क्लाउड और ऑन-प्रिमाइसेस पर सुसंगत सुरक्षा नीतियां
- हाइब्रिड पॉलिसी प्रबंधन में ऑन-प्रिमाइसेस और क्लाउड प्रवर्तन दोनों को नियंत्रित करने वाले एक ही नियम सेट का उपयोग किया जाता है, जिसमें केवल प्रलेखित अपवाद होते हैं।
- जब वातावरणों को अलग-अलग प्रबंधित किया जाता है तो नीति में विचलन होना स्वाभाविक है, इसलिए रोकथाम के लिए एक परिचालन मॉडल की आवश्यकता होती है।
- स्वामित्वकर्ताओं को नियुक्त करें, प्रत्येक परिवर्तन का संस्करण बनाएं, चरणों में लागू करें और वापस लेने के लिए तैयार रहें।
- एक अपवाद रजिस्टर और निर्धारित विचलन जांच स्थानीय और क्लाउड प्रवर्तन को संरेखित रखते हैं।
- सभी प्रवर्तन बिंदुओं के लिए एक ही नीति इंजन अधिकांश सिंक्रोनाइज़ेशन कार्य और अनुवाद त्रुटियों को दूर करता है।
हाइब्रिड सुरक्षा नीति प्रबंधन एक ऐसी प्रक्रिया है जिसमें सुरक्षा नीति को एक बार परिभाषित किया जाता है और उसे हर प्रवर्तन बिंदु पर एकसमान रूप से लागू किया जाता है, चाहे वह डेटा सेंटर में गेटवे हो, शाखा उपकरण हो या क्लाउड पॉइंट ऑफ़ प्रेजेंस हो। इसका लक्ष्य यह सुनिश्चित करना है कि उपयोगकर्ता, डिवाइस, डेटा प्रकार या एप्लिकेशन के साथ एक जैसा व्यवहार किया जाए, चाहे ट्रैफ़िक को कोई भी प्रवर्तन बिंदु संभाले।
यह लेख हाइब्रिड क्लाउड सुरक्षा मार्गदर्शिका का एक भाग है।
हाइब्रिड वातावरण में नीतियां क्यों बदलती रहती हैं?
विचलन तब होता है जब एक ही उद्देश्य को एक से अधिक स्थानों पर अलग-अलग तरीके से लागू किया जाता है:
- एक ऑन-प्रिमाइसेस गेटवे और एक क्लाउड सेवा जिसमें अलग-अलग नियम सिंटैक्स और श्रेणी डेटाबेस हैं।
- एक वातावरण में अपवादों को तत्काल रूप से जोड़ा गया और दूसरे वातावरण में उन्हें कभी प्रतिबिंबित नहीं किया गया।
- नेटवर्क, क्लाउड और डेटा सुरक्षा नीति की जिम्मेदारी अलग-अलग टीमों के पास है।
- डीएलपी शब्दकोश एक चैनल के लिए अपडेट किए गए हैं लेकिन दूसरे के लिए नहीं।
- सामान्य प्रक्रिया से बाहर उपकरणों पर सीधे किए गए आपातकालीन परिवर्तन
इसका नतीजा यह है कि सुरक्षा इस बात पर निर्भर करती है कि उपयोगकर्ता कहाँ मौजूद है। ऑडिटर इसे खोज लेते हैं, हमलावर इसका फायदा उठाते हैं, और समस्या निवारण धीमा हो जाता है क्योंकि किसी को भी यह निश्चित नहीं होता कि कौन सी नीति लागू होती है। NSA और CISA की शीर्ष दस क्लाउड सुरक्षा निवारण रणनीतियाँ इस समस्या का सीधा समाधान करती हैं, जिनमें इंफ्रास्ट्रक्चर एज़ कोड के माध्यम से सुरक्षित स्वचालित परिनियोजन और हाइब्रिड और मल्टी-क्लाउड वातावरण की जटिलताओं से निपटने की रणनीतियाँ शामिल हैं।
स्वामित्व
सुसंगत नीति की शुरुआत प्रत्येक नीति क्षेत्र के स्पष्ट स्वामित्व से होती है, जिसे उपकरण चुनने से पहले ही निर्धारित किया जाना चाहिए।
| नीति क्षेत्र | सामान्य मालिक | स्वीकृति प्रदान करने वाले |
|---|---|---|
| वेब पहुंच और श्रेणियां | नेटवर्क या वेब सुरक्षा टीम | सुरक्षा नेतृत्व, मानव संसाधन स्वीकार्य उपयोग के लिए |
