[Tech Thoughts] DICT की बग बाउंटी और एथिकल हैकिंग एक नज़र में

सूचना और संचार प्रौद्योगिकी विभाग ने 14 जनवरी को विभागीय परिपत्र HRA-002 जारी किया, जिसमें भेद्यता प्रकटीकरण और देश की सुरक्षित आश्रय नीति और बग बाउंटी कार्यक्रम पर संशोधित और समेकित दिशानिर्देश, नियम और विनियम निर्धारित किए गए हैं।

DICT सचिव हेनरी अगुडा पिछले साल इस विकास का प्रचार करने के उद्देश्य से Rootcon हैकिंग सम्मेलन में भी गए थे, और कहा था कि देश के हैकर्स को अपने कौशल का उपयोग "नष्ट करने के लिए नहीं, बल्कि सुरक्षा के लिए" करना चाहिए।

इस उद्देश्य के लिए, सुरक्षित आश्रय नीति और बग बाउंटी कार्यक्रम (SHPBBP) की स्थापना सही कौशल सेट वाले लोगों के लिए एक स्वागत योग्य कदम होना चाहिए, क्योंकि यह सरकारी सेवाओं के लिए जिम्मेदार साइबर सुरक्षा प्रकटीकरण को प्रोत्साहित करने का प्रयास करता है।

आइए देखें कि यह सब क्या मतलब है, खासकर यदि आपने इस विकास के बारे में नहीं सुना है।

एथिकल हैकर्स, बग बाउंटी और सुरक्षित आश्रय नीतियां

एथिकल हैकिंग वह प्रक्रिया है जिसके द्वारा एक साइबर सुरक्षा पेशेवर, जिसे व्हाइट-हैट हैकर के रूप में भी जाना जाता है, ऐप्स, सिस्टम या प्रौद्योगिकियों में भेद्यताओं की पहचान करता है और उन्हें ठीक करने में मदद करता है, इससे पहले कि उस भेद्यता का उपयोग एक अनैतिक, या ब्लैक-हैट, हैकर द्वारा दुर्भावनापूर्ण तरीके से किया जा सके।

इस प्रकार, एथिकल हैकिंग वास्तविक दुनिया के साइबर हमलों का अनुकरण करती है ताकि एक सिस्टम के जोखिमों का आकलन किया जा सके ताकि दिए गए सिस्टम में सुधार किया जा सके या अन्यथा सुरक्षा को मजबूत किया जा सके।

व्हाइट-हैट हैकर्स के लिए एथिकल हैकिंग को पुरस्कृत करने के लिए, बग बाउंटी कार्यक्रम संगठनात्मक संरचनाएं हैं जो भेद्यताओं को उजागर करने और जिम्मेदारी से उन प्रणालियों को विकसित करने वाले लोगों को सौंपने के काम के लिए वित्तीय मुआवजे का आकलन और पेशकश करने के लिए स्थापित की जाती हैं। यह इसलिए है ताकि उक्त सिस्टम की सुरक्षा में सुधार किया जा सके।

बग बाउंटी कार्यक्रम अक्सर हैकर्स को अपना काम करने के लिए सुरक्षा के साथ आते हैं।

ये सुरक्षित आश्रय नीतियां व्हाइट-हैट हैकर्स या सुरक्षा शोधकर्ताओं को प्रशासनिक, नागरिक या आपराधिक दायित्व से बचाने के लिए डिज़ाइन की गई हैं, यदि वे बग खोजने की प्रक्रिया में कुछ पाते हैं, जब तक कि वे किसी दिए गए बग बाउंटी कार्यक्रम की विशिष्टताओं के अनुसार अपने शोध का उचित खुलासा करते हैं।

DICT का SHPBBP परिपत्र किस बारे में है?

DICT का SHPBBP उन सुरक्षाओं और आवश्यकताओं की रूपरेखा देता है जो DICT के बग बाउंटी कार्यक्रम में भाग लेने के लिए आवश्यक हैं।

अब, आप सोच रहे होंगे कि क्या कोई भी बग बाउंटी में भाग ले सकता है।

DICT के परिपत्र के उद्देश्यों के लिए, आपको कम से कम एक पेशेवर साइबर सुरक्षा शोधकर्ता होना होगा। बग बाउंटी से पुरस्कृत होने के योग्य होने के लिए आपको अपने योगदानकर्ता को जानें (KYC) प्रक्रिया के तहत अपना पंजीकरण भी करना होगा।

विशेष रूप से हालांकि, परिपत्र ने कहा कि यह निम्नलिखित पर लागू होता है:

• कार्यकारी शाखा के तहत सभी राष्ट्रीय सरकारी एजेंसियां, जिनमें सरकारी स्वामित्व और नियंत्रित निगम और उनकी सहायक कंपनियां, सरकारी वित्तीय संस्थान, और राज्य विश्वविद्यालय और कॉलेज शामिल हैं, जिनमें *.gov.ph डोमेन और DICT-प्रबंधित प्लेटफॉर्म के तहत आने वाले शामिल हैं;
• फिलीपीन कांग्रेस, न्यायपालिका, स्वतंत्र संवैधानिक आयोग, लोकपाल कार्यालय, और स्थानीय सरकारी इकाइयों को इस परिपत्र को अपनाने के लिए अत्यधिक प्रोत्साहित किया जाता है;
• DICT के सार्वजनिक-निजी साइबर सुरक्षा साझेदारी कार्यक्रम के तहत स्वेच्छा से नामांकित निजी संस्थाएं;
• राष्ट्रीय साइबर सुरक्षा योजना (NCSP) के तहत पहचानी गई महत्वपूर्ण सूचना अवसंरचना (CII) संचालक; और
• साइबर सुरक्षा शोधकर्ता जो किसी संगठन के नेटवर्क और सिस्टम के लिए संभावित खतरों की पहचान और विश्लेषण के लिए जिम्मेदार हैं।

