Cloud Computing Security I-LcAPj95KeSA

नमस्ते।
 हम क्लाउड कंप्यूटिंग (Cloud Computing) पर हमारी चर्चा जारी रखेंगे।
 आज हम, इस क्लाउड कंप्यूटिंग (Cloud Computing) के एक और प्रमुख पहलू पर चर्चा करेंगे, जिसे हम क्लाउड सिक्योरिटी (Cloud Security)कह सकते हैं।
 इसलिए, हम सुरक्षा भागों (security parts)का एक संक्षिप्त अवलोकन करने का प्रयास करेंगे, और हम यह भी देखेंगे की सुरक्षा, क्लाउड कंप्यूटिंग (cloud computing)को कैसे प्रभावित करती है।
 जैसा कि हम सभी समझते हैं कि, जब हम क्लाउड कंप्यूटिंग (cloud computing) के लिए जाते हैं, चाहे वह एक सेवा के रूप में या,एक सेवा या, सॉफ्टवेयर के रूप में बुनियादी ढांचा है और हम किसी तीसरे पक्ष सेवा प्रदाता पर निर्भर हैं।
 इसलिए, हमारी एप्लिकेशन डेटा प्रक्रिया (application data processes ) कुछ तीसरे पक्ष पर चल रही है।
 इसलिए, जब भी यह तीसरे पक्ष पर चल रहा है, तो सुरक्षा विशेष रूप से एक मुद्दा बन जाती है कि,उपलब्धता क्या है, जहां मेरा डेटा संग्रहीत (data is stored )किया जाता है, चाहे वह मेरे कुछ अन्य दलों (parties)द्वारा देखा या अवरुद्ध (intercepted)किया गया हो, और चिंताओं को और विशेष रूप से यदि यह है. एक मिशन महत्वपूर्ण संचालन (mission critical operations) या, मिशन महत्वपूर्ण डेटा (mission critical data ) या, कुछ महत्वपूर्ण डेटा जैसे कि बैंकिंग डेटा, रक्षा डेटा भी छात्रों के परिणामों से संबंधित अकादमिक डेटा (banking data, defense data even academic data ) और अन्य चीजें।
 इसे विभिन्न गंभीर व्यक्तियों में देखा जाना चाहिए।
 हम उन चीजों के दौरान देखेंगे कि इस क्लाउड (cloud) की ओर, जाने की दिशा में प्रमुख बाधाओं में से एक,प्रौद्योगिकी (technology) से अधिक है, बल्कि सुरक्षा के बारे में यह चिंता अधिक नीतियां या,क्या नीति इत्यादि हैं।
 तो, इसके साथ हम अपनी बात शुरू कर देंगे, लेकिन इससे पहले कि मैंने सोचा कि, सुरक्षा के जरिए इसका मतलब क्या होगा, जब हम कंप्यूटर सुरक्षा या सूचना सुरक्षा या नेटवर्क सुरक्षा के बारे में बात करते हैं।
 तो, विभिन्न पहलू क्या हैं।
 वहाँ संभावना है, कि अन्य सभी रूपों में से सभी पहलू क्लाउड (cloud) में भी दिखाई देंगे, लेकिन चिंता अलग हो सकती है।
 इसलिए, क्लाउड सिक्योरिटी (Cloud Security) पार्ट पर जाने से पहले हम कहते हैं, कि हम किसी भी कंप्यूटिंग सेवा कंप्यूटिंग और, नेटवर्किंग सेवा (computing service computing and networking service ) के लिए, सामान्य रूप से सुरक्षा देखेंगे।
 इसलिए, अगर हम सुरक्षा देखते हैं तो, 3 बुनियादी घटक क्या हैं, यह गोपनीयता, इंटीग्रिटी और उपलब्धता (confidentiality, integrity and availability) है।
 यही वह है, जिसे हम सीआईए घटक (CIA components)कहते हैं।
 गोपनीयता, डेटा और संसाधनों को छिपाता है और जो आपको नहीं पता कि डेटा कहां है, कि यह गोपनीय है, अखंडता (integrity) यह है, कि डेटा अखंडता (data integrity) को बनाए रखा जाता है, या मूल या, स्रोत अखंडता (source integrity) का उल्लेख किया गया है और इसे, सही बनाए रखा जा सकता है।
 जैसे कि मैंने जो कुछ भी a to b को भेजा है, बी को वही चीज़ या स्रोत की अखंडता या प्रमाणीकरण (integrity or authentication) प्राप्त होता है, जो कि मैं स्वयं से प्राप्त कर रहा हूं और डेटा और संसाधनों तक पहुंच में उपलब्धता में एक और महत्वपूर्ण घटक है।
 तो, हम यही देखते हैं, कि अधिकांश हमले सेवाओं के इनकार के रूप में जा रहे हैं, जहां उपलब्धता से समझौता किया गया है।
 तो, सब कुछ ठीक है, लेकिन अंत में, आपके पास संसाधन नहीं है।
 तो, यह किसी प्रकार का डॉस या, कभी-कभी डीडीओएस (dos or sometimes the ddos) प्रकार के हमलों का होता है।
 तो, दूसरे पर, कोई सुरक्षा हमला (security attack )कहता है, कि कोई भी कार्रवाई जो, सूचना की सुरक्षा से समझौता करती है, या सीआईए (CIA) प्रकार की चीजों का उल्लंघन करने वाली कोई भी कार्रवाई मूल आधार सही है।
 ऐसे कई अन्य घटक हैं जिन्हें हम देखेंगे।
 इसलिए, अगर हम देखते हैं कि तुरंत वहां आएंगे तो ,आम तौर पर वहां 4 प्रकार की चीजें होती हैं, एक अंतर बाधा होती है, एक हस्तक्षेप, संशोधन और निर्माण (interruption, one is interception, modification, fabrication) होता है।
 इसलिए, यह 4 घटक कम या ज्यादा शामिल हैं, या इस कम या कम संयोजन का संयोजन है।
