ब्राउज़र-आधारित खतरे पारंपरिक नेटवर्क सुरक्षा को कैसे दरकिनार करते हैं

आपके फ़ायरवॉल लॉग साफ़ हैं, आपका एंडपॉइंट एजेंट कोई अलर्ट नहीं दिखाता, और यूआरएल रेपुटेशन फ़ीड ने भी साइट को सुरक्षित घोषित कर दिया। फिर भी, एक हमलावर ने आपकी कंपनी के पेरोल SaaS के लिए एक वित्त प्रबंधक की सेशन कुकीज़ चुरा लीं, आपके इंट्रानेट में घुसपैठ की और एक तिमाही का मुआवज़ा डेटा चुरा लिया—यह सब एक ऐसे ब्राउज़र टैब के ज़रिए हुआ जिसने कभी भी किसी तरह का पता नहीं लगाया। ब्राउज़र आधारित खतरे नए नहीं हैं, लेकिन आज जिस तरह से ये काम करते हैं और पारंपरिक परिधि और एंडपॉइंट नियंत्रणों की क्षमता के बीच का अंतर पहले कभी इतना ज़्यादा नहीं रहा।

यह लेख उन विशिष्ट तंत्रों का विस्तृत विवरण देता है जिनका उपयोग हमलावर ब्राउज़र को हथियार के रूप में इस्तेमाल करने के लिए करते हैं, यह बताता है कि पुरानी सुरक्षा प्रणालियाँ व्यवस्थित रूप से उन्हें क्यों नहीं पहचान पाती हैं, और यह रेखांकित करता है कि सुरक्षा टीमों को अब किन चीजों को प्राथमिकता देने की आवश्यकता है।

ब्राउज़र-आधारित हमले की वह संरचना जिसे आपके स्टैक ने नज़रअंदाज़ कर दिया

कल्पना कीजिए: एक विनिर्माण कंपनी में खरीद विश्लेषक एक विशिष्ट औद्योगिक आपूर्तिकर्ता की तलाश कर रहा है। एक प्रायोजित खोज परिणाम—एक प्रमुख, वैध विज्ञापन नेटवर्क के माध्यम से—परिणामों में सबसे ऊपर दिखाई देता है। विज्ञापन डोमेन यूआरएल फ़िल्टरिंग से गुजर जाता है; विज्ञापन प्लेटफ़ॉर्म की अपनी प्रतिष्ठा बेदाग है। विश्लेषक क्लिक करता है। लैंडिंग पृष्ठ ब्राउज़र संस्करण का पता लगाता है, पुष्टि करता है कि यह सैंडबॉक्स नहीं है, तीन स्तरों के रीडायरेक्ट के पीछे छिपा हुआ जावास्क्रिप्ट पेलोड लोड करता है, और एक सूचना चुराने वाला टूल डालता है जो ब्राउज़र के पासवर्ड मैनेजर में संग्रहीत सभी क्रेडेंशियल्स को चुरा लेता है। एंडपॉइंट एंटीवायरस एक हस्ताक्षरित क्रोमियम प्रक्रिया को ब्राउज़र की तरह जावास्क्रिप्ट निष्पादित करते हुए देखता है और कुछ नहीं करता।

MITRE ATT&CK इस पैटर्न को T1189 (ड्राइव बाय कॉम्प्रोमाइज़) के रूप में प्रलेखित करता है: हमलावर ब्राउज़िंग के दौरान किसी वेबसाइट पर जाने वाले उपयोगकर्ता के माध्यम से सिस्टम तक पहुंच प्राप्त करते हैं। डिलीवरी के तरीकों में दुर्भावनापूर्ण कोड से भरी वैध वेबसाइटें, समझौता किए गए क्लाउड स्टोरेज से परोसी गई स्क्रिप्ट फाइलें और वैध विज्ञापन प्रदाताओं के माध्यम से परोसे जाने वाले दुर्भावनापूर्ण विज्ञापन (मालवर्टाइजिंग) शामिल हैं।

