य एकत्र करना।

प्रश्न: एक कर्मचारी वित्त विभाग से विपणन विभाग में स्थानांतरित होता है। सुरक्षा नीति के अनुसार वित्त प्रणालियों का उसका ऐक्सेस हटाया जाना और विपणन का ऐक्सेस दिया जाना आवश्यक है। कौन-सी प्रक्रिया सुनिश्चित करती है कि यह सही ढंग से हो?

उत्तर: पहचान जीवनचक्र प्रबंधन / उपयोगकर्ता को ऐक्सेस देने और हटाने की प्रक्रिया। जिस जोखिम को संबोधित किया जा रहा है वह ऐक्सेस का बढ़ते जाना है — समय के साथ कई भूमिकाओं की अनुमतियाँ जमा होती रहती हैं। कर्मचारी की भूमिका बदलने पर पुराना ऐक्सेस हटाया जाना चाहिए और नया ऐक्सेस दिया जाना चाहिए। इस प्रक्रिया के बिना स्थानांतरित कर्मचारी के पास वित्त और विपणन दोनों का ऐक्सेस बना रहता है, जो न्यूनतम विशेषाधिकार के सिद्धांत का उल्लंघन है। इसका प्रबंधन अक्सर HR प्रणाली के एकीकरण से स्वचालित किए गए Identity Governance and Administration (IGA) सिस्टम द्वारा किया जाता है। ऐक्सेस समीक्षा/पुनःप्रमाणीकरण अभियानों में समय-समय पर सभी उपयोगकर्ताओं के ऐक्सेस अधिकारों की समीक्षा की जाती है, ताकि कभी न हटाई गई अतिरिक्त अनुमतियों का पता लगाया जा सके।

प्रश्न: एक फॉरेंसिक जाँचकर्ता जब्त किए गए सर्वर की डिस्क इमेज बनाता है। वह इमेज बनाने से पहले और बाद में MD5 तथा SHA-256 हैश मानों का उपयोग करता है। इन हैश मानों की तुलना करने का उद्देश्य क्या है?

उत्तर: यह सत्यापित करना कि डिस्क इमेज मूल साक्ष्य की हूबहू, अपरिवर्तित प्रति है (अखंडता सिद्ध करना)। डिजिटल फॉरेंसिक में हैश सत्यापन के माध्यम से जाँचकर्ता सिद्ध करते हैं कि इमेज बनाने की प्रक्रिया के दौरान साक्ष्य में कोई बदलाव नहीं किया गया। इमेज बनाने से पहले मूल डिस्क का हैश निकाला जाता है; इसके बाद बनी इमेज का हैश निकाला जाता है। यदि दोनों हैश समान हों, तो इमेज बिट-दर-बिट हूबहू प्रति है। इमेज में कोई भी अंतर अलग हैश उत्पन्न करेगा। इससे साक्ष्य की अभिरक्षा-श्रृंखला समर्थित होती है और निष्कर्ष कानूनी रूप से स्वीकार्य बनते हैं। MD5 और SHA-256 दोनों का साथ उपयोग किया जाता है — MD5 तेज़ है, लेकिन उसमें ज्ञात टकराव हैं; SHA-256 टकराव-रोधक क्षमता देता है। दोनों का उपयोग अतिरिक्त विश्वसनीयता प्रदान करता है।

प्रश्न: एक सुरक्षा संचालन केंद्र (SOC) को डेटा बाहर भेजने में शामिल खातों की पहचान करने के लिए Active Directory से लॉगिन घटनाओं, फ़ायरवॉल से नेटवर्क कनेक्शनों और ईमेल गेटवे से ईमेल घटनाओं का सहसंबंध करना है। कौन-सा उपकरण विभिन्न स्रोतों के बीच यह सहसंबंध क्षमता देता है?

