ही व्यापक मार्गदर्शिका MCP Specification 2025-06-18 आणि सध्याच्या उद्योग मानकांवर आधारित Model Context Protocol (MCP) प्रणाली लागू करण्यासाठी आवश्यक सुरक्षा सर्वोत्तम पद्धतींचे वर्णन करते. या पद्धती पारंपरिक सुरक्षा चिंतेसह MCP तैनातींशी संबंधित AI-विशिष्ट धोके देखील संबोधित करतात.
- टोकन पडताळणी: MCP सर्व्हर MUST NOT अशा कोणत्याही टोकनला स्वीकारू नये जे MCP सर्व्हरसाठी स्पष्टपणे जारी केलेले नाहीत.
- अधिकृतता पडताळणी: MCP सर्व्हर जे अधिकृतता अंमलात आणतात MUST सर्व इनबाउंड विनंत्या पडताळतात आणि MUST NOT सत्रांसाठी प्रमाणीकरण वापरत नाहीत.
- वापरकर्ता संमती: स्थिर क्लायंट IDs वापरणारे MCP प्रॉक्सी सर्व्हर प्रत्येक डायनॅमिक नोंदणीकृत क्लायंटसाठी स्पष्ट वापरकर्ता संमती प्राप्त करणे MUST आहे.
- सुरक्षित सत्र IDs: MCP सर्व्हर MUST क्रिप्टोग्राफिकली सुरक्षित, गैर-निर्धारित सत्र IDs वापरतात जे सुरक्षित रँडम नंबर जनरेटरसह तयार केले जातात.
- व्यापक इनपुट पडताळणी: इंजेक्शन हल्ले, गोंधळलेल्या डेप्युटी समस्या आणि प्रॉम्प्ट इंजेक्शन असुरक्षितता टाळण्यासाठी सर्व इनपुट पडताळा आणि स्वच्छ करा.
- पॅरामीटर स्कीमा अंमलबजावणी: सर्व टूल पॅरामीटर आणि API इनपुटसाठी कठोर JSON स्कीमा पडताळणी अंमलात आणा.
- सामग्री फिल्टरिंग: प्रॉम्प्ट्स आणि प्रतिसादांमधील दुर्भावनायुक्त सामग्री फिल्टर करण्यासाठी Microsoft Prompt Shields आणि Azure Content Safety वापरा.
- आउटपुट स्वच्छता: वापरकर्त्यांना किंवा डाउनस्ट्रीम सिस्टमला सादर करण्यापूर्वी सर्व मॉडेल आउटपुट पडताळा आणि स्वच्छ करा.
- बाह्य ओळख प्रदाते: कस्टम प्रमाणीकरण अंमलात आणण्याऐवजी स्थापित ओळख प्रदात्यांना (Microsoft Entra ID, OAuth 2.1 प्रदाते) प्रमाणीकरण प्रतिनिधी द्या.
- सूक्ष्म परवानग्या: किमान विशेषाधिकाराच्या तत्त्वाचे अनुसरण करून टूल-विशिष्ट परवानग्या अंमलात आणा.
- टोकन जीवनचक्र व्यवस्थापन: सुरक्षित रोटेशनसह आणि योग्य प्रेक्षक पडताळणीसह अल्पकालीन प्रवेश टोकन वापरा.
- मल्टी-फॅक्टर प्रमाणीकरण: सर्व प्रशासकीय प्रवेश आणि संवेदनशील ऑपरेशन्ससाठी MFA आवश्यक आहे.
- ट्रान्सपोर्ट लेयर सिक्युरिटी: योग्य प्रमाणपत्र पडताळणीसह सर्व MCP संप्रेषणासाठी HTTPS/TLS 1.3 वापरा.
- एंड-टू-एंड एन्क्रिप्शन: अत्यंत संवेदनशील डेटा ट्रान्झिट आणि विश्रांतीसाठी अतिरिक्त एन्क्रिप्शन स्तर अंमलात आणा.
- प्रमाणपत्र व्यवस्थापन: स्वयंचलित नूतनीकरण प्रक्रियेसह योग्य प्रमाणपत्र जीवनचक्र व्यवस्थापन राखा.
- प्रोटोकॉल आवृत्ती अंमलबजावणी: योग्य आवृत्ती वाटाघाटीसह वर्तमान MCP प्रोटोकॉल आवृत्ती (2025-06-18) वापरा.
