परिचय:
नेटवर्क, डिवाइस और आँकड़ों को अनधिकृत एक्सेस या अवैध उपयोग से बचाने की कला साइबर सुरक्षा कहलाती है। यह जानकारी की गोपनीयता, अखंडता और उपलब्धता सुनिश्चित करने का भी एक तरीका है। प्रोग्राम सुरक्षा साइबर सुरक्षा का एक आवश्यक हिस्सा है क्योंकि यह एप्लिकेशन के भीतर डेटा की रक्षा करती है और अनधिकृत उपयोगकर्ताओं को उस तक पहुँचने से रोकती है।
एप्लिकेशन सुरक्षा एप्लिकेशन और प्रोटोकॉल को सुरक्षित रखने के लिए एप्लिकेशन की कार्यक्षमता और उपयोग विधियों, एप्लिकेशन में डेटा प्रवाह, बिज़नेस लॉजिक, एक्सेस प्रतिबंध और प्राधिकरण समस्याओं की पहचान पर केंद्रित है। एप्लिकेशन के डेवलपमेंट चरण के दौरान स्थापित सुरक्षित एप्लिकेशन डेवलपमेंट दिशानिर्देशों का पालन एप्लिकेशन सुरक्षा का महत्वपूर्ण हिस्सा है। उदाहरण के लिए, यह सुनिश्चित करने के लिए कि अनुकूलित बिज़नेस एप्लिकेशन मैलवेयर के संपर्क में न आएँ, डेवलपरों को सुरक्षित एप्लिकेशन डेवलपमेंट पद्धतियाँ अपनानी चाहिए।
एप्लिकेशन सुरक्षा क्या है?
एप्लिकेशन अनुपालन एप्लिकेशन में सुरक्षा प्रोटोकॉल बनाने, मिलाने या एकीकृत करने और उनका आकलन करने की प्रथा है, ताकि उन्हें अवैध एक्सेस और परिवर्तन जैसे खतरों से सुरक्षित रखा जा सके।
एप्लिकेशन सुरक्षा क्यों महत्वपूर्ण है?
चूँकि आजकल एप्लिकेशन आमतौर पर कई नेटवर्क पर पहुँच योग्य और क्लाउड से जुड़े होते हैं, वे सुरक्षा खतरों और समझौतों के प्रति कहीं अधिक संवेदनशील होते हैं। कमज़ोरियों को खोजना और ठीक करना सुरक्षा जोखिम घटाकर किसी संगठन की समग्र हमले की सतह को कम करने में मदद करता है।
सॉफ़्टवेयर में कमज़ोरियाँ आम हैं। गैर-महत्वपूर्ण कमज़ोरियों को भी हमले की श्रृंखलाओं में उपयोग के लिए जोड़ा जा सकता है, भले ही वे सभी गंभीर न हों। सुरक्षा खामियों और कमज़ोरियों की संख्या घटाना हमलों के कुल प्रभाव को कम करने में मदद करता है।
प्रतिक्रियात्मक सुरक्षा समाधानों पर निर्भर रहने के बजाय एप्लिकेशन सुरक्षा के प्रति सक्रिय दृष्टिकोण अपनाना बेहतर है। सक्रिय रक्षक हमलों का पहले ही पता लगाकर उन्हें निष्क्रिय कर सकते हैं, कभी-कभी कोई नुकसान होने से पहले ही।
जैसे-जैसे कंपनियाँ अपना अधिक डेटा, कोड और संचालन क्लाउड पर ले जाती हैं, उन परिसंपत्तियों पर हमलों की संख्या का बढ़ना तय है। एप्लिकेशन सुरक्षा तंत्र लागू करके ऐसे हमलों को कम किया जा सकता है।[1]
एप्लिकेशन सुरक्षा कैसे काम करती है?