 या, इसमें सभी प्रकार की चीजें शामिल हैं, जिन्हें हमले के दौरान समझौता किया जाता है।
 इसलिए, हमारा मूल मॉडल एक स्रोत है, जो किसी गंतव्य(destination) को डेटा भेजता है,जब हम बाधाओं के बारे में बात करते हैं।
 तो, एक संदेश या संचार पथ बाधित है।
 यह अवरोध हो सकता है कि, स्रोत से गंतव्य (source to destination ) तक जाता है, लेकिन कोई और भी चीज़ को, रोकता और सुनता है।
 तो, यह उपलब्धता पर हमला है, यह उपलब्धता अवरुद्ध है, यह गोपनीयता (confidentiality )पर हमला है, जैसे आप भेज रहे है a to b or s to d और किसी और को भेज रहे हैं।
 यह घुसपैठ (intruder) करने वाला I यह सुन रहा है, कि संशोधन पर हमला करें, कि उस डेटा की अखंडता पर यह हमला सही है, तो या यहां तक ​​कि मूल अधिकार भी।
 स्रोत डी को भेज रहा है, लेकिन बीच में एक घुसपैठ करने वाला है जो संदेश को संदेश में बदल देता है और इसे डी को भेजता है (Source is sending to d, but in between there is a intruder I which intercept the message changes the message and send it to d) ।
 तो, डी (d) के लिए, यह एक संदेश आ रहा है, लेकिन अभी भी डी के लिए यह संदेश है ,जो स्रोतों द्वारा भेजा गया है (So, d for d it is a message coming from s and the message am has been changed to am dash, but still the for d it is the message )।
 तो, यह अखंडता पर हमला है।
 प्रामाणिकता (authenticity) पर भी हमला हो सकता है।
 मैं नाटक करता हूं, या घुसपैठ करता है (intrude are pretend ) कि वे, सही स्रोत बनने का नाटक कर रहे हैं।
 तथा यह प्रामाणिकता पर हमला है।
 इसलिए, मुझे प्रमाणित करने की आवश्यकता है, कि मेरा स्रोत कौन है।
 इसलिए, संदेश प्राप्त करने से पहले मुझे, यह जानना होगा कि मुझे प्रमाणीकृत स्रोत से प्राप्त होना है, और मुझे वह संदेश प्राप्त हो रहा है।
 तो, यह प्रामाणिकता पर हमला है, या हम इसे फेब्रिकेशन (fabrication) कहते हैं।
 अब, एक तरफ हम देखते हैं, कि प्रमुख सुरक्षा घटक दूसरी तरफ हैं, कि हमले के प्रकार क्या हो सकते हैं और यदि आप इन्हें देखते हैं ,तो यह सच है या नहीं की, यह एक कंप्यूटर सुरक्षा (computer security) है।
 या, एक सूचना सुरक्षा या नेटवर्क सुरक्षा या क्लाउड सुरक्षा है (information security or network security or cloud security)।
 उनके पास विभिन्न प्रकार की विशेषताओं और अभिव्यक्तियां (characteristics and manifestation) हो सकती हैं,फिर भी हमारे पास वही प्रकार की समस्याएं होती हैं, जो हम समान प्रकार की समस्याएं कहते हैं, या एक ही प्रकार के सुरक्षा मुद्दों को समझते हैं।
 अब, यदि आप देखते हैं कि खतरे सही हैं।
 इसलिए, खतरों का यह मतलब नहीं है, कि यह सही हमला किया गया है।
 इसलिए, यह भेद्यता की तरह है।
 इसका मतलब ,यह नहीं है कि, यह समझौता किया गया है, लेकिन ये संभावित खतरे हैं।
 इसलिए, खतरों के वर्ग एक प्रकटीकरण का खतरा है।
 इसलिए, मुझे प्रकटीकरण का खतरा है, कि हमले में किस तरह का हमला है, जिसे हम स्नूपिंग (snooping) कहते हैं।
 इसलिए, प्राप्ति और चीजों के प्रकार के मूल अस्वीकार की अस्वीकृति को, अस्वीकार करने वाले संशोधनों जैसे धोखे की धमकी (threats of deception like modifications spoofing repudiation of origin denial of receipt and type of things)।
 तो, यह धोखे का खतरा है।
 इसलिए, व्यवधान का खतरा हो सकता है, कि यदि यह व्यवधान सेवा के खतरों में एक संशोधित है, और दूसरा उदारीकरण (usurpation )का खतरा है, तो संशोधनों में संशोधन(modification) की वजह से सेवाओं में कमी आई है।
 तो, ये खतरे की विभिन्न श्रेणी हैं, जो वहां हैं।
 इसलिए, हमारे पास ऐसे हमले हैं, जिनके पास सुरक्षा चिंताओं और खतरे हैं, ये विभिन्न घटक हैं।
 कुल मिलाकर जब भी कोई भी, सिस्टम या कोई सूचना प्रणाली चाहे वह संगठनात्मक हो या यह व्यक्तिगत हो या यह अंतर संगठन आंतरिक संगठन है(organizational or it is personal or it is inter organization intra organization), जो भी नीतियों और तंत्रों द्वारा निर्देशित किया जाता है, बहुत मुश्किल मुद्दे हैं।
 इसलिए, नीति कहती है, कि क्या सही है की अनुमति नहीं है।
 इसलिए, नीति कहती है, कि क्या करने की अनुमति नहीं है।
