Lifecycle Cyber-Resilience for Communication and IoT Systems in High-Risk Environments: A Simulation-Validated Architecture for Supply-Chain Assurance, Secure Access Governance, and Explainable Adaptive Operation

आधुनिक दुनिया में, वे उपकरण जो हमारी लाइटें जलाए रखते हैं, हमारी फैक्ट्रियों को चला रहे हैं और हमारे अस्पतालों को जोड़े हुए हैं, वे अब केवल अलग-थलग मशीनें नहीं रह गए हैं। वे विशाल, परस्पर जुड़े नेटवर्क का हिस्सा हैं जहाँ एक अकेला कमजोर लिंक पूरे सिस्टम से समझौता कर सकता है। इस वास्तविकता ने साइबर-रेज़िलिएंस (साइबर-लचीलापन) पर केंद्रित इंजीनियरिंग के एक क्षेत्र को जन्म दिया है: एक सिस्टम की वह क्षमता न केवल हमले का विरोध करने की, बल्कि परेशानी का पूर्वानुमान लगाने, उसका सामना करने, तेजी से उबरने और स्थितियाँ बदलने पर सुरक्षित रूप से अनुकूलित होने की। इन सिस्टमों को वास्तव में सुरक्षित होने के लिए, सुरक्षा केवल उपकरण चालू होने के क्षण पर ही नहीं रुकनी चाहिए। सुरक्षा को उपकरण के कारखाने से निकलने, इसके दैनिक उपयोग और अंततः इसकी सेवानिवृत्ति तक साथ चलना चाहिए। इसका अर्थ है यह जांचना कि उपकरण कहाँ से आया है, यह सुनिश्चित करना कि इसे नियंत्रित करने वाला व्यक्ति वही है जो वह होने का दावा करता है, और यह सुनिश्चित करना कि उपकरण तनाव या खतरे का सामना करने पर बुद्धिमानी से प्रतिक्रिया दे सके।

डेवर्री यूनिवर्सिटी के एक शोधकर्ता, सेड्रिक अलेक्जेंडर थॉर्नवेल ने इस जटिल यात्रा को प्रबंधित करने का एक नया तरीका प्रस्तावित किया है। एक हालिया अध्ययन में, उन्होंने 'लाइफसाइकिल साइबर-रेज़िलिएंस आर्किटेक्चर' (LCRA) नामक एक फ्रेमवर्क पेश किया। यह कोई एकल उपकरण नहीं है, बल्कि एक तीन-स्तरीय प्रणाली है जिसे मिलकर काम करने के लिए डिज़ाइन किया गया है। पहला भाग नेटवर्क में शामिल होने से पहले उपकरण के इतिहास और स्वास्थ्य की जांच करता है। दूसरा भाग एक सख्त द्वारपाल के रूप में कार्य करता है, यह सत्यापित करता है कि केवल सही लोग ही संवेदनशील कार्यों को करने की अनुमति प्राप्त कर सकें। तीसरा भाग उपकरण को सुरक्षित रहने के लिए पूरी तरह से बंद हुए बिना, चलते समय अपने व्यवहार को बदलने की अनुमति देता है। यह देखने के लिए कि क्या यह विचार वास्तव में काम करता है, थॉर्नवेल ने केवल आरेख (डायग्राम) नहीं बनाए; उन्होंने एक विशाल, विस्तृत कंप्यूटर सिमुलेशन बनाया। उन्होंने एक आभासी दुनिया बनाई जिसमें 6,000 डिवाइस-अश्योरेंस रिकॉर्ड, 8,000 एक्सेस प्रयास और 11,000 एंड-टू-एंड लाइफसाइकिल सत्र शामिल थे, जो सामान्य दैनिक उपयोग से लेकर गंभीर हमलों और पर्यावरणीय तनाव तक विस्तृत थे। लक्ष्य यह देखना था कि क्या इन तीन सुरक्षा परतों को जोड़ने से उन्हें अलग-अलग उपयोग करने की तुलना में अधिक खतरों को रोका जा सकता है।