सॉफ़्टवेयर डेवलपमेंट चक्र और एप्लिकेशन के पूरे जीवनकाल में सुरक्षा प्रक्रियाओं में सुधार सुरक्षा उपायों के उदाहरण हैं। सभी ऐप सुरक्षा कार्यों को दुर्भावनापूर्ण तत्वों को सिस्टम, एप्लिकेशन या डेटा तक अनधिकृत एक्सेस पाने से रोकना चाहिए। एप्लिकेशन सुरक्षा का अंतिम लक्ष्य हमलावरों को संवेदनशील या मालिकाना डेटा तक पहुँचने, उसे बदलने या हटाने से रोकना है।
एप्लिकेशन सुरक्षा सुनिश्चित करने के लिए उठाया गया कोई भी कदम प्रतिरोधक उपाय या सुरक्षा नियंत्रण कहलाता है। नेशनल इंस्टीट्यूट ऑफ़ स्टैंडर्ड्स एंड टेक्नोलॉजी (NIST) के अनुसार, "किसी सूचना प्रणाली या संगठन के लिए अनुशंसित सुरक्षा या प्रतिरोधक उपाय, ताकि उसके साक्ष्य की गोपनीयता, विश्वसनीयता और उपलब्धता बनी रहे और स्थापित सुरक्षा मानकों का एक समूह पूरा हो।"
एप्लिकेशन फ़ायरवॉल एक प्रकार का सॉफ़्टवेयर प्रतिरोधक उपाय है। इंस्टॉल किए गए एप्लिकेशन के आधार पर, फ़ायरवॉल तय करते हैं कि फ़ाइलें कैसे चलाई जाएँ और डेटा कैसे प्रबंधित हो। सबसे आम हार्डवेयर प्रतिरोधक उपाय राउटर हैं। वे किसी अकेले कंप्यूटर के इंटरनेट प्रोटोकॉल (IP) पते को इंटरनेट पर तुरंत दिखाई देने से रोकते हैं।
निम्नलिखित कुछ और प्रतिरोधक उपाय हैं:
- मानक अवरोध
- एन्क्रिप्शन और डिक्रिप्शन के लिए प्रोग्राम
- एंटी-वायरस सॉफ़्टवेयर
- स्पाइवेयर के लिए डिटेक्शन और क्लीनअप एप्लिकेशन
- बायोमेट्रिक्स का उपयोग करने वाली प्रमाणीकरण प्रणालियाँ
एप्लिकेशन सुरक्षा के प्रकार क्या हैं?
एन्क्रिप्शन, प्रमाणीकरण, लॉगिंग, प्राधिकरण और एप्लिकेशन सुरक्षा परीक्षण, ये सभी एप्लिकेशन सुरक्षा संरचनाओं के उदाहरण हैं। डिज़ाइनर ऐप्स में सुरक्षा दोषों को कम करने के लिए कोड का भी उपयोग कर सकते हैं।
एन्क्रिप्शन: अपने संवेदनशील डेटा को अनधिकृत व्यक्तियों से सुरक्षित रखने के लिए। डेटा को अनधिकृत उपयोग या आपराधिक उपयोग से सुरक्षित रखने हेतु एन्क्रिप्ट किया जाता है।
प्रमाणीकरण: यह उन उपकरणों का उल्लेख करता है जिन्हें सॉफ़्टवेयर डेवलपर प्रोग्राम में यह सुनिश्चित करने के लिए अपनाते हैं कि केवल वैध ऑपरेटर ही उस तक पहुँच सकें। सत्यापन जाँचता है कि ऑपरेटर वही है जो वह होने का दावा करता है। यह किसी एप्लिकेशन में लॉग इन करते समय उपयोगकर्ता से ऑपरेटर नाम और पासवर्ड माँगकर किया जा सकता है। प्रमाणीकरण में ऐसे पहलू जुड़ते हैं जैसे कुछ जो आप जानते हैं (पासवर्ड), जो आप हैं (आपकी पहचान) (अंगूठे का निशान या चेहरे की पहचान) और कुछ जो आपके पास है (मोबाइल डिवाइस)।
लॉगिंग: यदि किसी एप्लिकेशन की सुरक्षा भंग हो जाती है, तो लॉगिंग यह नियंत्रित करने में मदद कर सकती है कि किसने डेटा तक पहुँच बढ़ाई और कैसे। प्रोग्राम के किन हिस्सों को किसने एक्सेस किया इसका रास्ता एप्लिकेशन लॉग फ़ाइलों में रखा जाता है।
प्राधिकरण: ऑपरेटर के सत्यापित हो जाने के बाद, उसे प्रोग्राम में प्रवेश करने और संचालित करने की अनुमति दी जा सकती है। सिस्टम उपयोगकर्ता की पहचान को अनुमोदित उपयोगकर्ताओं की सूची से मिलाकर सुनिश्चित कर सकता है कि कर्मचारी के पास प्रोग्राम तक पहुँचने का अधिकार है। प्राधिकरण से पहले प्रमाणीकरण होना चाहिए ताकि प्रोग्राम अभी-अभी सत्यापित यूज़रनेम और पासवर्ड को अनुमोदित उपयोगकर्ता सूची से मिला सके।
एप्लिकेशन सुरक्षा परीक्षण: परीक्षण यह सुनिश्चित करने का महत्वपूर्ण चरण है कि ये सभी सुरक्षा नीतियाँ लागू हैं और प्रभावी ढंग से काम कर रही हैं।[2]
एप्लिकेशन सुरक्षा नियंत्रण क्या हैं?
