पिछले 20 वर्षों में सूचना सुरक्षा कैसे बदल गई है

चित्र: अनप्लैश

पॉजिटिव टेक्नोलॉजीज में एप्लीकेशन एनालिसिस के प्रमुख दिमित्री स्किलारोव ने पिछले 20 वर्षों में सूचना सुरक्षा उद्योग के विकास के इतिहास पर अपने विचार साझा किए।

यदि आप सूचना सुरक्षा पर किसी भी आधुनिक सम्मेलन के कार्यक्रम को देखते हैं, तो आप देख सकते हैं कि शोधकर्ताओं ने किन महत्वपूर्ण विषयों पर कब्जा कर लिया है। यदि आप इन महत्वपूर्ण विषयों, प्रौद्योगिकियों और निर्देशों की सूची का विश्लेषण करते हैं, तो यह पता चलता है कि बीस साल पहले उनमें से अधिकांश का अस्तित्व ही नहीं था।

उदाहरण के लिए, OFFZONE 2018 सम्मेलन से कुछ विषय यहां दिए गए हैं:

• गैर-नकद भुगतान
• WAF बाईपास
• सॉफ्टवेयर परिभाषित रेडियो सिस्टम,
• सट्टा निष्पादन
• Android के लिए मैलवेयर खोज,
• HTTP / 2,
• मोबाइल OAuth 2.0,
• XSS शोषण का शोषण,
• साइबरबर्ग लाजर,
• एक बहुपरत वास्तुकला के साथ वेब अनुप्रयोगों पर हमले,
• एआरएम प्रोसेसर पर फाल्ट इंजेक्शन का हमला।

इनमें से, केवल दो समस्याएं लंबे समय से मौजूद हैं। पहला एआरएम प्रोसेसर की वास्तुकला विशेषताएं है जो 80 के दशक के मध्य में दिखाई दिया था। दूसरा सट्टा निष्पादन की समस्या है, जो 1995 में जारी इंटेल पेंटियम प्रो प्रोसेसर में उत्पन्न होती है।

दूसरे शब्दों में, इन विषयों में, वास्तव में "प्राचीन" वे हैं जो लोहे से जुड़े हैं। मूलतः, आज विशेषज्ञों द्वारा किए गए अध्ययन एक, दो, तीन साल पहले की घटनाओं से प्रेरित हैं। उदाहरण के लिए, HTTP / 2 तकनीक केवल 2015 में दिखाई दी, सिद्धांत रूप में, इसका अध्ययन चार साल से अधिक समय तक नहीं किया जा सकता है।

20 साल पीछे चलते हैं। 1998 में, तथाकथित पहला ब्राउज़र युद्ध समाप्त हुआ, जिसके दौरान उस समय के दो सबसे बड़े ब्राउज़र, इंटरनेट एक्सप्लोरर और नेटस्केप नेविगेटर ने प्रतिस्पर्धा की। नतीजतन, माइक्रोसॉफ्ट ने यह युद्ध जीत लिया, और मुख्य प्रतियोगी बाजार छोड़ दिया। तब ऐसे कुछ कार्यक्रम थे, उनमें से कई का भुगतान किया गया था, उदाहरण के लिए, ओपेरा: यह सामान्य माना जाता था। उसी समय, सबसे लोकप्रिय ब्राउज़र सफारी, मोज़िला और क्रोम का आविष्कार बहुत बाद में किया गया था, और यह विचार कि आज ब्राउज़र का भुगतान किया जा सकता है किसी को भी नहीं होगा।

20 साल पहले इंटरनेट की पहुंच आज की तुलना में कई गुना कम थी, इसलिए वेब से जुड़ी कई सेवाओं की मांग ब्राउज़र युद्ध के अंत की तुलना में बहुत बाद में बनी।

क्रिप्टोग्राफी के क्षेत्र में एक और स्थिति विकसित हुई है। यह कई दशक पहले विकसित होना शुरू हुआ था, नब्बे के दशक तक कई समय-परीक्षणित एन्क्रिप्शन मानकों (डीईएस, आरएसए) और डिजिटल हस्ताक्षर थे, और अगले वर्षों में कई नए उत्पाद, एल्गोरिदम और मानक दिखाई दिए, जिनमें ओपनएसएसएल मुक्त प्रारूप भी शामिल था; रूस में, मानक GOST 28147-89 को अवर्गीकृत किया गया था।

