हा सर्वसमावेशक मार्गदर्शक मॉडेल कॉन्टेक्स्ट प्रोटोकॉल (MCP) प्रणाली अंमलबजावणीसाठी आवश्यक सुरक्षा सर्वोत्तम पद्धती संहिताबद्ध करतो, जो नवीनतम MCP तपशील 2025-11-25 आणि विद्यमान उद्योग मानकांवर आधारित आहे. या पद्धती पारंपरिक सुरक्षा समस्यांबरोबरच MCP तैनातीसाठी विशिष्ट AI-विशेष धोके यावर देखील लक्ष केंद्रित करतात.
- टोकन वैधता: MCP सर्व्हर कधीही असे टोकन स्वीकारू शकत नाही जे स्पष्टपणे MCP सर्व्हरसाठी जारी करण्यात आलेले नाहीत
- अधिकृत तपासणी: अधिकृतता अंमलात आणणाऱ्या MCP सर्व्हरने सर्व आगमन विनंत्या तपासल्या पाहिजेत आणि सत्रांचा प्रमाणीकरणासाठी वापर केला जाऊ नये
- वापरकर्ता संमती: स्थिर क्लायंट आयडी वापरणाऱ्या MCP प्रॉक्सी सर्व्हरने प्रत्येक डायनॅमिकली नोंदणीकृत क्लायंटसाठी स्पष्ट वापरकर्ता संमती मिळवावी
- सुरक्षित सत्र आयडी: MCP सर्व्हरने क्रिप्टोग्राफिकली सुरक्षित, अनिश्चित सत्र आयडी वापरले पाहिजेत जे सुरक्षित रँडम नंबर जनरेटर वापरून तयार केले जातात
- संपूर्ण इनपुट वैधता: इंजेक्शन हल्ले, गोंधळलेला डिप्युटी समस्या आणि प्रॉम्प्ट इंजेक्शन धोके टाळण्यासाठी सर्व इनपुट्सचे सत्यापन आणि स्वच्छता करणे
- पॅरामिटर स्कीमा अंमलबजावणी: सर्व टूल पॅरामिटर्स आणि API इनपुटसाठी कडक JSON स्कीमा वैधता लागू करणे
- कंटेंट फिल्टरिंग: प्रॉम्प्ट आणि प्रतिसादांमधील द्वेषपूर्ण सामग्रीसाठी Microsoft Prompt Shields आणि Azure Content Safety वापरणे
- आउटपुट स्वच्छता: वापरकर्त्यांसाठी किंवा डाउनस्ट्रीम सिस्टीमसाठी मॉडेल आउटपुट सादर करण्यापूर्वी सत्यापित आणि स्वच्छ करणे
- बाह्य ओळख पुरवठादार: सानुकूल प्रमाणीकरणाऐवजी स्थापित ओळख पुरवठादारांकडे (Microsoft Entra ID, OAuth 2.1 पुरवठादार) प्रमाणीकरण सोपवणे
- सूक्ष्म परवानग्या: किमान विशेषाधिकार तत्त्वानुसार सूक्ष्म, टूल-विशिष्ट परवानग्या लागू करणे
- टोकन जीवनचक्र व्यवस्थापन: सुरक्षित फेरफटका आणि योग्य प्रेक्षक तपासणीसह कमी कालावधीसाठी अॅक्सेस टोकन्स वापरणे
- बहु-घटक प्रमाणीकरण: सर्व प्रशासकीय प्रवेश आणि संवेदनशील ऑपरेशन्ससाठी MFA आवश्यक करणे
- ट्रान्सपोर्ट लेयर सिक्युरिटी: सर्व MCP संवादांसाठी HTTPS/TLS 1.3 वापरणे, योग्य प्रमाणपत्र तपासणीसह
- एंड-टू-एंड एन्क्रिप्शन: प्रवासादरम्यान आणि संग्रहित संवेदनशील डेटासाठी अतिरिक्त एन्क्रिप्शन स्तरांची अंमलबजावणी करणे
- प्रमाणपत्र व्यवस्थापन: स्वयंचलित नूतनीकरण प्रक्रियेने योग्य प्रमाणपत्र जीवनचक्र व्यवस्थापन राखणे