ऐप सुरक्षा नियंत्रण उपयोगकर्ता के कंपाइल्ड कोड की सुरक्षा सुधारने और हमलावरों के प्रति उसका जोखिम घटाने की तकनीकें हैं। इनमें से कई विकल्प इस बात से जुड़े हैं कि प्रोग्राम असामान्य इनपुट पर कैसे प्रतिक्रिया करता है जिनका हैकर फ़ायदा उठाने की कोशिश कर सकता है। प्रोग्रामर किसी ऐप के लिए ऐसा कोड बना सकता है जो अप्रत्याशित इनपुट के संचालन पर उसे अधिक नियंत्रण देता है। फ़ज़िंग एक प्रकार का एप्लिकेशन सुरक्षा परीक्षण है जिसमें निर्माता अप्रत्याशित मानों या इनपुट के परिणामों की जाँच करते हैं कि कौन-से प्रोग्राम को अप्रत्याशित ढंग से व्यवहार करने पर मजबूर करते हैं, जिससे संभवतः कोई सुरक्षा खामी उजागर होती है।
एप्लिकेशन सुरक्षा के क्या लाभ हैं?
- दोनों संभावित खतरों का जोखिम घटाता है।
- ब्रांड की छवि को बढ़ावा देता है और दिखाता है कि वह नकारात्मक खबरों से दूर है।
- उपभोक्ता डेटा सुरक्षित रहता है और उपभोक्ता वफ़ादारी बढ़ती है।
- संवेदनशील जानकारी को लीक होने से बचाता है।
- प्रमुख निवेशकों और ऋणदाताओं का विश्वास बढ़ाता है।
- Loshin, P. एप्लिकेशन सुरक्षा। यहाँ उपलब्ध: https://searchsoftwarequality.techtarget.com/definition/application-security।
- एप्लिकेशन सुरक्षा क्या है?; यहाँ उपलब्ध: https://www.vmware.com/topics/glossary/content/application-security.html।
सामान्य एप्लिकेशन कमज़ोरियाँ
- इंजेक्शन (SQL, कमांड): अविश्वसनीय इनपुट क्वेरी का अर्थ बदल देता है।
- टूटा हुआ प्रमाणीकरण: कमज़ोर पासवर्ड या सेशन हैंडलिंग।
- टूटा हुआ एक्सेस कंट्रोल: उपयोगकर्ता ऐसे डेटा तक पहुँच जाते हैं जो उनका नहीं है।
- क्रॉस-साइट स्क्रिप्टिंग (XSS): दुर्भावनापूर्ण स्क्रिप्ट किसी विज़िटर के ब्राउज़र में चलती हैं।
- सुरक्षा मिसकॉन्फ़िगरेशन और पुराने घटक।
OWASP Top 10 सबसे गंभीर वेब एप्लिकेशन जोखिमों की मानक सूची है।
सर्वोत्तम प्रथाएँ
- इनपुट को सत्यापित करें और पैरामीटराइज़्ड क्वेरी का उपयोग करें।
- पासवर्ड को सही ढंग से हैश करें और मल्टी-फ़ैक्टर प्रमाणीकरण दें।
- सर्वर पर न्यूनतम-विशेषाधिकार एक्सेस कंट्रोल लागू करें, केवल इंटरफ़ेस पर नहीं।
- लाइब्रेरी और फ़्रेमवर्क अपडेट रखें।
- परीक्षण करें: कोड रिव्यू, स्वचालित स्कैनिंग और आवधिक पेनेट्रेशन टेस्ट।
- लॉग करें और निगरानी रखें।
हम पहली लाइन के कोड से ही इन प्रथाओं के साथ सुरक्षित वेब और मोबाइल एप्लिकेशन बनाते हैं।
More about application security
Want to go further with application security? These Netstech guides and services are a good next step:
