साइबर सुरक्षा और खतरे: मालवेयर, हमले तथा प्रश्न

सही उत्तर A, फिशिंग हमला है। फिशिंग में ऐसा संदेश भेजा जाता है जो किसी बैंक, नियोक्ता या सरकारी कार्यालय से आया प्रतीत हो और पढ़ने वाले से किसी ऐसे पृष्ठ पर पासवर्ड, कार्ड संख्या या एकबारगी पासवर्ड की पुष्टि कराई जाती है जो वास्तव में हमलावर का होता है; हमले का निशाना मशीन नहीं, व्यक्ति होता है, इसीलिए उसे सामाजिक अभियांत्रिकी में गिना जाता है। विकल्प B गलत है क्योंकि एसक्यूएल इंजेक्शन वेब फॉर्म में डेटाबेस के आदेश डालकर सर्वर से संचित आंकड़े उगलवाता है, उसमें उपयोगकर्ता को बहकाया ही नहीं जाता। विकल्प C गलत है क्योंकि सेवा निषेध हमला सर्वर पर अनुरोधों की बाढ़ लाकर वास्तविक उपयोगकर्ताओं की पहुंच रोक देता है, जिससे उपलब्धता को हानि होती है, चोरी कुछ नहीं होती। विकल्प D गलत है क्योंकि विकल्प A सही है। पूरा परिवार याद रखें: एक व्यक्ति पर स्पीयर फिशिंग, अधिकारी पर व्हेलिंग, कॉल से विशिंग, संदेश से स्मिशिंग।

सही उत्तर B, नेटवर्क तक अनधिकृत पहुंच रोकना है। फायरवॉल विश्वसनीय आंतरिक नेटवर्क और अविश्वसनीय बाहरी जगत के बीच बैठता है, उससे गुजरने वाले आवागमन की जांच करता है और केवल वही जाने देता है जिसकी उसके नियम अनुमति देते हैं, शेष गिरा देता है; वह हार्डवेयर उपकरण, सॉफ्टवेयर प्रोग्राम या दोनों हो सकता है। विकल्प A गलत है क्योंकि अप्रतिबंधित पहुंच ठीक उसके विपरीत है जिसके लिए फायरवॉल होता है, और इस प्रकार खुले छोड़े गए नेटवर्क को फायरवॉल की आवश्यकता ही नहीं। विकल्प C गलत है क्योंकि बैकअप लेना बैकअप सॉफ्टवेयर तथा भंडारण नीति का काम है; फायरवॉल आंकड़ों की कोई प्रतिलिपि नहीं रखता और डिस्क खराब होने पर काम नहीं आता। विकल्प D गलत है क्योंकि विकल्प B उद्देश्य ठीक बताता है। वस्तुनिष्ठ प्रश्नों के लिए प्रकार भी याद रखें: पैकेट फिल्टरिंग, स्टेटफुल इंस्पेक्शन तथा प्रॉक्सी या एप्लिकेशन गेटवे फायरवॉल।

सही उत्तर B, बॉटनेट हमला है। बॉटनेट अनेक जुड़े उपकरणों को संक्रमित करके बनाया जाता है, जिनमें प्रत्येक जॉम्बी बनकर एक ही नियंत्रक का आदेश मानता है; इस प्रकार खड़ा किया गया नेटवर्क फिर किराए पर दिया जाता है या स्पैम, धोखाधड़ी तथा आवागमन की बाढ़ के लिए प्रयोग होता है। प्रश्न की भाषा, अर्थात अनेक परस्पर जुड़े उपकरणों को एक हमलावर नेटवर्क में बदलना, स्वयं बॉटनेट के निर्माण का ही वर्णन है। विकल्प A समझने योग्य कारण से गलत है: वितरित सेवा निषेध हमला प्रायः बॉटनेट से ही चलाया जाता है, किंतु वह एक पीड़ित पर बाढ़ लाने का नाम है, उपकरणों का नेटवर्क जुटाने का नहीं। विकल्प C गलत है क्योंकि जीरो डे हमला उस त्रुटि का प्रयोग करता है जिसकी जानकारी निर्माता को अभी नहीं, उसका उपकरणों की संख्या से कोई संबंध नहीं। विकल्प D गलत है क्योंकि स्पीयर फिशिंग किसी एक चुने हुए व्यक्ति को भेजा गया लक्षित छलपूर्ण संदेश है।