 इसलिए, यह एक फैशन में ऐसा करने की कोशिश करता है, कि किस चीज की अनुमति दी जा सकती है और नीतियों को परिभाषित करने के तरीके के लिए, चीजें पदानुक्रमित (hierarchical )हो सकती हैं।
 उन चीजों का अलग-अलग तरीका हो सकता है, जिन्हें हम नहीं देख रहे हैं।
 इसलिए, यह साइट सिस्टम की समग्र सूचना संरचना (site systems overall information structure) की सुरक्षा को परिभाषित करता है, एक समग्र नेटवर्क एक्सेस प्रोटोकॉल (overall network access protocol ) और व्यक्ति को कुछ भी वितरित करने के लिए, समूह के लिए सही है।
 इसलिए, आमतौर पर संगठन नीतियों में नीतियों को, कुछ हद तक केंद्रीकृत किया जाता है।
 इस अर्थ में यह संगठनों के सभी घटकों के लिए तैयार किया गया है और यह नीति बनाने वाला निकाय ऐसा कुछ प्रकार है।
 अब, आकस्मिक रूप से कार्यान्वयन (incidentally the implementation) अधिकांश समय वितरित किया जाता है।
 जैसे मैं कहता हूं, कि मेरे पास यह आईआईटी खड़गपुर नेटवर्क (IIT Kharagpur network)है।
 इसलिए, वहां कई विभाग हैं, क्योंकि कई उप नेटवर्क (sub networks) हैं, जिनमें कई परत 3 प्लस लेयर 3 और लेयर 3 प्लस प्रकार के स्विच हैं (several layer 3 plus layer 3 and layer 3 plus type of switches)।
 इसलिए, यह कहता है, कि वे नीति है, कि इस तरह यातायात जाएगा और आदि इत्यादि, और न केवल वे अतिरिक्त रूप से राष्ट्रपति (president)आदि हैं।
 साथ ही इस नीति को विभिन्न श्रेणियों के उपकरणों में लागू करने की आवश्यकता है।
 इसलिए, कार्यान्वयन अक्सर वितरित फैशन में या, विभिन्न उपकरणों और, प्रकार की चीजों में होता है।
 तो अब, एक बड़ी चुनौती है कि, इस कार्यान्वयन की गारंटी कैसे दी जाए, नीति को एक से एक अधिकार के अनुरूप करें।
 पॉलिसी परिभाषित करने के लिए यह कुछ भी कम या कम नहीं है।
 इसलिए, ये कुछ खुले समस्या नहीं हैं, ये दुनिया भर में बहुत मजबूत अनुसंधान समस्या है, कि कैसे औपचारिक रूप से यह कहना है , कि आपका कार्यान्वयन और नीति एक दूसरे के साथ मिलती है।
 अब, नीतियां कहती हैं, कि क्या है और क्या अनुमति नहीं है, जहां मैं दूसरी तरफ तंत्र नीतियों को सही तरीके से लागू करता हूं।
 इसलिए, मेरे पास नीतियों को लागू करने के लिए तंत्र है।
 इसलिए, यदि पॉलिसी विवाद विसंगतियां (mechanism to enforce policies)हैं।
 तो, नीतियों की संरचना सुरक्षा भेद्यता पैदा कर सकती है(conflict discrepancies may create security vulnerabilities)।
 तो, एक और चीज है, यह तब होता है, जब हम नीतियां लिखते हैं।
 इसलिए, यदि मेरे पास विवादों के बावजूद, नीतियों की कई नीतियां और संरचनाएं हैं, तो विसंगतियां (discrepancies) उत्पन्न हो सकती हैं और फिर सुरक्षा भेद्यताएं (security vulnerabilities) हो सकती हैं।
 जैसे कि मैं कह सकता हूं, कि एक नीति कहती है, कि इस यातायात की अनुमति दी जा सकती है, या किसी अन्य नीति ने कहा है, कि यातायात की इस श्रेणी को अस्वीकार कर दिया जाना चाहिए, और आप देखते हैं कि एक ओवरलैप (security vulnerabilities) है, जिसे या तो अनुमति या अस्वीकार किया जा सकता है और आपको सही निर्णय लेने की आवश्यकता है।
 यह मुख्य रूप से होता है, क्योंकि इस कार्यान्वयन के मामलों को वितरित तरीके से किया जाता है।
 और यदि कभी-कभी स्थानीय बनाम वैश्विक नीतियों (local versus global policies) आदि में कक्षाएं होती हैं।
 तो, इन्हें संबोधित करने की आवश्यकता है।
 इन सभी को परिभाषित करने की पहली आवश्यकता है, और इसे एक पता (address) होना जरूरी है और यह एक बहुत ही महत्वपूर्ण बात बन जाती है,जब कोई संगठन एक व्यक्तिगत नीतियों (individual policies )और सत्यापन (verify) और उन सभी चीजों को देखने के लिए बहुत बड़ा होता है।
 तो, इन सभी चीजों को देखकर, हमें यह पता चलता है, कि सुरक्षा मॉडल या सुरक्षा उद्देश्यों हैं (security models or security objectives)।
 हमले मॉडल (attack models) हैं,खतरे हैं, और नीतियां अथवा तंत्र हैं।
 तो, ये एक अलग घटक हैं, जो चीजों को, एक अलग , तरीके से देखता है।
 अब, मुझे उन्हें एक साथ लाने की जरूरत है, और मेरा सुरक्षा लक्ष्य क्या है।
 इसलिए, प्रमुख सुरक्षा लक्ष्य (security goal ) में से एक रोकथाम (prevention) है, जो हमलावरों को सुरक्षा नीतियों का उल्लंघन करने से रोकें (prevent attackers from violating security policies)।
 तो, वह यहाँ होना चाहिए।