सिमुलेशन ने पहले परत के परीक्षण के साथ शुरुआत की: उपकरण की उत्पत्ति की जांच। वास्तविक दुनिया में, एक उपकरण को किसी बेईमान आपूर्तिकर्ता द्वारा समझौता किया जा सकता है या कारखाने से निकलने से पहले ही खराब सॉफ़्टवेयर से संक्रमित किया जा सकता है। पारंपरिक सुरक्षा अक्सर एक साधारण जांच पर निर्भर करती है, जैसे सॉफ़्टवेयर के डिजिटल फिंगरप्रिंट को सत्यापित करना। थॉर्नवेल की प्रणाली, हालांकि, एक बहुत व्यापक तस्वीर देखती है। यह साक्ष्य एकत्र करती है कि उपकरण किसने बनाया, इसके सॉफ़्टवेयर की स्थिति क्या है, ज्ञात कमजोरियाँ क्या हैं, आपूर्तिकर्ता की प्रतिष्ठा क्या है, और क्या उपकरण अभी भी समर्थित है। इन सभी कारकों को एक साथ तौलकर, सिस्टम प्रत्येक उपकरण को एक 'हेल्थ स्कोर' (स्वास्थ्य स्कोर) प्रदान करता है। सिमुलेशन में, यह बहु-साक्ष्य दृष्टिकोण उल्लेखनीय रूप से प्रभावी था। इसने मानक परीक्षण वातावरण में समझौता किए गए उपकरणों की 99.9% पहचान सही ढंग से की, जबकि साधारण फिंगरप्रिंट चेक केवल लगभग 62% को ही पकड़ पाया। इसके बदले में, नई प्रणाली थोड़ी अधिक सतर्क थी, जिससे कभी-कभी एक सुरक्षित उपकरण को संदिग्ध के रूप में चिह्नित किया गया, लेकिन इसने लगभग हर उस खतरे को पकड़ा जिसे पुराने तरीके ने छोड़ दिया था।

एक बार जब उपकरण प्रारंभिक जांच में पास हो गया, तो उसे दूसरी परत का सामना करना पड़ा: एक्सेस कंट्रोल (पहुंच नियंत्रण)। यहीं पर सिस्टम यह तय करता है कि किसे उपकरण से बात करने की अनुमति है और वे क्या करने की अनुमति रखते हैं। सिमुलेशन ने एक परिदृश्य का परीक्षण किया जहाँ एक हमलावर ने पुराने लॉगिन क्रेडेंशियल का पुन: उपयोग करके या यह दिखावा करके घुसपैठ करने की कोशिश की कि उनके पास वास्तव में अधिक अधिकार हैं। नए आर्किटेक्चर ने यह आवश्यक बनाया कि प्रत्येक अनुरोध की जांच उपकरण के वर्तमान स्वास्थ्य स्कोर के विरुद्ध की जाए। यदि किसी उपकरण को जोखिम भरा माना गया, तो वैध पासवर्ड वाले वैध उपयोगकर्ता को भी संवेदनशील परिवर्तन करने से रोक दिया गया। परिणाम निर्णायक थे। नए सिस्टम ने अनधिकृत पहुंच प्राप्त करने के लिए हमलावर द्वारा किए गए हर एक मॉडल प्रयास को खारिज कर दिया। इसके विपरीत, एक ऐसा सिस्टम जिसने केवल पासवर्ड की जांच की और उपकरण की स्थिति को अनदेखा किया, कई हमलों को रोकने में विफल रहा। अध्ययन ने दिखाया कि यह जानना कि उपकरण सुरक्षित है, उतना ही महत्वपूर्ण है जितना कि यह जानना कि उपयोगकर्ता वही है जिसका वह दावा कर रहा है।

अंतिम परत सिस्टम के चलने के दौरान उपकरण के व्यवहार से संबंधित है। उच्च-जोखिम वाले वातावरण में, उपकरण अक्सर ऊर्जा की मांग में अचानक वृद्धि, नेटवर्क में देरी, या ऐसी अजीब गतिविधि का सामना करते हैं जो हमले का संकेत देती है। पुराने सिस्टम सुरक्षा के लिए बस बंद हो सकते हैं, या वे समस्या को बहुत देर होने तक अनदेखा कर सकते हैं। LCRA सिस्टम प्रतिक्रिया कैसे देनी है, यह तय करने के लिए स्पष्ट, समझने योग्य नियमों के सेट का उपयोग करता है। यह ऊर्जा बचाने, स्थिति की अधिक बारीकी से निगरानी करने, अपनी सेवाओं को सीमित करने या पूरी तरह से खुद को अलग करने का विकल्प चुन सकता है। महत्वपूर्ण रूप से, यह निर्णय शून्य में नहीं लिया जाता है; यह पहली परत से प्राप्त उपकरण के स्वास्थ्य स्कोर और दूसरी परत के एक्सेस नियमों को ध्यान में रखता है। जब सिमुलेशन ने कठिन परिस्थितियों को पेश किया, तो इस अनुकूली (adaptive) सिस्टम ने खतरे को सफलतापूर्वक नियंत्रित करते हुए 94% समय सेवा को चालू रखा। एक सरल सिस्टम जिसने इस लचीलेपन के बिना निश्चित नियमों का उपयोग किया, वह खतरे को 67% से कम समय में नियंत्रित कर पाया और अक्सर अनावश्यक रूप से उपकरण को बंद कर दिया।

