Enterprise के लिए
आपके एजेंट आपकी नीतियों से
अधिक तेज़ हैं।
एक AI एजेंट जो आपके कोडबेस को समझता है, वह आपके एक्सेस कंट्रोल मॉडल को भी समझ सकता है। पॉलिसी-आधारित सुरक्षा किसी ऐसी चीज़ के साथ समझौता है जो समझौता करने में बेहतर होती जा रही है। Clavitor नीति को गणित से बदल देता है।
गणित, नीति नहीं
अन्य समाधान मौजूदा वॉल्ट में एक AI चेकबॉक्स जोड़ते हैं। एजेंट को MCP एक्सेस मिलता है — सर्च, ब्राउज़, डिस्कवर। यह आपसे ज़्यादा बुद्धिमान है। यह आपकी पॉलिसी में एज केस ढूंढ लेगा। यह उन क्रेडेंशियल को सूचीबद्ध करेगा जिन्हें इसे कभी नहीं देखना चाहिए था। इसलिए नहीं कि यह दुर्भावनापूर्ण है — बल्कि इसलिए कि जब एजेंट को सर्च एंडपॉइंट और लक्ष्य दिया जाता है, तो वे यही करते हैं।
Clavitor एजेंट को वॉल्ट एक्सेस नहीं देता है। यह एक संकीर्ण API के माध्यम से विशिष्ट एजेंट को विशिष्ट क्रेडेंशियल जारी करता है। कोई ब्राउज़िंग नहीं। कोई डिस्कवरी नहीं। कोई इनुमरेशन नहीं। कोई सर्च एंडपॉइंट नहीं। एजेंट को वही मिलता है जो उसे जारी किया गया है और वह वह नहीं ढूंढ सकता जो उसे नहीं दिया गया है। यह कोई कॉन्फ़िगरेशन विकल्प या पॉलिसी टॉगल नहीं है — प्रोटोकॉल ऐसे ही काम करता है। कोई एजेंट-फेसिंग एंडपॉइंट नहीं है जो क्रेडेंशियल की सूची लौटाता हो। बाइनरी में यह क्षमता मौजूद नहीं है।
इसके अलावा, हर एजेंट टोकन पहली बार संपर्क में स्रोत IP से बाध्य होता है। व्हाइटलिस्ट को एडमिन द्वारा अपडेट किया जा सकता है — लेकिन एक गैर-सूचीबद्ध IP से उपयोग किया गया चोरी हुआ टोकन किसी भी हैंडलर के चलने से पहले अस्वीकार कर दिया जाता है। और हर एजेंट रेट-लिमिटेड है: प्रति मिनट तीन से अधिक अद्वितीय क्रेडेंशियल या प्रति घंटे दस से अधिक एक थ्रॉटल को ट्रिगर करते हैं। दो घंटे के भीतर दूसरा उल्लंघन एजेंट को पूरी तरह से लॉक कर देता है — जब तक आपकी सुरक्षा टीम हार्डवेयर टैप के साथ इसे अनलॉक नहीं कर देती, तब तक यह फ्रीज़ रहता है। एक सामान्य एजेंट को दो या तीन क्रेडेंशियल की आवश्यकता होती है। दस क्रेडेंशियल पढ़ने वाला एजेंट या तो गलत कॉन्फ़िगर किया गया है या कंप्रोमाइज़ हो चुका है। किसी भी तरह, यह रुक जाता है।
परिणाम: एक कंप्रोमाइज़ एजेंट का ब्लास्ट रेडियस इसकी परिधिबद्धता तक, इसके IP से, उस दर पर सीमित होता है जो सार्थक एक्सफ़िल्ट्रेशन होने से पहले लॉकडाउन को ट्रिगर करता है। किसी ऐसे नियम द्वारा नहीं जिसे दरकिनार किया जा सके, बल्कि उस पथ की अनुपस्थिति द्वारा जो इसे अनुमति देता।
आपकी सुरक्षा टीम के लिए निर्मित
हार्डवेयर-लागू सीमाएँ