सुरक्षित आश्रय सुरक्षा केवल तभी लागू होगी, जब आप एक सुरक्षा शोधकर्ता हैं जो केवल बग बाउंटी के दायरे में घोषित सिस्टम का परीक्षण कर रहे हैं; आप किसी भी प्रकार के अनधिकृत डेटा निष्कर्षण, परिवर्तन या सेवा व्यवधान नहीं करते हैं; आप DICT या अधिकृत संस्था को जिम्मेदारी से और निजी तौर पर भेद्यताओं की रिपोर्ट करते हैं; और आप अपने निष्कर्षों को निजी रखते हैं और उन्हें तब तक प्रकट नहीं करते जब तक कि आपके द्वारा पाई गई समस्या का समाधान नहीं हो जाता है या आपको इसे सार्वजनिक रूप से चर्चा करने की अनुमति नहीं दी जाती है।

यह सब कैसे काम करता है?

आप उत्सुक हो सकते हैं कि यह व्यवहार में कैसे काम करता है, तो यहां बताया गया है कि यह आम तौर पर कैसे होगा।

एक सुरक्षा शोधकर्ता ऊपर उल्लिखित अपने ग्राहक को जानें प्रक्रिया के माध्यम से DICT की पहल में शामिल होने के लिए आवेदन करता है। नकद पुरस्कारों के लिए पात्र होने के लिए उन्हें पूरी प्रक्रिया को पूरा करना होगा और स्वीकार किया जाना होगा। हितों का टकराव - उदाहरण के लिए, DICT कर्मचारी और DICT द्वारा नियुक्त तृतीय-पक्ष सेवा प्रदाता - संभावित आवेदकों को इन बग बाउंटी में भाग लेने से अयोग्य घोषित करते हैं।

बग बाउंटी कार्यक्रम में भाग लेने वाली संस्थाओं द्वारा इसकी बाउंटी निर्धारित की जाएगी, अर्थात् मदद की जरूरत वाली सरकारी एजेंसियां, या सरकारी भागीदार जो अपनी खुद की बाउंटी निर्धारित करना चाहते हैं। इस परिपत्र को काम करने के लिए धन "कवर की गई एजेंसी या संस्था के मौजूदा बजट के खिलाफ और बजट और प्रबंधन विभाग द्वारा पहचाने जा सकने वाले अन्य उपयुक्त धन स्रोतों के विरुद्ध, प्रासंगिक कानूनों, नियमों और विनियमों के अधीन वसूल किया जाएगा।"

ये बाउंटी - जिसमें कौन सी साइट या सेवाएं और उन साइटों और सेवाओं के कौन से पहलुओं को परीक्षण की आवश्यकता है - एक भेद्यता प्रकटीकरण कार्यक्रम पोर्टल (VDPP) पर सूचीबद्ध हैं, जो बग खोजने और उनकी रिपोर्ट करने के लिए समर्पित एक वेबसाइट है। यह DICT के साइबर सुरक्षा ब्यूरो द्वारा होस्ट और बनाए रखी जाती है।

VDPP को उचित रूप से रिपोर्ट किए गए बग और मुद्दे गंभीर, उच्च, मध्यम और निम्न से लेकर चार संभावित सुरक्षा परिदृश्यों के अंतर्गत आ सकते हैं, रिपोर्ट और उनकी गंभीरता के आधार पर उद्योग दरों के आधार पर संभावित भुगतान के साथ।

DICT का साइबर सुरक्षा ब्यूरो रिपोर्टों को मान्य करेगा, और मान्य रिपोर्टों वालों को "मान्य भेद्यता की रिपोर्टिंग और/या
समाधान में शोधकर्ता के योगदान के लिए उपयुक्त प्रमाण पत्र/मान्यता" देगा। निजी क्षेत्र की भाग लेने वाली संस्थाएं, DICT साइबर सुरक्षा ब्यूरो के साथ समन्वय के बाद, VDPP में उल्लिखित संरचित प्रोत्साहन तंत्र के आधार पर उपयुक्त मौद्रिक पुरस्कार या प्रोत्साहन दे सकती हैं।

मौद्रिक पुरस्कारों के अलावा, जिम्मेदार प्रकटीकरणों को सरकारी सुर्खियों में कुछ समय मिलने पर शामिल स्थिति भी है। पुरस्कारों में डिजिटल और मुद्रित प्रमाण पत्र, VDPP पर सार्वजनिक मान्यता, और अन्य DICT उद्धरणों में शामिल करना शामिल है, जैसा कि परिपत्र के अनुसार है।

एक अत्यधिक आवश्यक विकास

प्रक्रिया में संलग्न होने के लिए परिभाषित नियमों के साथ एक राष्ट्रीय बग बाउंटी कार्यक्रम अच्छी खबर है और साइबर सुरक्षा स्थान में एक अत्यधिक आवश्यक विकास है, क्योंकि इससे लंबे समय में एथिकल हैकिंग को प्रोत्साहित करने में मदद मिलनी चाहिए जबकि अभी सरकारी सिस्टम में सुधार होना चाहिए।

यदि आप एक उभरते साइबर सुरक्षा पेशेवर हैं, तो यह उद्योग में प्रवेश करने का एक अच्छा तरीका हो सकता है, जब तक कि आप जानते हैं कि आप क्या कर रहे हैं और जिम्मेदार प्रकटीकरण के लिए आवश्यक काम करते हैं।

विवरण के लिए यहां लिंक किए गए परिपत्र को देखें और शामिल हों। आप कुछ बुरे लोगों से सरकारी सुरक्षा में सुधार करने में मदद कर सकते हैं। – Rappler.com