- प्रोटोकॉल आवृत्ती अंमलबजावणी: चालू MCP प्रोटोकॉल आवृत्ती (2025-11-25) योग्य आवृत्ती समजुतीसह वापरणे
- बहु-स्तरीय दर मर्यादा: गैरवापर टाळण्यासाठी वापरकर्ता, सत्र, टूल आणि संसाधन स्तरांवर दर मर्यादा लागू करणे
- अनुकूली दर मर्यादा: वापर पॅटर्न आणि धोका निर्देशकांनुसार समायोजित होणारे मशीन लर्निंग-आधारित दर मर्यादा वापरणे
- संसाधन कोटा व्यवस्थापन: संगणकीय संसाधने, मेमरी वापर आणि अंमलबजावणी वेळ यासाठी योग्य मर्यादा निश्चित करणे
- DDoS संरक्षण: सर्वसमावेशक DDoS संरक्षण आणि ट्रॅफिक विश्लेषण प्रणाली तैनात करणे
- रचना केलेले ऑडिट लॉगिंग: सर्व MCP ऑपरेशन्स, टूल अंमलबजावणी आणि सुरक्षा घटनांसाठी तपशीलवार, शोधण्यायोग्य लॉग तयार करणे
- रिअल-टाइम सुरक्षा निरीक्षण: MCP वर्कलोडसाठी AI-शक्तीबद्दल विसंगती शोधण्यासाठी SIEM प्रणाली तैनात करणे
- गोपनीयता-अनुरूप लॉगिंग: डेटा गोपनीयता आवश्यकता आणि नियमांचे पालन करत सुरक्षा घटना लॉग करणे
- घटना प्रतिसाद एकत्रीकरण: स्वयंचलित घटना प्रतिसाद कार्यप्रवाहांसाठी लॉगिंग सिस्टम कनेक्ट करणे
- हार्डवेअर सुरक्षा मॉड्यूल्स: अत्यावश्यक क्रिप्टोग्राफिक ऑपरेशन्ससाठी HSM-आधारित की संचयन (Azure Key Vault, AWS CloudHSM) वापरणे
- एन्क्रिप्शन की व्यवस्थापन: योग्य की फेरफटका, वेगळेपणा आणि प्रवेश नियंत्रण अंमलात आणणे
- गुपित व्यवस्थापन: सर्व API कीज, टोकन्स, आणि प्रमाणपत्रे समर्पित गुपित व्यवस्थापन प्रणालींमध्ये संचयित करणे
- डेटा वर्गीकरण: संवेदनशीलतेच्या पातळ्यांनुसार डेटाचे वर्गीकरण करणे व योग्य संरक्षण उपाय लागू करणे
- टोकन पासथ्रू प्रतिबंध: सुरक्षा नियंत्रणांपासून टोकन पासथ्रू पद्धती स्पष्टपणे प्रतिबंधित करणे
- प्रेक्षक तपासणी: नेहमी टोकन प्रेक्षक दावे उद्दिष्टित MCP सर्व्हर ओळखेशी जुळतात की नाही याची पडताळणी करणे
- दावा-आधारित अधिकृतता: टोकन दावे आणि वापरकर्ता वैशिष्ट्यांवर आधारित सूक्ष्म अधिकृतता अंमलात आणणे
- टोकन बाइंडिंग: योग्य ठिकाणी सत्र, वापरकर्ता किंवा उपकरणांशी टोकन्स बांधणे
- क्रिप्टोग्राफिक सत्र आयडी: क्रिप्टोग्राफिकली सुरक्षित रँडम नंबर जनरेटर वापरून सत्र आयडी तयार करणे (भाकित होणारे अनुक्रम नसायचे)
- वापरकर्ता-विशिष्ट बांधणी: सुरक्षित स्वरूपात
<user_id>:<session_id>सारखे वापरकर्ता-विशिष्ट माहितीशी सत्र आयडी बांधणे - सत्र जीवनचक्र नियंत्रण: योग्य सत्र कालबंदी, फेरफटका आणि अकार्यक्षमतेसाठी नियंत्रण लागू करणे
- सत्र सुरक्षा हेडर्स: सत्र संरक्षणासाठी योग्य HTTP सुरक्षा हेडर्स वापरणे