- मल्टी-लेयर दर मर्यादितीकरण: गैरवर्तन टाळण्यासाठी वापरकर्ता, सत्र, टूल आणि संसाधन स्तरांवर दर मर्यादितीकरण अंमलात आणा.
- अडॅप्टिव्ह दर मर्यादितीकरण: वापराच्या नमुन्यांनुसार आणि धोका निर्देशकांनुसार अनुकूल होणारे मशीन लर्निंग-आधारित दर मर्यादितीकरण वापरा.
- संसाधन कोटा व्यवस्थापन: संगणकीय संसाधने, मेमरी वापर आणि अंमलबजावणी वेळेसाठी योग्य मर्यादा सेट करा.
- DDoS संरक्षण: व्यापक DDoS संरक्षण आणि ट्रॅफिक विश्लेषण प्रणाली तैनात करा.
- संरचित ऑडिट लॉगिंग: सर्व MCP ऑपरेशन्स, टूल अंमलबजावणी आणि सुरक्षा घटनांसाठी तपशीलवार, शोधण्यायोग्य लॉग्स अंमलात आणा.
- रिअल-टाइम सुरक्षा मॉनिटरिंग: MCP वर्कलोडसाठी AI-सक्षम विसंगती शोधासह SIEM प्रणाली तैनात करा.
- गोपनीयता-अनुरूप लॉगिंग: डेटा गोपनीयता आवश्यकता आणि नियमांचे पालन करताना सुरक्षा घटना लॉग करा.
- घटना प्रतिसाद एकत्रीकरण: लॉगिंग प्रणाली स्वयंचलित घटना प्रतिसाद कार्यप्रवाहांशी कनेक्ट करा.
- हार्डवेअर सुरक्षा मॉड्यूल्स: महत्त्वपूर्ण क्रिप्टोग्राफिक ऑपरेशन्ससाठी HSM-बॅक्ड की स्टोरेज (Azure Key Vault, AWS CloudHSM) वापरा.
- एन्क्रिप्शन की व्यवस्थापन: एन्क्रिप्शन कीसाठी योग्य की रोटेशन, विभाजन आणि प्रवेश नियंत्रण अंमलात आणा.
- गुपित व्यवस्थापन: सर्व API की, टोकन आणि क्रेडेन्शियल्स समर्पित गुपित व्यवस्थापन प्रणालींमध्ये संग्रहित करा.
- डेटा वर्गीकरण: संवेदनशीलतेच्या स्तरांनुसार डेटा वर्गीकृत करा आणि योग्य संरक्षण उपाय लागू करा.
- टोकन पासथ्रू प्रतिबंध: सुरक्षा नियंत्रणांना बायपास करणारे टोकन पासथ्रू नमुने स्पष्टपणे प्रतिबंधित करा.
- प्रेक्षक पडताळणी: टोकन प्रेक्षक दावे नेहमी MCP सर्व्हरच्या इच्छित ओळखीशी जुळतात याची पडताळणी करा.
- दावे-आधारित अधिकृतता: टोकन दावे आणि वापरकर्ता गुणधर्मांवर आधारित सूक्ष्म अधिकृतता अंमलात आणा.
- टोकन बाइंडिंग: टोकन विशिष्ट सत्र, वापरकर्ते किंवा उपकरणांशी योग्य ठिकाणी बांधा.
- क्रिप्टोग्राफिक सत्र IDs: क्रिप्टोग्राफिकली सुरक्षित रँडम नंबर जनरेटर वापरून सत्र IDs तयार करा (अंदाज करता येणारे क्रम नाही).
- वापरकर्ता-विशिष्ट बाइंडिंग:
<user_id>:<session_id>सारख्या सुरक्षित स्वरूपांचा वापर करून सत्र IDs वापरकर्ता-विशिष्ट माहितीशी बांधा. - सत्र जीवनचक्र नियंत्रण: योग्य सत्र कालबाह्यता, रोटेशन आणि अमान्यकरण यंत्रणा अंमलात आणा.
- सत्र सुरक्षा हेडर्स: सत्र संरक्षणासाठी योग्य HTTP सुरक्षा हेडर्स वापरा.
- प्रॉम्प्ट इंजेक्शन संरक्षण: Microsoft Prompt Shields स्पॉटलाइटिंग, डिलिमिटर्स आणि डेटामार्किंग तंत्रांसह तैनात करा.
- टूल विषबाधा प्रतिबंध: टूल मेटाडेटा पडताळा, डायनॅमिक बदलांसाठी मॉनिटर करा आणि टूल अखंडता पडताळा.
