पारदर्शिता की इच्छा

दूसरों की मदद करने का सबसे प्रभावी तरीका उन्हें स्वयं की मदद करना है।
जेरी कोरस्टेंस

अनुवादक से

मैं आपके ध्यान में लाना चाहता हूं कि स्पेक्ट्ररॉप्स के सीईओ डेविड मैकगायर के लेख "ए पुश टूवर्ड ट्रांसपेरेंसी" । मुझे इस कंपनी से कोई लेना-देना नहीं है और कभी भी इसके उत्पादों का उपयोग नहीं किया है, इसलिए लेख विज्ञापन के उद्देश्यों को पूरा नहीं करता है, लेकिन केवल लेखक द्वारा प्रस्तावित दृष्टिकोण का उपयोग करने के लिए सोचने, चर्चा करने और उपयोग करने या इनकार करने का एक अवसर है।

डेविड ने सूचना सुरक्षा उद्योग में पारदर्शिता का मुद्दा उठाया, यह तर्क देते हुए कि उपकरण और काम करने के तरीकों के बारे में ज्ञान का प्रसार प्रतिस्पर्धी लाभ के लिए खतरा नहीं है, लेकिन सभी बाजार सहभागियों के लिए एक बहुत ही महत्वपूर्ण कदम है, जो सूचना इन्फ्रास्ट्रक्चर की सुरक्षा के समग्र स्तर को बढ़ा सकता है। टिप्पणियों में, मैं इस स्थिति की एक चर्चा देखना चाहता हूं: यह वास्तविकता के साथ कितना संगत है, जो हमें पारदर्शी होने से रोकता है, और क्या हमें स्वतंत्र रूप से खतरों का सामना करने के लिए प्रशिक्षण के लिए सलाहकारों और उत्पादों पर निर्भरता निर्माण से स्थानांतरित करने की आवश्यकता है?

पारदर्शिता की इच्छा

सूचना सुरक्षा एक युवा क्षेत्र है जो सदियों से मौजूद उद्योगों (उदाहरण के लिए, चिकित्सा) की तुलना में तेजी से बदलता रहता है। आईबी की तरह, दवा को एक लाभदायक व्यवसाय बनने और जनता की सेवा करने के लिए डिज़ाइन किया गया है। इस क्षेत्र में योगदान करने, परिकल्पना साझा करने और सामूहिक ज्ञान बढ़ाने के लिए चिकित्सा शोधकर्ताओं द्वारा हजारों साल बिताए गए हैं। चिकित्सा में एक परिकल्पना को आगे बढ़ाने के लिए, इसका खुले तौर पर अध्ययन, परीक्षण, सहकर्मी की समीक्षा और बचाव किया जाना चाहिए। ऐसी प्रणाली आपको सचेत रूप से और लगातार चिकित्सकों को अभ्यास करने की दक्षता में वृद्धि करने की अनुमति देती है। सूचना सुरक्षा में मौजूदा स्थिति से इसकी तुलना करें। विचारों, परिकल्पनाओं और शोध परिणामों को शायद ही कभी प्रकाशित किया जाता है, क्योंकि कई इसे अपने प्रतिस्पर्धी लाभ को खोने के जोखिम के रूप में देखते हैं। इस दृष्टिकोण के साथ समस्या यह है कि यह ज्ञान के प्रसार को सीमित करके प्रगति को धीमा कर देता है। कई प्रतिबंधों के बावजूद, हम सूचना सुरक्षा में पारदर्शिता की पुरजोर वकालत करते हैं।

स्पेक्टरऑप्स में, हम मानते हैं कि जिस तरह से हम अपने उद्योग की परिपक्वता को बढ़ा सकते हैं, वह सामूहिक ज्ञान आधार में योगदान करना है। हमें विश्वास है कि मौजूदा प्रणाली को निरूपित करने के लिए, हमें खुद को व्यवहार में उपयोग करना चाहिए जो हम उपदेश देते हैं: परीक्षण और आलोचना के लिए हमारे विचारों और परिकल्पनाओं की खोज। यह पारदर्शिता के लिए हमारे दृष्टिकोण और ग्राहकों और समुदाय के साथ हमारे संबंधों का एक प्रमुख सिद्धांत है। विरोधियों के टेक्टिक्स, तकनीक और प्रक्रिया (टीटीपी) के हमारे ज्ञान को साझा करके, हम उन प्रणालियों में कमजोरियों को उजागर करने की उम्मीद करते हैं जो उन्हें हमला करने की अनुमति देते हैं, साथ ही इन अंतरालों को खत्म करने के लिए सहयोग भी आमंत्रित करते हैं।

