🥇1. उपयोगकर्ताओं को सूचना सुरक्षा की बुनियादी बातों में प्रशिक्षण देना। फ़िशिंग से लड़ना

आज, एक नेटवर्क प्रशासक या सूचना सुरक्षा इंजीनियर एक उद्यम नेटवर्क की परिधि को विभिन्न खतरों से बचाने, घटनाओं को रोकने और निगरानी करने के लिए नई प्रणालियों में महारत हासिल करने के लिए बहुत समय और प्रयास खर्च करता है, लेकिन यह भी पूर्ण सुरक्षा की गारंटी नहीं देता है। हमलावरों द्वारा सोशल इंजीनियरिंग का सक्रिय रूप से उपयोग किया जाता है और इसके गंभीर परिणाम हो सकते हैं।

आपने कितनी बार खुद को यह सोचते हुए पाया है: "सूचना सुरक्षा साक्षरता पर कर्मचारियों के लिए एक परीक्षा की व्यवस्था करना अच्छा होगा"? दुर्भाग्य से, कार्य दिवस में बड़ी संख्या में कार्यों या सीमित समय के रूप में विचार गलतफहमी की दीवार से टकरा जाते हैं। हम आपको कर्मियों के प्रशिक्षण के स्वचालन के क्षेत्र में आधुनिक उत्पादों और प्रौद्योगिकियों के बारे में बताने की योजना बना रहे हैं, जिन्हें पायलटिंग या कार्यान्वयन के लिए लंबे प्रशिक्षण की आवश्यकता नहीं होगी, लेकिन क्रम में सब कुछ के बारे में।

सैद्धांतिक आधार

आज, 80% से अधिक दुर्भावनापूर्ण फ़ाइलें ईमेल के माध्यम से वितरित की जाती हैं (इंटेलिजेंस रिपोर्ट सेवा का उपयोग करके पिछले वर्ष चेक प्वाइंट विशेषज्ञों की रिपोर्ट से लिया गया डेटा)।

दुर्भावनापूर्ण फ़ाइलों के वितरण के लिए आक्रमण वेक्टर पर पिछले 30 दिनों की रिपोर्ट (रूस) - चेक प्वाइंट

इससे पता चलता है कि ईमेल संदेशों की सामग्री हमलावरों द्वारा शोषण के प्रति काफी संवेदनशील है। यदि हम अनुलग्नकों (EXE, RTF, DOC) में सबसे लोकप्रिय दुर्भावनापूर्ण फ़ाइल स्वरूपों पर विचार करते हैं, तो यह ध्यान देने योग्य है कि, एक नियम के रूप में, उनमें कोड निष्पादन (स्क्रिप्ट, मैक्रोज़) के स्वचालित तत्व होते हैं।

प्राप्त दुर्भावनापूर्ण संदेशों में फ़ाइल स्वरूपों पर वार्षिक रिपोर्ट - चेक प्वाइंट

इस आक्रमण वेक्टर से कैसे निपटें? मेल जाँचने में सुरक्षा उपकरणों का उपयोग शामिल है:

एंटीवायरस - खतरों का हस्ताक्षर पता लगाना।
अनुकरण - एक सैंडबॉक्स जिसके साथ संलग्नक एक अलग वातावरण में खोले जाते हैं।
सामग्री जागरूकता - दस्तावेज़ों से सक्रिय तत्व निकालना। उपयोगकर्ता को एक साफ़ दस्तावेज़ प्राप्त होता है (आमतौर पर पीडीएफ प्रारूप में)।
स्पैम - विरोधी - प्रतिष्ठा के लिए प्राप्तकर्ता/प्रेषक डोमेन की जाँच करना।

और, सिद्धांत रूप में, यह पर्याप्त है, लेकिन कंपनी के लिए एक और समान रूप से मूल्यवान संसाधन है - कर्मचारियों का कॉर्पोरेट और व्यक्तिगत डेटा। हाल के वर्षों में, निम्न प्रकार की इंटरनेट धोखाधड़ी की लोकप्रियता सक्रिय रूप से बढ़ रही है:

