Phantom Grid - एंटरप्राइज़ ज़ीरो ट्रस्ट नेटवर्क एक्सेस (ZTNA)

Phantom Grid एक अगली पीढ़ी का ज़ीरो ट्रस्ट नेटवर्क एक्सेस (ZTNA) और सक्रिय रक्षा प्रणाली है। यह Linux सर्वरों को एक मज़बूत, भ्रामक आक्रमण सतह में बदलने के लिए कर्नेल स्तर (eBPF) और एप्लिकेशन स्तर (mTLS) दोनों पर कार्य करता है।

आधुनिक उद्यमों के लिए निर्मित, इसे नेटवर्क स्कैनरों के लिए आपके बुनियादी ढांचे की दृश्यता को काफी कम करने के लिए डिज़ाइन किया गया है, जबकि अधिकृत कर्मियों के लिए यह अत्यधिक सुलभ बना हुआ है।

मुख्य क्षमताएँ

eBPF नेटवर्क क्लोकिंग और SPA (लेयर 4 ज़ीरो ट्रस्ट)

महत्वपूर्ण नेटवर्क सेवाएँ (जैसे, SSH, डेटाबेस, प्रबंधन इंटरफ़ेस) डिफ़ॉल्ट रूप से XDP के माध्यम से Linux कर्नेल में मूल रूप से ड्रॉप कर दी जाती हैं, जिससे अनधिकृत खोज का जोखिम काफी कम हो जाता है। पहुँच गतिशील रूप से सिंगल पैकेट ऑथराइज़ेशन (SPA) के माध्यम से दी जाती है, जो Ed25519 क्रिप्टोग्राफी और टाइम-बेस्ड वन-टाइम पासवर्ड (TOTP) का उपयोग करती है।

mTLS आइडेंटिटी प्रॉक्सी (लेयर 7 ज़ीरो ट्रस्ट)

NAT ब्लाइंडस्पॉट्स को कम करने के लिए, Phantom Grid में एक एकीकृत म्यूचुअल TLS (mTLS) प्रॉक्सी है। प्रॉक्सी किसी भी ट्रैफ़िक को रूट करने से पहले क्लाइंट-साइड X.509 प्रमाणपत्रों को सख्ती से सत्यापित करती है, जिससे यह सुनिश्चित होता है कि भले ही कोई हमलावर किसी अधिकृत उपयोगकर्ता के समान पब्लिक NAT IP साझा करता हो, फिर भी मज़बूत सुरक्षा बनी रहती है।

माइक्रोसर्विसेज़ और आंतरिक ट्रैफ़िक

Phantom Grid आंतरिक बैकएंड-टू-डेटाबेस संचार को बाधित किए बिना मौजूदा माइक्रोसर्विसेज़ आर्किटेक्चर के साथ सहजता से एकीकृत होता है:

• लोकलहोस्ट बायपास: ट्रैफ़िक जो सख्ती से लूपबैक इंटरफ़ेस (lo) से बंधा होता है, शून्य ओवरहेड के साथ मूल रूप से संचालित होता है, जिससे एक ही होस्ट पर बैकएंड सेवाओं और डेटाबेस को स्वतंत्र रूप से संचार करने की अनुमति मिलती है, जबकि पब्लिक पोर्ट क्लोक्ड रहता है।
• सर्विस-टू-सर्विस mTLS (आइडेंटिटी-अवेयर प्रॉक्सी): वितरित प्रणालियों के लिए, Phantom Grid लीगेसी IP व्हाइटलिस्टिंग को त्यागकर SPIFFE/SPIRE-शैली सर्विस आइडेंटिटी को प्राथमिकता देता है। बैकएंड सेवाएँ DB सर्वर के लिए अल्पकालिक, प्रमाणपत्र-बद्ध mTLS टनल स्थापित करती हैं। कनेक्शन नीतियाँ अविश्वसनीय IP पतों के बजाय क्रिप्टोग्राफिक आइडेंटिटी (जैसे, CN=backend-api) के माध्यम से सख्ती से लागू की जाती हैं, जिससे गतिशील क्लाउड/Kubernetes वातावरणों में सच्चा ज़ीरो ट्रस्ट सुनिश्चित होता है।