| निजी एप्लिकेशन एक्सेस | पहचान और पहुंच टीम | एप्लिकेशन मालिकों |
| डेटा सुरक्षा (डीएलपी) | डेटा सुरक्षा टीम | डेटा स्वामी, गोपनीयता, अनुपालन |
| खतरे से सुरक्षा | सुरक्षा अभियान | सुरक्षा नेतृत्व |
| टीएलएस डिक्रिप्शन और बाईपास | वेब सुरक्षा टीम | गोपनीयता और कानूनी |
| अपवाद | व्यवसाय के मालिक से अनुरोध | नीति क्षेत्र स्वामी |
प्रत्येक नियम का कोई न कोई मालिक और व्यावसायिक कारण होना चाहिए।
संस्करण
सुरक्षा नीति को कोड की तरह मानें, ताकि हर बदलाव की समीक्षा की जाए, उसे रिकॉर्ड किया जाए और उसे वापस लिया जा सके:
- नीति परिभाषाओं को संस्करण नियंत्रण में संग्रहीत करें, या ऐसे प्लेटफ़ॉर्म का उपयोग करें जो पूर्ण संस्करण इतिहास रखता हो।
- प्रत्येक परिवर्तन के लिए विवरण, टिकट संदर्भ और अनुमोदक का नाम आवश्यक है।
- तैनाती से पहले परिवर्तनों की समीक्षा करें, जिसमें वर्तमान संस्करण के साथ तुलना करना भी शामिल है।
- टैग रिलीज़ का उपयोग करें ताकि किसी भी तैनात स्थिति की पहचान की जा सके और उसे पुनर्स्थापित किया जा सके।
NIST SP 800-53 Rev. 5 कॉन्फ़िगरेशन प्रबंधन नियंत्रण, जिसमें बेसलाइन कॉन्फ़िगरेशन (CM-2) और कॉन्फ़िगरेशन परिवर्तन नियंत्रण (CM-3) शामिल हैं, सर्वरों के साथ-साथ सुरक्षा नीति पर भी लागू होते हैं। NIST SP 800-128 सुरक्षा-केंद्रित कॉन्फ़िगरेशन प्रबंधन प्रथाओं का वर्णन करता है जो इनका समर्थन करती हैं।
रोलआउट
नीतिगत परिवर्तनों को चरणबद्ध तरीके से लागू करें ताकि समस्याएं सभी तक पहुंचने से पहले एक छोटे समूह में ही सामने आ जाएं:
- परीक्षण वातावरण में या नीति अनुकरण उपकरण के साथ सत्यापन करें ।
- कैनरी का उपयोग उपयोगकर्ताओं के एक छोटे समूह या किसी एक साइट के लिए किया जा सकता है।
- आधारभूत मानकों के आधार पर ब्लॉक दरों, त्रुटियों और हेल्पडेस्क टिकटों की निगरानी करें ।
- विभिन्न स्थानों और क्लाउड क्षेत्रों में लहरों के रूप में विस्तार करें ।
- सुनिश्चित करें कि प्रत्येक प्रवर्तन केंद्र नए संस्करण की रिपोर्ट करता है।
किसी भी तात्कालिक खतरे से प्रेरित बदलाव के लिए, एक त्वरित मार्ग परिभाषित करें जो बदलाव को रिकॉर्ड करे और उसे हर जगह सिंक्रनाइज़ करे।
अपवाद
अपवादों के मामले में ही निरंतरता सबसे तेजी से कमजोर होती है।
सभी वातावरणों को कवर करने वाला एक ही अपवाद रजिस्टर बनाए रखें:
- दायरा: उपयोगकर्ता, समूह, गंतव्य, डेटा वर्ग और चैनल
- वातावरण: वे कौन से प्रवर्तन बिंदु हैं जिन पर अपवाद लागू होता है
- औचित्य और स्वामी
- समाप्ति या समीक्षा तिथि
- क्षतिपूर्ति नियंत्रण
अपवाद केंद्रीय नीति में बनाए जाने चाहिए और प्रसारित किए जाने चाहिए, उन्हें कभी भी व्यक्तिगत उपकरणों पर सीधे कॉन्फ़िगर नहीं किया जाना चाहिए।
बहाव जाँच
ड्रिफ्ट डिटेक्शन इच्छित नीति की तुलना वास्तविक रूप से लागू की गई नीति से करता है।
- संस्करण जांच: प्रत्येक प्रवर्तन बिंदु अपने सक्रिय नीति संस्करण की रिपोर्ट करता है; विसंगतियों पर अलर्ट जारी करता है।