सही उत्तर D, उपर्युक्त सभी है, क्योंकि साइबर सुरक्षा कोई एक क्रिया नहीं, बल्कि वह कार्यक्रम है जो तीनों को समेटता है। विकल्प A अकेला अधूरा है: अनुपालन का अर्थ उन नियमों, मानकों और कानूनों का पालन है जो संस्था के पास रखे आंकड़ों पर लागू होते हैं, और यह काम का केवल एक सूत्र है। विकल्प B भी अकेला अधूरा है: आंतरिक खतरों से बचाव उस कर्मचारी से रक्षा करता है जो अपनी पहुंच का दुरुपयोग करे या आंकड़े लीक करे, और वास्तविक घटनाओं में ऐसे मामलों का बड़ा भाग है, किंतु केवल भीतर देखने वाली संस्था बाहरी हमले से फिर भी हार जाएगी। विकल्प C भी अकेला अधूरा है: खतरे की रोकथाम में फायरवॉल, एंटीवायरस, पैच लगाना तथा निगरानी आते हैं, जो हमले को पहुंचने से पहले रोकते हैं। तीनों साइबर सुरक्षा के वास्तविक अंग हैं और कोई अकेला पूर्ण नहीं, इसलिए संयुक्त विकल्प ही उत्तर है।

सही उत्तर B, अखंडता है। यह त्रयी सूचना सुरक्षा के तीन उद्देश्य बताती है: गोपनीयता, अर्थात आंकड़े केवल अधिकृत व्यक्ति पढ़ सके; अखंडता, अर्थात आंकड़े बनने या भेजे जाने के क्षण से पूर्ण और अपरिवर्तित रहें; और उपलब्धता, अर्थात अधिकृत उपयोगकर्ता की आवश्यकता पर तंत्र काम करे। विकल्प A गलत है क्योंकि पहचान, प्रमाणीकरण के साथ, इन उद्देश्यों को पाने का साधन है, स्वयं तीन उद्देश्यों में से एक नहीं। विकल्प C गलत है क्योंकि इंटरनेट वह माध्यम है जिससे अधिकांश हमले आते हैं, वह इस प्रतिमान का अंग नहीं। विकल्प D गलत है क्योंकि पृथक्करण, जैसे किसी महत्वपूर्ण मशीन को नेटवर्क से अलग रखना, तंत्र की रक्षा की अनेक तकनीकों में से एक है। त्रयी याद रखने का सरल उपाय यह है कि पूछें कि आंकड़े कौन पढ़ सकता है, क्या वे बदले जा सकते हैं, और क्या वे उपलब्ध हैं।

सही उत्तर B, वर्म है। वर्म अपना कूट स्वयं लिए रहता है, नेटवर्क से दूसरी मशीनें खोजता है और उपयोगकर्ता की किसी सहायता के बिना उन पर अपनी प्रतिलिपि भेज देता है, इसीलिए वर्म कुछ ही घंटों में संसार भर में फैल सकते हैं। विकल्प A गलत है क्योंकि वायरस को किसी फाइल या प्रोग्राम से चिपकना पड़ता है और वह तभी फैलता है जब वह पोषक फाइल खोली, प्रतिलिपि की या चलाई जाए, अर्थात मानवीय क्रिया सदैव चाहिए। विकल्प C गलत है क्योंकि ट्रोजन हॉर्स न चिपकता है, न प्रतिलिपि बनाता है; वह उपयोगी सॉफ्टवेयर का वेश धरता है और पूरी तरह इस पर निर्भर है कि उपयोगकर्ता उसे स्थापित करे, जिसके बाद वह हमलावर के लिए पिछला द्वार खोल देता है। विकल्प D गलत है क्योंकि एडवेयर केवल अवांछित विज्ञापन दिखाता है और ब्राउज़िंग की आदतें बटोरता है; कष्टकर होते हुए भी वह स्वयं नहीं फैलता। एक पंक्ति का भेद याद रखें: वायरस को पोषक और उपयोगकर्ता चाहिए, वर्म को दोनों में से कुछ नहीं।