यहां तक ​​कि गूगल भी इस समस्या की व्यापकता को स्वीकार करता है: अकेले 2024 में, गूगल ने 5.1 अरब खराब विज्ञापनों को रोका और 39.2 मिलियन विज्ञापनदाता खातों को निलंबित किया (गूगल विज्ञापन सुरक्षा रिपोर्ट, 2025)। ये आंकड़े चौंकाने वाले हैं—और ये केवल पकड़े गए विज्ञापनों का ही प्रतिनिधित्व करते हैं। जो विज्ञापन बच निकलते हैं, वे आपके SOC के लिए सबसे बड़ी बाधा बनते हैं, क्योंकि श्रृंखला में मौजूद हर नियंत्रण—DNS, URL श्रेणी, TLS प्रमाणपत्र, एंडपॉइंट हस्ताक्षर—विज्ञापन अवसंरचना को विश्वसनीय मानता है।

यदि इस विश्लेषक का सत्र remote browser isolation के माध्यम से रूट किया गया होता, तो जावास्क्रिप्ट एक अस्थायी क्लाउड कंटेनर में निष्पादित होता। सूचना चुराने वाले के पास हुक करने के लिए कोई स्थानीय प्रक्रिया नहीं होती, पढ़ने के लिए कोई क्रेडेंशियल स्टोर नहीं होता, और एंडपॉइंट तक कोई स्थायी पथ नहीं होता।

ब्राउज़र पर पारंपरिक नेटवर्क सुरक्षा प्रणालीगत रूप से विफल क्यों हो जाती है?

पारंपरिक परिधि सुरक्षा प्रणालियाँ ऐसी दुनिया के लिए बनाई गई थीं जहाँ खतरे वायर पर फाइलों या ज्ञात संदिग्ध आईपी कनेक्शन के रूप में आते थे। ब्राउज़र ने उस मॉडल को उलट दिया है। यहीं पर विशिष्ट नियंत्रण विफल हो जाते हैं:

एन्क्रिप्टेड ट्रैफ़िक निरीक्षण अंतराल

थ्रेटलैब्ज़ 2024 एन्क्रिप्टेड अटैक्स रिपोर्ट में पाया गया कि 87% खतरे TLS/SSL ट्रैफ़िक में छिपे हुए थे। अधिकांश पुराने सुरक्षित वेब गेटवे या तो बड़े पैमाने पर TLS 1.3 को डिक्रिप्ट नहीं कर सकते या बैंकिंग, स्वास्थ्य सेवा पोर्टल, प्रमाणपत्र पिनिंग वाले SaaS ऐप्स जैसे ट्रैफ़िक की बड़ी श्रेणियों को निरीक्षण से छूट देते हैं। एक हमलावर जो एक नए पंजीकृत डोमेन पर वैध Let's Encrypt प्रमाणपत्र के पीछे क्रेडेंशियल हार्वेस्टिंग पेज होस्ट करता है, वह आसानी से सुरक्षा खामी का फायदा उठा लेता है। प्रॉक्सी लॉग की समीक्षा करने वाला एक SOC विश्लेषक CDN से आउटबाउंड HTTPS कनेक्शन देखता है। जब तक बहुत देर नहीं हो जाती, तब तक सब कुछ ठीक लगता है।