लगभग सभी क्रिप्टोग्राफी-संबंधित तकनीकें जो आज हम उपयोग करते हैं, वे पहले से ही नब्बे के दशक में मौजूद थीं। इस क्षेत्र में एकमात्र व्यापक रूप से चर्चा की घटना तब से है जब एनएसए द्वारा समर्थित 2004 Dual_EC_DRBG एल्गोरिथ्म में एक पिछले दरवाजे की खोज है।

ज्ञान के स्रोत

नब्बे के दशक की शुरुआत में, ब्रूस श्नेयर एप्लाइड क्रिप्टोग्राफी की पंथ पुस्तक दिखाई दी, यह बहुत दिलचस्प था, लेकिन यह क्रिप्टोग्राफी के लिए समर्पित था, और सूचना सुरक्षा नहीं। 1997 में रूस में इल्या मेदवेदोव्स्की, पावेल सेमनानोव और व्लादिमीर प्लाटनोव की किताब "अटैक थ्रू द इंटरनेट" प्रकाशित हुई। ऐसी व्यावहारिक सामग्री की उपस्थिति, रूसी विशेषज्ञों के व्यक्तिगत अनुभव के आधार पर, हमारे देश में सूचना सुरक्षा क्षेत्र के विकास को प्रोत्साहन देती है।

इससे पहले, नौसिखिए शोधकर्ता केवल विदेशी अध्ययनों की पुनर्मुद्रण पुस्तकें खरीद सकते थे, जिन्हें अक्सर खराब अनुवाद किया जाता था और सूत्रों के हवाले से, फिर "इंटरनेट के माध्यम से हमला" के बाद नए व्यावहारिक मैनुअल बहुत अधिक दिखाई देने लगे। उदाहरण के लिए, पहले से ही 1999 में, क्रिस कैसपर्सकी की तकनीक और दर्शन के हैकर हमलों को जारी किया गया था। "इंटरनेट के माध्यम से हमला" को खुद दो सीक्वेल मिले - "इंटरनेट पर हमला" (1999), और "इंटरनेट से हमला" (2002)।

2001 में, Microsoft की पुस्तक सिक्योर कोड डेवलपमेंट, राइटिंग सिक्योर कोड, जारी की गई। यह तब था जब सॉफ्टवेयर उद्योग के दिग्गज ने इस तथ्य को महसूस किया कि सॉफ्टवेयर सुरक्षा बहुत महत्वपूर्ण है: यह सूचना सुरक्षा के विकास में एक बहुत ही गंभीर क्षण था। उसके बाद, निगम सुरक्षा सुनिश्चित करने के बारे में सोचने लगे, लेकिन पहले इन मुद्दों पर पर्याप्त ध्यान नहीं दिया गया था: कोड लिखा है, उत्पाद बेचा जाता है, यह माना जाता था कि यह पर्याप्त है। तब से, Microsoft ने सुरक्षा में महत्वपूर्ण संसाधनों का निवेश किया है, और कंपनी के उत्पादों में कमजोरियों के अस्तित्व के बावजूद, सामान्य तौर पर, उनकी सुरक्षा एक अच्छे स्तर पर है।

संयुक्त राज्य अमेरिका में, सूचना सुरक्षा उद्योग 70 के दशक से काफी सक्रिय रूप से विकसित हो रहा है। नतीजतन, इस देश में नब्बे के दशक में सूचना सुरक्षा के विषय पर पहले से ही कई प्रमुख सम्मेलन थे। उनमें से एक आरएसए द्वारा आयोजित किया गया था, ब्लैक हैट दिखाई दिया और उसी वर्षों में पहली सीटीएफ हैकर प्रतियोगिताएं हुईं।

हमारे देश में, स्थिति अलग थी। रूस में नब्बे के दशक में सूचना सुरक्षा बाजार में आज के कई नेता अभी तक मौजूद नहीं थे। शोधकर्ताओं के पास रोजगार के कई विकल्प नहीं थे: कैसपर्सकी लैब, डायलॉगसाइंस, इंफोर्ज़ेशिता और कई अन्य कंपनियां थीं। यैंडेक्स, पॉजिटिव टेक्नोलॉजीज, डिजिटल सिक्योरिटी, ग्रुप-आईबी और यहां तक ​​कि डॉक्टर वेब 1998 के बाद दिखाई दिए।