कार्रवाई में पारदर्शिता

आइए एक तकनीक को देखें जिसमें सार्वजनिक रूप से सुरक्षा अनुसंधान किया गया था: पॉवरशेल। पिछले पांच वर्षों में पावरस्ले की सुरक्षा क्षमताओं ने लंबा सफर तय किया है, माइक्रोसॉफ्ट के आंतरिक समर्थकों और कई सुरक्षा उद्योग के अधिवक्ताओं के लिए जिन्होंने उन्हें बढ़ावा दिया है। लेकिन हमेशा ऐसा नहीं था। कुछ बिंदु पर, PowerShell द्वारा प्रस्तुत हमले की सतह बड़े पैमाने पर और अस्पष्ट थी।

2015 में, हमारी टीम के कुछ सदस्यों ने पावरशेल एम्पायर नामक एक प्रोजेक्ट बनाया, जो उद्योग में पिछले काम की परिणति है, साथ ही हमारी टीम द्वारा प्रोजेक्ट्स और रिसर्च भी। उस समय साम्राज्य शुद्ध पॉवरशेल पर शोषण के बाद का उपकरण था, यह दर्शाता था कि किसी हमले का अनुकरण करने के दौरान दुश्मन की कार्रवाई को कैसे पुन: पेश और मजबूत किया जा सकता है। एम्पायर के निर्माण के बाद से, हमने कई अतिरिक्त आक्रामक पावरस्ले प्रोजेक्ट देखे हैं, जो ज्ञान प्रणाली को बहुत आगे बढ़ाते हैं, जो किसी ने अकेले किया हो सकता है। ऐसी परियोजनाओं के प्रभाव ने Microsoft पर इस दिशा के लिए जिम्मेदार लोगों को PowerShell के लिए अतिरिक्त सुरक्षा उपायों के विकास पर सूचित निर्णय लेने की अनुमति दी। हम AMSI, स्क्रिप्ट ट्रेसिंग, और अन्य जैसे PowerShell के नवीनतम संस्करणों में उपायों को लागू करने के लिए इन फैसलों का स्वागत करते हैं।

PowerShell का उपयोग करने के लिए रक्षात्मक तरीकों की उपलब्धता को बढ़ावा देने और बढ़ाने के लिए, हमारी टीम ने PowerForensics बनाया, खोजी क्षमताओं को प्रदान करना जो पहले केवल भारी उपकरणों का हिस्सा थे। आम तौर पर एंडपॉइंट एजेंटों और मेमोरी अनुसंधान से संबंधित, कार्यक्षमता के साथ गेट-इंजेक्ट्रेड जैसे परियोजनाओं पर निरंतर अनुसंधान, भाषा द्वारा प्रदान की गई जांच क्षमताओं का लाभ उठाना आसान बनाता है। आज, PowerShell का उपयोग हमलावरों के लिए कम आकर्षक हो रहा है, क्योंकि उनकी तकनीकों को अच्छी तरह से समझा जाता है। इसके अलावा, हम कई संगठनों द्वारा PowerShell सुरक्षा उपायों का व्यापक कार्यान्वयन देखते हैं। दोनों ही पहलू सूचना प्रसार और पारदर्शिता के कारण भाषा सुरक्षा दृष्टिकोण के विकास का प्रतिनिधित्व करते हैं।

पारदर्शिता के लिए हमारी सामुदायिक प्रतिबद्धता

SpectreOps टीम के प्रत्येक सदस्य को टूल और तकनीकों के डेवलपर्स के खुले स्रोत समुदाय में ज्ञान के प्रसार से काफी फायदा हुआ है। हम अपनी टीम में हर किसी और सभी को प्रोत्साहित करते हैं कि वे अपने शोध के साथ समुदाय की मदद करें। योगदान आमतौर पर हमारे विचारों को व्यक्त करने के लिए ब्लॉग प्रविष्टियों, वीडियो और लेखों के रूप में प्रकट होते हैं। हमारा मानना ​​है कि टूलकिट बनाने और वितरित करने से अन्य सुरक्षा टीमों को इन विचारों को समझने और आधार बनाने की अनुमति मिलती है। हमें उम्मीद है कि इन प्रयासों से स्पेक्ट्रो ऑप्स का उद्योग पर महत्वपूर्ण प्रभाव पड़ेगा, हम सीधे ग्राहकों की सेवा से परे जा सकते हैं।