 इसलिए, अगर मेरे पास सुरक्षा नीतियां हैं, तो यह उस चीज़ को प्रतिबंधित कर देती है, हमलावरों को सुरक्षा नीतियों का उल्लंघन करने में सक्षम नहीं होने देती।
 पता लगाने हमलावरों (Detection detect attackers) को, सुरक्षा नीति का उल्लंघन का पता लगाना होता है।
 इसलिए, यह पता लगाना कि जब हमलावरों द्वारा सुरक्षा नीतियों (security policies )का उल्लंघन किया जा रहा है, तो सही तरीके से पता लगाना चाहिए।
 तो, पता लगाने के बाद हम पहले की पहचान करने की कोशिश करेंगे, आपके सुरक्षा परिधि को और अधिक मजबूत बनाते हैं।
 इसलिए, हमें जितनी जल्दी हो सके पता लगाने की जरूरत है।
 क्योंकि अगर हमले अपने जगह पर चल रहें हैं , तो हम जो भी छोड़ रहे हैं, उसके बारे में क्या हुआ है, उसके पोस्ट मॉर्टम (post mortem)में से अधिक है।
 और मूल रूप से अन्य चीजों को देखना और सीखना।
 एक और मुद्दा उभर रहा हैं।
 अगर हमला करते हैं, और अगर कुछ हद तक या पूरी तरह से या, आंशिक रूप से समझौता किया गया है, तो इस बात से कैसे ठीक हो जाए, है ना? तो, इन प्रकार की चीजों से मेरा पुनर्प्राप्ति तंत्र (recovery mechanisms ) क्या होगा, जैसे स्टॉप अटैक, आकलन और क्षति की मरम्मत (stop attack, assess and repair damage), हमले सफल होने पर भी सही तरीके से काम करना जारी रखता है।
 और विभिन्न प्रकार की चीजें हैं, जो सर्वोत्तम प्रथाओं में हैं।
 हमारे पास रिडंडेंसी सिस्टम (redundancy system)के रूप में महत्वपूर्ण प्रणाली (critical system )है, वसूली के लिए लॉगिंग तंत्र (logging mechanisms) हैं, और अन्य चीजें कम नहीं हैं, हमें उस चीज़ से एक चरण में ठीक होने की जरूरत है जहां हम पूर्व हमले की तरह रहते हैं, जो आप सभी चीजों पर जानते हैं।
 इसलिए, हमने लागत का सही खर्च किया।
 यह सब एक लागत के साथ आता है।
 विश्वास और धारणाएं (Trust and assumptions )जो, एक और पहलू हैं।
 तो, सुरक्षा के सभी पहलुओं को सही तरीके से रेखांकित करें।
 इसलिए, मुझे कुछ विश्वास और धारणा है, मुझे इस प्रणाली पर भरोसा है, कि मुझे लगता है, कि सिस्टम ठीक काम करेगा या, यह विशेष आवेदन होगा और, इसी तरह कुछ और आगे की चीजें हैं।
 तो, यह सब तनाव है, और यदि आप सुरक्षा तंत्र (security mechanisms )के लिए ,हमारे दिन-प्रतिदिन जीवन को देखते हैं, तो हमारे पास कुछ प्रकार का परीक्षण ट्रस्ट और धारणा (test trust, and assumption )है, जैसे कि मैं कहता हूं, कि मैं समझता हूं, कि क्या हम विश्वास करते हैं, कि उस सुरक्षा व्यक्ति जो उस विशेष स्थापना की रक्षा कर रहा है, या विशेष आधार पर भरोसा किया जा सकता है।
 इसलिए, मुझे लगता है, कि इस हद तक और, इस तरह के और चीजों के प्रकार पर भरोसा किया जा सकता है।
 तो, यह भी महत्वपूर्ण बात है।
 इसलिए, नीतियों को अनजाने में विभाजन प्रणाली सही कहती है।
 तो, अगर आप सिस्टम स्टेट सिस्टम (system state system ) को देखते हैं, तो यह अलग-अलग स्टेट(state) पर जाता है, क्योंकि सबसे पहले यह, एक गतिशील चीज(dynamic thing) है।
 ऐसा नहीं है, कि यह स्थिर रूप से एक परिभाषित चीजें हैं।
 तो, यहाँ अनिवार्य रूप से सिस्टम स्टेट विभाजन (partition)करना चाहिए और इसका मतलब है की,मैं इस स्टेट या इस स्टेट में हूं, जो स्टेट मैं वहां हूं(, I am in this state or this state which state I am there)।
 इसलिए, यह संदिग्ध विभाजन (ambiguous partition ) होना चाहिए, जो सही ढंग से प्रत्येक चरण की सुरक्षा आवश्यकता को कैप्चर करें।
 इसलिए, यह न केवल विभाजन होगा बल्कि, इसे प्रत्येक चरण की सुरक्षा आवश्यकताओं को भी देखना चाहिए।
 तंत्र नीतियों को लागू करने के लिए मानते हैं।
 इसलिए, नीतियों को लागू करने के लिए तंत्र हैं।
 तंत्र समर्थन तंत्र का सही ढंग से काम करता है।
 इसलिए, यह तंत्र मूल रूप से नीतियों का कार्यान्वयन या प्राप्ति है, और यह देखना चाहिए कि वे जगह पर हों।
 अब, अगर हम थोड़ा सा समग्र (holistically)रूप से देखते हैं।
 इसलिए, अगर मेरे पास सिस्टम के पहुंचने योग्य स्टेट (reachable states )है।
 इसलिए, यदि पहुंच योग्य स्थिति (reachable state) का सेट इस प्रकार की गड़बड़ी में है, और यदि मेरे पास सुरक्षित प्रकार के सेट हैं, जैसे कि हैश लाइन (hash line ) है।
 तो, हम कहते हैं, कि यदि पहुंच योग्य रस्टेट (reachable state )का सेट (set) सुरक्षित स्टेट (security state) के समग्र सेट के भीतर है, तो मैं कहता हूं कि यह पूरी तरह से सुरक्षित है।