उत्तर: Security Information and Event Management (SIEM). एक SIEM कई स्रोतों (Active Directory, फ़ायरवॉल, ईमेल गेटवे, EDR और क्लाउड प्लेटफ़ॉर्म) से लॉग एकत्र करता है, उन्हें एक सामान्य स्कीमा में सामान्यीकृत करता है और सहसंबंध नियम लागू करता है, जो कई स्रोतों में फैले पैटर्न का पता लगाते हैं। AD में लॉगऑन की अकेली घटना अर्थपूर्ण नहीं होती; लेकिन उसी समय किसी नए बाहरी डोमेन को बाहर जाने वाले डेटा स्थानांतरण के साथ मिलने पर यह जाँच योग्य चेतावनी बन जाती है। SIEM ये सुविधाएँ भी देता है: फॉरेंसिक जाँच के लिए केंद्रीकृत लॉग भंडारण, SOC की स्थिति-जागरूकता के लिए डैशबोर्ड और सीमा-उल्लंघनों पर चेतावनी। SOAR (Security Orchestration, Automation, and Response), SIEM की चेतावनियों से शुरू होने वाली प्रतिक्रिया कार्रवाइयों को स्वचालित करता है।

प्रश्न: एक भेद्यता स्कैनर संगठन की प्रणालियों में 500 भेद्यताएँ पहचानता है। सुरक्षा टीम के पास सीमित संसाधन हैं। उन्हें सुधार कार्यों की प्राथमिकता कैसे तय करनी चाहिए?

उत्तर: CVSS स्कोर को परिसंपत्ति की महत्वपूर्णता और उसके शोषण की परिस्थितियों (खतरे से जुड़ी जानकारी) के साथ मिलाकर प्राथमिकता तय करें। केवल CVSS स्कोर शुरुआती आधार है, लेकिन प्रभावी प्राथमिकता निर्धारण के लिए इसे इन बातों के साथ मिलाना आवश्यक है: परिसंपत्ति की महत्वपूर्णता — गैर-महत्वपूर्ण परीक्षण सर्वर पर Critical CVSS वाली भेद्यता, क्रेडिट कार्ड डेटा संसाधित करने वाली प्रणाली की Medium भेद्यता से कम तात्कालिक हो सकती है; शोषण-क्षमता — क्या कार्यशील exploit सार्वजनिक रूप से उपलब्ध है? वास्तविक दुनिया में सक्रिय शोषण प्राथमिकता को बहुत बढ़ा देता है; एक्सपोज़र — इंटरनेट से जुड़ी भेद्यताएँ केवल आंतरिक भेद्यताओं से अधिक प्राथमिकता वाली होती हैं; और प्रतिपूरक नियंत्रण — ऐसी प्रणाली पर फ़ायरवॉल नियम भेद्यता के प्रभाव को आंशिक रूप से कम कर सकता है जिसे तुरंत पैच नहीं किया जा सकता। EPSS (Exploit Prediction Scoring System) वास्तविक दुनिया में शोषण की संभावना का अनुमान देकर CVSS का पूरक बनता है।

प्रश्न: कर्मचारी कॉर्पोरेट ईमेल ऐक्सेस करने के लिए अपने निजी स्मार्टफ़ोन का उपयोग करते हैं। कंपनी यह सुनिश्चित करना चाहती है कि कर्मचारी के चले जाने या फ़ोन खोने पर निजी डेटा को प्रभावित किए बिना कॉर्पोरेट डेटा हटाया जा सके। कौन-सी MDM क्षमता यह कार्य करती है?

