एक साइबर घटना शायद ही कभी 'आप हैक हो गए हैं' कहने वाले संदेश से शुरू होती है। आमतौर पर, पहला संकेत किसी कॉर्पोरेट खाते में संदिग्ध लॉगिन, एक अप्रत्याशित ईमेल फॉरवर्डिंग नियम, एक अक्षम EDR एजेंट, एक अनुपलब्ध सर्वर, या किसी कर्मचारी की असामान्य मल्टी-फैक्टर ऑथेंटिकेशन अनुरोध के बारे में शिकायत होता है।

इस स्तर पर, संगठन को अभी तक हमले के पैमाने का पता नहीं चलता है। लेकिन शुरुआती निर्णय ही यह निर्धारित करते हैं कि यह घटना एक स्थानीय समस्या बनी रहेगी या कई हफ्तों तक चलने वाले संकट में बदल जाएगी, जिसके परिणामस्वरूप व्यावसायिक बाधा, डेटा हानि और प्रतिष्ठा को नुकसान होगा।

इन निर्णयों को लेने के लिए उपलब्ध समय लगातार सीमित होता जा रहा है। यूनिट 42 द्वारा जांचे गए सबसे तेज़ मामलों में, हमलावरों को शुरुआती पहुंच से लेकर पुष्टि किए गए डेटा चोरी तक पहुंचने में 72 मिनट लगे। यह एक साल पहले की तुलना में लगभग चार गुना तेज़ है। यह सभी हमलों के लिए औसत समय को दर्शाता नहीं है, बल्कि सबसे तेज मामलों को दर्शाता है; हालाँकि, यह आंकड़ा स्पष्ट रूप से दर्शाता है कि रक्षकों के लिए अवसर की खिड़की कितनी संकीर्ण हो गई है। हमने अपनी जांच में देखा है कि AWS इंफ्रास्ट्रक्चर पर हमले 10 मिनट से भी कम समय में हो रहे हैं। कुंजी प्राप्त करने पर, हमलावर ने तुरंत डेटा निकालना शुरू कर दिया। कंपनी के बकेट से डेटा निकालना शुरू करने में उन्हें सिर्फ 6 मिनट लगे।

2026 में सही प्रतिक्रिया ऑन-ड्यूटी टीम द्वारा किसी वीरतापूर्ण भागदौड़ से नहीं होगी। यह एक पूर्व-निर्धारित और प्रबंधित प्रक्रिया है जो हमलावर की कार्रवाइयों को तेजी से रोकने, सबूतों को संरक्षित करने, महत्वपूर्ण संचालन को बनाए रखने, और बिना किसी और समझौते के सिस्टम को सेवा में बहाल करने में सक्षम बनाती है।

2026 तक क्या बदल गया है

हमले अब एकल सिस्टम तक सीमित नहीं रहते

एक आधुनिक हमलावर एक साथ ऑन-प्रिमाइसेस इंफ्रास्ट्रक्चर, एक क्लाउड खाते, कॉर्पोरेट ईमेल, SaaS एप्लिकेशन और एक ठेकेदार के एक्सेस क्रेडेंशियल का फायदा उठा सकता है।

संक्रमित लैपटॉप को अलग करने के बाद भी, हमलावर के पास अभी भी हो सकते हैं:

  • एक सक्रिय क्लाउड सत्र;
  • एक रिफ्रेश टोकन;
  • एक OAuth प्राधिकरण;
  • एक एपीआई कुंजी;
  • एक समझौता किया गया सेवा खाता;
  • प्रत्यायित प्रशासनिक पहुँच;
  • एक वैध क्लाउड सेवा के माध्यम से एक बैकचैनल।

यूनिट 42 के अनुसार, अध्ययन किए गए 87 प्रतिशत घटनाओं में, यह स्थापित करने के लिए कि क्या हुआ था, कम से कम दो अलग-अलग स्रोतों से, और सबसे जटिल मामलों में, दस से साक्ष्यों का क्रॉस-रेफरेंस करना आवश्यक था। इसका मतलब है कि जांच अब एकल कंप्यूटर या एकल इवेंट लॉग तक सीमित नहीं रह सकती: पहचान, एंडपॉइंट, नेटवर्क, क्लाउड और SaaS डेटा का एक साथ विश्लेषण करना आवश्यक है। (यूनिट 42)

'दुर्भावनापूर्ण फ़ाइल खोजें, उसे हटाएँ और कंप्यूटर को फिर से स्थापित करें' मॉडल अब पर्याप्त नियंत्रण प्रदान नहीं करता है।

पहचान और कमजोरियाँ समान रूप से महत्वपूर्ण हैं

किसी आधुनिक घटना के लिए कोई एकल, सार्वभौमिक हमला वेक्टर नहीं है।

यूनिट 42 के अनुसार, इसकी जांचों में 65 प्रतिशत प्रारंभिक घुसपैठ पहचान-आधारित तकनीकों से जुड़ी थीं: चोरी किए गए क्रेडेंशियल, एमएफए में हेरफेर, सत्र हाईजैकिंग, एक सहायता कर्मचारी का भेष धारण करना, या वैध रिमोट एक्सेस का दुरुपयोग। (यूनिट 42)

साथ ही, वेरिज़ोन DBIR 2026 अपने नमूने में सॉफ़्टवेयर की कमजोरियों के शोषण को प्रमुख प्रारंभिक माध्यम के रूप में पहचानता है: यह 31% उल्लंघनों में शामिल था और, पहली बार, चोरी हुए क्रेडेंशियल्स से आगे निकल गया।

व्यावहारिक निष्कर्ष: पहचान सुरक्षा और भेद्यता प्रबंधन के बीच कोई विकल्प नहीं है। एक परिपक्व प्रतिक्रिया कार्यक्रम को दोनों क्षेत्रों को कवर करना चाहिए। टीम को एक साथ टोकन और सत्र रद्द करने, विशेषाधिकार प्राप्त पहुंच का विश्लेषण करने, कमजोर बाहरी सेवाओं को बंद करने और यह निर्धारित करने में सक्षम होना चाहिए कि हमलावर ने ठीक कौन सा रास्ता इस्तेमाल किया।