फ़िशिंग (अंग्रेजी फ़िशिंग, मछली पकड़ने से - मछली पकड़ना, मछली पकड़ना) - एक प्रकार का इंटरनेट धोखाधड़ी। इसका उद्देश्य उपयोगकर्ता पहचान डेटा प्राप्त करना है। इसमें पासवर्ड, क्रेडिट कार्ड नंबर, बैंक खाते और अन्य संवेदनशील जानकारी की चोरी शामिल है।

हमलावर फ़िशिंग हमलों के तरीकों में सुधार कर रहे हैं, लोकप्रिय साइटों से डीएनएस अनुरोधों को पुनर्निर्देशित कर रहे हैं, और ईमेल भेजने के लिए सोशल इंजीनियरिंग का उपयोग करके संपूर्ण अभियान शुरू कर रहे हैं।

इस प्रकार, आपके कॉर्पोरेट ईमेल को फ़िशिंग से बचाने के लिए, दो तरीकों का उपयोग करने की अनुशंसा की जाती है, और उनके संयुक्त उपयोग से सर्वोत्तम परिणाम मिलते हैं:

तकनीकी सुरक्षा उपकरण. जैसा कि पहले उल्लेख किया गया है, केवल वैध मेल की जाँच करने और अग्रेषित करने के लिए विभिन्न तकनीकों का उपयोग किया जाता है।
कार्मिकों का सैद्धांतिक प्रशिक्षण. इसमें संभावित पीड़ितों की पहचान करने के लिए कर्मियों का व्यापक परीक्षण शामिल है। फिर उन्हें दोबारा प्रशिक्षित किया जाता है और आंकड़े लगातार दर्ज किए जाते हैं।

भरोसा मत करो और जांच करो

आज हम फ़िशिंग हमलों को रोकने के दूसरे दृष्टिकोण के बारे में बात करेंगे, अर्थात् कॉर्पोरेट और व्यक्तिगत डेटा की सुरक्षा के समग्र स्तर को बढ़ाने के लिए स्वचालित कार्मिक प्रशिक्षण। यह इतना खतरनाक क्यों हो सकता है?

सोशल इंजीनियरिंग - कुछ कार्यों को करने या गोपनीय जानकारी (सूचना सुरक्षा के संबंध में) का खुलासा करने के लिए लोगों का मनोवैज्ञानिक हेरफेर।

एक विशिष्ट फ़िशिंग आक्रमण परिनियोजन परिदृश्य का आरेख

आइए एक मज़ेदार फ़्लोचार्ट पर नज़र डालें जो फ़िशिंग अभियान की यात्रा को संक्षेप में बताता है। इसके विभिन्न चरण हैं:

प्राथमिक डेटा का संग्रह.

21वीं सदी में, ऐसे व्यक्ति को ढूंढना मुश्किल है जो किसी सोशल नेटवर्क या विभिन्न विषयगत मंचों पर पंजीकृत न हो। स्वाभाविक रूप से, हम में से कई लोग अपने बारे में विस्तृत जानकारी छोड़ते हैं: वर्तमान कार्य का स्थान, सहकर्मियों के लिए समूह, टेलीफोन, मेल, आदि। इसमें किसी व्यक्ति की रुचियों के बारे में वैयक्तिकृत जानकारी जोड़ें और आपके पास फ़िशिंग टेम्पलेट बनाने के लिए डेटा होगा। भले ही हमें ऐसी जानकारी वाले लोग न मिलें, कंपनी की हमेशा एक वेबसाइट होती है जहां हम अपनी रुचि की सभी जानकारी (डोमेन ईमेल, संपर्क, कनेक्शन) पा सकते हैं।
अभियान का शुभारंभ.

एक बार जब आपके पास एक स्प्रिंगबोर्ड हो, तो आप अपना स्वयं का लक्षित फ़िशिंग अभियान शुरू करने के लिए मुफ़्त या सशुल्क टूल का उपयोग कर सकते हैं। मेलिंग प्रक्रिया के दौरान, आप आँकड़े जमा करेंगे: मेल वितरित, मेल खोला गया, लिंक पर क्लिक किया गया, क्रेडेंशियल दर्ज किए गए, आदि।

बाज़ार में उत्पाद

कर्मचारियों के व्यवहार का निरंतर ऑडिट करने के लिए फ़िशिंग का उपयोग हमलावरों और कंपनी सूचना सुरक्षा कर्मचारियों दोनों द्वारा किया जा सकता है। कंपनी के कर्मचारियों के लिए स्वचालित प्रशिक्षण प्रणाली के लिए मुफ़्त और व्यावसायिक समाधानों का बाज़ार हमें क्या प्रदान करता है:

गोफिश एक ओपन सोर्स प्रोजेक्ट है जो आपको अपने कर्मचारियों की आईटी साक्षरता की जांच करने के लिए फ़िशिंग अभियान चलाने की अनुमति देता है। मैं तैनाती में आसानी और न्यूनतम सिस्टम आवश्यकताओं के फायदों पर विचार करूंगा। नुकसान में तैयार मेलिंग टेम्प्लेट की कमी, कर्मचारियों के लिए परीक्षण और प्रशिक्षण सामग्री की कमी शामिल है।
पता है ४ - परीक्षण कर्मियों के लिए बड़ी संख्या में उपलब्ध उत्पादों वाली एक साइट।
फिशमैन - कर्मचारियों के परीक्षण और प्रशिक्षण के लिए स्वचालित प्रणाली। 10 से 1000 से अधिक कर्मचारियों का समर्थन करने वाले उत्पादों के विभिन्न संस्करण हैं। प्रशिक्षण पाठ्यक्रमों में सिद्धांत और व्यावहारिक कार्य शामिल हैं; फ़िशिंग कंपनी के बाद प्राप्त आंकड़ों के आधार पर आवश्यकताओं की पहचान करना संभव है। यह समाधान परीक्षण उपयोग की संभावना के साथ वाणिज्यिक है।
एंटी फिसिंग - स्वचालित प्रशिक्षण और सुरक्षा निगरानी प्रणाली। वाणिज्यिक उत्पाद समय-समय पर प्रशिक्षण हमले, कर्मचारी प्रशिक्षण आदि प्रदान करता है। एक अभियान को उत्पाद के डेमो संस्करण के रूप में पेश किया जाता है, जिसमें टेम्पलेट तैनात करना और तीन प्रशिक्षण हमले आयोजित करना शामिल है।

उपरोक्त समाधान स्वचालित कार्मिक प्रशिक्षण बाज़ार में उपलब्ध उत्पादों का केवल एक हिस्सा हैं। बेशक, प्रत्येक के अपने फायदे और नुकसान हैं। आज हम परिचित होंगे गोफिश, फ़िशिंग हमले का अनुकरण करें और उपलब्ध विकल्पों का पता लगाएं।

गोफिश

तो, यह अभ्यास करने का समय है। GoPhish को संयोग से नहीं चुना गया था: यह निम्नलिखित विशेषताओं वाला एक उपयोगकर्ता-अनुकूल उपकरण है:

सरलीकृत स्थापना और स्टार्टअप।
बाकी एपीआई समर्थन। आपको इससे क्वेरीज़ बनाने की अनुमति देता है प्रलेखन और स्वचालित स्क्रिप्ट लागू करें।
सुविधाजनक ग्राफिकल नियंत्रण इंटरफ़ेस।
क्रॉस-प्लेटफ़ॉर्म।

विकास टीम ने एक उत्कृष्ट तैयार किया है гайд GoPhish को तैनात और कॉन्फ़िगर करने पर। वास्तव में, आपको बस इतना करना है कि जाना है कोष, संबंधित ओएस के लिए ज़िप संग्रह डाउनलोड करें, आंतरिक बाइनरी फ़ाइल चलाएं, जिसके बाद टूल इंस्टॉल हो जाएगा।

महत्वपूर्ण लेख!

परिणामस्वरूप, आपको टर्मिनल में तैनात पोर्टल के बारे में जानकारी, साथ ही प्राधिकरण डेटा (संस्करण 0.10.1 से पुराने संस्करणों के लिए प्रासंगिक) प्राप्त होना चाहिए। अपने लिए पासवर्ड सुरक्षित करना न भूलें!

msg="Please login with the username admin and the password <ПАРОЛЬ>"

GoPish सेटअप को समझना

इंस्टालेशन के बाद, एप्लिकेशन डायरेक्टरी में एक कॉन्फ़िगरेशन फ़ाइल (config.json) बनाई जाएगी। आइए इसे बदलने के मापदंडों का वर्णन करें:

कुंजी

मान (डिफ़ॉल्ट)