उत्तर: चयनात्मक वाइप (चयनात्मक वाइप क्षमता वाला कंटेनरीकरण)। चयनात्मक वाइप BYOD डिवाइस से केवल कॉर्पोरेट डेटा कंटेनर हटाता है और निजी डेटा (फ़ोटो, संदेश और ऐप) सुरक्षित रखता है। इसके विपरीत पूर्ण दूरस्थ वाइप (फ़ैक्टरी रीसेट) सब कुछ मिटा देता है, जिसमें निजी डेटा भी शामिल है; कर्मचारी के स्वामित्व वाले डिवाइस पर यह कानूनी रूप से समस्याजनक हो सकता है। आधुनिक MDM समाधान (Intune, Jamf) कंटेनरीकरण का उपयोग करते हैं — कॉर्पोरेट ऐप और डेटा निजी सामग्री से अलग, सुरक्षित और एन्क्रिप्टेड कंटेनर में रहते हैं। कंटेनर को चयनात्मक रूप से वाइप करने पर निजी सामग्री को छुए बिना कॉर्पोरेट डेटा हटा दिया जाता है। BYOD परिस्थितियों के लिए यह कानूनी और व्यावहारिक रूप से उपयुक्त तरीका है।

प्रश्न: किसी कंपनी के पेरोल सर्वर का मूल्य $500,000 है। रैनसमवेयर हमले की हर वर्ष होने की संभावना 20% (ARO = 0.2) है और इससे 50% डेटा हानि तथा 2 सप्ताह का डाउनटाइम होगा (Exposure Factor = 0.5)। प्रस्तावित बैकअप समाधान की लागत $15,000 प्रति वर्ष है और इससे EF घटकर 0.10 हो जाएगा। क्या बैकअप समाधान लागत-प्रभावी है?

उत्तर: हाँ — वर्तमान ALE $50,000 प्रति वर्ष है; बैकअप के बाद नया ALE $10,000 प्रति वर्ष होगा, जिससे $15,000 के निवेश की तुलना में $40,000 प्रति वर्ष की बचत होगी। गणना: वर्तमान SLE = $500,000 × 0.5 = $250,000। वर्तमान ALE = $250,000 × 0.2 = $50,000 प्रति वर्ष। बैकअप के साथ: नया SLE = $500,000 × 0.10 = $50,000। नया ALE = $50,000 × 0.2 = $10,000 प्रति वर्ष। ALE में कमी = $50,000 - $10,000 = $40,000। नियंत्रण की लागत = $15,000। शुद्ध वार्षिक लाभ = $40,000 - $15,000 = $25,000 प्रति वर्ष — इसलिए यह स्पष्ट रूप से लागत-प्रभावी है। यह गणना (SLE × ARO = ALE) Security+ में अक्सर पूछे जाने वाला विषय है।

Q9 — खाते से कर्मचारी को हटाना: सिस्टम प्रशासक का खाता और साझा क्रेडेंशियल कर्मचारी की सेवा समाप्ति के बाद भी सक्रिय रहते हैं; छह महीने बाद प्रणालियों में सेंध लग जाती है। उत्तर: सेवा समाप्ति पर तुरंत खाते का ऐक्सेस हटाना और विशेषाधिकार प्राप्त क्रेडेंशियल बदलना। अनाथ विशेषाधिकार प्राप्त खाता इस विफलता का आदर्श उदाहरण है। कर्मचारी को हटाने की प्रक्रिया में ये कार्य आवश्यक हैं: खाता तुरंत अक्षम करना, कर्मचारी को ज्ञात सभी साझा क्रेडेंशियल बदलना और उसके द्वारा प्रशासित सेवा खातों का ऑडिट करना। LAPS स्थानीय प्रशासक खाते में सहायता करता है; PAM समाधान विशेषाधिकार प्राप्त क्रेडेंशियल को सुरक्षित भंडार में रखते हैं।

Q10 — Windows फॉरेंसिक अवशेष: जाँचकर्ता को यह निर्धारित करना है कि Windows प्रणाली पर कौन-से प्रोग्राम और कब चलाए गए। Prefetch files (C:\Windows\Prefetch\*.pf) — ये निष्पादन योग्य फ़ाइल का नाम, अंतिम बार चलने का समय, चलाए जाने की संख्या और ऐक्सेस की गई फ़ाइलें दर्ज करती हैं। मैलवेयर हटाए जाने के बाद भी उसकी prefetch फ़ाइल मौजूद रह सकती है। अन्य महत्वपूर्ण अवशेष: Registry Run keys (स्थायित्व), Security Event Log (लॉगऑन घटनाएँ 4624/4625/4648), LNK files (हाल की फ़ाइलें), ShimCache (prefetch के बिना भी सभी निष्पादनों को ट्रैक करता है)।

कर्तव्यों का पृथक्करण: कोई एक व्यक्ति पूरी महत्वपूर्ण प्रक्रिया को नियंत्रित नहीं करता — इससे धोखाधड़ी रुकती है। अनिवार्य अवकाश: अवकाश पर गए कर्मचारियों का काम संभालने वाले कर्मचारी अंदरूनी खतरों का पता लगाते हैं। कार्य-परिवर्तन: लंबे समय तक चलने वाली धोखाधड़ी की योजनाओं को रोकता है और कर्मचारियों को विभिन्न कार्यों का प्रशिक्षण देता है। SOC प्लेबुक: विशिष्ट घटना-प्रकारों के लिए चरण-दर-चरण IR प्रक्रिया। टेबलटॉप अभ्यास: तकनीकी चरणों को लागू किए बिना किसी काल्पनिक परिस्थिति पर चर्चा — IR योजना के तर्क की पुष्टि करता है। GDPR के तहत मिटाने का अधिकार: अनुरोध किए जाने पर व्यक्तिगत डेटा मिटाएँ, जब उसे बनाए रखने का कोई कानूनी आधार न हो। PCI-DSS के दायरे में कमी: कार्डधारक डेटा वाले परिवेश को अलग-अलग खंडों में बाँटकर दायरे में आने वाले सिस्टमों की संख्या कम करें। BIA (व्यावसायिक प्रभाव विश्लेषण): महत्वपूर्ण कार्यों की पहचान करता है और RTO/RPO संबंधी आवश्यकताएँ निर्धारित करता है। विक्रेता की समुचित जाँच: डेटा तक पहुँच देने से पहले आपूर्तिकर्ता की सुरक्षा का आकलन करें; SOC 2/ISO 27001 आवश्यक करें। STIX/TAXII: मशीन-पठनीय खतरा-सूचना साझा करने का प्रारूप/प्रोटोकॉल। कैनरी टोकन: ऐसा नकली संसाधन, जिसे एक्सेस किए जाने पर चेतावनी मिलती है — यह सक्रिय हमलावर की मौजूदगी का संकेत देता है। निरंतर निगरानी (NIST RMF): किसी एक समय-बिंदु पर किए गए आकलन के बजाय लगातार किया जाने वाला गतिशील आकलन — वास्तविक समय में जोखिम संबंधी निर्णयों के लिए जानकारी देता है।

इस अभ्यास परीक्षा के भाग में आपने इन विषयों की समीक्षा की: IR चरणों का मानचित्रण — यह पुष्टि करना कि नेटवर्क को अलग करना नियंत्रण की कार्रवाई है, न कि उन्मूलन या पहचान; फोरेंसिक साक्ष्य की प्राथमिकता — डिस्क की इमेज बनाने से पहले RAM कैप्चर की जानी चाहिए, क्योंकि उसमें अस्थिरता होती है; और ALE के साथ जोखिम की गणना — SLE × ARO = ALE सूत्र सुरक्षा नियंत्रणों का वस्तुनिष्ठ लागत-लाभ विश्लेषण उपलब्ध कराता है। ये परिचालन सिद्धांत Security+ परीक्षा के सबसे अधिक भार वाले डोमेन का प्रतिनिधित्व करते हैं। अगला और अंतिम पाठ है: अंक विश्लेषण और आपकी व्यक्तिगत अध्ययन योजना के साथ अभ्यास परीक्षा की समीक्षा।