- मॉडेल आउटपुट पडताळणी: संभाव्य डेटा गळती, हानिकारक सामग्री किंवा सुरक्षा धोरणांचे उल्लंघन यासाठी मॉडेल आउटपुट स्कॅन करा.
- कॉन्टेक्स्ट विंडो संरक्षण: कॉन्टेक्स्ट विंडो विषबाधा आणि हेरफेर हल्ले टाळण्यासाठी नियंत्रण अंमलात आणा.
- अंमलबजावणी सॅंडबॉक्सिंग: संसाधन मर्यादांसह कंटेनराइज्ड, वेगळ्या वातावरणात टूल अंमलबजावणी करा.
- विशेषाधिकार विभाजन: किमान आवश्यक विशेषाधिकारांसह टूल्स अंमलबजावणी करा आणि सेवा खाती विभक्त करा.
- नेटवर्क वेगळेपणा: टूल अंमलबजावणी वातावरणासाठी नेटवर्क विभाजन अंमलात आणा.
- अंमलबजावणी मॉनिटरिंग: असामान्य वर्तन, संसाधन वापर आणि सुरक्षा उल्लंघनांसाठी टूल अंमलबजावणी मॉनिटर करा.
- स्वयंचलित सुरक्षा चाचणी: GitHub Advanced Security सारख्या साधनांसह CI/CD पाइपलाइनमध्ये सुरक्षा चाचणी समाकलित करा.
- असुरक्षितता व्यवस्थापन: AI मॉडेल्स आणि बाह्य सेवांसह सर्व अवलंबन नियमितपणे स्कॅन करा.
- पेनेट्रेशन चाचणी: MCP अंमलबजावणींना लक्ष्य करून नियमित सुरक्षा मूल्यांकन करा.
- सुरक्षा कोड पुनरावलोकने: सर्व MCP-संबंधित कोड बदलांसाठी अनिवार्य सुरक्षा पुनरावलोकने अंमलात आणा.
- घटक पडताळणी: सर्व AI घटकांची (मॉडेल्स, एम्बेडिंग्स, APIs) उत्पत्ती, अखंडता आणि सुरक्षा पडताळा.
- अवलंबन व्यवस्थापन: असुरक्षितता ट्रॅकिंगसह सर्व सॉफ्टवेअर आणि AI अवलंबनांची वर्तमान यादी राखा.
- विश्वसनीय रिपॉझिटरीज: सर्व AI मॉडेल्स, लायब्ररी आणि टूल्ससाठी सत्यापित, विश्वसनीय स्रोत वापरा.
- पुरवठा साखळी मॉनिटरिंग: AI सेवा प्रदाते आणि मॉडेल रिपॉझिटरीजमध्ये तडजोड सतत मॉनिटर करा.
- कधीही विश्वास ठेवू नका, नेहमी पडताळा करा: सर्व MCP सहभागींसाठी सतत पडताळणी अंमलात आणा.
- मायक्रो-सेगमेंटेशन: सूक्ष्म नेटवर्क आणि ओळख नियंत्रणांसह MCP घटक वेगळे करा.
- सशर्त प्रवेश: संदर्भ आणि वर्तनानुसार अनुकूल होणारे धोका-आधारित प्रवेश नियंत्रण अंमलात आणा.
- सतत धोका मूल्यांकन: वर्तमान धोका निर्देशकांवर आधारित सुरक्षा स्थिती गतिशीलपणे मूल्यांकन करा.
- डेटा कमीकरण: प्रत्येक MCP ऑपरेशनसाठी आवश्यक किमान डेटा उघड करा.
- डिफरेंशियल गोपनीयता: संवेदनशील डेटा प्रक्रियेसाठी गोपनीयता-संरक्षण तंत्र अंमलात आणा.
- होमोमोर्फिक एन्क्रिप्शन: एन्क्रिप्टेड डेटावर सुरक्षित संगणनासाठी प्रगत एन्क्रिप्शन तंत्र वापरा.
- फेडरेटेड लर्निंग: डेटा स्थानिकता आणि गोपनीयता जपणाऱ्या वितरित शिक्षण पद्धती अंमलात आणा.
- AI-विशिष्ट घटना प्रक्रिया: AI आणि MCP-संबंधित धोके लक्षात घेऊन घटना प्रतिसाद प्रक्रिया विकसित करा.
- स्वयंचलित प्रतिसाद: सामान्य AI सुरक्षा घटनांसाठी स्वयंचलित नियंत्रण आणि सुधारणा अंमलात आणा.