सही उत्तर A, रैंसमवेयर है। वह फाइलों को कूटबद्ध करके बंद कर देता है और कुंजी के बदले धन की मांग दिखाता है, प्रायः किसी क्रिप्टो मुद्रा में; 2017 का वानाक्राई प्रकोप अनेक देशों के अस्पतालों, कारखानों और कार्यालयों पर पड़ा और परीक्षक उसी का उदाहरण देते हैं। विकल्प B गलत है क्योंकि रूटकिट घुसपैठिए की उपस्थिति छिपाता है, स्वयं को प्रचालन तंत्र में इतना गहरे गाड़ देता है कि स्कैनर और तंत्र उपकरण उसकी सूचना न दें; वह छिपाता है, वसूली नहीं करता। विकल्प C गलत है क्योंकि कीलॉगर चुपचाप दबाई गई हर कुंजी दर्ज करके अभिलेख हमलावर को भेजता है, जो पासवर्ड चुराने की विधि है। विकल्प D गलत है और वह मालवेयर है ही नहीं: हनीपॉट वह छद्म कंप्यूटर है जिसे रक्षक जानबूझकर लगाते हैं ताकि हमलावर उस पर श्रम व्यर्थ करें और उनका अध्ययन हो सके। रैंसमवेयर से बचाव का सामान्य उपाय नियमित ऑफलाइन बैकअप है।

सही उत्तर B, सर्ट-इन है, अर्थात भारतीय कंप्यूटर आपात प्रतिक्रिया दल, जो इलेक्ट्रॉनिकी तथा सूचना प्रौद्योगिकी मंत्रालय के अधीन कार्य करता है और साइबर घटनाओं की सूचना जुटाने, उनका विश्लेषण करने, चेतावनी जारी करने तथा प्रतिक्रिया में समन्वय करने वाली राष्ट्रीय एजेंसी है। विकल्प A गलत है क्योंकि राष्ट्रीय सूचना विज्ञान केंद्र सरकारी विभागों का सूचना प्रौद्योगिकी ढांचा बनाता और चलाता है; वह सेवा प्रदाता है, घटना प्रतिक्रिया एजेंसी नहीं। विकल्प C गलत है क्योंकि भारतीय दूरसंचार विनियामक प्राधिकरण दरों तथा दूरसंचार सेवा की गुणवत्ता का विनियमन करता है और घटना प्रतिक्रिया में उसकी कोई भूमिका नहीं। विकल्प D गलत है क्योंकि मानकीकरण परीक्षण एवं गुणवत्ता प्रमाणन निदेशालय सूचना प्रौद्योगिकी उत्पादों तथा सेवाओं की गुणवत्ता प्रमाणित करता है। महत्वपूर्ण क्षेत्रों के लिए राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र और बॉटनेट सफाई के लिए साइबर स्वच्छता केंद्र भी याद रखें।

सही उत्तर B, मनुष्य है। कैप्चा का पूर्ण रूप Completely Automated Public Turing test to tell Computers and Humans Apart है, और यह वही टेढ़ा मेढ़ा पाठ, चित्रों का जाल या चेक बॉक्स है जो कोई स्थल फॉर्म स्वीकार करने से पहले दिखाता है, ताकि स्वचालित प्रोग्राम खाते न बना सकें, थोक में टिकट न बुक कर सकें और हजारों पासवर्ड आजमा न सकें। यह नाम एलन ट्यूरिंग की स्मृति दिलाता है, जिनकी कसौटी यह पूछती थी कि क्या मशीन व्यक्ति जैसी लग सकती है। विकल्प A गलत है क्योंकि कंसोल खेल या नियंत्रण के उपकरण हैं और पूर्ण रूप में उनका कोई स्थान नहीं। विकल्प C गलत है क्योंकि कैप्चा हैकर को ईमानदार उपयोगकर्ता से अलग नहीं करता; मानव हमलावर उसे हल कर सकता है, अर्थात वह स्वचालन रोकता है, मंशा नहीं। विकल्प D गलत है क्योंकि होस्ट नेटवर्क से जुड़ा कोई भी कंप्यूटर होता है, जिसका यहां संबंध नहीं। परीक्षक यह पूर्ण रूप शब्दशः पूछते हैं, इसलिए उसे ठीक वैसा ही याद करें।