ज्ञान साझा करने और वर्तमान रुझानों का अध्ययन करने के लिए सम्मेलनों के साथ एक समान स्थिति विकसित हुई है। विदेश में इसके साथ सब कुछ अच्छा था: 1984 के बाद से, कैओस कम्युनिकेशन कांग्रेस आयोजित की गई थी, 1991 के बाद से आरएसए सम्मेलन था, 1993 में डीईएफ कॉन दिखाई दिया (1996 में उन्होंने पहली सीटीएफ आयोजित की), और नब्बे के दशक के मध्य से ब्लैक हैट आयोजित किया गया था। हमारे देश में, इस क्षेत्र में पहली महत्वपूर्ण घटना रुसीट्रिप्टो सम्मेलन थी, जो पहली बार 2000 में आयोजित की गई थी। यह रूस के विशेषज्ञों के लिए कठिन था, जिनके पास समान विचारधारा वाले लोगों को खोजने और विचारों का आदान-प्रदान करने के लिए विदेशी घटनाओं में जाने का अवसर नहीं था।

तब से, योग्य घरेलू घटनाओं की संख्या में काफी विस्तार हुआ है: पॉजिटिव हैक डेज़, ज़ीरोनाइट्स, ऑफज़ोन हैं।

व्यक्तिगत अनुभव: सूचना सुरक्षा में पहला कदम

1998 में, मैंने MSTU में "कंप्यूटर एडेड डिजाइन सिस्टम" विभाग से स्नातक किया। बॉमन, जहां मुझे जटिल सॉफ़्टवेयर विकसित करना सिखाया गया था। यह दिलचस्प था, लेकिन मुझे एहसास हुआ कि मैं कुछ और कर सकता हूं। स्कूल से मुझे डिबगर का उपयोग करना पसंद था, यह समझने के लिए कि सॉफ्टवेयर कैसे काम करता है; मैंने इस दिशा में पहला प्रयोग अगाट-डिबगर और आगैट-डॉस कार्यक्रमों के साथ किया था, जब मैं यह जानना चाहता था कि पहले वाले ने पांच गुना तेजी से क्यों लोड किया, हालांकि इसने उतनी ही जगह ली।

जैसा कि हमने पहले ही पता लगा लिया है, मेरे प्रशिक्षण के पूरा होने के समय आधुनिक अर्थों में वेब मौजूद नहीं था। इसलिए, कुछ भी मुझे रिवर्स इंजीनियरिंग से विचलित नहीं करता है। रिवर्स इंजीनियरिंग के महत्वपूर्ण क्षेत्रों में से एक कोड के तर्क की बहाली है। मुझे पता था कि ऐसे कई उत्पाद हैं जो पायरेटेड नकल से रक्षा करते हैं, साथ ही डेटा एन्क्रिप्शन समाधान - रिवर्स इंजीनियरिंग का उपयोग उनके शोध में भी किया गया था। एंटीवायरस का विकास भी था, लेकिन किसी कारण से इस दिशा ने मुझे आकर्षित नहीं किया, जैसा कि एक सैन्य या सरकारी संगठन में काम किया था।

1998 तक, मैं प्रोग्रामिंग में अच्छा था (उदाहरण के लिए, कंप्यूटर एडेड डिजाइन सिस्टम के लिए सॉफ्टवेयर बनाना), एक डिबगर का उपयोग करके, कीजन-मी और क्रैक-मी जैसे कार्यों को हल करने का शौक था, क्रिप्टोग्राफी में दिलचस्पी थी (एक बार मैं अप्रत्यक्ष डेटा से अपने दोस्तों द्वारा भूल गए एक एक्सेल पासवर्ड को पुनर्प्राप्त करने में कामयाब रहा - "अंग्रेजी लेआउट में रूसी महिला का नाम")।

फिर मैंने अपनी पढ़ाई जारी रखी, यहां तक ​​कि "इलेक्ट्रॉनिक दस्तावेजों की सुरक्षा के लिए सॉफ्टवेयर विधियों के विश्लेषण के तरीके" पर एक शोध प्रबंध भी लिखा, हालांकि मैं कभी भी इसके बचाव में नहीं आया (लेकिन मुझे कॉपीराइट संरक्षण के महत्व का एहसास हुआ)।

