9.1 Introduction
to Cyber Security
साइबर सुरक्षा
भनेको कम्प्युटर प्रणालीहरू, नेटवर्कहरू र डाटालाई साइबर खतराहरू, अनधिकृत
पहुँच, र आक्रमणहरूबाट जोगाउने अभ्यास हो। यसले डिजिटल
सम्पत्तिहरूलाई सुरक्षित राख्नका लागि प्रविधि, प्रक्रिया,
र नीतिहरू लागू गर्ने कार्य समावेश गर्छ। डिजिटल रूपान्तरणको वृद्धि
संगै, साइबर खतराहरू थप जटिल बन्दै गएका छन्, जसले साइबर सुरक्षालाई व्यक्तिगत र संस्थागत सुरक्षाको महत्त्वपूर्ण पक्ष
बनाएको छ।
साइबर सुरक्षाका उद्देश्यहरू:
• संवेदनशील जानकारीलाई अनधिकृत पहुँचबाट जोगाउने।
• ह्याकिङ, फिशिङ, म्यालवेयर
जस्ता साइबर आक्रमणहरू रोक्ने।
• डेटाको गोपनीयता, अखण्डता, र उपलब्धता सुनिश्चित गर्ने।
• व्यक्ति र संस्थाहरूलाई आर्थिक तथा प्रतिष्ठागत क्षतिबाट जोगाउने।
9.2 Common
Security Threats
साइबर सुरक्षा
खतराहरू विभिन्न स्वरूपमा आउँछन्, जसमा आक्रमणकारीहरूले विभिन्न रणनीति अपनाएर प्रणालीहरूलाई
क्षति पुर्याउने प्रयास गर्छन्। केही प्रमुख साइबर सुरक्षा खतराहरू निम्न प्रकारका
छन्:
1. सामाजिक इन्जिनियरिङ (Social
Engineering)
सामाजिक
इन्जिनियरिङ भनेको आक्रमणकारीहरूले व्यक्तिलाई छलकपट गरी गोप्य जानकारी प्राप्त
गर्ने वा सुरक्षामा सम्झौता गराउने प्रक्रिया हो।
उदाहरणहरू:
• फिशिङ (Phishing) – ठगीपूर्ण ईमेल वा सन्देश
पठाएर प्रयोगकर्तालाई पासवर्ड वा वित्तीय विवरण खुलाउन फसाउने।
• प्रिटेक्स्टिङ (Pretexting) – झूटो
कथा बनाएर संवेदनशील डाटा संकलन गर्ने।
• बेटिङ (Baiting) – निःशुल्क
डाउनलोडको अफर दिएर लुकेर मालवेयर इन्स्टल गराउने।
• टेलगेटिङ (Tailgating) – अधिकृत
व्यक्तिलाई पछ्याएर अनधिकृत रूपमा सुरक्षित क्षेत्रभित्र प्रवेश गर्ने।
2. वितरित डिनायल अफ सर्भिस (DDoS) आक्रमण
DDoS आक्रमणको उद्देश्य कुनै वेबसाइट वा अनलाइन सेवामा अत्यधिक ट्राफिक पठाएर
प्रणालीलाई काम नलाग्ने बनाउने हो। आक्रमणकारीहरूले कम्प्रमाइज गरिएका उपकरणहरूको
नेटवर्क (बोटनेट) प्रयोग गरी प्रणालीलाई अनुरोधहरूले भरिन्छन्, जसले सेवामा अवरोध ल्याउँछ।
DDoS आक्रमणका प्रभावहरू:
• सेवा अवरुद्ध भएर प्रयोगकर्ताले पहुँच नपाउने।
• अनलाइन सेवामा भर पर्ने व्यवसायहरूका लागि आर्थिक क्षति।
• प्रणालीको प्रदर्शन र प्रयोगकर्ताको अनुभवमा गिरावट।
3. मालवेयर (Malicious Software)
मालवेयर भनेको
प्रणाली वा डाटामा क्षति पुर्याउने उद्देश्यले बनाइएका हानिकारक सफ्टवेयरहरू हुन्।
मालवेयरका केही प्रमुख प्रकारहरू निम्नानुसार छन्:
• फिशिङ (Phishing) – साइबर अपराधीहरूले ठगीपूर्ण
वेबसाइट वा ईमेलमार्फत प्रयोगकर्ताको व्यक्तिगत डाटा चोर्ने।