प्रत्येक एडमिन ऑपरेशन — एजेंट टोकन बनाना, परिधिबद्धता संशोधित करना, एक्सेस लिस्ट बदलना, क्रेडेंशियल रिवोक करना — किसी अधिकृत व्यक्ति से फिंगरप्रिंट, चेहरे या सिक्योरिटी कुंजी के साथ भौतिक पुष्टि की मांग करता है। यह कोई सॉफ़्टवेयर गेट नहीं है जिसे एक विशेषाधिकार प्राप्त प्रोसेस बायपास कर सके। यह एक क्रिप्टोग्राफिक चुनौती है जिसके लिए किसी के हाथ में एक पंजीकृत डिवाइस की आवश्यकता होती है।
कोई भी एजेंट अपनी स्वयं की अनुमतियों को एस्केलेट नहीं कर सकता। कोई भी कंप्रोमाइज़ वर्कस्टेशन नए टोकन मिंट नहीं कर सकता। कोई भी सोशल इंजीनियरिंग अटैक किसी को फोन पर एक्सेस देने के लिए धोखा नहीं दे सकता — हार्डवेयर टैप आवश्यक है, और यह ब्राउज़र ओरिजिन से बाध्य है। आपकी सुरक्षा टीम ट्रस्ट बाउंड्री को किसी ऐसी चीज़ से नियंत्रित करती है जिसे कोई भी अटैकर रिमोटली रेप्लिकेट नहीं कर सकता।
क्रिप्टोग्राफिक आइसोलेशन
प्रत्येक कर्मचारी का वॉल्ट एक अलग एन्क्रिप्टेड डेटाबेस है — साझा टेबल में एक पंक्ति नहीं, मल्टी-टेनेंट स्टोर में एक नेमस्पेस नहीं। एक वॉल्ट का ब्रीच सिफरटेक्स्ट प्रदान करता है। एन्क्रिप्शन कुंजी सर्वर पर नहीं है, बैकअप में नहीं है, किसी भी डेटासेंटर में नहीं है।
परिधिबद्धताएँ यह नियंत्रित करती हैं कि कोई एजेंट किन प्रविष्टियों को देख सकता है। एन्क्रिप्शन स्तर यह नियंत्रित करते हैं कि कोई भी क्या डिक्रिप्ट कर सकता है। क्रेडिट कार्ड और सरकारी आईडी स्वचालित रूप से पहचान एन्क्रिप्शन स्तर पर एन्क्रिप्ट किए जाते हैं — केवल हार्डवेयर कुंजी, भौतिक डिवाइस के बिना इन्हें डिक्रिप्ट नहीं किया जा सकता। आपका Enterprise किसी भी फ़ील्ड को उस स्तर पर प्रमोट कर सकता है: बैंकिंग लॉगिन, प्रोक्योरमेंट क्रेडेंशियल, HR सिस्टम, साइनिंग कुंजियाँ। ये फ़ील्ड हर सर्वर पर, हर बैकअप में, और ब्रीच के हर परिदृश्य में सिफरटेक्स्ट होती हैं। डिक्रिप्शन कुंजियाँ उस डेटा के साथ एक ही स्थान पर संग्रहीत नहीं होती हैं जिसे वे सुरक्षित करती हैं।
अनुपालन
SOC 2 Type II
आज हम SOC 2 Type II attestation नहीं रखते। नियंत्रण स्व-मूल्यांकित हैं और सुरक्षा, उपलब्धता तथा गोपनीयता के Trust Services Criteria के अनुरूप हैं — इंफ्रास्ट्रक्चर संचालन, एक्सेस प्रबंधन, एन्क्रिप्शन कुंजी हैंडलिंग और घटना प्रतिक्रिया सहित। औपचारिक attestation एक प्रतिबद्धता है, जब किसी वास्तविक एंटरप्राइज़ एंगेजमेंट में इसकी आवश्यकता हो। तब तक, विनियमित खरीदार अपनी परिधि के अंदर निजी POP या वर्चुअल अप्लायंस चला सकते हैं।
ISO 27001
आज हम ISO 27001 प्रमाणपत्र नहीं रखते। सूचना सुरक्षा प्रबंधन प्रथाएँ स्व-मूल्यांकित हैं और वॉल्ट प्रोविज़निंग, क्रेडेंशियल जारी करने, हटाने तथा बैकअप रिटेंशन में ISO 27001 नियंत्रण सेट के अनुरूप हैं — जिसमें Points of Presence (POPs), केंद्रीय एडमिन इंफ्रास्ट्रक्चर और डेवलपमेंट पाइपलाइन शामिल हैं। औपचारिक प्रमाणन एक प्रतिबद्धता है, जब किसी वास्तविक एंटरप्राइज़ एंगेजमेंट में इसकी आवश्यकता हो।