आक्रामक अनुसंधान के संदर्भ में, हमारे काम के परिणाम अक्सर पूरा होने पर तुरंत प्रकाशित होते हैं। बेशक, इस नियम के अपवाद हैं: उदाहरण के लिए, कमजोरियां जिनके लिए जिम्मेदार प्रकटन दृष्टिकोण लागू होता है। हमलावर तरीकों का सार्वजनिक रूप से खुलासा करने का हमारा उद्देश्य उद्योग को काम करने के तरीकों का पता लगाने और काउंटर करने में मदद करना है जो वास्तविक दुनिया के हमलों में उपयोग किए जा सकते हैं या उनका उपयोग कर सकते हैं। अनुसंधान प्रयासों के इस तरह के "जलने" प्रतिरूप लग सकते हैं। हमें इस पर दो आपत्तियां हैं। सबसे पहले, संभावित हमलावर तकनीकों का प्रकाशन जनता की अच्छी सेवा करता है, जो विशिष्ट कमजोरियों के उद्योग को चेतावनी देता है। दूसरे, व्यवहार में, हमने पाया कि प्रयुक्त विधियों का प्रकाशन शायद ही कभी अध्ययन का अवमूल्यन करता है।

रक्षात्मक अनुसंधान के दृष्टिकोण से, हम मानते हैं कि बचावकर्ताओं के सामने समस्या हमलावरों की तुलना में बहुत अधिक है, जिसे एक सफल हमले की लागत के साथ प्रभावी रक्षा की लागत में वृद्धि की तुलना करके देखा जा सकता है। हमारा मानना ​​है कि एक उद्योग केवल प्रौद्योगिकी और हमले का पता लगाने की तकनीक के माध्यम से असीमित संसाधनों के साथ एक विरोधी का सामना कर सकता है। रक्षात्मक तंत्र का संचय केवल यह गारंटी देता है कि हम युद्ध के मैदान में स्वतंत्र रूप से आगे बढ़ने वाले दुश्मन के खिलाफ अलग-अलग टीमों के रूप में लड़ेंगे। किसी भी आक्रामक अनुसंधान को अंजाम देते हुए, हम सुरक्षा और प्रतिरूपण के मुद्दों पर काम कर रहे हैं। रक्षात्मक अनुसंधान के मामले में, हम ऐसे अवसर देते हैं जो पहले केवल कुछ ही उत्पादों में उपलब्ध थे। इसका मतलब यह नहीं है कि हम तैयार समाधानों के खिलाफ हैं, लेकिन हमारा मानना ​​है कि हमलावरों का मुकाबला एक सार्वभौमिक अवसर और एक सामान्य ज्ञान आधार का हिस्सा होना चाहिए। PowerForensics, Bloodhound, Uproot, ACE, HELK और Threat Hunter's Playbook जैसे प्रोजेक्ट इस पद्धति के उदाहरण हैं।

ग्राहक पारदर्शिता के प्रति हमारी प्रतिबद्धता

हमारे क्षेत्र में अक्सर, सेवाओं और उत्पादों को ब्लैक बॉक्स के रूप में ग्राहकों को दिया जाता है। ग्राहकों को फर्म के विपणन और / या प्रतिष्ठा पर भरोसा करने के लिए प्रोत्साहित किया जाता है। हम मानते हैं कि इससे दीर्घकालिक सार्थक सुधार प्राप्त करने की उनकी क्षमता पर नकारात्मक प्रभाव पड़ता है। यदि कोई ग्राहक हमारी क्षमताओं का मूल्यांकन करना चाहता है, तो वह हमारे सार्वजनिक कार्यों की ओर रुख कर सकता है। सेवाएं प्रदान करके, हम अपने ग्राहकों को उन विधियों के साथ प्रदान करते हैं जो हम उपयोग करते हैं। हमारा लक्ष्य हमेशा दीर्घकालिक ज्ञान और अवसर बनाने में मदद करना है।