यूआरएल फ़िल्टरिंग और प्रतिष्ठा में देरी

यूआरएल प्रतिष्ठा डेटाबेस प्रतिक्रियाशील होते हैं। एक मैलवेयर विज्ञापन अभियान जो एक नए डोमेन का उपयोग करता है, क्रॉलर को हानिरहित सामग्री दिखाने के लिए अपने लैंडिंग पृष्ठ को छुपाता है, और केवल विशिष्ट ब्राउज़र फिंगरप्रिंट से मेल खाने वाले पीड़ितों को ही वास्तविक पेलोड परोसता है, वह पहले चरण के हमलों के बाद ही किसी भी खतरे की सूची में दिखाई देगा। खोज विज्ञापनों के माध्यम से वितरित एक सामान्य ट्रोजनयुक्त सॉफ़्टवेयर अभियान पर विचार करें: साइटें एक वैध दिखने वाले एप्लिकेशन का प्रचार करती हैं, डाउनलोड डोमेन प्रतिष्ठा जांच पास कर लेता है, और मैलवेयर सक्रिय होने से पहले हफ्तों तक निष्क्रिय रहता है - अधिकांश पूर्वव्यापी यूआरएल अवरोधों से अधिक समय तक।

ब्राउज़र में एंडपॉइंट एंटीवायरस और ईडीआर की कमियां

ब्राउज़र में होने वाले हमलों का पता लगाना एंडपॉइंट सुरक्षा उपकरणों के लिए कठिन होता है क्योंकि इनके परिणाम क्षणभंगुर होते हैं, ब्राउज़र मेमोरी में छिपे होते हैं और उपयोगकर्ता अनुभव को बनाए रखने के लिए लगभग तुरंत प्रसारित हो जाते हैं (GitLab Security Tech Notes, 2025)। जब कोई दुर्भावनापूर्ण जावास्क्रिप्ट पेलोड ब्राउज़र के V8 इंजन के अंदर चलता है, तो यह डिस्क पर कोई फ़ाइल नहीं छोड़ता; यह DOM में हेरफेर करता है, फ़ॉर्म फ़ील्ड पढ़ता है और वेबसॉकेट कनेक्शन के माध्यम से डेटा लीक करता है जो वैध ब्राउज़र ट्रैफ़िक के समान दिखता है। प्रोसेस ट्री, फ़ाइल राइट्स और रजिस्ट्री परिवर्तनों की निगरानी करने वाले EDR एजेंटों को कुछ भी कार्रवाई योग्य नहीं दिखता।

क्या बदलाव आया: अब ब्राउज़र ही एंटरप्राइज़ वर्कस्पेस बन गया है

तीन परस्पर जुड़े बदलावों ने ब्राउज़र को गौण चिंता से प्राथमिक हमले के स्रोत में बदल दिया है:

सबसे पहले, SaaS ने नेटवर्क को सुरक्षा घेरे के रूप में प्रतिस्थापित कर दिया है। जब कर्मचारी ब्राउज़र के माध्यम से Salesforce, Workday, ServiceNow और Microsoft 365 तक पहुँचते हैं, तो ब्राउज़र सत्र ही पहुँच का आधार होता है। एक असुरक्षित ब्राउज़र सत्र असुरक्षित VPN के समान ही पहुँच प्रदान करता है—अक्सर इससे भी अधिक, क्योंकि SaaS सत्र अक्सर उपकरणों पर बने रहते हैं और VPN कनेक्शन द्वारा प्रदान की जाने वाली नेटवर्क लेयर लॉगिंग का अभाव होता है।

दूसरा, वेब कॉम्प्रोमाइज़ एक प्रारंभिक संक्रमण वाहक के रूप में तेज़ी से बढ़ रहा है। मैंडिएंट एम ट्रेंड्स 2025 रिपोर्ट में पाया गया कि 2023 और 2024 के बीच वेब कॉम्प्रोमाइज़ प्रारंभिक संक्रमण वाहकों के 5% से बढ़कर 9% हो गया—लगभग दोगुना। वेब कॉम्प्रोमाइज़ में ड्राइव बाय कॉम्प्रोमाइज़, दुर्भावनापूर्ण विज्ञापन, एसईओ पॉइज़निंग और कॉम्प्रोमाइज़्ड वेबसाइटें शामिल हैं। यह वृद्धि आकस्मिक नहीं है; यह दर्शाता है कि हमलावर जानबूझकर ब्राउज़र आधारित डिलीवरी की ओर रुख कर रहे हैं क्योंकि यह संगठनों द्वारा किए गए सुरक्षा उपायों से बच निकलता है।