 तो, मैं यह कहने की कोशिश कर रहा हूं, कि सिस्टम विभिन्न स्टेट्स पर चला जाता है, सभी सुरक्षा स्टेस (state) के भीतर हैं।
 तो, मैंने कहा है, कि मेरे पास है, सुरक्षित स्थिति एस 1 से 20 एस(s1 to s20) तक सुरक्षित है, क्योंकि मेरा सिस्टम मूल रूप से ,एस 5 से एस 16 (s5 to s16)के बीच होवर (hover) करता है।
 तो, इसका मतलब है, यह हमेशा सुरक्षा स्थिति में है।
 यह सटीक (precise) हो सकता है, कि यह सुरक्षा के सेट, और पहुंच के सेट के साथ पूरी तरह मेल खाता है।
 अन्य व्यापक हो सकते हैं, जिसका मतलब है, सभी सुरक्षा क्षेत्र में नहीं हैं, या सुरक्षित स्थिति में हैं, लेकिन एक, लेकिन कुछ स्टेट हैं, जो वहा हैं।
 एक चीज जो, हमें पता होना चाहिए कि, कैसे हमारी, सुरक्षा नीति तंत्र वीजा-कार्य करता है (security policy mechanisms visa-vies work)।
 तो, मैं कह सकता हूं, कि मैं कितना सुरक्षित हूं।
 तो, आश्वासन का एक मुद्दा है, जैसे कि विनिर्देशों (specifications) का अधिकार सही है।
 वांछित कार्यक्षमताओं के डिजाइन (desired functionalities designs) की आवश्यकता विश्लेषण विवरण की तरह, सिस्टम विनिर्देशन और कार्यान्वयन (specification and implementation)को कैसे पूरा करेगा, प्रोग्राम सिस्टम (program system) जो, सही तरीके से डिजाइन करते हैं।
 तो, यह सही तरीके से डिजाइन करने के लिए, ऐसा करने का प्रयास करता है।
 मैं आश्वस्त कर सकता हूं, कि इस डिजाइन को मेरे डिजाइन विनिर्देश (specification), आदि के आधार पर आश्वासन दिया जा सकता है।
 तो, ये सर्वोत्तम प्रथाएं हैं, जिन्हें स्थापित करने की आवश्यकता है।
 तो, मेरा सुरक्षा स्तर बढ़ जाता है।
 अब परिचालन मुद्दों के मुद्दे (issues of operational issues) हैं, या कभी-कभी आर्थिक मुद्दे (economical issues ) होते हैं।
 लागत लाभ विश्लेषण (Cost benefit analysis), यह सामान्य है, कि इसे रोकने या ठीक करना सस्ता है।
 तो, क्या महंगा है, यह ठीक है ,या यह ठीक है या नहीं, जैसे कि मैं कहता हूं, कि मेरे पास एक लैप (lap) है, जिसमें कुछ लिनक्स स्थापना है, या विंडोज़ इंस्टॉलेशन (Linux installation, or windows installation) या, दोनों संयुक्त हैं।
 और हम दिन-दर-दिन आधार, पर लैप (lap) चलाते हैं, लेकिन इस तरह हम सिस्टम में, कुछ भी स्टोर (store) नहीं करते हैं, ठीक है।
 इसलिए, उस मामले में छात्रों को अपने दस्तावेज़ (documents) लाने या, अपने कोड (codes) इत्यादि, चलाने के लिए माना जाता है, और फिर चीजों को छोड़ (release) देना होता है, लेकिन दिन के अंत में, किसी भी डेटा को संग्रहित करने का कोई सवाल नहीं है।
 या, प्राधिकरण (authority) से कोई ज़िम्मेदारी नहीं है, ताकि डेटा इत्यादि बचाया जा सके।
 इसके लिए, मैं हमले को रोकने के लिए बहुत रुचि नहीं रखता हूं।
 यहां तक ​​कि कुछ हमले भी हैं, यदि मैं पहचान सकता हूं, कि मैं हमेशा पुनर्स्थापित (reinstall) कर सकता हूं, कि मेरे पास पहले से ही पूरी प्रणाली की, एक छवि हो सकती है ,और मैं छवि को फिर से इंस्टॉल कर सकता हूं।
 लेकिन दूसरी ओर यदि, कोई डेटा गहन है, या शोध डेटा (data intensive or say research data) इत्यादि कहता है, तो मैं हमले को रोकने में अधिक रुचि रखता हूं।
 या, एक ऐसी प्रणाली जो ऑनलाइन (online)चीजों पर चल रही है, मैं डेटा को रोकना चाहता हूं।
 तो, यह लागत विश्लेषण लाभ है, अन्य जोखिम सही है, की क्या हमें कुछ इस बात की रक्षा करनी चाहिए, कि हम इस चीज़ की रक्षा कैसे कर सकते हैं।
 कानून और रीति-रिवाज सही हैं।
 चलो वांछित सुरक्षा उपाय (desired security measures)अवैध हैं, लोग उन्हें और आदि चीजों पर करते हैं।
 इसलिए, हमारे पास यहाँ, अलग-अलग परिचालन मुद्दे हैं।
 निश्चित रूप से, कुछ मानव मुद्दों के अधिकार हैं, संगठनात्मक समस्याएं या लोगों की समस्याएं।
 तो, हमेशा लूप (loo )में मानव होते हैं, और जिम्मेदारी के मानव मुद्दे प्रति प्राधिकरण कहते हैं।
 तो, अगर हम उन्हें एक साथ बांधते हैं।
 इसलिए, खतरे हैं, कि नीतियां - नीति विनिर्देशों (policy specification) के आधार पर, विनिर्देशों (specification) के आधार पर धमकी नीतियों (threats policies ) पर आधारित होती हैं, डिज़ाइन के कार्यान्वयन (specification), के आधार पर डिज़ाइन पर ,आधारित होता है।