आपूर्तिकर्ता हमले की सतह का हिस्सा बन गए हैं

वेरिज़ोन DBIR 2026 के अनुसार, 48 प्रतिशत डेटा उल्लंघनों में तीसरे पक्ष शामिल थे — जो पिछले वर्ष की तुलना में 60 प्रतिशत अधिक है। एक वैध पहुँच वाला सॉफ़्टवेयर विक्रेता, एमएसपी, एकीकृतकर्ता, क्लाउड सेवा प्रदाता या ठेकेदार प्रवेश बिंदु के रूप में कार्य कर सकता है।

एक संगठन को पहले से समझना चाहिए:

  • कौन सप्लायर के लॉग प्रदान कर सकता है;
  • उनकी पहुँच कितनी जल्दी रद्द की जा सकती है;
  • टेलिमेट्री कितनी देर तक रखी जाती है;
  • अनुबंध के तहत किन कार्यों की अनुमति है;
  • संचार के लिए कौन जिम्मेदार है;
  • तीसरे पक्ष के बुनियादी ढांचे के भीतर साक्ष्य को कैसे संरक्षित किया जाए।

यदि ये प्रश्न केवल हमले के दौरान पहली बार ही सामने आते हैं, तो टीम पहले ही महत्वपूर्ण समय खो चुकी होती है।

रैनसमवेयर को अब एन्क्रिप्शन की आवश्यकता नहीं है

इन्फ्रास्ट्रक्चर एन्क्रिप्शन एक गंभीर खतरा बना हुआ है, लेकिन यह अब रैनसमवेयर हमलों का अनिवार्य हिस्सा नहीं रहा। हमलावर डेटा चुरा सकते हैं और तुरंत प्रकाशन या बिक्री की धमकियाँ देने पर आ सकते हैं, बिना उन बड़े पैमाने पर एन्क्रिप्शन घटनाओं को ट्रिगर किए जिन्हें सुरक्षा उपाय पारंपरिक रूप से पहचानने के लिए डिज़ाइन किए गए हैं।

वेरिज़ॉन DBIR 2026 में जांचे गए लगभग आधे डेटा उल्लंघनों में रैनसमवेयर मौजूद था। हालाँकि, एन्क्रिप्टेड सर्वरों की अनुपस्थिति का यह मतलब नहीं है कि कोई घटना महत्वहीन है: ईमेल, सीआरएम, फ़ाइल भंडारण या क्लाउड वातावरण तक अनधिकृत पहुँच समान वित्तीय और प्रतिष्ठा संबंधी परिणामों को जन्म दे सकती है।

एआई दोनों पक्षों को गति देता है

एआई हमलावरों को अटैक सतह का अधिक तेज़ी से विश्लेषण करने, सोशल इंजीनियरिंग की रणनीतियों को अनुकूलित करने, कमजोरियों को खोजने और दुर्भावनापूर्ण कोड बनाने में मदद करता है। वेरिज़ॉन DBIR 2026 उन 15 हमले की तकनीकों पर प्रकाश डालता है जिन्हें जेनरेटिव एआई द्वारा पहले से ही बढ़ाया जा रहा है।

इसके बदले में, रक्षक घटनाओं को सहसंबंधित करने, समयरेखा बनाने, अलर्ट को समूहबद्ध करने और थ्रेट हंटिंग के लिए क्वेरी तैयार करने के लिए मॉडल का उपयोग करते हैं।

हालाँकि, स्वचालन एक सत्यापनीय प्रक्रिया का विकल्प नहीं है। किसी संकट के दौरान एक जल्दबाज़ी में और त्रुटिपूर्ण निष्कर्ष उतना ही खतरनाक साबित हो सकता है जितना कि एक धीमा प्रतिक्रिया।

एक नया ढांचा: प्रतिक्रिया किसी घटना से पहले शुरू होती है

अप्रैल 2025 में, NIST ने SP 800-61 संशोधन 3 प्रकाशित किया, जिसने 2012 के मार्गदर्शन को प्रतिस्थापित कर दिया।

मुख्य बदलाव यह है कि घटना प्रतिक्रिया को अब एक अलग, रैखिक प्रक्रिया के रूप में नहीं देखा जाता है जो किसी अलर्ट के बाद शुरू होती है। इसे समग्र NIST CSF 2.0 साइबर जोखिम प्रबंधन मॉडल में एकीकृत किया गया है और इसके सभी छह कार्यों से जोड़ा गया है:

शासित करें, पहचान करें, सुरक्षित करें, पता लगाएँ, प्रतिक्रिया करें और पुनर्प्राप्त करें।

भूमिका प्रबंधन, संपत्ति सूची, विभाजन, बैकअप, आपूर्तिकर्ता अनुबंध और लॉगिंग केवल सहायक उपाय नहीं हैं, बल्कि ये घटना की तैयारी का हिस्सा हैं। (NIST कंप्यूटर सुरक्षा संसाधन केंद्र)

11 जून 2026 को, NIST ने CSF 2.0 पर आधारित एक अपडेटेड रैनसमवेयर जोखिम प्रबंधन प्रोफ़ाइल — IR 8374 संशोधन 1 — भी प्रकाशित किया। यह दस्तावेज़ तैयारी, सुरक्षा, प्रतिक्रिया और रिकवरी को एक एकल जोखिम प्रबंधन चक्र में एकीकृत करता है। (एनआईएसटी कंप्यूटर सुरक्षा संसाधन केंद्र)

मुख्य निष्कर्ष सरल है:

एक प्रभावी प्रतिक्रिया पहले अलर्ट से बहुत पहले शुरू होती है।

किसी घटना के होने से पहले, एक संगठन को भूमिकाओं और जिम्मेदारियों को परिभाषित करना चाहिए, एक ऑफ-नेटवर्क संचार चैनल स्थापित करना चाहिए, पर्याप्त लॉग प्रतिधारण सुनिश्चित करना चाहिए, बैकअप की सुरक्षा करनी चाहिए और रिकवरी प्रक्रियाओं का परीक्षण करना चाहिए। रैनसमवेयर, कॉर्पोरेट ईमेल समझौता, क्लाउड खाते पर कब्ज़ा, डेटा चोरी और ठेकेदारों के माध्यम से हमलों के लिए भी अलग-अलग प्लेबुक की आवश्यकता होती है।

ड्रिल (अभ्यास) विशेष रूप से महत्वपूर्ण हैं। एक ऐसी योजना जो केवल कागज पर मौजूद है और जिसे समय के दबाव में कभी परखा नहीं गया है, वह रक्षा उपकरण होने के बजाय महज एक अनुमान ही बनी रहती है।