• स्पाइवेयर (Spyware) – प्रयोगकर्ताको
गतिविधि गुप्त रूपमा निगरानी गर्ने र संवेदनशील जानकारी सङ्कलन गर्ने सफ्टवेयर।
• भाइरस (Virus) – वैध फाइलहरूमा
टाँसिने र चलाइएसँगै फैलने हानिकारक प्रोग्राम, जसले
प्रणालीलाई क्षति पुर्याउँछ।
• वर्म्स (Worms) – प्रयोगकर्ताको
अनुमति बिना नै नेटवर्कभरि फैलिने र प्रणालीका स्रोतहरू प्रयोग गर्ने मालवेयर।
• ट्रोजन (Trojans) – वैध सफ्टवेयर
जस्तै देखिने तर स्थापना भएपछि आक्रमणकारीलाई अनधिकृत पहुँच दिने मालवेयर।
रोकथामका उपायहरू:
• बलियो पासवर्ड र बहु-स्तरीय प्रमाणीकरण (Multi-Factor
Authentication) प्रयोग गर्ने।
• सफ्टवेयर र प्रणालीहरू समय-समयमा अपडेट गर्ने।
• शङ्कास्पद ईमेल, लिङ्क, र संलग्न फाइलहरूप्रति सतर्क रहने।
• भरपर्दो एन्टिभाइरस र फायरवाल सुरक्षा स्थापना गर्ने।
• प्रयोगकर्ताहरूलाई साइबर सुरक्षा सचेतना सम्बन्धी जानकारी दिने।
9.3 Security
Mechanisms
सुरक्षा
संयन्त्र (Security
Mechanisms) भनेको प्रणाली, नेटवर्क,
र डाटालाई साइबर खतराबाट सुरक्षित राख्न प्रयोग गरिने रणनीति तथा
प्रविधिहरू हुन्। यी संयन्त्रहरूले सुरक्षा नीतिहरू कार्यान्वयन गर्न, अनधिकृत पहुँच रोक्न, र घुसपैठ पत्ता लगाउन
मद्दत गर्छन्।
9.3.1 Identity and
Access Control
पहिचान र पहुँच
नियन्त्रण भनेको निश्चित प्रणाली, डाटा, र स्रोतहरूमा केवल अधिकृत
प्रयोगकर्ताहरूलाई मात्र पहुँच दिन सुनिश्चित गर्ने प्रक्रिया हो।
1. पहिचान व्यवस्थापन (Identity
Management)
पहिचान
व्यवस्थापन भनेको प्रयोगकर्ताको पहिचान प्रमाणित गरेर प्रणालीमा पहुँच दिनु हो।
यसमा निम्न समावेश छन्:
• प्रयोगकर्ता प्रमाणीकरण (User Authentication) – प्रयोगकर्ताको पहिचान प्रमाणित गर्न प्रयोग गरिने विधिहरू, जस्तै:
- प्रयोगकर्ता
नाम र पासवर्ड
- बायोमेट्रिक्स
(औँठाछाप, अनुहार चिन्ने प्रविधि)
- बहु-स्तरीय
प्रमाणीकरण (Multi-Factor
Authentication - MFA)
• प्रयोगकर्ता अधिकरण (User Authorization) – प्रयोगकर्ताको
भूमिका (Role) र अनुमति (Permissions) को
आधारमा विशिष्ट स्रोतहरूमा पहुँच प्रदान गर्ने प्रक्रिया।
2. पहुँच नियन्त्रणका विधिहरू (Access
Control Methods)
पहुँच नियन्त्रण
भनेको सुरक्षा नीतिहरूको आधारमा कोही प्रयोगकर्ताले कुन डाटा पहुँच गर्न र
परिमार्जन गर्न सक्छ भन्ने निर्धारण गर्ने प्रक्रिया हो।
• वैकल्पिक पहुँच नियन्त्रण (Discretionary Access Control - DAC)
– डाटाका मालिकले आफैंले निर्धारण गर्ने कि को कसले पहुँच पाउने।
• अनिवार्य पहुँच नियन्त्रण (Mandatory Access Control -