विवरण

admin_server.listen_url

127.0.0.1:3333

GoPish सर्वर IP पता

admin_server.use_tls

असत्य

क्या TLS का उपयोग GoPhish सर्वर से कनेक्ट करने के लिए किया जाता है?

admin_server.cert_path

example.crt

GoPhish एडमिन पोर्टल के लिए SSL प्रमाणपत्र का पथ

admin_server.key_path

उदाहरण.कुंजी

निजी एसएसएल कुंजी का पथ

phish_server.listen_url

0.0.0.0:80

आईपी पता और पोर्ट जहां फ़िशिंग पेज होस्ट किया जाता है (डिफ़ॉल्ट रूप से यह पोर्ट 80 पर GoPhish सर्वर पर ही होस्ट किया जाता है)

-> प्रबंधन पोर्टल पर जाएँ. हमारे मामले में: https://127.0.0.1:3333

—> आपसे काफी लंबे पासवर्ड को सरल पासवर्ड में बदलने या इसके विपरीत करने के लिए कहा जाएगा।

प्रेषक प्रोफ़ाइल बनाना

"प्रोफ़ाइल भेजना" टैब पर जाएं और उस उपयोगकर्ता के बारे में जानकारी दर्ज करें जिससे हमारी मेलिंग शुरू होगी:

कहाँ:

नाम

भेजने वाले का नाम

से

प्रेषक का ईमेल

मेजबान

मेल सर्वर का आईपी पता जिससे आने वाली मेल सुनी जाएगी।

उपयोगकर्ता नाम

मेल सर्वर उपयोगकर्ता खाता लॉगिन.

पासवर्ड

मेल सर्वर उपयोगकर्ता खाता पासवर्ड.

डिलीवरी की सफलता सुनिश्चित करने के लिए आप एक परीक्षण संदेश भी भेज सकते हैं। "प्रोफ़ाइल सहेजें" बटन का उपयोग करके सेटिंग्स सहेजें।

प्राप्तकर्ताओं का एक समूह बनाना

इसके बाद, आपको "श्रृंखला पत्र" प्राप्तकर्ताओं का एक समूह बनाना चाहिए। "उपयोगकर्ता और समूह" → "नया समूह" पर जाएँ। जोड़ने के दो तरीके हैं: मैन्युअल रूप से या CSV फ़ाइल आयात करना।

दूसरी विधि के लिए निम्नलिखित आवश्यक फ़ील्ड की आवश्यकता होती है:

प्रथम नाम
उपनाम
ईमेल
पद

एक उदाहरण के रूप में:

First Name,Last Name,Position,Email
Richard,Bourne,CEO,[email protected]
Boyd,Jenius,Systems Administrator,[email protected]
Haiti,Moreo,Sales &amp; Marketing,[email protected]

फ़िशिंग ईमेल टेम्प्लेट बनाना

एक बार जब हम काल्पनिक हमलावर और संभावित पीड़ितों की पहचान कर लेते हैं, तो हमें एक संदेश के साथ एक टेम्पलेट बनाने की आवश्यकता होती है। ऐसा करने के लिए, "ईमेल टेम्प्लेट" → "नए टेम्प्लेट" अनुभाग पर जाएं।

टेम्प्लेट बनाते समय, एक तकनीकी और रचनात्मक दृष्टिकोण का उपयोग किया जाता है; सेवा से एक संदेश निर्दिष्ट किया जाना चाहिए जो पीड़ित उपयोगकर्ताओं से परिचित होगा या उन्हें एक निश्चित प्रतिक्रिया का कारण बनेगा। संभावित विकल्प:

नाम

टेम्पलेट नाम

विषय

पत्र विषय

टेक्स्ट/एचटीएमएल

टेक्स्ट या HTML कोड दर्ज करने के लिए फ़ील्ड

गोफ़िश पत्र आयात करने का समर्थन करता है, लेकिन हम अपना स्वयं का निर्माण करेंगे। ऐसा करने के लिए, हम एक परिदृश्य का अनुकरण करते हैं: एक कंपनी उपयोगकर्ता को एक पत्र प्राप्त होता है जिसमें उसे अपने कॉर्पोरेट ईमेल से पासवर्ड बदलने के लिए कहा जाता है। इसके बाद, आइए उसकी प्रतिक्रिया का विश्लेषण करें और हमारी "कैच" को देखें।

हम टेम्प्लेट में बिल्ट-इन वेरिएबल्स का उपयोग करेंगे। अधिक विवरण उपरोक्त में पाया जा सकता है मार्गदर्शक अनुभाग टेम्पलेट संदर्भ.