- कॉन्फ़िगरेशन अंतर: समय-समय पर तैनात कॉन्फ़िगरेशन को निर्यात करें और इसकी तुलना अनुमोदित बेसलाइन से करें।
- व्यवहारिक परीक्षण: स्थानीय गेटवे पर यूआरएल और एप्लिकेशन परीक्षण चलाएं, और गेटवे द्वारा अग्रेषित क्लाउड-लागू पथ के विरुद्ध डेटा सुरक्षा परीक्षण चलाएं, फिर परिणामों की तुलना आपके द्वारा बनाई गई नीति से करें।
- अपवाद ऑडिट: डिवाइस-स्तरीय अपवादों की तुलना केंद्रीय रजिस्टर से करें।
कम से कम साप्ताहिक रूप से और प्रत्येक परिवर्तन अवधि के बाद विचलन जांच का शेड्यूल बनाएं।
रोलबैक
रोलबैक प्रक्रिया से पिछली नीति का संस्करण एक ही ऑपरेशन में सभी प्रवर्तन बिंदुओं पर बहाल हो जाना चाहिए।
- नीति के पिछले संस्करण को सभी प्रवर्तन बिंदुओं पर पुनः लागू करने के लिए तैयार रखें।
- यह परिभाषित करें कि कौन रोलबैक को अधिकृत कर सकता है और किन शर्तों के तहत।
- यह सुनिश्चित करें कि रोलबैक एक ही ऑपरेशन में क्लाउड और ऑन-प्रिमाइसेस प्रवर्तन बिंदुओं तक पहुंचता है।
- कारणों सहित सभी निर्णयों में बदलाव दर्ज करें और समीक्षा के साथ आगे की कार्रवाई करें।
तुल्यकालन मॉडल
चार सिंक्रोनाइज़ेशन मॉडल मौजूद हैं, और पॉलिसी प्रबंधन के अधिक एकीकृत होने पर ड्रिफ्ट जोखिम कम हो जाता है।
| नमूना | यह काम किस प्रकार करता है | बहाव जोखिम |
|---|---|---|
| पृथक प्रबंधन | प्रत्येक वातावरण का अपना कंसोल और नियम होते हैं। | उच्च |
| स्क्रिप्टेड सिंक्रोनाइज़ेशन | प्लेटफ़ॉर्मों के बीच टूल के निर्यात और आयात नियम | मध्यम स्तर; अनुवाद में कमियां और सिंक्रोनाइज़ेशन में विफलताएं |
| साझा सूचियाँ | अलग-अलग नियम, लेकिन सामान्य अनुमति और अवरोध सूचियाँ सिंक्रनाइज़ की जाती हैं। | मध्यम |
| एकल नीति इंजन | एक ही नीति को हर प्रवर्तन केंद्र तक लागू किया गया। | कम |
सिंगल पॉलिसी इंजन को अभी भी ड्रिफ्ट चेक की आवश्यकता होती है, क्योंकि डिवाइस अपडेट करने में विफल हो सकते हैं, लेकिन वे नियम भाषाओं के बीच अनुवाद को समाप्त कर देते हैं।
केंद्रीकृत सुरक्षा नीति प्रबंधन चेकलिस्ट
हाइब्रिड पॉलिसी प्रबंधन नियंत्रण में है, इसकी पुष्टि करने के लिए इस चेकलिस्ट का उपयोग करें।
- प्रत्येक पॉलिसी क्षेत्र का एक स्वामी और एक अनुमोदक होता है।
- सभी नीतिगत परिवर्तनों को टिकट संदर्भों के साथ वर्शन किया जाता है।
- परिवर्तन चरणबद्ध तरीके से लागू किए जाएंगे और उनकी निगरानी की जाएगी।
- एक अपवाद रजिस्टर सभी वातावरणों को कवर करता है।
- प्रवर्तन बिंदु सक्रिय नीति संस्करणों की रिपोर्ट करते हैं
- ड्रिफ्ट चेक एक निर्धारित शेड्यूल के अनुसार और बदलावों के बाद चलाए जाते हैं।
- रोलबैक का दस्तावेजीकरण और परीक्षण किया जा चुका है।
- कृत्रिम परीक्षण इस बात की पुष्टि करते हैं कि एक ही नीति द्वारा निर्मित नीति प्रत्येक सत्र के लिए अपेक्षित परिणाम देती है, उस प्रवर्तन बिंदु पर जो इसे संभालता है।
स्काईहाई किस प्रकार सुसंगत हाइब्रिड नीति का समर्थन करता है?