सक्रिय भ्रम और खतरा नियंत्रण

• डायनामिक पोर्ट भ्रम: पुनरावलोकन उपकरणों और पोर्ट स्कैनरों को भ्रमित करने के लिए अप्रयुक्त पोर्टों पर यादृच्छिक, प्रतिक्रियाशील सेवाओं का अनुकरण करता है।
• पारदर्शी हनीपॉट रीडायरेक्शन: प्रतिबंधित खंडों को लक्षित करने वाले दुर्भावनापूर्ण ट्रैफ़िक को इंटरसेप्ट करता है और व्यवहार विश्लेषण के लिए इसे पारदर्शी रूप से आंतरिक हनीपॉट्स पर रीडायरेक्ट करता है।
• OS फिंगरप्रिंट म्यूटेशन: स्पष्ट ऑपरेटिंग सिस्टम हस्ताक्षर को बदलने के लिए TCP/IP पैकेट हेडर को वास्तविक समय में संशोधित करता है, जिससे स्वचालित एक्सप्लॉइट लक्ष्यीकरण बाधित होता है।
• एग्रेस कंटेनमेंट: अनधिकृत आउटबाउंड कनेक्शनों और डेटा एक्सफ़िल्ट्रेशन प्रयासों का पता लगाने और उन्हें कम करने के लिए Linux ट्रैफ़िक कंट्रोल (TC) के माध्यम से कर्नेल-स्तरीय डेटा लॉस प्रिवेंशन (DLP) लागू करता है।

की डिस्ट्रिब्यूशन सेंटर और मल्टी-की इंजन

एंटरप्राइज़ स्केल के लिए डिज़ाइन किया गया, Fleet Manager में एक KDC API शामिल है जो नई तैनातियों के लिए स्वचालित रूप से SPA Keys, TOTP secrets, और mTLS प्रमाणपत्र उत्पन्न करती है। Agent बड़ी मात्रा में Public Keys लोड करने का समर्थन करता है, जिससे फ्लीट को प्रभावित किए बिना व्यक्तिगत पहुँच को तेज़ी से रद्द करने की अनुमति मिलती है।

थ्रेट इंटेलिजेंस और पर्सिस्टेंट मैनेजमेंट

• पर्सिस्टेंट फ्लीट डेटाबेस: Fleet Manager टेलीमेट्री, हमला लॉग, और कनेक्टेड एजेंट स्थितियों को लगातार संग्रहीत करने के लिए GORM के माध्यम से एक एम्बेडेड SQLite डेटाबेस का उपयोग करता है।
• ELK एकीकरण: केंद्रीकृत निगरानी और अलर्टिंग के लिए संरचित सुरक्षा घटनाओं को मूल रूप से Elasticsearch में निर्यात करता है।
• टर्मिनल UI: तत्काल खतरा दृश्यावलोकन और फोरेंसिक्स के लिए एक वास्तविक समय, टर्मिनल-आधारित डैशबोर्ड प्रदान करता है।

प्रीमियम क्लाइंट UI

SPA Client में एक एम्बेडेड, हार्डवेयर-त्वरित वेब डैशबोर्ड शामिल है। उपयोगकर्ता CLI दक्षता की आवश्यकता के बिना एक ही क्लिक में संरक्षित सर्वरों से आसानी से कनेक्ट हो सकते हैं, वास्तविक समय की लेटेंसी देख सकते हैं, और कनेक्शन स्थितियों का प्रबंधन कर सकते हैं।

आर्किटेक्चर

Phantom Grid पारंपरिक कर्नेल मॉड्यूल की तुलना में कर्नेल अस्थिरता के जोखिम को काफी कम करने के लिए Linux eBPF वेरिफायर का लाभ उठाता है। वेरिफायर सत्यापन में विफल होने वाले प्रोग्राम कर्नेल में लोड होने से पहले अस्वीकार कर दिए जाते हैं।

XDP लेयर पर संचालित होकर, Phantom Grid नगण्य प्रदर्शन ओवरहेड प्राप्त करता है। उच्च-मात्रा वाले हमलों (जैसे, DDoS) के दौरान CPU उपयोग पारंपरिक Linux नेटवर्किंग स्टैक में पैकेट प्रोसेसिंग की तुलना में काफी कम हो जाता है, जबकि न्यूनतम मेमोरी उपयोग बना रहता है।

graph TD
    Client[Remote Client] -->|SPA Packet| XDP{eBPF XDP Cloaking}
    Client -->|mTLS Handshake| Proxy{mTLS Proxy}
    
    subgraph Kernel Space
        XDP -->|Invalid/Scan| Redirect[Redirect to Honeypot]
        XDP -->|Valid SPA| Allow[Open Port for IP]
        TC[eBPF TC Hook] -->|Egress Filtering| NIC
    end

    subgraph User Space
        Allow --> Proxy
        Proxy -->|Invalid Cert| Reject[Terminate Connection]
        Proxy -->|Valid Cert| Service[Internal Service e.g. SSH:22]
        Redirect --> HP[Internal Honeypot]
        HP --> Telemetry[Logger & Telemetry]
    end
    