सबसे पहले, आइए निम्नलिखित टेक्स्ट लोड करें:

{{.FirstName}},

The password for {{.Email}} has expired. Please reset your password here.

Thanks,
IT Team

तदनुसार, उपयोगकर्ता का नाम स्वचालित रूप से दर्ज किया जाएगा (पहले निर्दिष्ट "नए समूह" आइटम के अनुसार) और उसका डाक पता इंगित किया जाएगा।

इसके बाद, हमें अपने फ़िशिंग संसाधन का एक लिंक प्रदान करना चाहिए। ऐसा करने के लिए, टेक्स्ट में "यहां" शब्द को हाइलाइट करें और नियंत्रण कक्ष पर "लिंक" विकल्प चुनें।

हम यूआरएल को बिल्ट-इन वेरिएबल {{.URL}} पर सेट करेंगे, जिसे हम बाद में भरेंगे। यह स्वचालित रूप से फ़िशिंग ईमेल के टेक्स्ट में एम्बेड किया जाएगा।

टेम्प्लेट सहेजने से पहले, "ट्रैकिंग छवि जोड़ें" विकल्प को सक्षम करना न भूलें। यह एक 1x1 पिक्सेल मीडिया तत्व जोड़ेगा जो ट्रैक करेगा कि उपयोगकर्ता ने ईमेल खोला है या नहीं।

तो, बहुत कुछ नहीं बचा है, लेकिन पहले हम गोफिश पोर्टल में लॉग इन करने के बाद आवश्यक चरणों का सारांश देंगे:

एक प्रेषक प्रोफ़ाइल बनाएं;
एक वितरण समूह बनाएं जहां आप उपयोगकर्ता निर्दिष्ट करें;
एक फ़िशिंग ईमेल टेम्प्लेट बनाएं.

सहमत हूं, सेटअप में ज्यादा समय नहीं लगा और हम अपना अभियान शुरू करने के लिए लगभग तैयार हैं। जो कुछ बचा है वह एक फ़िशिंग पेज जोड़ना है।

फ़िशिंग पेज बनाना

"लैंडिंग पेज" टैब पर जाएं।

हमें ऑब्जेक्ट का नाम निर्दिष्ट करने के लिए प्रेरित किया जाएगा। स्रोत साइट को आयात करना संभव है. हमारे उदाहरण में, मैंने मेल सर्वर के कार्यशील वेब पोर्टल को निर्दिष्ट करने का प्रयास किया। तदनुसार, इसे HTML कोड के रूप में आयात किया गया था (यद्यपि पूरी तरह से नहीं)। उपयोगकर्ता इनपुट कैप्चर करने के लिए निम्नलिखित दिलचस्प विकल्प हैं:

सबमिट किया गया डेटा कैप्चर करें. यदि निर्दिष्ट साइट पेज में विभिन्न इनपुट फॉर्म हैं, तो सभी डेटा रिकॉर्ड किया जाएगा।
पासवर्ड कैप्चर करें - दर्ज किए गए पासवर्ड कैप्चर करें। डेटा गोफ़िश डेटाबेस में बिना एन्क्रिप्शन के लिखा जाता है, जैसा कि है।

इसके अतिरिक्त, हम "रीडायरेक्ट टू" विकल्प का उपयोग कर सकते हैं, जो क्रेडेंशियल दर्ज करने के बाद उपयोगकर्ता को एक निर्दिष्ट पृष्ठ पर रीडायरेक्ट करेगा। मैं आपको याद दिला दूं कि हमने एक परिदृश्य निर्धारित किया है जहां उपयोगकर्ता को कॉर्पोरेट ईमेल के लिए पासवर्ड बदलने के लिए प्रेरित किया जाता है। ऐसा करने के लिए, उसे एक नकली मेल प्राधिकरण पोर्टल पृष्ठ की पेशकश की जाती है, जिसके बाद उपयोगकर्ता को किसी भी उपलब्ध कंपनी संसाधन पर भेजा जा सकता है।