रीड उपलब्धता
Dallas और Zürich के बीच क्रॉस-हेमिस्फियर फेलओवर — भूवैज्ञानिक स्थिरता और अधिकतम दूरी के लिए चुनी गई दो साइटें।
इंटीग्रेशन
SCIM डायरेक्टरी सिंक
कर्मचारी Azure AD, Okta, या Google Workspace में जुड़ता है — वॉल्ट स्वचालित रूप से प्रोविज़न किया जाता है। ग्रुप सदस्यता द्वारा परिधिबद्धताएँ असाइन की जाती हैं। कर्मचारी छोड़ता है — वॉल्ट फ्रीज़, हर टोकन रिवोक, हर एजेंट लॉक आउट। कोई मैन्युअल क्लीनअप नहीं, कोई टिकट नहीं, कोई "क्या किसी को क्रेडेंशियल रोटेट करना याद रहा" नहीं।
प्रोविज़निंग रियल-टाइम है, बैच नहीं। एक नए कर्मचारी का वॉल्ट उनके लैपटॉप से पहले तैयार हो जाता है। एक समाप्त कर्मचारी का एक्सेस उनके पार्किंग स्थल तक पहुँचने से पहले ही चला जाता है।
आपके SIEM के लिए ऑडिट ट्रेल
हर क्रेडेंशियल कार्रवाई, असफल प्रयासों सहित, हैश-श्रृंखला ऑडिट ट्रेल में दर्ज होती है, जिसे आप फ़िल्टर करते हैं और अपने SIEM या अपने ऑडिटर के लिए CSV फ़ाइल के रूप में निर्यात करते हैं।
जब कोई एजेंट प्रति मिनट तीन से अधिक अद्वितीय क्रेडेंशियल तक पहुँचता है, या प्रति घंटे दस से अधिक, तो वह स्वतः थ्रॉटल हो जाता है। दूसरा उल्लंघन कठोर लॉकडाउन चालू करता है।
आज SIEM एकीकरण क्या है →ऑडिट और एट्रिब्यूशन
प्रत्येक क्रेडेंशियल एक्सेस एक विशिष्ट अभिनेता को दिया जाता है — मानव या एजेंट। "साझा पासवर्ड वाला कोई व्यक्ति" नहीं। एक नाम, एक परिधिबद्धता, एक टाइमस्टैम्प, एक स्रोत IP। जब आपका CISO पूछता है कि मंगलवार को सुबह 2 बजे प्रोडक्शन डेटाबेस तक किसने पहुँच प्राप्त की, तो उत्तर एक क्वेरी दूर है।
पासवर्ड रोटेशन में समान एट्रिब्यूशन होता है। कौन सा क्रेडेंशियल बदला, किसने इसे ट्रिगर किया, किन एजेंटों ने नया मान लिया। यदि एक रोटेशन डिप्लॉयमेंट को तोड़ता है, तो आप इसे सेकंडों में सटीक परिवर्तन तक ट्रेस कर सकते हैं।
यह हमेशा चालू रहता है। कोई कॉन्फ़िगरेशन नहीं। कोई ऑप्ट-इन नहीं। ऑडिट लॉग आपका अनुपालन प्रमाण, आपका घटना प्रतिक्रिया उपकरण है, और हर उस नियामक का उत्तर है जो पूछता है कि आप संवेदनशील सिस्टम तक एक्सेस को कैसे नियंत्रित करते हैं।
Enterprise प्राइसिंग
प्रति-उपयोगकर्ता प्राइसिंग। प्रति उपयोगकर्ता तीन एजेंट। जीवन भर के लिए मूल्य — आपकी दर कभी नहीं बढ़ती है। एक साल बाद नहीं। पांच साल बाद नहीं। आपकी हेडकाउंट दोगुनी होने के बाद नहीं। हम नए ग्राहकों के लिए दरें बढ़ा सकते हैं, लेकिन आपकी दर आपके टियर पर, आपकी मुद्रा में, आपके सदस्यता के जीवनकाल के लिए लॉक है।
आइए बात करें।
आपके एजेंट पहले से ही यहाँ हैं। आपकी क्रेडेंशियल लेयर भी होनी चाहिए।