तीसरा, क्रेडेंशियल चोरी और सेशन हाइजैकिंग का औद्योगीकरण हो चुका है। मैंडिएंट एम ट्रेंड्स 2025 के अनुसार, चोरी किए गए क्रेडेंशियल जांच की गई घटनाओं में 16% के साथ दूसरा सबसे आम प्रारंभिक एक्सेस वेक्टर थे। वेरिजॉन 2025 डीबीआईआर ने बताया कि 22% उल्लंघनों में चोरी किए गए क्रेडेंशियल का उपयोग किया गया था। इनमें से कई क्रेडेंशियल ब्राउज़र से उत्पन्न होते हैं: स्वतः भरे गए पासवर्ड, स्थानीय स्टोरेज में कुकीज़ और रेंडरिंग कॉन्टेक्स्ट में चल रहे इन्फोस्टीलर द्वारा कैप्चर किए गए सेशन टोकन। इन्फोस्टीलर मैलवेयर, क्रेडेंशियल मार्केटप्लेस और ब्राउज़र को वर्कस्पेस के रूप में उपयोग करने के संयोजन का अर्थ है कि एक भी समझौता किया गया ब्राउज़र सेशन हमलावर की पूरी किल चेन को अनलॉक कर सकता है।

ब्राउज़र एक्सटेंशन: आपूर्ति श्रृंखला पर होने वाला वह हमला जिसकी आप निगरानी नहीं कर रहे हैं

एक मार्केटिंग कोऑर्डिनेटर ने एक लोकप्रिय ग्रामर चेकिंग क्रोम एक्सटेंशन इंस्टॉल किया, जिसके 500,000 उपयोगकर्ता और 4.8 स्टार रेटिंग थी। छह महीने बाद, एक्सटेंशन के डेवलपर ने इसे एक अज्ञात खरीदार को बेच दिया। नए मालिक ने एक साइलेंट अपडेट जारी किया, जिसमें उपयोगकर्ता द्वारा देखी जाने वाली हर साइट, यहां तक ​​कि कंपनी के एसएसओ पोर्टल से भी कुकीज़ और सेशन टोकन चुराने वाला कोड जोड़ दिया गया। कोई अलर्ट जारी नहीं हुआ क्योंकि एक्सटेंशन पहले से ही विश्वसनीय था, अपडेट आधिकारिक स्टोर के माध्यम से आया था, और डेटा चोरी करने के लिए मानक HTTPS कॉल का उपयोग किया गया था।

दिसंबर 2024 में, एक हमलावर ने हैक किए गए डेवलपर खातों का उपयोग करके सॉफ्टवेयर सप्लाई चेन पर हमला किया और क्रोम वेब स्टोर से दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन अपडेट वितरित किए (गिटलैब सिक्योरिटी टेक नोट्स, 2025)। हमलावर ने एक्सटेंशन को ऐसे कोड से अपडेट किया जो गतिशील कॉन्फ़िगरेशन के आधार पर HTTP हेडर और DOM सामग्री से डेटा चुराता था - यह एक परिष्कृत हमला था जिससे कम से कम 3.2 मिलियन उपयोगकर्ता प्रभावित हुए।

इसका संचालन मॉडल बेहद सरल है। 2024 के अंत से सबसे लगातार पैटर्न अपडेट के माध्यम से विश्वास का दुरुपयोग करना रहा है: हमलावर आधिकारिक स्टोर में जानकारी प्रकाशित करते हैं, डेवलपर्स को हैक करते हैं, या स्थापित एक्सटेंशन पर कब्ज़ा कर लेते हैं, फिर मौजूदा उपयोगकर्ताओं को बड़े पैमाने पर खतरनाक अपडेट भेजते हैं। "स्लीपर" एक्सटेंशन विश्वसनीयता बनाने के लिए काफी समय तक हानिरहित बने रहते हैं, फिर अपडेट के माध्यम से स्पाइवेयर, टोकन चोरी या रीडायरेक्शन जैसी गतिविधियों को सक्रिय कर देते हैं।