पहले 60 मिनट: सिस्टम को अंधाधुंध न करें

किसी घटना की शुरुआत में, टीम के पास लगभग हमेशा अपूर्ण जानकारी होती है।

इस चरण में, न केवल हमलावर की कार्रवाइयाँ खतरनाक होती हैं, बल्कि रक्षकों के आवेगी निर्णय भी होते हैं: सर्वरों को बड़े पैमाने पर बंद करना, समय से पहले सिस्टम को मिटाना, अव्यवस्थित पासवर्ड परिवर्तन या बिना परीक्षण किए गए बैकअप से तत्काल बहाली।

1. एक घटना नेता नियुक्त करें

गंभीर जांच अव्यवस्थित फोन कॉल, निजी संदेश और दर्जनों समानांतर चैट थ्रेड्स के माध्यम से नहीं की जा सकती।

एक एकल 'प्रतिक्रिया पुल' और एक नामित घटना कमांडर आवश्यक हैं।

उन्हें व्यक्तिगत रूप से फोरेंसिक संचालन करने की आवश्यकता नहीं है। उनकी भूमिका प्रक्रिया का प्रबंधन करना है:

  • एक ही योजना बनाए रखना;
  • कार्य मालिकों को नियुक्त करना;
  • प्राथमिकता के संघर्षों को सुलझाना;
  • निर्णयों का दस्तावेजीकरण;
  • तकनीकी और प्रबंधकीय कार्यप्रवाहों को समन्वयित करना;
  • पुष्टि किए गए स्थिति को नियमित रूप से अपडेट करें;
  • महत्वपूर्ण कार्रवाइयों के समन्वय की निगरानी करें।

सबसे तकनीकी रूप से कुशल विशेषज्ञ को पूरे घटना प्रतिक्रिया का नेतृत्व करना जरूरी नहीं है। विश्लेषक हमले की जांच करते हैं, जबकि घटना कमांडर यह सुनिश्चित करता है कि जांच असंगठित कार्रवाइयों की एक श्रृंखला में न बदल जाए।

2. एक विश्वसनीय संचार चैनल पर स्विच करें

यदि कॉर्पोरेट ईमेल, प्रमाणीकरण प्रणाली या कोई मैसेजिंग सेवा संभावित रूप से समझौता की गई हो, तो इन चैनलों के माध्यम से जांच पर चर्चा नहीं की जानी चाहिए।

पूर्व-व्यवस्थित आउट-ऑफ-बैंड संचार चैनल का उपयोग करें। संभावित रूप से समझौता किए गए सिस्टम के माध्यम से निम्नलिखित प्रेषित नहीं किया जाना चाहिए:

  • अलगाव योजनाएँ;
  • जांच परिकल्पनाएँ;
  • नए पासवर्ड;
  • कुंजी और टोकन;
  • एकत्र किए गए सबूत;
  • हमलावर के साथ संचार की जानकारी;
  • आंतरिक प्रबंधन निर्णय।

एक हमलावर जो टीम की कार्रवाइयों को देख सकता है, वह रणनीति बदलने, अपने निशान मिटाने और पहले से ही वैकल्पिक पहुँच चैनल तैयार करने में सक्षम होता है।

3. घटना की पुष्टि करें और उसके प्रारंभिक दायरे का निर्धारण करें

प्रतिक्रिया शुरू करने से पहले पूरी तस्वीर का इंतजार करने की कोई आवश्यकता नहीं है।

प्रारंभिक मूल्यांकन को कम से कम पाँच प्रश्नों का उत्तर देना चाहिए:

  1. वास्तव में क्या पता चला है?
  2. कौन से उपयोगकर्ता, डिवाइस और सेवाएँ प्रभावित हो सकती हैं?
  3. क्या हमलावर अभी भी सक्रिय है?
  4. क्या किसी महत्वपूर्ण प्रक्रिया के बाधित होने का जोखिम है?
  5. क्या डेटा चोरी, बैकअप नष्ट होने या विशेषाधिकार प्राप्त पहुँच के समझौते के कोई संकेत हैं?

जांच आगे बढ़ने के साथ वर्गीकरण बदल सकता है। महत्वपूर्ण यह है कि एक कार्यशील परिकल्पना तैयार की जाए और यथाशीघ्र प्राथमिकताएँ निर्धारित की जाएँ।

पुष्ट तथ्यों, संभावित निष्कर्षों, अप्रमाणित परिकल्पनाओं और अज्ञात परिस्थितियों के बीच तुरंत अंतर करना सहायक होता है। इससे यह जोखिम कम हो जाता है कि किसी एक विश्लेषक की धारणा किसी विनाशकारी प्रबंधन निर्णय का आधार बने।

4. सबूतों को अलग करें, लेकिन नष्ट न करें

आइसोलेशन और शटडाउन एक ही बात नहीं हैं।

प्रभावित होस्ट को आमतौर पर EDR, NAC, VLAN, एक स्विच या क्लाउड-आधारित नीति का उपयोग करके नेटवर्क से डिस्कनेक्ट कर देना चाहिए। हालांकि, जब तक कि यह बिल्कुल आवश्यक न हो, आपको तुरंत नहीं करना चाहिए:

  • इसे बंद करें या रीबूट करें;
  • फ़ाइलें हटाएँ;
  • एंटीवायरस स्कैन चलाएँ;
  • ऑपरेटिंग सिस्टम को फिर से इंस्टॉल करें;
  • एक सतही जाँच के बाद डिवाइस को फिर से सेवा में लाएँ।

रैम में एन्क्रिप्शन कुंजी, सक्रिय नेटवर्क कनेक्शन, एम्बेडेड प्रक्रियाएं, एक्सेस टोकन, अनलिखी कमांड और हमलावर के उपकरणों के निशान हो सकते हैं।

अपवाद तब किए जा सकते हैं जब सिस्टम को चालू रखना लोगों, महत्वपूर्ण बुनियादी ढांचे या व्यवसाय के लिए एक अस्वीकार्य खतरा पैदा करता है। हालांकि, ऐसा निर्णय पूरी जानकारी के साथ लिया जाना चाहिए और घटना लॉग में दर्ज किया जाना चाहिए।

5. एक एकल समयरेखा स्थापित करें

प्रत्येक महत्वपूर्ण घटना को दर्ज करें:

  • पहले अलर्ट का समय;
  • खोज का स्रोत;
  • प्रणाली की स्थिति में परिवर्तन;
  • प्रशासक कमांड;
  • डिवाइस पृथक्करण;
  • खाता लॉकआउट;
  • लॉग निर्यात;
  • स्नैपशॉट लेना;
  • लिए गए निर्णय;
  • जिम्मेदार लोग और जिन्होंने इन कार्रवाइयों को मंजूरी दी।

एक ही समय क्षेत्र का उपयोग करें, वरीयता से UTC। मूल लॉग्स को कार्यशील प्रतियों से अलग संग्रहीत करें, एकत्रित फ़ाइलों के लिए चेकसम की गणना करें, और यह रिकॉर्ड करें कि किसने साक्ष्यों पर काम किया और कब।

समयरेखा के बिना, एक जांच जल्दी ही विरोधाभासी यादों के संग्रह में बदल जाती है।

6. अपने बैकअप की सुरक्षा करें

रैनसमवेयर घटना में, बैकअप सिस्टम अक्सर हमलावर के पहले लक्ष्यों में से होते हैं।

जब तक आपने निम्नलिखित स्थापित नहीं कर लिया, तब तक बड़े पैमाने पर पुनर्स्थापना शुरू न करें:

  • क्या हमलावर के पास बैकअप कंसोल तक पहुंच है;
  • क्या ऑपरेटरों के खाते समझौता किए गए हैं;
  • क्या स्नैपशॉट हटा दिए गए हैं;
  • क्या स्टोरेज नीतियों में बदलाव किया गया है;
  • जब प्रारंभिक घुसपैठ हुई माना जाता है;
  • क्या चयनित प्रति में पिनिंग तंत्र शामिल है?
  • क्या कोई पृथक या अपरिवर्तनीय प्रतियाँ संरक्षित की गई हैं।

सबसे हालिया बैकअप जॉब के लिए 'सफल' स्थिति केवल यह पुष्टि करती है कि एक प्रति बनाई गई थी। यह पुष्टि नहीं करती कि वह स्वच्छ है और सुरक्षित पुनर्प्राप्ति के लिए उपयुक्त है।

किसी सक्रिय घटना के दौरान, PWN-ALL DFIR टीम तकनीकी समन्वय का जिम्मा संभाल सकती है: प्रारंभिक नियंत्रण, सबूतों का संरक्षण, समझौते के पैमाने का निर्धारण, और एक सुरक्षित पुनर्प्राप्ति योजना तैयार करना। कंपनी की कार्यप्रणाली रैनसमवेयर, डेटा चोरी, BEC, खाते पर कब्ज़ा और क्लाउड वातावरण के समझौते से निपटती है।

प्रतिक्रिया को समानांतर रूप से आगे बढ़ना चाहिए

एक आम गलती यह है कि पहले तकनीकी जांच पूरी कर ली जाए और फिर ही वरिष्ठ प्रबंधन, कानूनी टीमों, बीमाकर्ता और व्यवसाय मालिकों को शामिल किया जाए।

एक वास्तविक घटना में, इन धाराओं को एक साथ चलाना चाहिए।

तकनीकी ट्रैक

टीम को हमलावर का पता लगाना चाहिए, संभावित प्रारंभिक वेक्टर स्थापित करना चाहिए, प्रभावित संपत्तियों और पहचानों की पहचान करनी चाहिए, स्थायी तंत्र खोजना चाहिए, संभावित डेटा निकासी का आकलन करना चाहिए और सुरक्षित पुनर्प्राप्ति के लिए तैयारी करनी चाहिए।

प्रबंधन कार्यप्रवाह

प्रबंधन और प्रक्रिया मालिकों को व्यावसायिक प्रभाव का आकलन करना चाहिए, पुनर्प्राप्ति प्राथमिकताएँ निर्धारित करनी चाहिए, डाउनटाइम की स्वीकार्य अवधि तय करनी चाहिए, और महत्वपूर्ण प्रक्रियाओं को रोकने में सक्षम कार्यों पर सहमत होना चाहिए।

कानूनी और संचार कार्यप्रवाह

साथ ही, प्रभावित डेटा के मालिकों की पहचान करना, संविदात्मक दायित्वों की समीक्षा करना, लागू सूचना आवश्यकताओं को स्थापित करना, बीमाकर्ता से संपर्क करना और आंतरिक तथा बाह्य संचार तैयार करना आवश्यक है।

विशिष्ट आवश्यकताएँ क्षेत्र, अनुबंधों और अधिकार क्षेत्रों के आधार पर भिन्न होती हैं। इसलिए, अंतिम फोरेंसिक रिपोर्ट उपलब्ध होने तक कानूनी मूल्यांकन में देरी नहीं करनी चाहिए।

DFIR टीम का काम इस प्रक्रिया को सत्यापनीय तकनीकी तथ्य प्रदान करना है: एक समयरेखा, प्रभावित संपत्तियों की एक सूची, पुष्ट संकेतक, पहुँच के प्रारंभिक बिंदु का मूल्यांकन, और संभावित निकासी (exfiltration) पर जानकारी। अंतिम कानूनी मूल्यांकन संगठन के विशेषज्ञ सलाहकारों की जिम्मेदारी बनी रहती है।

पहचान पुनःप्राप्ति: पहचानों पर नियंत्रण पुनः प्राप्त करना

एक हाइब्रिड इंफ्रास्ट्रक्चर में, केवल एक सर्वर को पुनर्स्थापित करना पर्याप्त नहीं है। सबसे पहले, संगठन को यह सुनिश्चित करना चाहिए कि उसने अपनी पहचान प्रबंधन प्रणाली पर नियंत्रण पुनः प्राप्त कर लिया है।

निम्नलिखित की जाँच करनी चाहिए:

  • विशेषाधिकार प्राप्त और आपातकालीन खाते;
  • सक्रिय सत्र और रिफ्रेश टोकन;
  • नए या संशोधित MFA तरीके;
  • OAuth एप्लिकेशन और प्रदान की गई अनुमतियाँ;
  • सेवा प्रिंसिपल और वर्कलोड पहचान;
  • फेडरेशन नियम;
  • सशर्त पहुँच नीतियाँ;
  • प्रत्यायित प्रशासनिक पहुँच;
  • एपीआई कुंजी, प्रमाणपत्र और सीआई/सीडी सीक्रेट्स;
  • ईमेल फॉरवर्डिंग नियम;
  • पंजीकृत उपकरण;
  • ठेकेदार की पहुँच।