MAC) – सुरक्षा ट्यागहरू (Labels) को
आधारमा पहुँच कडाइका साथ नियन्त्रण गरिन्छ (प्रायः सैन्य र सरकारी प्रणालीमा
प्रयोग गरिन्छ)।
• भूमिका-आधारित पहुँच नियन्त्रण (Role-Based Access
Control - RBAC) – प्रयोगकर्तालाई भूमिकाहरू (Roles) तोकिन्छन्, र पहुँच अनुमति तिनै भूमिकाको आधारमा
दिइन्छ।
• गुण-आधारित पहुँच नियन्त्रण (Attribute-Based Access
Control - ABAC) – पहुँच अनुमति प्रयोगकर्ताको भूमिका, स्थान, पहुँच समयजस्ता धेरै गुणहरू (Attributes)
को आधारमा दिइन्छ।
पहिचान र पहुँच नियन्त्रणका उत्कृष्ट अभ्यासहरू (Best Practices)
• सुरक्षाका लागि बहु-स्तरीय प्रमाणीकरण (MFA) प्रयोग
गर्ने।
• प्रत्येक खाताका लागि बलियो र फरक पासवर्ड राख्ने।
• सबै प्रयोगकर्ताहरूलाई न्यूनतम आवश्यक अनुमति मात्र प्रदान
गर्ने (Principle of Least Privilege - PoLP)।
• प्रयोगकर्ताको पहुँच अनुमतिहरू नियमित रूपमा जाँच र अद्यावधिक
गर्ने।
9.3.2 Use of
Firewalls, IDS, and IPS
फायरवाल, IDS, र IPS जस्ता सुरक्षा उपकरणहरू नेटवर्क निगरानी गर्न र सुरक्षा प्रदान गर्न
अत्यन्तै आवश्यक छन्।
1. फायरवाल (Firewall)
फायरवाल भनेको
पूर्वनिर्धारित सुरक्षा नियमहरूका आधारमा नेटवर्क ट्राफिकलाई निगरानी गर्ने र
नियन्त्रण गर्ने सुरक्षा उपकरण हो।
फायरवालका प्रकारहरू:
• प्याकेट फिल्टरिङ फायरवाल (Packet Filtering Firewall) – डाटा प्याकेटको IP ठेगाना, पोर्ट,
र प्रोटोकल जाँच गरेर अनुमति वा अस्वीकार गर्ने।
• स्टेटफुल इन्स्पेक्सन फायरवाल (Stateful Inspection
Firewall) – सक्रिय कनेक्शनहरूको निगरानी गर्ने र ट्राफिकको
स्थिति हेरेर अनुमति वा अवरोध गर्ने।
• प्रोक्सी फायरवाल (Proxy Firewall) – प्रयोगकर्ता र इन्टरनेटको बीचमा बिचौलिया बनेर अनुरोधहरूलाई फिल्टर गर्ने।
• नेक्स्ट-जेनेरेशन फायरवाल (Next-Generation Firewall -
NGFW) – पारम्परिक फायरवालका अतिरिक्त गहिरो प्याकेट निरीक्षण (Deep
Packet Inspection) र मालवेयर फिल्टरिङ जस्ता उन्नत विशेषताहरू
समावेश गर्ने।
2. घुसपैठ पत्ता लगाउने प्रणाली (Intrusion
Detection System - IDS)
IDS भनेको नेटवर्क वा प्रणालीमा हुने संदिग्ध गतिविधि वा सम्भावित सुरक्षा
उल्लङ्घनहरू पत्ता लगाउने निगरानी प्रणाली हो। यो ट्राफिक अवरोध गर्दैन, तर प्रशासकहरूलाई चेतावनी दिन्छ।
IDS का प्रकारहरू:
• नेटवर्क-आधारित IDS (Network-Based IDS - NIDS) – नेटवर्क ट्राफिक निगरानी गरेर हानिकारक गतिविधिहरू पहिचान गर्ने।
• होस्ट-आधारित IDS (Host-Based IDS - HIDS) – व्यक्तिगत उपकरणमा चल्ने र प्रणाली गतिविधि निगरानी गर्ने।
3. घुसपैठ रोकथाम प्रणाली (Intrusion