- प्रॉम्प्ट इंजेक्शन संरक्षण: Microsoft Prompt Shields वापरून स्पॉटलाइटिंग, सीमारेषा आणि डेटा मार्किंग तंत्रज्ञानाची अंमलबजावणी करणे
- टूल विषाक्तता प्रतिबंध: टूल मेटाडेटा सत्यापित करणे, डायनॅमिक बदलांवर देखरेख ठेवणे आणि टूल अखंडता तपासणे
- मॉडेल आउटपुट तपासणी: संभाव्य डेटा लीक, हानिकारक सामग्री किंवा सुरक्षा धोरणांचे उल्लंघन तपासण्यासाठी मॉडेल आउटपुट स्कॅन करणे
- कॉन्टेक्स्ट विंडो संरक्षण: कॉन्टेक्स्ट विंडो विषाक्तता आणि फेरफार हल्ल्यांपासून संरक्षणासाठी नियंत्रण लागू करणे
- अंमलबजावणी सॅंडबॉक्सिंग: कंटेनर-आधारित, वेगळ्या वातावरणात मर्यादा असलेली टूल अंमलबजावणी करणे
- अधिकार विभाजन: टूल्स कमी सर्वात आवश्यक अधिकारांसह चालवणे आणि स्वतंत्र सेवा खाते ठेवणे
- नेटवर्क वेगळेपणा: टूल अंमलबजावणी पर्यावरणासाठी नेटवर्क विभाजन लागू करणे
- अंमलबजावणी निरीक्षण: टूल अंमलबजावणीसाठी अनियमित वर्तन, संसाधन वापर आणि सुरक्षा उल्लंघने तपासणे
- स्वयंचलित सुरक्षा चाचणी: GitHub Advanced Security सारख्या साधनांसह CI/CD पाइपलाइनमध्ये सुरक्षा चाचणी एकत्रित करणे
- दुर्लक्षितपणा व्यवस्थापन: AI मॉडेल्स आणि बाह्य सेवा यांसह सर्व अवलंबित्वांवर नियमित स्कॅन करणे
- पेनिट्रेशन चाचणी: MCP अंमलबजावणीसाठी नियमित सुरक्षा मूल्यमापन करणे
- सुरक्षा कोड पुनरावलोकन: सर्व MCP संबंधित कोड बदलांसाठी बंधनकारक सुरक्षा पुनरावलोकने करणे
- घटक पडताळणी: सर्व AI घटकांची (मॉडेल्स, एम्बेडिंग्ज, API) उत्पत्ती, अखंडता आणि सुरक्षा पडताळणी करणे
- अवलंबित्व व्यवस्थापन: सर्व सॉफ्टवेअर आणि AI अवलंबित्वांची सद्य वस्तूसूची आणि दुर्बलता ट्रॅकिंग राखणे
- विश्वसनीय संग्रहालये: सर्व AI मॉडेल्स, ग्रंथालये आणि टूल्ससाठी पडताळलेले आणि विश्वासार्ह स्रोत वापरणे
- पुरवठा साखळी निरीक्षण: AI सेवा पुरवठादार व मॉडेल संग्रहालयांतील धमक्या सतत तपासणे
- कधीही विश्वास ठेवू नका, नेहमी पडताळणी करा: सर्व MCP सहभागींसाठी सातत्यपूर्ण पडताळणी अंमलात आणणे
- सूक्ष्म विभागणी: MCP घटकांना सूक्ष्म नेटवर्क आणि ओळख नियंत्रणांसह वेगळे करणे
- अटीगत प्रवेश: संदर्भ आणि वर्तनानुसार समायोजित होत असलेल्या जोखमी-आधारित प्रवेश नियंत्रणाची अंमलबजावणी करणे
- सतत जोखीम मूल्यमापन: विद्यमान धोका निर्देशकांवर आधारित सुरक्षा स्थिती गतिमानपणे मूल्यांकन करणे
- डेटा मिनीमायझेशन: प्रत्येक MCP ऑपरेशन्साठी केवळ आवश्यक किमान डेटा प्रदर्शित करणे
- फरकात्मक गोपनीयता: संवेदनशील डेटा प्रक्रियेसाठी गोपनीयता-संरक्षण तंत्रज्ञान अंमलात आणणे