सही उत्तर A है। यह नाम उन दिनों की गिनती है जो सॉफ्टवेयर निर्माता को त्रुटि सुधारने के लिए मिले, और वह संख्या शून्य है: हमलावर को ऐसी दुर्बलता ज्ञात है जिसे निर्माता ने न खोजा है, न सुधारा है, इसलिए कोई अद्यतन उपयोगकर्ता की रक्षा नहीं करता और पूरी तरह पैच किया हुआ तंत्र भी खुला रहता है। ऐसी त्रुटियां मूल्यवान होती हैं और चुपचाप बिकती हैं, इसीलिए ये हमले प्रायः उच्च मूल्य के लक्ष्यों पर होते हैं। विकल्प B गलत है क्योंकि रिक्त पासवर्ड केवल दुर्बल प्रमाणीकरण का मामला है, जिसे साधारण पासवर्ड नीति से ही रोका जा सकता है। विकल्प C गलत है क्योंकि हमले के लिए चलता हुआ तंत्र चाहिए; बंद पड़ी मशीन नेटवर्क से पहुंच के बाहर होती है। विकल्प D गलत है क्योंकि बैंडविड्थ संबंध की क्षमता नापती है और उसका सॉफ्टवेयर की त्रुटियों से कोई संबंध नहीं। बचाव शीघ्र पैच लगाने, स्तरित नियंत्रण तथा व्यवहार आधारित पहचान पर टिका है।

सही उत्तर B, असममित कूटलेखन है, जिसे सार्वजनिक कुंजी कूटलेखन भी कहते हैं। सार्वजनिक कुंजी कोई भी रख सकता है और उससे संदेश कूटबद्ध कर सकता है, किंतु उसे केवल वही खोल सकता है जिसके पास मेल खाती निजी कुंजी हो, इसलिए पहले से कोई रहस्य बांटने की आवश्यकता नहीं पड़ती; आरएसए इसका मानक उदाहरण है, और वही युग्म उलटे क्रम में प्रयोग करने पर अंकीय हस्ताक्षर बनता है। विकल्प A गलत है क्योंकि सममित कूटलेखन, जैसे एईएस या पुराना डीईएस, दोनों क्रियाओं के लिए एक ही साझा गुप्त कुंजी प्रयोग करता है और तेज होते हुए भी उस कुंजी को सुरक्षित पहुंचाने का साधन मांगता है। विकल्प C गलत है क्योंकि हैशिंग एकदिशीय फलन है, जो आंकड़ों को निश्चित लंबाई के सार में बदलकर अखंडता जांचने देता है और उसे उलटकर संदेश वापस नहीं पाया जा सकता। विकल्प D गलत है क्योंकि संपीडन केवल फाइल का आकार घटाता है और उससे गोपनीयता किंचित भी नहीं मिलती।

सही उत्तर A, 1930 है। ऑनलाइन वित्तीय धोखाधड़ी के शिकार को तुरंत इसी हेल्पलाइन पर कॉल करनी चाहिए, क्योंकि पहले कुछ घंटों में दी गई सूचना पर बैंक और भुगतान संचालक धन निकाले जाने से पहले उसे रोक सकते हैं; शिकायत राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल पर भी दर्ज की जा सकती है। विकल्प B गलत है क्योंकि 1098 चाइल्डलाइन है, जो संकटग्रस्त बच्चों की हेल्पलाइन है। विकल्प C गलत है क्योंकि 1800 कोई हेल्पलाइन है ही नहीं, वह भारत में टोल फ्री नंबरों का उपसर्ग है, जो दस या ग्यारह अंकों के होते हैं। विकल्प D गलत है क्योंकि 1091 महिला हेल्पलाइन है। साथ में यह भी याद रखने योग्य है कि यह रिपोर्टिंग व्यवस्था गृह मंत्रालय के अधीन भारतीय साइबर अपराध समन्वय केंद्र चलाता है, जबकि तकनीकी घटनाएं सर्ट-इन देखता है।