सूचना सुरक्षा के क्षेत्र में, मैं अंत में एल्कोमॉफ्ट से जुड़ने के बाद डूब गया। यह संयोग से भी हुआ: एक मित्र ने मुझे एमएस एक्सेस डेटाबेस से खोए हुए एक्सेस को पुनर्प्राप्त करने में मदद करने के लिए कहा, जो मैंने एक स्वचालित पासवर्ड रिकवरी टूल बनाकर किया। मैंने इस उपकरण को Elcomsoft पर बेचने की कोशिश की, लेकिन बदले में मुझे एक नौकरी की पेशकश मिली और इस कंपनी में 12 साल बिताए। काम पर, मैं मुख्य रूप से एक्सेस रिकवरी, डेटा रिकवरी और कंप्यूटर फोरेंसिक से निपटता हूं।

क्रिप्टोग्राफी और पासवर्ड सुरक्षा की दुनिया में मेरे करियर के पहले वर्षों के दौरान, कई सफलताएं मिलीं - उदाहरण के लिए, 2003 में इंद्रधनुष तालिकाओं की अवधारणा दिखाई दी, और 2008 में पासवर्ड रिकवरी के लिए ग्राफिक एक्सीलेटर का उपयोग शुरू हुआ।

उद्योग में स्थिति: काले और सफेद टोपी का संघर्ष

अपने करियर के दौरान, पहले से ही सूचना सुरक्षा के क्षेत्र में, मैं भारी संख्या में लोगों से मिला और उनसे संपर्क किया। इस तरह के संचार के दौरान, मैं यह समझने लगा कि उद्योग में अपनाई गई "काली टोपी" और "सफेद टोपी" में विभाजन वास्तविक स्थिति को नहीं दर्शाता है। बेशक, बहुत अधिक रंग और रंग हैं।

यदि आप इंटरनेट और सूचना सुरक्षा की उत्पत्ति की ओर मुड़ते हैं और उन समय के हैकर्स की कहानियों को पढ़ते हैं, तो यह स्पष्ट हो जाता है कि लोगों के लिए मुख्य उत्तेजना तब उनकी जिज्ञासा थी, कुछ नया सीखने की इच्छा। इसी समय, उन्होंने हमेशा कानूनी तरीकों का उपयोग नहीं किया - केविन मिटनिक के जीवन के बारे में पढ़ने के लिए यह पर्याप्त है।

आज, शोधकर्ताओं के लिए प्रेरणा का स्पेक्ट्रम विस्तारित हो गया है: आदर्शवादी पूरी दुनिया को सुरक्षित बनाना चाहते हैं; कोई और नई तकनीक बनाकर या एक लोकप्रिय उत्पाद की खोज करके प्रसिद्ध होना चाहता है; अन्य लोग जितनी जल्दी हो सके पैसा बनाने की कोशिश करते हैं - और इसके लिए वैधता की डिग्री के अलग-अलग संभावनाएं हैं। नतीजतन, बाद वाले अक्सर खुद को "अंधेरे पक्ष" में पाते हैं और अपने स्वयं के सहयोगियों का सामना करते हैं।

नतीजतन, आज सूचना सुरक्षा के भीतर विकास के लिए कई क्षेत्र हैं। आप एक शोधकर्ता बन सकते हैं, CTF में प्रतिस्पर्धा कर सकते हैं, कमजोरियों को खोजकर पैसा कमा सकते हैं, और साइबर सुरक्षा के साथ व्यवसायों की मदद कर सकते हैं।

बग बाउंटी कार्यक्रमों का विकास

2000 के दशक में सूचना सुरक्षा बाजार के विकास के लिए एक गंभीर प्रोत्साहन बग बाउंटी का प्रसार था। इन कार्यक्रमों के भीतर, जटिल प्रणालियों के डेवलपर्स शोधकर्ताओं को उनके उत्पादों में खोजी गई कमजोरियों के लिए पुरस्कृत करते हैं।