 ये परिचालन मुद्दे (operational issues )या, तो कार्यान्वयन या डिजाइन विनिर्देश के लिए प्रतिक्रिया हैं, और चीजें या परिचालन मुद्दे (operational issues) खतरे के रूप में आता है।
 तो, अगर हम उन्हें एक साथ लाने की कोशिश करते हैं, तो उन्हें एक साथ लाएं।
 अब हम जो प्रतीत कर रहे हैं, वह प्रदाताओं से या सिस्टम बिंदु से देखने (point of view ) के दृष्टिकोण से अधिक है।
 संभावित खतरों के मुकाबले क्या हो सकता है, यह महत्वपूर्ण खतरों के लिए क्या हो सकता है, तंत्र को और कैसे लागू किया जाए।
 लेकिन, अगर हम यह देखने की कोशिश करते हैं, कि एक जैसे विभिन्न प्रकार के हमले सही निष्क्रिय हमले हैं।
 जानकारी प्राप्त करें जो, प्रसारित किया जा रहा है।
 तो, यह हमले नहीं है, लेकिन ये अधिक गुप्त हैं।
 इसलिए, संदेश सामग्री (message content) की, 2 प्रकार की रिलीज प्रतिद्वंद्वी को संचरण की सामग्री सीखने से रोकने के लिए वांछनीय हो सकती है।
 इसलिए, संदेश सामग्री (message content) को छोड़ना, हमले यातायात विश्लेषण (attack traffic analysis) में से एक हो सकता है।
 जैसे कि मैं संदेश को नहीं देखता, लेकिन कहता हूं, की मैं यातायात को सही देखना चाहता हूं।
 यदि यातायात अत्यधिक अस्थिर या भारी या कम है, तो मैं भविष्यवाणी करने की कोशिश करता हूं, कि सही तरीके से चल रहे तंत्र के प्रकार के प्रभाव का, क्या प्रभाव हो सकता है।
 मैं कह सकता हूं, कि यदि बहुत अधिक ट्रैफिक है जो किसी वीडियो कॉन्फ्रेंसिंग या वीडियो चैट (video conferencing or video chat ) पर जा रहा है।
 और यदि कुछ कम यातायात या मध्यम यातायात है, तो मुझे कुछ ऐसा करने की आवश्यकता हो सकती है, जो मैं कह सकता हूं, कि यह चीजों का प्रकार है।
 और न केवल यातायात के समय पर आधारित, यह भी कहा जाता है, कि यह भी विभिन्न महत्वपूर्ण भूमिका निभाता है।
 आम तौर पर, निष्क्रिय हमलावरों (passive attackers) का पता लगाना मुश्किल होता है, क्योंकि वे प्रत्यक्ष नुकसान (direct harm)नहीं करते हैं, और पता लगाने में बहुत मुश्किल होते हैं।
 जबकि, दूसरी तरफ हमारे पास सक्रिय हमलावर (active attackers) होते हैं।
 जैसे डेटा स्ट्रीम या झूठी धाराओं के निर्माण (data stream or creation of false streams) में कुछ संशोधन शामिल है।
 तो, ये सभी सक्रिय हमलावर (active attackers) सही हैं, तो 4 श्रेणियां हैं।
 तो, एक masquerade है ,एक इकाई अलग इकाई होने का नाटक करती है।
 तो, वह एक हमलावर रीप्ले (replay) है।
 डेटा यूनिट का निष्क्रिय कैप्चर और यह अनधिकृत प्रभाव का उत्पादन करने के लिए बाद में रीट्रान्समिशन (retransmission) है।
 तो, यह रीप्ले (replay) हमले सही है।
 इसलिए, डेटा इकाइयों के निष्क्रिय कब्जे में निहित है, और यह बाद में पुन: ट्रांसमिशन को तिथि संशोधन (date modification) के पुन: प्रेषण की बड़ी राशि है।
 वैध संदेश (legitimate message) का कुछ हिस्सा बदल दिया गया है।
 इसलिए, सेवा के इनकार करने से, इनकार करने का हमला संचार सुविधाओं के सामान्य उपयोग को रोकता है।
 तो, यह एक हमला प्रकार का हमला या, सेवाओं के हमले से इनकार है।
 इसलिए, ये सभी हमले वास्तव में सक्रिय प्रणाली के संचालन में हमारी समस्या पैदा करते हैं।
 अब, सुरक्षा सेवाओं में उन चीजों के रूप में हमने देखा है,कि ये सुरक्षा खतरे हैं।
 सुरक्षा सेवाएं इस तरह की सेवाएं प्रदान करने का प्रयास करती हैं।
 गोपनीयता, प्रामाणिकता, अखंडता, अस्वीकार, अभिगम नियंत्रण, अभिगम्यता, उपलब्धता (confidentiality, authenticity, integrity, non repudiation, access control, accessibility, a availability) की तरह।
 तो, यह पहली बात हमने गैर अस्वीकार (non repudiation )की चर्चा की थी, जो हम कहते हैं, कि आदेश अंतिम अधिकार है।
 ऐसा लगता है, कि आप कहते हैं, कि आप कुछ ऐसा आदेश देते हैं, जैसे कि आप अपने बैंक को निर्देश देते हैं, कि आप ऑनलाइन स्थानांतरित करते हैं, और कि आप मेरे खाते से एक्स राशि (x amount ) किसी और के खाते में, स्थानांतरित करते हैं, और अगले दिन मैं बैंक जाता हूं, कि मैंने कभी यह अधिकार नहीं दिया ।
 तो, वहां एक हैंडलिंग करने का एक तरीका होना चाहिए।
 इसलिए, कोई अस्वीकार नहीं है, कि ऐसी चीजें मूल रूप से क्यों कहती हैं, कि आदेश बेहतर है।