Prevention System - IPS)
IPS भनेको IDS को उन्नत संस्करण हो, जसले सम्भावित खतराहरू मात्र पत्ता लगाउने होइन, तिनीहरू
रोकथाम पनि गर्छ।
IPS को विशेषताहरू:
• हानिकारक ट्राफिकलाई वास्तविक समयमा रोक्ने।
• हस्ताक्षर-आधारित (Signature-Based) र
असामान्य गतिविधि-आधारित (Anomaly-Based) पत्ता लगाउने
प्रविधिहरू प्रयोग गर्ने।
• DDoS आक्रमण, मालवेयर संक्रमण जस्ता
खतराहरू न्यूनीकरण गर्न मद्दत गर्ने।
नेटवर्क सुरक्षाका उत्कृष्ट अभ्यासहरू (Best Practices for Network Security)
• कडा सुरक्षा नीति अपनाएर फायरवाल कन्फिगर गर्ने।
• IDS/IPS नियमहरू तथा हस्ताक्षरहरू नियमित रूपमा अपडेट गर्ने।
• संदिग्ध गतिविधि पत्ता लगाउन लगिङ (Logging) र निगरानी (Monitoring) सक्षम गर्ने।
• सुरक्षाको लागि बहुपरत (Layered Security) अपनाएर फायरवाल, IDS, र IPS को
संयोजन गर्ने।
9.3.3 Email
Filtering
इमेल फिल्टरिङ
भनेको साइबर सुरक्षा संयन्त्र हो, जसले दुर्भावनापूर्ण वा अवाञ्छित इमेलहरू प्रयोगकर्ताको
इनबक्समा पुग्नु अघि पत्ता लगाएर अवरुद्ध गर्छ। यसले फिसिङ आक्रमण, स्पाम, र मालवेयर संक्रमण रोक्न मद्दत गर्छ।
इमेल फिल्टरिङका प्रकारहरू:
1. स्पाम फिल्टरिङ (Spam Filtering):
• अनावश्यक थोक इमेल (Spam) पहिचान गरेर रोक्छ।
• ब्ल्याकलिस्ट, ह्वाइटलिस्ट, र स्पाम स्कोरिङ प्रणाली प्रयोग गरेर इमेल वर्गीकरण गर्छ।
2. फिसिङ सुरक्षा (Phishing
Protection):
• कपटपूर्ण लिङ्क वा नक्कली लगइन पृष्ठहरू भएका इमेलहरू पत्ता लगाएर रोक्छ।
• मेसिन लर्निङ र ह्युरिस्टिक विश्लेषण (Heuristic Analysis)
प्रयोग गरी शंकास्पद इमेलहरू पहिचान गर्छ।
3. मालवेयर फिल्टरिङ (Malware
Filtering):
• इमेल संलग्नक (Attachments) स्क्यान गरेर भाइरस,
र्यान्समवेयर, र दुर्भावनापूर्ण स्क्रिप्टहरू
पत्ता लगाउँछ।
• .exe, .bat, .scr जस्ता कार्यान्वयन योग्य (Executable) फाइलहरू वा शंकास्पद म्याक्रोहरू भएका इमेलहरू अवरुद्ध गर्छ।
4. सामग्री फिल्टरिङ (Content
Filtering):
• अप्राकृतिक वा हानिकारक सामग्री भएका इमेलहरू रोक्छ।
• कर्पोरेट नीतिहरू अनुसार इमेल संचार नियमन गर्छ।
इमेल सुरक्षाका उत्कृष्ट अभ्यासहरू (Best Practices for Email Security):
·
SPF, DKIM, र DMARC जस्ता इमेल प्रमाणीकरण
प्रोटोकलहरू प्रयोग गरी स्पूफिङ रोक्ने।
·
प्रयोगकर्ताहरूलाई फिसिङ इमेलहरू चिन्न सिकाउने र शंकास्पद
लिङ्कहरूमा क्लिक नगर्न सचेत गराउने।
·
स्पाम फिल्टर, एन्टिभाइरस स्क्यान, र
फायरवालहरूको संयोजन गरेर बहु-स्तरीय इमेल सुरक्षा सक्षम गर्ने।
·
नयाँ खतराहरू सामना गर्न इमेल सुरक्षा नियमहरू नियमित रूपमा