SOC के नज़रिए से, यह हमला लगभग अदृश्य है। एक्सटेंशन ब्राउज़र प्रक्रिया के भीतर काम करता है, HTTPS के ज़रिए उन डोमेन से संचार करता है जो हाल ही में पंजीकृत हुए हों या क्लाउड प्लेटफ़ॉर्म पर होस्ट किए गए हों, और ठीक उसी पेज की सामग्री तक पहुँचता है जिसे उपयोगकर्ता वैध रूप से देखता है। एंडपॉइंट एजेंट इसे चिह्नित नहीं करते। नेटवर्क मॉनिटरिंग CDN पर एन्क्रिप्टेड ट्रैफ़िक को देखती है। एकमात्र प्रभावी बचाव उपाय हैं विस्तृत एक्सटेंशन प्रबंधन—अनुमति सूची, अनुमति ऑडिटिंग, संस्करण पिनिंग—और ब्राउज़र आइसोलेशन के माध्यम से ब्राउज़र सत्रों को अलग करना ताकि समझौता किया गया एक्सटेंशन भी वास्तविक एंडपॉइंट तक न पहुँच सके।

क्रेडेंशियल हार्वेस्टिंग और सेशन हाइजैकिंग: ब्राउज़र के माध्यम से मल्टी-फैक्टर ऑथेंटिकेशन (एमएफए) को विफल करना

एक पेरोल एडमिनिस्ट्रेटर को बेनिफिट्स पॉलिसी अपडेट के बारे में एक ईमेल मिलता है। लिंक एक ऐसे पेज को खोलता है जो कंपनी के आइडेंटिटी प्रोवाइडर लॉगिन जैसा दिखता है—वही ब्रांडिंग, वही सर्टिफिकेट लॉक आइकन, और डोमेन स्ट्रक्चर (यदि उपयोगकर्ता सबडोमेन की जांच न करे तो)। एडमिनिस्ट्रेटर अपने क्रेडेंशियल्स और MFA टोकन दर्ज करता है। एक मिडल प्रॉक्सी हमलावर वास्तविक समय में क्रेडेंशियल्स को असली आइडेंटिटी प्रोवाइडर तक पहुंचाता है, सेशन कुकी को कैप्चर करता है और उसे अपने ब्राउज़र से रीप्ले करता है। अब हमलावर के पास एक ऑथेंटिकेटेड सेशन है। MFA ने अपना काम कर दिया—उसने उपयोगकर्ता को ऑथेंटिकेट कर दिया—लेकिन हमलावर ने उस ऑथेंटिकेशन का आउटपुट चुरा लिया।

MITRE ATT&CK T1185 (ब्राउज़र सेशन हाइजैकिंग) बताता है कि कैसे हमलावर ब्राउज़र सॉफ़्टवेयर में मौजूद सुरक्षा खामियों और अंतर्निहित कार्यक्षमताओं का लाभ उठाकर सामग्री को बदलते हैं, उपयोगकर्ता के व्यवहार को संशोधित करते हैं और जानकारी को इंटरसेप्ट करते हैं। इसका एक विशिष्ट उदाहरण यह है कि जब कोई हमलावर ब्राउज़र में ऐसा सॉफ़्टवेयर इंजेक्ट करता है जो उसे कुकीज़, HTTP सेशन और SSL क्लाइंट प्रमाणपत्रों को प्राप्त करने की अनुमति देता है। इन अनुमतियों के साथ, हमलावर संभावित रूप से इंट्रानेट पर किसी भी संसाधन, जैसे SharePoint या वेबमेल तक पहुँच सकता है। ब्राउज़र पिवोटिंग दो-कारक प्रमाणीकरण द्वारा प्रदान की गई सुरक्षा को भी बायपास कर सकता है।