 एक्सेस कंट्रोल (access control ) एक बड़ा क्षेत्र है, कि यह एक्सेस कंट्रोल (access control ) कैसे होगा आधार पर आधारित, नियंत्रण तंत्र पर काम करता है।
 यह मूल रूप से संसाधनों के दुरुपयोग को रोकने का कहना है।
 इसलिए, आपके पास उस विशेष संसाधन को ,विशेष संसाधन केंद्र तक विशेष पहुंच होनी चाहिए ताकि, आप उन संसाधनों का उपयोग कर सकें उपलब्धता प्रदर्शन और सेवाओं के गैर मिटा प्रकार।
 इसलिए, यह सेवा सेवा हमले से इनकार है ,और वहां वायरस हो सकता है, जो फाइलों को हटा देता है।
 तो, यही वह है, जो गैर उपलब्धता का भी मामला है, इसलिए, सुरक्षा की भूमिका।
 इसलिए, यदि आप कंप्यूटर सुरक्षा नेटवर्क सुरक्षा सूचना सुरक्षा क्लाउड सुरक्षा (computer security network security information security cloud security) के बारे में बात करते हैं।
 चीज की भूमिका क्या है? सुरक्षा बुनियादी ढांचे को सभी गोपनीयता प्रदान करना चाहिए।
 इसका अर्थ है, गोपनीयता की हानि के खिलाफ सुरक्षा डेटा परिवर्तन डेटा या परिवर्तन के खिलाफ अखंडता संरक्षण(integrity protection against data altered data alteration or corruption)।
 इसलिए, यह अखंडता की सुरक्षा है, क्योंकि आपने अखंडता देखी है, कि संदेश हस्तांतरण (transfer) के दौरान डेटा बदल दिया जा रहा है।
 वैध उपयोगकर्ताओं की सेवा प्रमाणीकरण पहचान से इनकार करने के खिलाफ उपलब्धता सुरक्षा ताकि प्रमाणित वैध उपयोगकर्ता की पहचान कैसे की जा सके।
 प्रमाणीकरण यह निर्धारित करता है, कि किसी निश्चित उपयोगकर्ता द्वारा ऑपरेशन की अनुमति है या नहीं।
 जैसा कि हमने आदेश पर चर्चा की है, कोई अस्वीकार नहीं है, नुकसान की क्षति आदि के खिलाफ सुरक्षा अंतिम है।
 और हमारे पास सोशल इंजीनियरिंग (social engineering) से फ़िशिंग, पासवर्ड आक्रमण, बफर ओवरफ्लो, कमांड इंजेक्शन (phishing, password attacks, buffer overflow, command injection) और, इत्यादि इत्यादि से अलग-अलग प्रकार की भेद्यताओं के आधार पर हमलों की एक श्रृंखला है।
 इसलिए, ये विभिन्न प्रकार के हमले हैं, जो सूचना प्रणाली में हैं, जो क्लाउड इंफ्रास्ट्रक्चर (cloud infrastructure) के लिए कुछ अर्थों में भी सच हैं।
 अब, यदि हम एक सामान्य परिदृश्य को देखते हैं, जैसे कि नेटवर्क सुरक्षा (network security )जो बहुत प्रमुख है, क्योंकि क्लाउड (cloud) इस शब्द पर आधारित है, मूल रूप से वितरित सिस्टम पर आधारित है, जो लीवरेज या नेटवर्क हैं, और इसलिए, यह महत्वपूर्ण है, कि मूल नेटवर्क स्तर की सुरक्षा अधिक हो।
 इसलिए, नेटवर्क सुरक्षा (network security ) नीतियों के इस दृढ़ संकल्प की तरह काम करती है, कि सुरक्षा नीति क्या होनी चाहिए, फिर उन नीतियों को लागू करना पुनर्जागरण।
 इसलिए, यह देखना चाहिए, कि क्या सुरक्षा की चीजें मौजूद हैं, या भेद्यता स्कैनिंग (vulnerability scanning ) नहीं है, कि मैं कितना कमजोर हूं।
 तो, यह भेद्यता स्कैनिंग (vulnerability scanning )को देखते हैं, प्रवेश परीक्षण की एक अवधारणा है।
 इसका मतलब है, या जो हम कहते हैं, कि स्वयं पर हमला करने वाला परिदृश्य एक आत्म और सुरक्षित हमलावर परिदृश्य है, मैं इसे सिस्टम में कितना अनुमान लगा सकता हूं।
 इसलिए, यह एक प्रवेश परीक्षा है, और जांच में पोस्ट हमले की आवश्यकता है, अगर कोई हमला होता है, तो हमले की जांच पोस्ट करें।
 तो, सुरक्षा नीति का निर्धारण, कि सुरक्षा नीति एक पूर्ण सुरक्षा रोडमैप (full security roadmap) है, और किसी भी संगठन के लिए है।
 तो, छोटी चीजें अगर यह एक अंतर संगठन है।
 तो, सुरक्षा नीतियों को, क्या सही रखा जाना चाहिए? यह एक पूर्ण सड़क मानचित्र (full security roadmap) है, जिसे यहाँ होना है।
 नेटवर्क डिजाइन (network design) को इन नीतियों को प्रतिबिंबित करना चाहिए।
 तो, अगर यह एक नेटवर्क चीज है।
 तो, जब भी आप डिज़ाइन कर रहे हों।
 इन सुरक्षा नीतियों की पुष्टि करनी चाहिए।
 इसलिए, नीतियों को लागू करने वाली सुरक्षा नीतियों को, लागू करने में फायरवॉल (firewalls) जैसे ,सुरक्षा उपायों की स्थापना और, आईडी की कॉन्फ़िगरेशन (configuration of ID’s ) की स्थापना और, कई अन्य प्रकार की चीजें हैं, जिन्हें वहां होने की आवश्यकता है।
 इसलिए, अगर हम इसे देखते हैं, तो यह एक बड़ी तस्वीर है, जहां आपके पास अलग-अलग क्षेत्रीय नेटवर्क (demilitarized zone internal network) है।