अद्यावधिक गर्ने।
9.3.4 Use of Antivirus Software
एन्टिभाइरस
सफ्टवेयर भनेको कम्प्युटर र नेटवर्कहरूलाई मालवेयरबाट बचाउन डिजाइन गरिएको सुरक्षा
उपकरण हो। यसले साइबर खतराहरूबाट प्रणालीलाई सुरक्षित राख्न महत्त्वपूर्ण भूमिका
खेल्छ।
एन्टिभाइरस सफ्टवेयरका कार्यहरू:
1. रियल-टाइम
स्क्यानिङ (Real-Time
Scanning):
- फाइलहरू र
एप्लिकेसनहरू निरन्तर निगरानी गरी दुर्भावनापूर्ण गतिविधि पत्ता लगाउँछ।
2. सिग्नेचर-आधारित
पत्ता लगाउने प्रविधि (Signature-Based Detection):
- चिनिएको
मालवेयरको डेटाबेस प्रयोग गरेर खतराहरू पत्ता लगाउँछ।
3. ह्युरिस्टिक
विश्लेषण (Heuristic
Analysis):
- कोडको
व्यवहार विश्लेषण गरेर नयाँ तथा अज्ञात मालवेयरहरू पत्ता लगाउँछ।
4. क्वारेन्टाइन र
हटाउने प्रणाली (Quarantine
& Removal):
- संक्रमित
फाइलहरू अलग्गै राखेर थप फैलिन नदिने र प्रणालीबाट हटाउने।
एन्टिभाइरस सफ्टवेयर प्रयोग गर्दा हुने फाइदाहरू:
- भाइरस, वर्म्स, ट्रोजान, र्यान्समवेयर, र
स्पाइवेयरबाट रक्षा गर्छ।
- अनधिकृत पहुँच (Unauthorized Access) र डाटा चोरी रोक्छ।
- हानिकारक फाइलहरू हटाएर प्रणालीको प्रदर्शन सुधार गर्छ।
- दुर्भावनापूर्ण वेबसाइटहरू र डाउनलोडहरू ब्लक गरेर वेब सुरक्षा प्रदान गर्छ।
एन्टिभाइरस सुरक्षाका उत्कृष्ट अभ्यासहरू:
·
एन्टिभाइरस सफ्टवेयर अपडेट गरिराख्ने, ताकि नयाँ खतराहरू पत्ता
लगाउन सक्षम होस।
·
नियमित रूपमा प्रणाली स्क्यान गर्ने, लुकेका मालवेयरहरू पत्ता
लगाउन।
·
भाइरस परिभाषा (Virus Definitions) को स्वचालित अपडेट सक्षम
गर्ने।
·
अझ सुरक्षित बनाउन फायरवाल सुरक्षा पनि प्रयोग गर्ने।
·
अविश्वसनीय स्रोतहरूबाट सफ्टवेयर डाउनलोड नगर्ने, ताकि संक्रमण रोक्न
सकियोस।
9.4 Digital
Signature: Concept and Applications
डिजिटल
हस्ताक्षर भनेको क्रिप्टोग्राफिक प्रविधि हो, जसले पठाउने व्यक्तिको पहिचान प्रमाणीकरण
गर्न र डिजिटल कागजात, सन्देश, वा
कारोबारको अखण्डता सुनिश्चित गर्न मद्दत गर्छ। यो हस्तलिखित हस्ताक्षरको डिजिटल
रूप हो तर थप सुरक्षित हुन्छ।
डिजिटल
हस्ताक्षर पब्लिक की क्रिप्टोग्राफी (PKC) मा आधारित हुन्छ, विशेष गरी RSA,
DSA, वा ECDSA जस्ता एल्गोरिदमहरू प्रयोग
गरिन्छ। यसले निम्न कुरा सुनिश्चित गर्छः
·
प्रमाणीकरण (Authentication) – पठाउने व्यक्तिको पहिचान प्रमाणित गर्छ।
·
अखण्डता (Integrity) – सन्देश वा कागजात परिवर्तन नभएको
सुनिश्चित गर्छ।
·
नकार गर्न नसकिने (Non-Repudiation) – पठाउने व्यक्तिले आफ्नो हस्ताक्षर
अस्वीकार गर्न सक्दैन।
डिजिटल हस्ताक्षर कसरी काम गर्छ?