सबसे महत्वपूर्ण निष्कर्ष तब आया जब शोधकर्ताओं ने देखा कि पूरा सिस्टम मिलकर कैसे काम करता है। उन्होंने पूर्ण तीन-स्तरीय आर्किटेक्चर की तुलना उन संस्करणों से की जहाँ एक हिस्से को हटा दिया गया था या अलग कर दिया गया था। जब सिस्टम परतों के बीच सूचना साझा नहीं कर सका—जब एक्सेस गेटकीपर को यह पता नहीं था कि उपकरण बीमार है, या जब एडेप्टिव नियम यह नहीं जानते थे कि कौन पहुंच के लिए पूछ रहा है—तो सिस्टम बहुत अधिक बार विफल हुआ। मानक परीक्षण वातावरण में, पूर्ण, जुड़े हुए सिस्टम ने शुरू से अंत तक 9ABLE 98.7% दुर्भावनापूर्ण घटनाओं को रोका। जब उन्होंने उपकरण के इतिहास और शेष सिस्टम के बीच के लिंक को हटा दिया, तो सफलता दर गिरकर 78% रह गई। इसने साबित कर दिया कि आर्किटेक्चर का मूल्य भागों के बीच के संबंध में निहित है, न कि केवल भागों में।

हालाँकि, अध्ययन ने सुरक्षा के बारे में एक कठिन वास्तविकता भी उजागर की। जब शोधकर्ताओं ने सिमुलेशन को अधिक तनावपूर्ण बनाया, जिसमें शोर वाला डेटा और कठोर स्थितियाँ शामिल थीं, तो सिस्टम हमलों को रोकने में और भी बेहतर हो गया, जिसने 99.9% मामलों को पकड़ा। लेकिन इस बढ़ी हुई सुरक्षा के साथ एक कीमत भी आई। सिस्टम ने वैध अनुरोधों को अधिक बार ब्लॉक करना शुरू कर दिया, जिससे सामान्य उपयोगकर्ताओं को 18.2% समय गलती से प्रतिबंधित किया गया। यह साइबर-रेज़िलिएंस में एक मौलिक तनाव को उजागर करता है: एक सिस्टम को अत्यंत सुरक्षित बनाने से अक्सर उसकी उपलब्धता कम हो जाती है। शोधकर्ताओं ने उल्लेख किया कि वास्तविक दुनिया में, इसके लिए सही संतुलन खोजने के लिए सावधानीपूर्वक ट्यूनिंग की आवश्यकता होगी, यह सुनिश्चित करते हुए कि सिस्टम सुरक्षित रहे लेकिन इतना सख्त न हो जाए कि यह उन लोगों के लिए काम करना बंद कर दे जिन्हें इसकी आवश्यकता है।

पूरे सिमुलेशन के दौरान, शोधकर्ताओं ने यह भी सुनिश्चित किया कि सिस्टम द्वारा लिया गया प्रत्येक निर्णय समझाया जा सके। उन्होंने एक ऐसी विशेषता बनाई जो यह दिखा सकती थी कि किसी उपकरण को क्यों रोका गया या किसी विशिष्ट कार्रवाई के लिए क्यों लिया गया, जिसमें उन कारकों को सूचीबद्ध किया गया जो सबसे अधिक मायने रखते थे। परीक्षणों में, यह स्पष्टीकरण प्रणाली अत्यधिक स्थिर थी, जिसका अर्थ है कि इसने स्थितियों के थोड़ा बदलने पर भी अपने निर्णयों के लिए सुसंगत कारण दिए। यह पारदर्शिता विश्वास के लिए महत्वपूर्ण है, जिससे मानव ऑपरेटर मशीन के तर्क को समझ सकते हैं बजाय इसके कि वे इसे एक 'ब्लैक बॉक्स' की तरह मानें।

अध्ययन यह निष्कर्ष निकालता है कि हालांकि यह आर्किटेक्चर हर संभावित खतरे के लिए एक आदर्श समाधान नहीं है, फिर भी यह एक स्पष्ट मार्ग प्रदर्शित करता है। उपकरण के इतिहास, उसके उपयोगकर्ताओं की पहचान और उसके वास्तविक समय के व्यवहार को जोड़कर, संगठन ऐसे सिस्टम बना सकते हैं जो केवल अलग-थलग जांच पर निर्भर सिस्टम की तुलना में कहीं अधिक लचीले होते हैं। यह कार्य पूरी तरह से एक सिम्युलेटेड वातावरण में किया गया था, जिसका अर्थ है कि परिणाम एक मजबूत 'प्रूफ ऑफ कॉन्सेप्ट' हैं न कि तैनाती के लिए तैयार अंतिम उत्पाद। शोधकर्ता सुझाव देते हैं कि अगला कदम इन विचारों को वास्तविक हार्डवेयर और वास्तविक दुनिया के डेटा पर परीक्षण करना है। तब तक, सिमुलेशन एक सम्मोहक दृष्टि प्रदान करता है कि कैसे सुरक्षा स्थिर चेकपॉइंट्स की श्रृंखला से विकसित होकर एक निरंतर, अनुकूली संवाद बन सकती है जो हमारी जुड़ी हुई दुनिया को सुरक्षित रखती है।