 और वह फ़ायरवॉल (firewalls)या, नेटवर्क पता अनुवादक नेट, स्विच, फ़ायरवॉल (firewall or network address translator nat, switch, firewall) और चीजों का प्रकार है।
 तो, यह दोहरी होमिंग या 2 फ़ायरवॉल (dual homing or 2 firewalls) हैं।
 इसलिए, सुरक्षा नीतियों को या तो फ़ायरवॉल (firewall) या, आईडी (ID's) में नीतियों या अतिरिक्त नियमों को लागू करें, या हनीपॉट या हनीनेट (of honeypot or honeynet )की अवधारणा है, जहां कमजोर चीजें हैं, ताकि बहुत सारे हमले होंगे और, सुरक्षा का मतलब सुरक्षा व्यक्तियों को समझ में आता है, कि किस तरह के हमले हैं।
 उन हस्ताक्षरों के आधार पर वे, मूल रूप से ठीक से ट्यून करते हैं, आरडीए आईडी या फ़ायरवॉल नीतियां (RDA ID's or firewall policies) होती हैं।
 तो, अगली बात यह है, कि नेटवर्क के बारे में जानने की जरूरत है।
 तो, हमला करने या रोकने के लिए आपको नेटवर्क में से किसी एक की आवश्यकता नहीं है।
 इसलिए, मेजबान (host) का आईपी पता (IP address ) महत्वपूर्ण डेटा, के साथ प्रमुख सर्वर की पहचान करता है।
 तो, वहां 2 रूप हैं, जो एक निष्क्रिय है ,जो ज्ञानी (passive which is undetectable) नहीं है, एक सक्रिय (active) है, जिसे अक्सर आईडी (ID's) के अधिकार से नहीं पता चला है।
 तो, यह एक ज़रूरत है।
 एक भेद्यता स्कैनिंग (vulnerability scanning ) है, क्योंकि हम चर्चा कर रहे हैं, कि मुझे मूल रूप से मेरी कमजोरियों को, स्कैन करने की ज़रूरत है, ताकि मैं पता लगा सकू की, अन्य सिस्टम में, मै कितना कमजोर हो।
 इसलिए, नेटवर्क के मामले में, अलग-अलग स्कैनर हैं, जैसे नक्शे में ओपन सोर्स थिक्क्नेस (open source thicknesses) हैं।
 इसलिए, आप मूल रूप से स्कैन कर सकते हैं, कि पोर्ट्स खुलें (ports open) हैं, संभावित भेद्यताएं (possible vulnerabilities) और, चीजों के प्रकार क्या हैं।
 तो, यह महत्वपूर्ण है, कि आप स्कैन करें और उसे देखें की, आपकी स्थापना के सुरक्षा उद्धरण, सुरक्षा सुरक्षा क्या है(security quote unquote security health of your installation.)।
 इसलिए, अन्य स्कैनर का फायदा उठाने की अनुमति होगी, फिर उन्हें मेटाप्लोइट (metasploit) कहा जाता है, और जिन चीजों में सुरक्षा डेटाबेस है, उनमें अंतर सुरक्षा भेद्यता (security vulnerability) डेटाबेस है ,जैसे कि एनवीडी राष्ट्रीय भेद्यता डेटाबेस (NVD national vulnerability database) में, जहां मूल रूप से कहा जाता है, कि अलग क्या हैं कमजोरियों।
 तो, स्कैनर को अद्यतन करने की आवश्यकता है।
 इसलिए, यह एंटीवायरस (antivirus) इत्यादि, के मामले में चलता है, जो मुख्य रूप से स्कैनर होते हैं।
 तो, हस्ताक्षर के साथ अद्यतन करने की जरूरत है।
 और, फिर हमारे पास प्रवेश परीक्षण है, जैसे कि हम एक नेटवर्क के एक भेद्यता विश्लेषण (attack investigation) करते हैं, और फिर कमजोरियों को देखते हैं, हम सिस्टम की एक प्रवेश परीक्षा करते हैं, कि मैं कितना प्रवेश कर सकता हूं, सिस्टम और चीजों के प्रकार में।
 ये सुरक्षित हमले हैं, और देर से एक संगठन या सुरक्षा कर्मियों को पता है, कि विभिन्न भेद्यता बिंदु (vulnerability points) क्या हैं, और उपयुक्त पैच (vulnerability points ) डालते हैं।
 और आखिरकार, हमारे पास पोस्ट अटैक जांच (post attack investigation)है।
 हमलों के फोरेंसिक(forensics) इस प्रक्रिया को, कानूनों द्वारा भारी निर्देशित (heavily guided) किया जाता है, कि इस पोस्ट पर, हमला या पोस्ट मॉर्टम (post mortem)परिदृश्य कैसे चिल्लाते (screaming)हैं, फिर साक्ष्य की श्रृंखला (chain of evidences) बनाए रखें कि, चीजें कैसे होती हैं आदि।
 तो, ये पोस्ट मॉर्टम या पोस्ट अटैक परिदृश्य हैं (post mortem or post attack scenarios)।
 अब ,यदि आप क्लाउड (cloud)के मामले में, हमारी तरफ देखते हैं, तो ये सभी चीजें ,एक ही या अलग-अलग रूपों में, अलग-अलग होती हैं।
 क्योंकि ये अधिक सामान्य हैं, हालांकि हमने नेटवर्क से जुड़े नेटवर्क के अंत में चर्चा की, लेकिन ये मुख्य रूप से अधिक उत्पन्न हमले हैं।
 और फिर हमारे पास इस पोस्ट हमले की जांच है, कि यह देखने के लिए कि विभिन्न हमले पैटर्न इत्यादि क्या हैं।
 और हम अपने अगले व्याख्यान में देखने की कोशिश करेंगे, या तो क्लाउड कंप्यूटिंग (cloud computing)के मामले में ,इस सुरक्षा की विशेषताओं या प्रभाव क्या हैं।
 तो, आज हम अपनी चर्चा यही रोकते हैं।
 धन्यवाद।