डिजिटल
हस्ताक्षर एक जोडी क्रिप्टोग्राफिक कीहरू प्रयोग गरेर काम गर्छः
·
प्राइभेट की (Private Key) – पठाउने व्यक्तिले हस्ताक्षर गर्न प्रयोग
गर्छ।
·
पब्लिक की (Public Key) – प्राप्तकर्ताले हस्ताक्षरको प्रमाणीकरण
गर्न प्रयोग गर्छ।
डिजिटल हस्ताक्षर गर्ने प्रक्रिया:
1 पठाउने
व्यक्तिले कागजातलाई SHA-256,
SHA-512 जस्ता
ह्यासिङ एल्गोरिदम प्रयोग गरेर ह्यास गर्छ।
2 त्यसपछि, पठाउने
व्यक्तिले प्राइभेट की प्रयोग गरी ह्यासलाई इन्क्रिप्ट गर्छ, जसले डिजिटल हस्ताक्षर उत्पन्न गर्छ।
3 कागजात र डिजिटल हस्ताक्षर
प्राप्तकर्तालाई पठाइन्छ।
4 प्राप्तकर्ताले पब्लिक की प्रयोग गरी हस्ताक्षर डिक्रिप्ट
गर्छ र ह्यास पुनः प्राप्त गर्छ।
5 प्राप्तकर्ताले प्राप्त भएको कागजातलाई फेरि ह्यास गर्छ र
डिक्रिप्ट गरिएको ह्याससँग तुलना गर्छ।
6 यदि दुवै ह्यास मिल्छ भने, कागजात सुरक्षित
छ; नभए, कागजात परिवर्तन गरिएको हुन्छ।
डिजिटल हस्ताक्षरको प्रयोग क्षेत्रहरू
1. सुरक्षित इमेल
संचार (Secure Email
Communication):
- इमेल
सेवाहरू (S/MIME,
PGP) मा प्रयोग गरी प्रेषकको पहिचान प्रमाणीकरण गर्छ।
2. ई-सरकार र
कानूनी कागजातहरू (E-Governance
& Legal Documents):
- डिजिटल
ठेक्का (E-Contracts),
ई-निविदा (E-Tenders), र कानूनी
सम्झौताहरूमा प्रामाणिकता सुनिश्चित गर्छ।
3. वित्तीय कारोबार
(Financial
Transactions):
- अनलाइन
बैंकिङ, डिजिटल भुक्तानी, र क्रिप्टोकरेन्सी कारोबार
सुरक्षित बनाउँछ।
4. सफ्टवेयर र कोड
हस्ताक्षर (Software &
Code Signing):
- सफ्टवेयर
प्रमाणिकता जाँच गर्न र एप्लिकेसनहरूमा छेडछाड रोक्न प्रयोग गरिन्छ।
5. स्वास्थ्य सेवा
र मेडिकल रेकर्ड (Healthcare
& Medical Records):
- बिरामीको
डाटा सुरक्षित राख्न र मेडिकल रेकर्डको अखण्डता सुनिश्चित गर्न मद्दत गर्छ।
उदाहरण: भारतमा आधार-आधारित
ई-साइन, DocuSign,
र Adobe Sign जस्ता सेवाहरू कानूनी
रूपमा बाध्यकारी डिजिटल कागजातहरूका लागि प्रयोग गरिन्छ।