- फॉरेन्सिक क्षमता: AI प्रणाली तडजोड आणि डेटा गळतीसाठी फॉरेन्सिक तयारी राखा.
- पुनर्प्राप्ती प्रक्रिया: AI मॉडेल विषबाधा, प्रॉम्प्ट इंजेक्शन हल्ले आणि सेवा तडजोड यापासून पुनर्प्राप्तीसाठी प्रक्रिया स्थापित करा.
- MCP Specification 2025-06-18 - वर्तमान MCP प्रोटोकॉल तपशील
- MCP Security Best Practices - अधिकृत सुरक्षा मार्गदर्शन
- MCP Authorization Specification - प्रमाणीकरण आणि अधिकृतता नमुने
- MCP Transport Security - ट्रान्सपोर्ट लेयर सुरक्षा आवश्यकता
- Microsoft Prompt Shields - प्रगत प्रॉम्प्ट इंजेक्शन संरक्षण
- Azure Content Safety - व्यापक AI सामग्री फिल्टरिंग
- Microsoft Entra ID - एंटरप्राइझ ओळख आणि प्रवेश व्यवस्थापन
- Azure Key Vault - सुरक्षित गुपिते आणि क्रेडेन्शियल व्यवस्थापन
- GitHub Advanced Security - पुरवठा साखळी आणि कोड सुरक्षा स्कॅनिंग
- OAuth 2.1 Security Best Practices - वर्तमान OAuth सुरक्षा मार्गदर्शन
- OWASP Top 10 - वेब अनुप्रयोग सुरक्षा धोके
- OWASP Top 10 for LLMs - AI-विशिष्ट सुरक्षा धोके
- NIST AI Risk Management Framework - व्यापक AI धोका व्यवस्थापन
- ISO 27001:2022 - माहिती सुरक्षा व्यवस्थापन प्रणाली
- Azure API Management as MCP Auth Gateway - एंटरप्राइझ प्रमाणीकरण नमुने
- Microsoft Entra ID with MCP Servers - ओळख प्रदाता समाकलन
- Secure Token Storage Implementation - टोकन व्यवस्थापन सर्वोत्तम पद्धती
- End-to-End Encryption for AI - प्रगत एन्क्रिप्शन नमुने
- Microsoft Security Development Lifecycle - सुरक्षित विकास पद्धती
- AI Red Team Guidance - AI-विशिष्ट सुरक्षा चाचणी
- Threat Modeling for AI Systems - AI धोका मॉडेलिंग पद्धती
- Privacy Engineering for AI - गोपनीयता-संरक्षण AI तंत्र
- GDPR Compliance for AI - AI प्रणालींमध्ये गोपनीयता अनुपालन
- AI Governance Framework - जबाबदार AI अंमलबजावणी
- SOC 2 for AI Services - AI सेवा प्रदात्यांसाठी सुरक्षा नियंत्रण
- HIPAA Compliance for AI - हेल्थकेअर AI अनुपालन आवश्यकता
- DevSecOps Pipeline for AI - सुरक्षित
- साधन विकास: MCP परिसंस्थेसाठी सुरक्षा साधने आणि लायब्ररी विकसित करा आणि शेअर करा
हा दस्तऐवज MCP सुरक्षा सर्वोत्तम पद्धतींचे प्रतिबिंब आहे, दिनांक 18 ऑगस्ट 2025, MCP स्पेसिफिकेशन 2025-06-18 च्या आधारे. प्रोटोकॉल आणि धोका परिस्थिती विकसित होत असताना सुरक्षा पद्धती नियमितपणे पुनरावलोकन आणि अद्यतनित केल्या पाहिजेत.
अस्वीकरण:
हा दस्तऐवज AI भाषांतर सेवा Co-op Translator चा वापर करून भाषांतरित करण्यात आला आहे. आम्ही अचूकतेसाठी प्रयत्नशील असलो तरी, कृपया लक्षात घ्या की स्वयंचलित भाषांतरांमध्ये त्रुटी किंवा अचूकतेचा अभाव असू शकतो. मूळ भाषेतील दस्तऐवज हा अधिकृत स्रोत मानला जावा. महत्त्वाच्या माहितीसाठी, व्यावसायिक मानवी भाषांतराची शिफारस केली जाते. या भाषांतराचा वापर केल्यामुळे उद्भवलेल्या कोणत्याही गैरसमज किंवा चुकीच्या अर्थासाठी आम्ही जबाबदार राहणार नाही.