पासवर्ड बदलने से हमेशा कोई सक्रिय क्लाउड सत्र समाप्त नहीं होता है। इसलिए, क्रेडेंशियल रोटेशन के साथ टोकन की रद्दीकरण, सत्रों की समाप्ति और विश्वसनीय अनुप्रयोगों के सत्यापन भी होना चाहिए।

किसी समझौता किए गए प्रशासनिक वातावरण से बड़े पैमाने पर रोटेशन करना विशेष रूप से खतरनाक है।

सबसे पहले, सत्यापित उपकरणों, एक समर्पित संचार चैनल, नियंत्रित खातों और स्वतंत्र लॉगिंग के साथ एक स्वच्छ कार्य वातावरण बनाया जाता है। तभी समन्वित पहचान पुनर्प्राप्ति शुरू होती है।

क्लाउड और SaaS के लिए एक अलग प्लेबुक की आवश्यकता होती है।

एक क्लाउड घटना की जांच एक मानक वर्कस्टेशन संक्रमण की तरह नहीं की जा सकती।

कुछ सबूत केवल प्रदाता के लॉग में मौजूद होते हैं और सीमित समय के लिए ही रखे जा सकते हैं। पहले कुछ घंटों में, निम्नलिखित को संरक्षित किया जाना चाहिए:

  • लॉगिन और ऑडिट लॉग;
  • IAM परिवर्तन इतिहास;
  • कंट्रोल प्लेन लॉग्स;
  • ईमेल और सहयोग घटनाएँ;
  • नीतियों और नेटवर्क नियमों में परिवर्तन;
  • कुंजी और टोकन निर्माण विवरण;
  • डिस्क और कॉन्फ़िगरेशन स्नैपशॉट;
  • SSO या OAuth के माध्यम से जुड़े SaaS अनुप्रयोगों से डेटा।

इसके अलावा, नए प्रशासकों के निर्माण, फेडरेशन सेटिंग्स में परिवर्तनों, लंबे समय तक चलने वाले टोकन जारी करने, OAuth सहमति अनुदान, सुरक्षा नीतियों को अक्षम करने, नए क्लाउड संसाधनों की शुरुआत और डेटा निर्यात की जांच करना आवश्यक है।

प्रदाता के लिए आपातकालीन एस्केलेशन की प्रक्रिया, संबंधित पक्षों के प्राधिकरण, और टेलीमेट्री को बनाए रखने की प्रक्रिया को पहले से परिभाषित किया जाना चाहिए।

PWN-ALL, Microsoft 365, Google Workspace, क्लाउड इंफ्रास्ट्रक्चर और कॉर्पोरेट खातों में हुए समझौतों की जांच के लिए अलग-अलग प्रक्रियाओं का उपयोग करता है। यह उन कार्रवाइयों का विश्लेषण करने में सक्षम बनाता है जिनके पारंपरिक एंडपॉइंट्स पर कोई निशान नहीं छोड़ा हो सकता है।

जांच के दौरान एआई का उपयोग कैसे करें

एआई (AI) निम्नलिखित को गति दे सकता है:

  • इवेंट सामान्यीकरण;
  • अलर्ट समूहकरण;
  • समयरेखा निर्माण;
  • थ्रेट हंटिंग के लिए क्वेरी तैयार करना;
  • सूचकों का सहसंबंध;
  • असामान्यताओं की खोज;
  • लॉग्स की बड़ी मात्रा का विश्लेषण;
  • अंतरिम रिपोर्ट तैयार करना।

हालाँकि, मॉडल को स्वतंत्र रूप से ऐसे निर्णय नहीं लेने चाहिए जिनसे क्षति की उच्च संभावना हो।

एक सुरक्षित प्रक्रिया में एक नियंत्रित वातावरण का उपयोग करना, संवेदनशील डेटा के उपयोग को कम करना, क्वेरी और प्रतिक्रियाओं को लॉग करना, निष्कर्षों को एक विश्लेषक द्वारा सत्यापित करवाना, और प्रत्येक परिकल्पना को मूल टेलीमेट्री से जोड़ना शामिल है।

बिना किसी और अनुमोदन के, मॉडल को किसी महत्वपूर्ण खंड को बंद करने, उपयोगकर्ता खातों को हटाने, गोपनीय जानकारियों का सामूहिक रोटेशन करने, कलाकृतियों को नष्ट करने, ग्राहकों को सूचनाएं जारी करने, या यह अंतिम निर्णय लेने का अधिकार नहीं होना चाहिए कि कोई सूचना चोरी नहीं हुई है।

एआई जांच के लिए एक दिशा सुझा सकता है। निष्कर्ष की जिम्मेदारी मानव पर बनी रहती है।

रिकवरी का मतलब पिछली स्थिति में लौटना नहीं है

किसी घटना के दौरान उपयोग करने के लिए सबसे खतरनाक वाक्यांश:

'चलो बस बैकअप से सब कुछ बहाल कर लेते हैं।'

यदि पिछली वास्तुकला को उसकी पुरानी कमजोरियों, समझौता किए गए रहस्यों और कॉन्फ़िगरेशन त्रुटियों के साथ बहाल किया जाता है, तो कोई हमलावर वापस आ सकता है।

सुरक्षित पुनर्प्राप्ति चरणों में की जाती है:

  1. एक स्वच्छ प्रशासनिक वातावरण बनाया जाता है।
  2. पहचानों पर नियंत्रण पुनः प्राप्त किया जाता है।
  3. प्रारंभिक प्रवेश बिंदु सील कर दिया जाता है।
  4. स्थायी तंत्र हटा दिए जाते हैं।
  5. गुप्त जानकारी, कुंजियाँ, टोकन और प्रमाणपत्र घुमाए जाते हैं।
  6. बैकअप सत्यापित किए जा रहे हैं।
  7. महत्वपूर्ण निर्भरताएँ पुनर्स्थापित की जा रही हैं।
  8. प्रणालियाँ नियंत्रित समूहों में जुड़ी हुई हैं।
  9. प्रत्येक चरण में सुरक्षा और कार्यक्षमता की जाँच की जाती है।
  10. लॉन्च के बाद उन्नत निगरानी जारी रहती है।

व्यवसाय के मालिक पुष्टि करते हैं कि सेवा ठीक से काम कर रही है, जबकि सुरक्षा टीम पुष्टि करती है कि जारी समझौते के कोई ज्ञात संकेत नहीं हैं।