उदाहरण के लिए, हमले के मॉडलिंग के हमारे आकलन में, हम मूल्यांकन के शैक्षिक घटक को महत्वपूर्ण मानते हैं। हमलावरों को व्यवस्थित रूप से बाधित करने के लिए, ग्राहकों को हमले के प्रत्येक चरण में उपयोग किए गए टीटीपी को समझना चाहिए। हम अपने ग्राहकों की सुरक्षा को प्रशिक्षित करने पर काम कर रहे हैं ताकि उन्हें हमारे दृष्टिकोण की पूरी समझ हो और हम अपने लक्ष्यों को कैसे हासिल करें। इसमें वास्तविक परिस्थितियों में काम करना, हमले के दौरान विकसित इम्प्लांट के लिए एक उपकरण या स्रोत कोड प्रदान करना और हमलों को पुन: पेश करने के लिए प्रशिक्षण का आयोजन करना शामिल हो सकता है। घुसपैठ का पता लगाने के संचालन के दौरान, हम टीटीपी का पता लगाने की कोशिश कर रहे हैं और हम ऐसा करने के लिए उपयोग किए जाने वाले तरीकों का पता लगा रहे हैं। सभी टीटीपी प्रचलन, जटिलता और चोरी के मामले में समान नहीं हैं। हम ग्राहकों के साथ काम कर रहे हैं ताकि हम यह समझ सकें कि हम टीटीपी को क्यों चुना गया, और हम कैसे डेटा एकत्र करते हैं और उसका विश्लेषण करते हैं। इस सहयोग का उद्देश्य ग्राहक को आवश्यक ज्ञान और कौशल देना है ताकि वह स्वतंत्र रूप से जानकारी एकत्र और विश्लेषण कर सके।

हमारी सभी सेवाओं का लक्ष्य ग्राहकों को शिक्षित करना और उनके सुरक्षात्मक दृष्टिकोणों में अंतराल की पहचान करना है। यदि हम एक अपारदर्शी रेटिंग प्रदान करते हैं, तो हम उनके सिस्टम की सुरक्षा करने की उनकी क्षमता के बारे में असहमति करेंगे। हम आश्वस्त हैं कि संगठनों के पास अपनी अवसंरचना की सुरक्षा के स्तर का आकलन करने के लिए अपनी क्षमता होनी चाहिए, और हमले की सतह को समझने के लिए केवल तीसरे पक्षों पर निर्भर नहीं होना चाहिए।

निष्कर्ष

स्पेक्टरऑप्स का मानना ​​है कि पारदर्शिता का पीछा हमारे उद्योग में प्रगति को दर्शाता है। एक क्षेत्र के प्रतिनिधियों के रूप में जिसमें जनता को अच्छा बनाने के लिए एक मिशन शामिल है, हमें खुद की अधिक मांग होनी चाहिए, न कि एक दृष्टिकोण पर भरोसा करना चाहिए जो सलाहकार और उत्पादों पर निर्भरता पैदा करता है। एक सामान्य ज्ञान पूल में सहयोग और योगदान करके, हम संयुक्त रूप से खतरों का सामना कर सकते हैं कि हम कभी भी प्रभावी रूप से अकेले नहीं लड़ सकते।

हम उद्योग में खुले योगदान के एकमात्र प्रस्तावक होने का दावा नहीं करते हैं। वास्तव में, हमारी टीम के सदस्य और कई अन्य लोग पहले ही अभ्यास कर चुके हैं कि हम एक कंपनी के रूप में क्या चाहते हैं। हम हर विचार या आविष्कार को प्रकाशित करने का वादा भी नहीं करते हैं। जानकारी की सुरक्षा के लिए अक्सर किसी व्यवसाय के वैध कारण होते हैं। हालांकि, हम जो करते हैं और करेंगे वह हमेशा पारदर्शिता के लिए प्रयास करेगा।

हमारा प्रस्ताव: अगली बार जब कोई तृतीय-पक्ष संगठन आपके बुनियादी ढांचे की सुरक्षा परीक्षण, पारदर्शिता की मांग करता है। प्रश्न पूछें। इस्तेमाल की गई सोच और साधनों को समझने की कोशिश करें। टीटीपी को इस तरह समझने के लिए ऐसा न करें, बल्कि अपने आप को बेहतर तरीके से भुनाएं और ऑडिटर्स के जाने के बाद अपने सुरक्षा लोगों को बड़े होने में मदद करें। जिस तरह हम एक मजबूत रक्षा तंत्र के रूप में अस्पष्टता के माध्यम से सुरक्षा को अस्वीकार करते हैं, हमें अस्पष्टता के माध्यम से हमलों की प्रभावशीलता को छोड़ देना चाहिए। हम वास्तव में सहयोगी शिक्षण के माध्यम से अपने क्षेत्र में बार उठा सकते हैं।