Cyber Security Academy · पाठ

ट्यूनिंग और परिनियोजन

सेंसर स्थापित करना और अनावश्यक शोर कम करना।

पाठ 4, कुल 4 में से13 चरण

ट्यूनिंग और परिनियोजन, CoddyKit पर Cyber Security Academy का एक निःशुल्क पाठ है। यह 4 में से 4वाँ पाठ है। इस अध्ययन पथ के 3 तक कोई भी पाठ पूरा पढ़ना निःशुल्क है — इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ व्यावहारिक अभ्यास भी उपलब्ध कराता है। यह Cyber Security Academy सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। Cyber Security Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

स्थान-निर्धारण ही सब कुछ है

कोई सेंसर केवल वही ट्रैफ़िक देखता है जो उस तक पहुँचता है। IDS/IPS सेंसर कहाँ लगाए जाते हैं, इससे यह निर्धारित होता है कि आप क्या पहचान सकते हैं; इसलिए सेंसर का स्थान-निर्धारण तैनाती का पहला निर्णय है।

स्थान-निर्धारण की योजना अपने नेटवर्क के महत्वपूर्ण मार्गों और भरोसे की सीमाओं के आधार पर बनाएँ: इंटरनेट की परिधि, सुरक्षा क्षेत्रों के बीच, अति-महत्वपूर्ण परिसंपत्तियों के सामने और उन निकास बिंदुओं पर जहाँ से डेटा बाहर भेजा जाता है।

उत्तर-दक्षिण बनाम पूर्व-पश्चिम

दो ट्रैफ़िक दिशाओं की निगरानी आवश्यक है:

उत्तर-दक्षिण — परिधि को पार करने वाला ट्रैफ़िक (इंटरनेट से अंदर या बाहर)। पारंपरिक परिधि सेंसर इसे कवर करते हैं।
पूर्व-पश्चिम — आंतरिक होस्टों के बीच का ट्रैफ़िक। यहीं पार्श्व संचलन होता है और अक्सर इसकी निगरानी नहीं की जाती।

अंदर पहुँच बनाने वाले हमलावर पूर्व-पश्चिम दिशा में आगे बढ़ते हैं। केवल परिधि पर की गई तैनाती उन्हें नहीं देख पाती, इसलिए आधुनिक पहचान के लिए आंतरिक टैप और नेटवर्क-खंड सेंसर आवश्यक हैं।

बड़े पैमाने पर TAP बनाम SPAN

ट्रैफ़िक संग्रह करने का तरीका उसकी विश्वसनीयता को प्रभावित करता है:

SPAN/प्रतिबिंब पोर्ट निःशुल्क होते हैं, लेकिन स्विच के संसाधनों को साझा करते हैं और भार बढ़ने पर पैकेट छोड़ देते हैं, ठीक उसी समय जब उनकी सबसे अधिक आवश्यकता होती है।
हार्डवेयर TAP बिना हानि के ट्रैफ़िक की प्रतिलिपि बनाते हैं और उपकरण की विफलता में भी काम करते रहते हैं, लेकिन इनके लिए धन और पोर्ट दोनों की आवश्यकता होती है।

उच्च प्रवाह क्षमता या अनुपालन के लिए महत्वपूर्ण लिंक के मामले में TAP को प्राथमिकता दें। एकत्रीकरण TAP और नेटवर्क पैकेट मध्यस्थ एक ही संग्रह बिंदु से कई उपकरणों को डेटा दे सकते हैं।

आकार-निर्धारण और प्रवाह क्षमता

अतिभारित सेंसर चुपचाप पैकेट छोड़ देता है, जिससे पहचान में ऐसी रिक्तियाँ बनती हैं जो स्वच्छ ट्रैफ़िक जैसी दिखती हैं। सेंसर की क्षमता लिंक के अनुरूप तय करें।

इंजन के आँकड़ों में capture.kernel_drops और पैकेट हानि पर नज़र रखें। यदि पैकेट छूटने की संख्या बढ़े, तो आपको अधिक CPU, RAFL/AF_PACKET समायोजन, NIC ऑफ़लोड में बदलाव या अधिक तेज़ सेंसर की आवश्यकता होगी। यह सुनिश्चित करें कि सेंसर औसत नहीं, बल्कि अधिकतम प्रवाह क्षमता संभाल सके।

# Suricata stats to watch
# capture.kernel_packets
# capture.kernel_drops   <- should stay near zero
# decoder.invalid

नियम-समुच्चय प्रबंधन

हर उपलब्ध नियम चलाना शोर और प्रदर्शन-हानि का नुस्खा है। नियम-समुच्चय को चुनकर व्यवस्थित करें।

अपने परिवेश और परिसंपत्तियों के लिए प्रासंगिक नियम-श्रेणियाँ सक्षम करें
ऐसे सॉफ़्टवेयर के नियम अक्षम करें जिन्हें आप चलाते ही नहीं हैं
नियम स्रोतों को लाने, मिलाने और उनके संस्करण प्रबंधित करने के लिए सुरिकाटा-अपडेट जैसे प्रबंधक का उपयोग करें
नियम स्रोतों (ET ओपन, ET प्रो, अनुकूलित स्रोत) का लेखा रखें और निर्धारित समय-सारणी के अनुसार उन्हें अद्यतन करें

suricata-update enable-source et/open
suricata-update
suricatasc -c reload-rules

शोर का दमन और सीमा-निर्धारण

ऊपरी स्रोत के नियमों में बदलाव करने के बजाय, सीमा/दमन कॉन्फ़िगरेशन से शोर नियंत्रित करें। किसी विश्वसनीय स्रोत से आने वाले शोरयुक्त sid को दबाएँ; अन्य संकेतों की चेतावनी दर सीमित करने के लिए उन पर सीमा निर्धारित करें।

इससे तृतीय-पक्ष नियमों को अद्यतन रखा जा सकता है और आपके नेटवर्क से संबंधित मिथ्या-सकारात्मक संकेतों को भी शांत किया जा सकता है।

# threshold.config
suppress gen_id 1, sig_id 2013028, track by_src, ip 10.0.5.20
threshold gen_id 1, sig_id 2001219, type limit, track by_src, count 1, seconds 300

पहले चेतावनी मोड में समायोजित करें

किसी नए या अपरिचित नियम को सीधे drop में कभी लागू न करें। पहले उसे चेतावनी (IDS) मोड में चलाएँ, कई दिनों या सप्ताहों तक देखें कि वह क्या पहचानता है, और पुष्टि करें कि मिथ्या-सकारात्मक संकेतों की दर स्वीकार्य है।

किसी नियम के विश्वसनीय सिद्ध होने के बाद ही उसे प्रत्यक्ष-पथ अवरोधन के लिए लागू करें। यह चरणबद्ध तरीका किसी एक खराब नियम को सेवा-विघटन उत्पन्न करने से रोकता है।

HOME_NET और चर

$HOME_NET और अन्य चरों को सही ढंग से परिभाषित करना मूलभूत आवश्यकता है। कई नियम दिशा के आधार पर सक्रिय होते हैं (बाहरी से आंतरिक बनाम आंतरिक से बाहरी), इसलिए गलत $HOME_NET पहचान-तर्क को चुपचाप निष्क्रिय कर देता है।

अपने आंतरिक नेटवर्क-परास, सर्वर समूह और विश्वसनीय नेटवर्क को सटीक रूप से परिभाषित करें। नेटवर्क बदलने पर इन्हें अद्यतन रखें और जब पहचान-व्यवस्था अनपेक्षित रूप से व्यवहार करे, तब इनकी समीक्षा करें।

# suricata.yaml vars
HOME_NET: "[10.0.0.0/8,192.168.0.0/16]"
EXTERNAL_NET: "!$HOME_NET"
HTTP_SERVERS: "[10.0.5.0/24]"
DNS_SERVERS: "[10.0.1.10,10.0.1.11]"

लॉग-लेखन और एकीकरण

सेंसर तभी उपयोगी हैं जब उनका परिणाम विश्लेषकों तक पहुँचे। सहसंबंध, संवर्धन और संग्रहण के लिए चेतावनियाँ और मेटाडेटा SIEM को भेजें।

सुरिकाटा का EVE JSON संरचित घटनाएँ (चेतावनियाँ, प्रवाह, HTTP, DNS, TLS, फ़ाइल हैश) उत्पन्न करता है, जिन्हें SIEM में सहज रूप से भेजा जा सकता है। IDS को पूर्ण-पैकेट संग्रह के साथ जोड़ें, ताकि जाँच के दौरान विश्लेषक किसी चेतावनी के पीछे मौजूद वास्तविक ट्रैफ़िक को प्राप्त कर सकें।

# suricata.yaml
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: eve.json
      types: [alert, dns, tls, http, flow]

उच्च उपलब्धता और अतिरेक

इनलाइन IPS महत्वपूर्ण मार्ग में होता है, इसलिए उसकी विफलता नेटवर्क की विफलता बन जाती है। व्यवस्था को लचीलेपन के लिए डिज़ाइन करें।

हार्डवेयर बायपास / विफलता पर खुला रहने वाले NIC इंजन के बंद हो जाने पर ट्रैफ़िक को बहते रहने देते हैं (जहाँ उपलब्धता सुरक्षा से अधिक महत्वपूर्ण हो)
अतिरेकयुक्त सेंसर सक्रिय/प्रतीक्षा या समूहीकृत युग्मों में
अलग-पथ वाले IDS सेंसर को भी अतिरेक की आवश्यकता होती है, अन्यथा निगरानी में चुपचाप अंधे क्षेत्र बन जाते हैं

व्यावसायिक जोखिम के आधार पर प्रत्येक लिंक के लिए विफलता पर खुला रहने या बंद रहने का निर्णय लें और उस पर निर्भर होने से पहले वैकल्पिक व्यवस्था पर जाने का परीक्षण करें।

पहचान-व्यवस्था का निरंतर सत्यापन करें

तैनात सेंसर चुपचाप कमजोर हो सकता है: कॉन्फ़िगरेशन परिवर्तन, SPAN का पुनर्निर्देशन या भार में अचानक वृद्धि उसे निगरानी से वंचित कर सकती है। सत्यापित करें कि वह अब भी काम कर रहा है।

समय-समय पर सुरक्षित परीक्षण ट्रैफ़िक चलाएँ, जिसे ज्ञात नियमों को पहचानना चाहिए
जब अपेक्षित पहचान दिखाई देना बंद हो जाए, तब चेतावनी दें
सेंसर के स्वास्थ्य (पैकेट हानि, CPU, सक्रियता अवधि) की निगरानी उतनी ही सावधानी से करें जितनी चेतावनियों की
शुरू से अंत तक कवरेज की पुष्टि करने के लिए हमलावर-अनुकरण का उपयोग करें

जिस पहचान-व्यवस्था का आप कभी परीक्षण नहीं करते, उस पर भरोसा नहीं कर सकते।

त्वरित जाँच

वास्तविक तैनाती में मौजूद निगरानी-अंतर का निदान करें।

इंटरैक्टिव पाठ में इसका उत्तर दें

पुनरावलोकन

प्रभावी IDS/IPS तैनाती दृश्यता और अनुशासन पर निर्भर करती है:

स्थापना-स्थान तय करता है कि आप क्या देख सकते हैं; परिधि और आंतरिक खंडों को कवर करें
केवल उत्तर-दक्षिण ही नहीं, बल्कि पूर्व-पश्चिम ट्रैफ़िक की भी निगरानी करें, ताकि पार्श्वगत गतिविधि पकड़ी जा सके
हानिरहित, उच्च प्रवाह क्षमता वाले संग्रह के लिए SPAN की तुलना में TAP को प्राथमिकता दें
सेंसर की क्षमता इस तरह तय करें कि पैकेट हानि लगभग शून्य रहे
सुरिकाटा-अपडेट से नियम-समुच्चयों को चुनकर व्यवस्थित करें; कॉन्फ़िगरेशन के माध्यम से शोर को दबाएँ और उसकी सीमा निर्धारित करें
पहले चेतावनी मोड में समायोजित करें, फिर पैकेट-त्याग मोड में लागू करें
HOME_NET को सही ढंग से परिभाषित करें
EVE JSON को SIEM में भेजें और जाँच के लिए पैकेट संग्रह बनाए रखें
पहचान-व्यवस्था और सेंसर के स्वास्थ्य का निरंतर सत्यापन करें

आपने नेटवर्क सुरक्षा निगरानी पाठ्यक्रम पूरा कर लिया है।

शुरुआत निःशुल्क

एआई शिक्षक के साथ Cyber Security Academy सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम: 76
पाठ: 303

निःशुल्क सीखना शुरू करें पूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “ट्यूनिंग और परिनियोजन” पाठ निःशुल्क है?

हाँ — Cyber Security Academy अध्ययन पथ के 3 तक कोई भी पाठ, जिसमें “ट्यूनिंग और परिनियोजन” भी शामिल है, यहाँ वेब पर पूरा पढ़ना निःशुल्क है। इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ इंटरैक्टिव अभ्यास भी उपलब्ध कराता है। Cyber Security Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“ट्यूनिंग और परिनियोजन” में मैं क्या सीखूँगा?

सेंसर स्थापित करना और अनावश्यक शोर कम करना। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ Cyber Security Academy का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या Cyber Security Academy शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर Cyber Security Academy शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 4वाँ पाठ है।

“ट्यूनिंग और परिनियोजन” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस Cyber Security Academy पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर Cyber Security Academy पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

← Cyber Security Academy पर वापस जाएँ