प्रणाली की उपलब्धता अभी घटना के अंत का संकेत नहीं देती है।

रिकवरी प्रक्रिया के हिस्से के रूप में, PWN-ALL अवशेष-मुक्त बैकअप, सिस्टमों के पुनर्निर्माण की व्यवहार्यता, और डिक्रिप्शन और कुंजी पुनर्प्राप्ति के लिए उपलब्ध विकल्पों का आकलन करता है, इससे पहले कि वह अवसंरचना को संचालन में लौटाने को प्राथमिकता दे। परिणाम रैनसमवेयर परिवार, सिस्टम की स्थिति, संरक्षित सबूतों और बैकअप की गुणवत्ता पर निर्भर करता है; इसलिए, पूर्ण डिक्रिप्शन या सभी डेटा की रिकवरी की गारंटी नहीं दी जा सकती।

यदि कोई संगठन फिरौती का भुगतान करने पर विचार कर रहा है

रैनसमवेयर के प्रति पेशेवर दृष्टिकोण इस धारणा पर आधारित नहीं होना चाहिए कि किसी भी परिस्थिति में भुगतान को खारिज कर दिया गया है।

कभी-कभी प्रबंधन इसे मानव जीवन या सुरक्षा के लिए खतरे, महत्वपूर्ण प्रक्रियाओं में व्यवधान, उपयोग योग्य बैकअप की कमी, अपरिवर्तनीय व्यावसायिक हानि के जोखिम, या लंबे समय तक डाउनटाइम की अत्यधिक लागत के कारण उचित समझता है।

आधिकारिक सिफारिशें फिरौती का भुगतान करने का समर्थन नहीं करती हैं: यह डेटा तक पहुंच की बहाली, दुर्भावनापूर्ण उपस्थिति को हटाने, या चोरी की गई जानकारी को हटाने की गारंटी नहीं देती है। इसके अलावा, जिस संगठन ने भुगतान किया है, वह फिर से निशाना बन सकता है।

इसके बावजूद, फिरौती का भुगतान करना कोई तकनीकी उपाय नहीं है, बल्कि यह एक संकट की स्थिति में लिया गया एक असाधारण प्रबंधन निर्णय है।

सबसे पहले विकल्पों का पता लगाया जाना चाहिए

निर्णय लेने से पहले, निम्नलिखित का आकलन किया जाना चाहिए:

  • बैकअप की उपयुक्तता;
  • आंशिक पुनर्प्राप्ति की संभावना;
  • महत्वपूर्ण सेवाओं का पुनर्निर्माण;
  • अस्थायी मैनुअल प्रक्रियाएं;
  • डिक्रिप्टर की उपलब्धता;
  • अन्य स्रोतों से डेटा पुनर्प्राप्त करने की क्षमता;
  • आपातकालीन मोड की स्वीकार्य अवधि।

हमलावर के इस दावे को कि भुगतान ही एकमात्र रास्ता है, एक स्वतंत्र तकनीकी मूल्यांकन के बिना स्वीकार नहीं किया जाना चाहिए।

PWN-ALL बुनियादी ढांचे और बैकअप की वास्तविक स्थिति का आकलन कर सकता है, डिक्रिप्शन या कुंजी पुनर्प्राप्ति की संभावना की जांच कर सकता है, और प्रबंधन को उपलब्ध परिदृश्यों की तुलना प्रदान कर सकता है। अंतिम निर्णय प्रभावित संगठन के अधिकृत प्रतिनिधियों पर निर्भर करता है।

वास्तविक परिणाम स्थापित किए जाने चाहिए

केवल फिरौती की राशि की तुलना पुनर्प्राप्ति की लागत से करना पर्याप्त नहीं है।

लोगों पर पड़ने वाले प्रभाव, डाउनटाइम की अवधि, अस्थायी प्रक्रियाओं की लचीलापन, ग्राहकों और भागीदारों के लिए परिणाम, डेटा प्रकाशित होने की संभावना, सुरक्षित पुनर्प्राप्ति की लागत और प्रतिष्ठा को होने वाले नुकसान को ध्यान में रखना चाहिए।

निर्णय सत्यापित तथ्यों पर आधारित होना चाहिए, न कि केवल हमलावर के वादों और समय-सीमाओं पर।

कानूनी और प्रतिबंध-संबंधी प्रतिबंधों का आकलन अलग से किया जाता है

प्रापक, कोई भी संबंधित समूह, एक मध्यस्थ या उपयोग किया गया भुगतान अवसंरचना प्रतिबंधों या अन्य प्रतिबंधों के अधीन हो सकता है।

आधिकारिक प्रतिबंध प्राधिकरण स्पष्ट रूप से उन कंपनियों को होने वाले जोखिमों की चेतावनी देते हैं जो रैनसमवेयर भुगतान की सुविधा प्रदान करती हैं। इसलिए, कोई भी कार्रवाई करने से पहले लागू प्रतिबंधों को योग्य कानूनी और प्रतिबंध सलाहकारों द्वारा सत्यापित किया जाना चाहिए।

PWN-ALL प्रक्रिया के तकनीकी पहलुओं को संभालता है: यह हमलावर के बुनियादी ढांचे पर डेटा एकत्र करता है, उनके दावों का सत्यापन करता है, संचार का दस्तावेजीकरण करता है और बीमाकर्ता तथा संबंधित सलाहकारों को सामग्री प्रदान करता है। लेनदेन के संबंध में कानूनी मूल्यांकन और निर्णय संगठन और उसके अधिकृत सलाहकारों की जिम्मेदारी बनी रहती है।

हमलावर के साथ संचार को नियंत्रित किया जाना चाहिए

जबरन वसूली करने वाले के साथ स्वतंत्र पत्राचार से व्यक्तिगत प्रणालियों की गंभीरता, संगठन की आंतरिक स्थिति या उसकी क्षमताओं की सीमाएँ प्रकट हो सकती हैं।

उचित समझौते के अधीन, PWN-ALL नियंत्रित संचार को सुगम बना सकता है, जिससे मदद मिलती है:

  • यह सत्यापित करना कि क्या हमलावर के पास वास्तव में दावा किया गया डेटा है;
  • परीक्षण डिक्रिप्शन का अनुरोध करना;
  • डिक्रिप्टर की कार्यक्षमता का आकलन करना;
  • मांगों की तकनीकी व्यवहार्यता निर्धारित करना;
  • अतिरिक्त समय प्राप्त करना;
  • संचार और निर्णयों का एक संपूर्ण इतिहास बनाए रखें।