- होमोमॉर्फिक एन्क्रिप्शन: एन्क्रिप्टेड डेटावर सुरक्षित गणनेसाठी प्रगत एन्क्रिप्शन तंत्र वापरणे
- संघटित शिक्षण: डेटा स्थानिकता आणि गोपनीयता जपणारे वितरित शिक्षण पद्धती अंमलात आणणे
- AI-विशिष्ट घटना प्रक्रिया: AI आणि MCP-विशिष्ट धोके लक्षात घेऊन घटना प्रतिसाद प्रक्रिया विकसित करणे
- स्वयंचलित प्रतिसाद: सामान्य AI सुरक्षा घटनांसाठी स्वयंचलित प्रतिबंध आणि सुधारणा अंमलबजावणी करणे
- फॉरेंसिक क्षमता: AI प्रणालीतील तूट आणि डेटा उल्लंघनांसाठी फॉरेंसिक तयारी राखणे
- पुनर्प्राप्ती प्रक्रिया: AI मॉडेल विषबाधा, प्रॉम्प्ट इंजेक्शन हल्ले व सेवा तूट यावरून पुनर्प्राप्ती प्रक्रिया स्थापन करणे
- MCP Security Summit Workshop (Sherpa) - Azure मध्ये MCP सर्व्हर सुरक्षित करण्यासाठी संपूर्ण हँड्स-ऑन कार्यशाळा
- OWASP MCP Azure Security Guide - संदर्भ स्थापत्यशास्त्र व OWASP MCP टॉप 10 अंमलबजावणी मार्गदर्शन
- MCP Specification 2025-11-25 - चालू MCP प्रोटोकॉल तपशील
- MCP Security Best Practices - अधिकृत सुरक्षा मार्गदर्शन
- MCP Authorization Specification - प्रमाणीकरण व अधिकृत नमुने
- MCP Transport Security - ट्रान्सपोर्ट लेयर सुरक्षा आवश्यकता
- Microsoft Prompt Shields - प्रगत प्रॉम्प्ट इंजेक्शन संरक्षण
- Azure Content Safety - सर्वसमावेशक AI सामग्री फिल्टरिंग
- Microsoft Entra ID - एंटरप्राइझ ओळख व प्रवेश व्यवस्थापन
- Azure Key Vault - सुरक्षित गुपित आणि प्रमाणपत्र व्यवस्थापन
- GitHub Advanced Security - पुरवठा साखळी आणि कोड सुरक्षा स्कॅनिंग
- OAuth 2.1 Security Best Practices - चालू OAuth सुरक्षा मार्गदर्शन
- OWASP Top 10 - वेब अनुप्रयोग सुरक्षा धोके
- OWASP Top 10 for LLMs - AI-विशिष्ट सुरक्षा धोके
- NIST AI Risk Management Framework - सर्वसमावेशक AI धोका व्यवस्थापन
- ISO 27001:2022 - माहिती सुरक्षा व्यवस्थापन प्रणाली
- Azure API Management as MCP Auth Gateway - एंटरप्राइझ प्रमाणीकरण नमुने
- Microsoft Entra ID with MCP Servers - ओळख पुरवठादार एकत्रीकरण
- Secure Token Storage Implementation - टोकन व्यवस्थापन सर्वोत्तम पद्धती
- End-to-End Encryption for AI - प्रगत एन्क्रिप्शन नमुने
- Microsoft Security Development Lifecycle - सुरक्षित विकास पद्धती
- AI Red Team Guidance - AI-विशिष्ट सुरक्षा चाचणी
- Threat Modeling for AI Systems - AI धोका मॉडेलिंग पद्धत
- Privacy Engineering for AI - गोपनीयता-संरक्षण AI तंत्रे