    Fleet[Fleet Manager] -.->|Provisions| Client

प्रदर्शन बेंचमार्क

हमारा eBPF-आधारित आर्किटेक्चर पारंपरिक iptables या nftables की तुलना में बहुत तेज़ी से संचालित होता है क्योंकि यह Linux नेटवर्क स्टैक में प्रवेश करने से पहले NIC ड्राइवर स्तर पर पैकेट ड्रॉप करता है।

• थ्रूपुट और लेटेंसी: मानक Intel X710 NICs (Kernel 6.8) पर आंतरिक बेंचमार्किंग 64-बाइट पैकेटों के लिए औसतन < 0.8 माइक्रोसेकंड का XDP_PASS लेटेंसी प्रदर्शित करती है।
• XDP बनाम Netfilter: XDP के माध्यम से पैकेट ड्रॉप दर प्रति कोर 24 मिलियन पैकेट प्रति सेकंड (Mpps) से अधिक हो सकती है, जो iptables नियमों से बहुत बेहतर प्रदर्शन करती है जो आमतौर पर समान CPU बाधाओं के तहत लगभग 2-3 Mpps पर बाधित हो जाते हैं।
• हार्डवेयर एग्नोस्टिक: Broadcom, Intel, और Mellanox नेटवर्क इंटरफेसों में लगातार प्रदर्शन सुधार देखा जाता है।

विश्वसनीयता और सत्यापन

एंटरप्राइज़ सुरक्षा उत्पादों को पूर्ण स्थिरता की आवश्यकता होती है। Phantom Grid को उत्पादन वातावरणों में शून्य व्यवधान सुनिश्चित करने के लिए कठोरता से सत्यापित किया जाता है:

• स्वचालित CI/CD परीक्षण: सभी कमिट्स कई Linux कर्नेल संस्करणों (5.4, 5.10, 5.15, 6.1, और 6.8) में स्वचालित बिल्ड और यूनिट परीक्षणों को ट्रिगर करते हैं।
• एकीकरण और तनाव परीक्षण: रात्रिकालीन पाइपलाइनें स्थिरता की गारंटी देने और मेमोरी लीक को रोकने के लिए भारी लोड के तहत DDoS स्थितियों और जटिल mTLS वार्ता का अनुकरण करती हैं।
• कर्नेल अपग्रेड: अपने Linux कर्नेल को अपग्रेड करने से सुरक्षा मुद्रा नहीं टूटेगी। लोड होने से पहले संगतता और सुरक्षा सुनिश्चित करने के लिए eBPF प्रोग्राम रनटाइम पर सत्यापित किए जाते हैं।

सिस्टम आवश्यकताएँ

इष्टतम प्रदर्शन और सुरक्षा सुनिश्चित करने के लिए, निम्नलिखित न्यूनतम आवश्यकताएँ पूरी की जानी चाहिए:

हार्डवेयर आवश्यकताएँ

• CPU: न्यूनतम 2 कोर (x86_64 या ARM64)।
• RAM: न्यूनतम 1 GB (eBPF Maps और SQLite डेटाबेस बहुत कम मेमोरी फुटप्रिंट बनाए रखते हैं)।
• नेटवर्क इंटरफ़ेस कार्ड (NIC): अधिकतम थ्रूपुट (Native XDP मोड) के लिए, नेटिव XDP ड्राइवर समर्थन वाला NIC आवश्यक है (जैसे, Intel X710/E810, Mellanox ConnectX-4/5/6, Broadcom NetXtreme)। वर्चुअल NICs (veth, virtio) स्वचालित रूप से कम थ्रूपुट के साथ Generic XDP (SKB मोड) पर वापस आ जाएँगे।

सॉफ़्टवेयर आवश्यकताएँ

• ऑपरेटिंग सिस्टम: Ubuntu 20.04+, Debian 11+, या RHEL/CentOS 8+।
• Linux कर्नेल: eBPF समर्थन के लिए संस्करण 5.4 या उच्चतर की सख्ती से आवश्यकता है। इष्टतम XDP प्रदर्शन के लिए कर्नेल 6.8+ की सिफारिश की जाती है।
• निर्भरताएँ: libbpf1, systemd।

शुरुआत करना

हम Debian/Ubuntu वातावरणों के लिए उत्पादन-तैयार Debian पैकेज प्रदान करते हैं, जो ऑटो-रिकवरी के लिए systemd के साथ पूरी तरह से एकीकृत हैं।

पैकेज के माध्यम से इंस्टॉलेशन

# Install the Debian package
sudo dpkg -i build/deb_phantom-grid_1.0.0_amd64.deb