यह कोई सैद्धांतिक चिंता नहीं है। बीच में दखल देने वाले फ़िशिंग किट आम ​​हो चुके हैं। फ़िशिंग एज़ अ सर्विस टूलकिट अब "ब्राउज़र इन द ब्राउज़र" (बिटबी) तकनीक का इस्तेमाल करते हैं, जो असली लॉगिन प्रक्रिया की नकल करने के लिए उपयोगकर्ता के असली ब्राउज़र के अंदर नकली ब्राउज़र विंडो दिखाते हैं। ये किट नकली एड्रेस बार के साथ विश्वसनीय लॉगिन स्क्रीन दिखाते हैं और क्रेडेंशियल और सक्रिय सेशन टोकन दोनों को कैप्चर कर लेते हैं। ये बॉट सुरक्षा जांच, कंडीशनल लोडिंग, तेजी से डोमेन रोटेशन और कोड ऑबफस्केशन का इस्तेमाल करके पकड़े जाने से बचते हैं।

पारंपरिक नेटवर्क नियंत्रण—आईपी प्रतिष्ठा, डोमेन आयु फ़िल्टरिंग, यहाँ तक कि प्रमाणपत्र पारदर्शिता निगरानी—बुनियादी ढांचे में हो रहे तीव्र बदलाव के साथ तालमेल बिठाने में असमर्थ हैं। सबसे प्रभावी बचाव यह है कि उपयोगकर्ता के वास्तविक ब्राउज़र पर फ़िशिंग पृष्ठ को प्रदर्शित होने से ही रोका जाए, और यही वह लक्ष्य है जिसे एकीकृत आरबीआई के साथ अगली पीढ़ी का secure web gateway हासिल करता है: उपयोगकर्ता द्वारा क्लिक किए जाने पर भी, पृष्ठ एक पृथक कंटेनर में प्रदर्शित होता है जहाँ क्रेडेंशियल्स को कीलॉग नहीं किया जा सकता और सत्र टोकन को इंटरसेप्ट नहीं किया जा सकता।

जावास्क्रिप्ट-आधारित डेटा चोरी: रेंडरिंग इंजन के माध्यम से डेटा हानि

एक स्वास्थ्य सेवा कंपनी में कार्यरत विश्लेषक एक शोध पोर्टल खोलता है, जिसे किसी तृतीय-पक्ष विश्लेषण स्क्रिप्ट के माध्यम से हैक कर लिया गया है। इंजेक्ट किया गया जावास्क्रिप्ट चुपचाप विश्लेषक द्वारा खोले गए टैब वाले SaaS एप्लिकेशन (विशेष रूप से, रोगी रिकॉर्ड डैशबोर्ड) के DOM को पढ़ता है, दिखाई देने वाले डेटा को JSON ब्लॉब में क्रमबद्ध करता है, और टेलीमेट्री ट्रैफ़िक जैसा दिखने वाला वेबसॉकेट कनेक्शन के माध्यम से हमलावर द्वारा नियंत्रित एंडपॉइंट पर POST करता है। कोई फ़ाइल डाउनलोड नहीं हुई। कोई निष्पादन योग्य फ़ाइल नहीं डाली गई। अटैचमेंट, USB राइट्स या क्लाउड अपलोड पर नज़र रखने वाले DLP नियम कभी सक्रिय नहीं हुए।

यह परिदृश्य दर्शाता है कि क्यों data loss prevention ब्राउज़र सेशन में भी इसका विस्तार होना चाहिए। ब्राउज़र में चल रहे जावास्क्रिप्ट को उपयोगकर्ता द्वारा देखी जा सकने वाली हर चीज़ तक पढ़ने की पहुँच प्राप्त होती है। क्रॉस ओरिजिन प्रतिबंध मददगार होते हैं, लेकिन समझौता किए गए फर्स्ट पार्टी स्क्रिप्ट, सप्लाई चेन से दूषित लाइब्रेरी और दुर्भावनापूर्ण एक्सटेंशन सभी वैध एप्लिकेशन के समान ओरिजिन में काम करते हैं।