- GDPR Compliance for AI - AI प्रणालींमधील गोपनीयता अनुपालन
- AI Governance Framework - जबाबदार AI अंमलबजावणी
- SOC 2 for AI Services - AI सेवा पुरवठादारांसाठी सुरक्षा नियंत्रण
- HIPAA Compliance for AI - आरोग्यसेवा AI अनुपालन आवश्यकता
- DevSecOps Pipeline for AI - सुरक्षित AI विकास पाइपलाइन
- Automated Security Testing - सातत्यपूर्ण सुरक्षा पडताळणी
- Infrastructure as Code Security - सुरक्षित पायाभूत सुविधा तैनाती
- Container Security for AI - AI वर्कलोड कंटेनरायझेशन सुरक्षा
- Azure Monitor for AI Workloads - सर्वसमावेशक निरीक्षण उपाय
- AI Security Incident Response - AI-विशिष्ट घटना प्रक्रिया
- SIEM for AI Systems - सुरक्षा माहिती आणि घटना व्यवस्थापन
- Threat Intelligence for AI - AI धोका इंटेलिजन्स स्त्रोत
- MCP तपशील अद्यतने: अधिकृत MCP तपशील बदल आणि सुरक्षा सूचना यावर लक्ष ठेवा
- धोका इंटेलिजन्स: AI सुरक्षा धोका फीड्स आणि दुर्बलता डेटाबेससाठी सदस्यता घ्या
- समुदाय सहभागिता: MCP सुरक्षा समुदाय चर्चा आणि कार्य गटांमध्ये सहभागी व्हा
- नियमित मूल्यांकन: त्रैमासिक सुरक्षा स्थितीचे मूल्यांकन करा आणि त्यानुसार सराव अद्यतनित करा
- सुरक्षा संशोधन: MCP सुरक्षा संशोधन आणि दुर्बलता प्रकटीकरण कार्यक्रमांमध्ये योगदान द्या
- सर्वोत्तम सराव वाटप: समुदायासोबत सुरक्षा अंमलबजावणी आणि शिकवलेले धडे शेअर करा
- मानक विकास: MCP विनिर्देश विकास आणि सुरक्षा मानक निर्मितीत सहभागी व्हा
- साधन विकास: MCP परिसंस्थेसाठी सुरक्षा साधने आणि ग्रंथालये विकसित करा आणि शेअर करा
हे दस्तऐवज १८ डिसेंबर २०२५ रोजी MCP विनिर्देश २०२५-११-२५ यांच्या आधारे MCP सुरक्षा सर्वोत्तम सराव दर्शविते. प्रोटोकॉल आणि धोका परिदृश्याच्या अनुषंगाने सुरक्षा प्रथा नियमितपणे पुनरावलोकन आणि अद्यतनित करणे आवश्यक आहे.
- वाचा: MCP Security Best Practices 2025
- परत जा: Security Module Overview
- पुढे चालू ठेवा: Module 3: Getting Started
सूचना:
हा दस्तऐवज AI भाषांतर सेवा Co-op Translator वापरून भाषांतरित केला आहे. आम्ही अचूकतेसाठी प्रयत्नशील आहोत, तरी कृपया लक्षात घ्या की स्वयंचलित भाषांतरांमध्ये चुका किंवा अचूकतेचा अभाव असू शकतो. मूळ दस्तऐवज त्याच्या स्थानिक भाषेत अधिकृत स्रोत मानला जावा. महत्त्वाच्या माहितीकरिता व्यावसायिक मानवी भाषांतर सुचवले जाते. या भाषांतराच्या वापरामुळे होणाऱ्या कोणत्याही गैरसमज किंवा चुकीच्या अर्थलागी आम्ही जबाबदार नाही.