इस तरह का समर्थन कानूनी समीक्षा का विकल्प नहीं है, भुगतान करने की कोई सिफारिश नहीं है, और DFIR टीम को ग्राहक की ओर से निर्णय लेने का अधिकार नहीं देता है।

हमलावर के दावों का सत्यापन किया जाना चाहिए

अंतिम निर्णय से पहले, फ़ाइलों के एक सीमित सेट की परीक्षण डिक्रिप्शन, दावा किए गए डेटा तक पहुँच का प्रमाण, और प्रस्तावित उपकरण की कार्यक्षमता की पुष्टि का अनुरोध किया जा सकता है।

हालाँकि, एक सफल सत्यापन भी पूर्ण पुनर्प्राप्ति की गारंटी नहीं देता है।

हमलावर एक अस्थिर डीक्रिप्टर प्रदान कर सकता है, डेटा का केवल एक हिस्सा डीक्रिप्ट कर सकता है, चुराई गई जानकारी को अपने पास रख सकता है, इसे अन्य पक्षों को दे सकता है, या शेष किसी भी एक्सेस के माध्यम से वापस आ सकता है।

प्राप्त किसी भी टूल का एक पृथक वातावरण में विश्लेषण और परीक्षण किया जाना चाहिए।

वार्ता जांच को नहीं रोकती

हमलावर के साथ संचार प्रतिक्रिया का विकल्प नहीं है।

साथ ही, यह आवश्यक है कि जारी रखा जाए:

  • धमकी का स्थानीयकरण;
  • प्रारंभिक वेक्टर की खोज;
  • प्रभावित सत्रों को रद्द करना;
  • प्रमाण-पत्रों को घुमाना;
  • बैकअप की सुरक्षा;
  • साक्ष्य संग्रह;
  • क्लाउड वातावरण का ऑडिटिंग;
  • सुरक्षात्मक उपायों की पहचान;
  • सुरक्षित पुनर्प्राप्ति के लिए तैयारी।

एक बार भुगतान हो जाने के बाद, घटना को सुलझा हुआ नहीं माना जाता है। सिस्टम को अभी भी साफ या फिर से बनाना होगा, समझौता किए गए एक्सेस क्रेडेंशियल्स को बदलना होगा, और हार्डनिंग उपायों को हटाना होगा।

भुगतान संकट के एक पहलू को तो सुलझा सकता है, लेकिन यह समझौते को समाप्त नहीं करता है और न ही यह सुरक्षित पुनर्प्राप्ति का विकल्प है।

सक्रिय घटना के दौरान क्या न करें

बिना योजना के पूरे बुनियादी ढांचे को बंद करना

इससे अस्थिर साक्ष्य नष्ट हो सकते हैं, विश्लेषण जटिल हो सकता है और अप्रभावित प्रक्रियाओं को रोका जा सकता है। पृथक्करण लक्षित या खंडित होना चाहिए और जोखिम मूल्यांकन पर आधारित होना चाहिए।

डेटा संग्रह से पहले सिस्टम को फिर से इंस्टॉल करना

त्वरित फ़ॉर्मेटिंग हमलावर की प्रारंभिक पहुँच, स्थापना और गतिविधि के निशानों को मिटा देती है।

मैलवेयर हटाने के बाद जीत की घोषणा करना

एक दुर्भावनापूर्ण फ़ाइल उपयोग किए गए उपकरणों में से केवल एक हो सकती है। पहचान, क्लाउड सत्र, टोकन, दूरस्थ पहुँच, ईमेल नीतियाँ, SaaS अनुप्रयोग और प्रबंधन अवसंरचना की जाँच करना आवश्यक है।

पासवर्ड बदलने को पर्याप्त नियंत्रण न मानें

हमलावर के पास अभी भी सक्रिय सत्र, रिफ्रेश टोकन, OAuth प्राधिकरण या वैकल्पिक MFA विधियाँ हो सकती हैं।

संक्रमित संचार चैनलों का उपयोग करें

एक हमलावर टीम संदेश पढ़ सकता है, अपनी रणनीति बदल सकता है और अपने निशान मिटा सकता है।

जबरन वसूली करने वाले से सीधे संपर्क करना

अप्रस्तुत संचार आपकी बातचीत की स्थिति को कमजोर कर सकता है, आपके सिस्टम की गंभीरता को उजागर कर सकता है, या अतिरिक्त कानूनी और परिचालन जोखिम पैदा कर सकता है।

प्रवेश बिंदु बंद होने से पहले सिस्टम को पुनर्स्थापित करना

अन्यथा, रिकवरी प्रक्रिया के दोबारा घटना बनने का खतरा रहता है।

यह मान लेना कि एन्क्रिप्शन की अनुपस्थिति का मतलब है कि कोई डेटा उल्लंघन नहीं हुआ है

डेटा चोरी वैध क्लाउड सेवाओं और सक्रिय उपयोगकर्ता सत्रों के माध्यम से हो सकती है, बिना सामान्य रैनसमवेयर घटनाओं को ट्रिगर किए।

सत्यापन के बिना बैकअप पर भरोसा करना

एक बैकअप को न केवल पठनीयता के लिए, बल्कि अखंडता, शुद्धता और किसी भी संग्रहीत एन्क्रिप्शन तंत्र की अनुपस्थिति के लिए भी सत्यापित किया जाना चाहिए।

अनपुष्ट निष्कर्ष प्रकाशित करना

जब तक किसी जांच द्वारा इसकी पुष्टि नहीं हो जाती, तब तक आपको यह वादा नहीं करना चाहिए कि कोई डेटा उल्लंघन नहीं हुआ है।

नए अलर्ट की अनुपस्थिति के कारण वातावरण को स्वच्छ घोषित करना

घटनाओं का अभाव हमलावर की अनुपस्थिति को इंगित नहीं करता, बल्कि अपर्याप्त दृश्यता को इंगित करता है।

तैयारी को कैसे मापा जाए

बंद किए गए अलर्ट की संख्या किसी संगठन की गंभीर हमले का सामना करने की क्षमता के बारे में लगभग कुछ भी नहीं बताती है।

अधिक उपयोगी मेट्रिक्स:

  • घटना की पुष्टि तक का समय;
  • घटना कमांडर की नियुक्ति में लगने वाला समय;
  • पहले पृथक्करण का समय;
  • समझौता किए गए सत्रों को रद्द करने में लगने वाला समय;
  • क्लाउड लॉग्स पुनः प्राप्त करने में लगने वाला समय;
  • स्वच्छ बैकअप सत्यापित करने में लिया गया समय;
  • पर्याप्त टेलीमेट्री वाले महत्वपूर्ण प्रणालियों का अनुपात;
  • टाइमलाइन की पूर्णता;
  • प्रारंभिक हमले के मार्ग को हल करने में लगा समय;
  • घटना के बाद की समीक्षा के बाद लागू किए गए उपायों का अनुपात।

यह केवल गति ही नहीं बल्कि निर्णयों की गुणवत्ता को मापना भी महत्वपूर्ण है:

  • कितनी कार्रवाइयां बिना नामित स्वामी के किए गए;
  • कितने बदलाव लॉग में दर्ज नहीं किए गए;
  • क्या सबूत खो गए;
  • कितने सिस्टमों को बार-बार बहाल करना पड़ा;
  • आईआर योजना की कौन सी धारणाएँ गलत साबित हुईं।

किसी घटना के बाद, जो आवश्यक है वह एक औपचारिक 'डीब्रीफ' दस्तावेज़ नहीं, बल्कि परिवर्तनों के लिए एक विशिष्ट योजना है, जिसमें जिम्मेदार व्यक्ति, समय-सीमा और सत्यापन मानदंड निर्धारित किए गए हों।

2026 में न्यूनतम संगठनात्मक तैयारी

किसी घटना से पहले, कंपनी के पास होना चाहिए:

  • एक स्वीकृत आईआर योजना;
  • भूमिकाओं और जिम्मेदारियों का एक मैट्रिक्स;
  • एक ऑफ-नेटवर्क संचार चैनल;
  • मुख्य परिदृश्यों के लिए अलग-अलग प्लेबुक;
  • महत्वपूर्ण प्रणालियों और निर्भरताओं का एक नक्शा;
  • लॉग्स के लिए पर्याप्त प्रतिधारण अवधि;
  • अपरिवर्तनीय और सत्यापनीय बैकअप;
  • सबूतों को संरक्षित करने की एक प्रक्रिया;
  • एक स्वच्छ प्रशासनिक वातावरण;
  • एक बाहरी DFIR टीम के लिए संपर्क विवरण;
  • आंतरिक और बाहरी संचार के लिए टेम्पलेट्स;
  • जबरन वसूली करने वाले की मांगों से निपटने की प्रक्रियाएँ;
  • नियमित टेबलटॉप और तकनीकी अभ्यास।

केवल तकनीकी टीम का परीक्षण ही पर्याप्त नहीं है। प्रबंधन, आईटी, सुरक्षा, व्यावसायिक प्रक्रियाओं के मालिक, कानूनी और संचार विभाग, बीमाकर्ता, प्रमुख आपूर्तिकर्ता और बाहरी डीएफआईआर भागीदार, सभी को इन अभ्यासों में भाग लेना चाहिए।

एक ऐसी योजना जिसे समय-सीमित परिस्थितियों में कभी परखा नहीं गया है, वह एक धारणा है, सुरक्षा का साधन नहीं।

प्रतिक्रिया अनिश्चितता के प्रबंधन के बारे में है

हमले के दौरान, तुरंत सभी उत्तर प्राप्त करना शायद ही कभी संभव होता है।

एक मजबूत टीम पूर्ण निश्चितता की प्रतीक्षा नहीं करती, और न ही अंधाधुंध कार्रवाई करती है। यह तथ्यों को परिकल्पनाओं से अलग करता है, जहाँ संभव हो वहाँ उलट-फेर योग्य निर्णय लेता है, विघटनकारी कार्रवाइयों का समन्वय करता है, सबूतों को संरक्षित करता है, एक एकल टाइमलाइन बनाए रखता है और तकनीकी तथा व्यावसायिक जोखिमों को समानांतर रूप से प्रबंधित करता है।

किसी घटना को पूरी तरह से पूर्वानुमेय नहीं बनाया जा सकता।

लेकिन टीम का काम पूर्वानुमेय बनाया जा सकता है।

जब एक बाहरी प्रतिक्रिया टीम की आवश्यकता होती है

PWN-ALL को उन घटनाओं के लिए बुलाया जाता है जहाँ गति, साक्ष्यों का संरक्षण और नियंत्रित पुनर्प्राप्ति महत्वपूर्ण होते हैं:

  • रैनसमवेयर और एन्क्रिप्शन के बिना जबरन वसूली;
  • डेटा चोरी और प्रकाशन;
  • BEC और कॉर्पोरेट ईमेल समझौता;
  • खातों पर कब्ज़ा;
  • Microsoft 365 और Google Workspace का समझौता;
  • क्लाउड इंफ्रास्ट्रक्चर पर हमले;
  • वेब एप्लिकेशन और सर्वर हैकिंग;
  • सप्लायर्स और ठेकेदारों से संबंधित घटनाएँ।

कार्य में आपातकालीन नियंत्रण शामिल हो सकता है, डिजिटल फोरेंसिक, समझौते की सीमा निर्धारित करना, सबूतों को इकट्ठा करना और संरक्षित करना, डिक्रिप्शन विकल्पों की जांच करना, बैकअप सत्यापित करना, नियंत्रित संचार के लिए तकनीकी सहायता प्रदान करना, सुरक्षित पुनर्प्राप्ति, रिपोर्ट तैयार करना और बाद में सुरक्षा सुधारों को लागू करना। सक्रिय घटनाओं के लिए, PWN-ALL एक समर्पित 24/7 प्रतिक्रिया प्रक्रिया संचालित करता है।

सक्रिय घटना की स्थिति में:

प्रभावित सिस्टम को बंद न करें, कलाकृतियों को न मिटाएं, हमलावर को स्वयं जवाब न दें, और प्रारंभिक मूल्यांकन किए जाने तक बड़े पैमाने पर पुनर्प्राप्ति शुरू न करें।

पहली प्राथमिकता यह है कि जांच, निर्णय लेने और व्यावसायिक संचालन को सुरक्षित रूप से बहाल करने के लिए आवश्यक जानकारी को नष्ट किए बिना हमलावर की कार्रवाइयों को सीमित किया जाए।