मैंडिएंट 2024 में हुई 34% घुसपैठों के लिए प्रारंभिक संक्रमण वाहक का पता लगाने में असमर्थ रहा (एम ट्रेंड्स 2025) - यह अनुपात उद्यम लॉगिंग और पहचान क्षमताओं में संभावित कमियों को दर्शाता है। ब्राउज़र आधारित डेटा लीक इस कमी का एक संभावित कारण है: जब डेटा फ़ाइल सिस्टम के बजाय रेंडरिंग इंजन के माध्यम से निकलता है, तो फोरेंसिक सबूत बहुत कम रह जाते हैं।

सुरक्षा टीमों को अब क्या करना चाहिए?

ब्राउज़र द्वारा उत्पन्न खतरों और नेटवर्क लेयर नियंत्रणों के बीच संरचनात्मक असंतुलन अपने आप दूर नहीं होगा। प्राथमिकता के आधार पर कार्य योजना इस प्रकार है:

1. तैनात करें remote browser isolation उच्च जोखिम वाले यातायात के लिए

RBI वेब सामग्री को एक डिस्पोजेबल क्लाउड कंटेनर में निष्पादित करता है और केवल सुरक्षित दृश्य आउटपुट को एंडपॉइंट पर स्ट्रीम करता है। मैलवेयर विज्ञापन पेलोड, ड्राइव-बाय एक्सप्लॉइट और जावास्क्रिप्ट आधारित डेटा चोरी, ये सभी कंटेनर में ही समाप्त हो जाते हैं। शुरुआत में अवर्गीकृत URL और जोखिम भरी श्रेणियों से शुरू करें, फिर विशेषाधिकार प्राप्त उपयोगकर्ताओं और संवेदनशील भूमिकाओं के लिए सभी वेब ट्रैफ़िक तक इसका विस्तार करें। Skyhigh Security एकीकृत आरबीआई के साथ 'एसएसई प्लेटफॉर्म स्टैंडअलोन आइसोलेशन उत्पादों की तैनाती की जटिलता से बचाता है।

2. अपवादों के बिना टीएलएस निरीक्षण लागू करें

यदि अधिकांश खतरे एन्क्रिप्टेड ट्रैफ़िक में छिपे होते हैं, तो HTTPS के बड़े हिस्से को निरीक्षण से छूट देने से एक निश्चित ब्लाइंड स्पॉट बन जाता है। आधुनिक क्लाउड-आधारित SWG आर्किटेक्चर, पुराने उपकरणों की विलंबता और प्रमाणपत्र प्रबंधन समस्याओं के बिना, बड़े पैमाने पर TLS 1.3 का निरीक्षण कर सकते हैं। जैसा कि NIST SP 800 207 में ज़ोर दिया गया है, ज़ीरो ट्रस्ट यह मानता है कि संपत्तियों या उपयोगकर्ता खातों को केवल उनके भौतिक या नेटवर्क स्थान के आधार पर कोई अंतर्निहित विश्वास नहीं दिया जाता है। यह सिद्धांत एन्क्रिप्टेड सत्रों पर भी लागू होता है: प्रोटोकॉल रैपर पर नहीं, बल्कि पहचान और डेटा पर भरोसा करें।

3. ब्राउज़र एक्सटेंशन को लॉक डाउन करें

Implement an allowlist of approved extensions. Audit permissions aggressively—any extension requesting <all urls host permissions or access to cookies and web requests should require security review. Pin extension versions to prevent silent malicious updates. For organizations that cannot fully restrict extensions, RBI provides a safety net by isolating extension activity from the corporate session.