पूर्ण पृष्ठ को सहेजना और "नया अभियान" अनुभाग पर जाना न भूलें।

गोफ़िश मछली पकड़ने का शुभारंभ

हमने सभी आवश्यक जानकारी प्रदान की है। "नया अभियान" टैब में, एक नया अभियान बनाएं।

एक अभियान का शुभारंभ करें

कहाँ:

नाम

अभियान का नाम

ईमेल टेम्पलेट

संदेश टेम्पलेट

लैंडिंग पृष्ठ

फ़िशिंग पेज

यूआरएल

आपके GoPhish सर्वर का IP (पीड़ित के होस्ट के साथ नेटवर्क रीचैबिलिटी होनी चाहिए)

प्रारंभ तिथि

अभियान आरंभ तिथि

द्वारा ईमेल भेजें

अभियान समाप्ति तिथि (मेल समान रूप से वितरित)

प्रोफ़ाइल भेजी जा रही है

प्रेषक प्रोफ़ाइल

समूह

मेल प्राप्तकर्ता समूह

शुरुआत के बाद, हम हमेशा आँकड़ों से परिचित हो सकते हैं, जो इंगित करते हैं: भेजे गए संदेश, खोले गए संदेश, लिंक पर क्लिक, बायाँ डेटा स्पैम में स्थानांतरित।

आँकड़ों से हम देखते हैं कि 1 संदेश भेजा गया था, आइए प्राप्तकर्ता की ओर से मेल की जाँच करें:

दरअसल, पीड़ित को सफलतापूर्वक एक फ़िशिंग ईमेल प्राप्त हुआ जिसमें उससे अपने कॉर्पोरेट खाते का पासवर्ड बदलने के लिए एक लिंक का अनुसरण करने के लिए कहा गया। हम अनुरोधित कार्रवाई करते हैं, हमें लैंडिंग पेज पर भेजा जाता है, आंकड़ों के बारे में क्या?

परिणामस्वरूप, हमारे उपयोगकर्ता ने एक फ़िशिंग लिंक पर क्लिक किया, जहां वह संभावित रूप से अपने खाते की जानकारी छोड़ सकता था।

लेखक का नोट: परीक्षण लेआउट के उपयोग के कारण डेटा प्रविष्टि प्रक्रिया रिकॉर्ड नहीं की गई थी, लेकिन ऐसा विकल्प मौजूद है। हालाँकि, सामग्री एन्क्रिप्टेड नहीं है और GoPhish डेटाबेस में संग्रहीत है, कृपया इसे ध्यान में रखें।

इसके बजाय एक निष्कर्ष की

आज हमने कर्मचारियों को फ़िशिंग हमलों से बचाने और उनमें आईटी साक्षरता विकसित करने के लिए स्वचालित प्रशिक्षण आयोजित करने के वर्तमान विषय पर चर्चा की। गोफ़िश को एक किफायती समाधान के रूप में तैनात किया गया था, जिसने तैनाती के समय और परिणाम के संदर्भ में अच्छे परिणाम दिखाए। इस सुलभ टूल से, आप अपने कर्मचारियों का ऑडिट कर सकते हैं और उनके व्यवहार पर रिपोर्ट तैयार कर सकते हैं। यदि आप इस उत्पाद में रुचि रखते हैं, तो हम इसे तैनात करने और आपके कर्मचारियों का ऑडिट करने में सहायता प्रदान करते हैं ([ईमेल संरक्षित]).

हालाँकि, हम एक समाधान की समीक्षा करने तक नहीं रुकेंगे और उस चक्र को जारी रखने की योजना बना रहे हैं, जहाँ हम प्रशिक्षण प्रक्रिया को स्वचालित करने और कर्मचारी सुरक्षा की निगरानी के लिए एंटरप्राइज़ समाधानों के बारे में बात करेंगे। हमारे साथ रहें और सतर्क रहें!

स्रोत: www.habr.com

1. उपयोगकर्ताओं को सूचना सुरक्षा की बुनियादी बातों में प्रशिक्षण देना। फ़िशिंग के विरुद्ध लड़ें

सैद्धांतिक आधार

भरोसा मत करो और जांच करो

बाज़ार में उत्पाद

गोफिश

GoPish सेटअप को समझना

गोफ़िश मछली पकड़ने का शुभारंभ

इसके बजाय एक निष्कर्ष की

एक टिप्पणी जोड़ें उत्तर रद्द