स्काईहाई एक ही पॉलिसी सेट को कोड के रूप में हर प्रवर्तन बिंदु पर भेजकर हाइब्रिड पॉलिसी को सुसंगत बनाए रखता है।
Skyhigh एक पॉलिसी-एज़-कोड आर्किटेक्चर का उपयोग करता है जो भौतिक उपकरणों, वर्चुअल सिस्टम और क्लाउड नोड्स में नीतियों को स्वचालित रूप से लागू करता है, बिना वातावरणों के बीच मैन्युअल सामंजस्य स्थापित किए ( Skyhigh Security )। इसका हाइब्रिड SWG ऑन-प्रिमाइसेस नीतियों को क्लाउड पर एक-क्लिक माइग्रेशन और एकीकृत नीतियों के रीयल-टाइम सिंक्रोनाइज़ेशन का समर्थन करता है, और नियम ट्रेसिंग से पता चलता है कि किस नीति ने किसी दिए गए उपयोगकर्ता के ट्रैफ़िक को प्रभावित किया ( Skyhigh Security )। मार्च 2026 के प्लेटफ़ॉर्म अपडेट में स्थान-स्वतंत्र एकीकृत नीति प्रबंधन और एक प्रोग्राम करने योग्य, विस्तार योग्य नीति फ्रेमवर्क जोड़ा गया। Skyhigh हाइब्रिड SSE मेश के माध्यम से, नीति को क्लाउड कंसोल में एक बार बनाया जाता है और यह प्रत्येक सत्र पर लागू होती है। Secure Web Gateway जीरो ट्रस्ट एक्सेस और सुरक्षित ब्राउज़र नियंत्रण ऑन-प्रिमाइसेस सिक्योर सर्विस गेटवे पर मूल रूप से लागू किए जाते हैं, जबकि डीएलपी, सीएएसबी, डीएसपीएम, आरबीआई और एआई सुरक्षा नियंत्रण स्काईहाई क्लाउड के माध्यम से लागू किए जाते हैं।
सूत्रों का कहना है
- एनएसए और सीआईएसए। क्लाउड सुरक्षा के लिए दस सबसे प्रभावी उपाय (7 मार्च, 2024)। https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- एनआईएसटी. एसपी 800-53 संशोधन 5: सूचना प्रणालियों और संगठनों के लिए सुरक्षा और गोपनीयता नियंत्रण। https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- एनआईएसटी. एसपी 800-128: सूचना प्रणालियों के सुरक्षा-केंद्रित विन्यास प्रबंधन के लिए मार्गदर्शिका। https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security “अपने सिमेंटेक एज को आधुनिक बनाना” Secure Web Gateway "Skyhigh Hybrid SSE Mesh के साथ" (15 जुलाई, 2026)। https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security “स्काईहाई एसएसई प्लेटफॉर्म के साथ हाइब्रिड को अपनाना अब और भी आसान हो गया है” (3 अक्टूबर, 2024)। https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security . Skyhigh Security “विघटनकारी सार्वभौमिक एसएसई प्लेटफॉर्म को मजबूत करने के लिए नए समाधानों की घोषणा” (24 मार्च, 2026)। https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html