4. डीएलपी को ब्राउज़र संदर्भ में ले जाएं

फ़ाइल स्तर और नेटवर्क स्तर की डीएलपी जावास्क्रिप्ट आधारित डेटा लीक को रोक देती है। स्काईहाई क्लाउड द्वारा प्रदान किए गए वेब और क्लाउड सुरक्षा गेटवे के माध्यम से लागू की गई इनलाइन डीएलपी नीतियां ब्राउज़र सत्र के भीतर सामग्री की जांच कर सकती हैं, अनधिकृत स्थानों पर संवेदनशील डेटा की कॉपी/पेस्ट को पकड़ सकती हैं, संवेदनशील ब्राउज़र सामग्री के स्क्रीनशॉट पर डिजिटल वॉटरमार्क लगा सकती हैं और अप्रबंधित उपकरणों पर डाउनलोड को नियंत्रित कर सकती हैं।

5. फ़िशिंग हमलों से सुरक्षित प्रमाणीकरण अपनाएं

FIDO2 के अनुरूप हार्डवेयर सुरक्षा कुंजी प्रमाणीकरण को वैध डोमेन से जोड़ती है, जिससे उपयोगकर्ता द्वारा किसी दुर्भावनापूर्ण लिंक पर क्लिक करने पर भी बीच में घुसपैठ करके फ़िशिंग करना संरचनात्मक रूप से असंभव हो जाता है। सेशन टोकन बाइंडिंग और निरंतर स्थिति मूल्यांकन जोखिम की अवधि को और कम कर देते हैं।

अत्यावश्यकता: पता लगाने में मौजूद कमियां कम होने के बजाय बढ़ती जा रही हैं।

वैश्विक औसत ब्राउज़र उपयोग समय 2024 में 11 दिन तक पहुंच गया (मैंडिएंट एम ट्रेंड्स 2025), और कई घुसपैठों का पता पहले सप्ताह के भीतर ही चल जाता है। यह उत्साहजनक लगता है—लेकिन जब आप यह सोचते हैं कि ब्राउज़र आधारित हमले कुछ ही मिनटों में अपनी पूरी प्रक्रिया को अंजाम दे सकते हैं: क्रेडेंशियल प्राप्त करना, सेशन को हाईजैक करना, डेटा की चोरी और उसे साफ करना—ये सब एक ही ब्राउज़र सेशन के भीतर हो जाता है और हो सकता है कि यह कभी एंडपॉइंट या नेटवर्क लॉग में दिखाई न दे।

57% संगठनों को 2024 में हुए डेटा लीक की जानकारी सबसे पहले बाहरी स्रोत से मिली (मैंडिएंट एम ट्रेंड्स 2025)। यदि आपका अपना SOC (सिस्टम कंट्रोलर) इस लीक का पता नहीं लगा रहा है, तो सवाल यह उठता है कि क्या आपके टूल को ब्राउज़र की जानकारी मिलती भी है या नहीं। अधिकांश संगठनों के लिए, इसका सीधा जवाब है नहीं। वेरिजॉन 2025 DBIR ने इस वास्तविकता को रेखांकित करते हुए पाया कि 60% डेटा लीक में मानवीय हस्तक्षेप था—और ब्राउज़र-केंद्रित दुनिया में, मानवीय हस्तक्षेप ब्राउज़र के माध्यम से ही होता है।

ब्राउज़र वह जगह है जहाँ कर्मचारी प्रमाणीकरण करते हैं, जहाँ संवेदनशील डेटा देखा और संसाधित किया जाता है, और जहाँ SaaS वर्कफ़्लो निष्पादित होते हैं। यह उद्यम में सबसे महत्वपूर्ण एंडपॉइंट सतह है, और फिर भी इस पर सबसे कम सुरक्षा उपाय लागू किए गए हैं। ब्राउज़र में सुरक्षा नियंत्रणों को विस्तारित किए बिना बीतने वाला प्रत्येक माह संचित, अनिश्चित जोखिम का माह है।