यहां मुख्य विचार यह है कि यह मुख्य रूप से डेवलपर्स और उनके उपयोगकर्ताओं के लिए फायदेमंद है, क्योंकि एक सफल साइबर हमले से नुकसान शोधकर्ताओं को संभावित भुगतानों की तुलना में दसियों या सैकड़ों गुना अधिक हो सकता है। सूचना सुरक्षा विशेषज्ञ वे कर सकते हैं जो उन्हें करना पसंद है - कमजोरियों की तलाश करें - जबकि कानून के भीतर पूरी तरह से शेष रहें और अभी भी पुरस्कार प्राप्त करें। नतीजतन, कंपनियों को वफादार शोधकर्ता मिलते हैं जो जिम्मेदार प्रकटीकरण के अभ्यास का पालन करते हैं और सॉफ्टवेयर उत्पादों को सुरक्षित बनाने में मदद करते हैं।

प्रकटीकरण दृष्टिकोण

पिछले बीस वर्षों में, सूचना सुरक्षा के क्षेत्र में अनुसंधान परिणामों के प्रकटीकरण के बारे में कई दृष्टिकोण प्रकट हुए हैं। ज़ेरोडियम जैसी कंपनियां हैं जो लोकप्रिय सॉफ्टवेयर के लिए शून्य-दिन की कमजोरियों और कारनामों को खरीदती हैं - उदाहरण के लिए, आईओएस पर 0-दिन की लागत लगभग $ 1 मिलियन है। हालांकि, एक आत्मनिर्भर शोधकर्ता के लिए अधिक सही तरीका एक भेद्यता का पता लगाने के बाद कार्य करने के लिए पहले सॉफ़्टवेयर निर्माता से संपर्क करना है। निर्माता हमेशा अपनी गलतियों को स्वीकार करने और शोधकर्ताओं के साथ सहयोग करने के लिए तैयार नहीं होते हैं, लेकिन कई कंपनियां अपनी प्रतिष्ठा की रक्षा करती हैं, कमजोरियों को जल्दी से खत्म करने की कोशिश करती हैं और शोधकर्ताओं को धन्यवाद देती हैं।

यदि विक्रेता पर्याप्त सक्रिय नहीं है, तो एक सामान्य अभ्यास उसे पैच जारी करने के लिए समय देना है, और उसके बाद ही भेद्यता के बारे में जानकारी प्रकाशित करें। इस मामले में, शोधकर्ता को सबसे पहले उपयोगकर्ताओं के हितों के बारे में सोचना चाहिए: अगर कोई संभावना है कि डेवलपर्स कभी भी त्रुटि को ठीक नहीं करेंगे, तो इसका प्रकाशन हमलावरों को लगातार हमलों के लिए एक उपकरण देगा।

विधान विकास

जैसा कि ऊपर उल्लेख किया गया है, इंटरनेट की भोर में, हैकर्स के लिए मुख्य उद्देश्य ज्ञान और प्रतिबंध संबंधी जिज्ञासा के लिए तरसना था। उसे संतुष्ट करने के लिए, शोधकर्ताओं ने अक्सर अधिकारियों के दृष्टिकोण से संदिग्ध बातें कीं, लेकिन उन वर्षों में अभी भी सूचना प्रौद्योगिकी के क्षेत्र को विनियमित करने वाले बहुत कम कानून थे।

नतीजतन, कानून अक्सर हाई-प्रोफाइल हैक के मद्देनजर पहले से ही दिखाई दिए। सूचना सुरक्षा के क्षेत्र में पहली विधायी पहल 1996 में रूस में दिखाई दी - तब आपराधिक कोड के तीन लेख सूचना के अनधिकृत उपयोग (अनुच्छेद 272), दुर्भावनापूर्ण कोड के विकास (अनुच्छेद 273) और सर्विसिंग कंप्यूटर सिस्टम (274 अनुच्छेद) के नियमों के उल्लंघन के बारे में अपनाया गया था।

हालांकि, बातचीत के सभी बारीकियों को स्पष्ट रूप से बताना मुश्किल है, जिसके परिणामस्वरूप व्याख्याओं में विसंगतियां हैं। यह सूचना सुरक्षा शोधकर्ताओं की गतिविधियों को भी जटिल करता है: यह अक्सर स्पष्ट नहीं होता है कि कानून का पालन करने वाले अनुसंधान गतिविधियां कहां समाप्त होती हैं और अपराध शुरू होता है।

बग बाउंटी प्रोग्राम्स के ढांचे के भीतर भी, सॉफ्टवेयर डेवलपर्स शोधकर्ताओं से भेद्यता के शोषण, अवधारणा के प्रमाण के प्रदर्शन के लिए पूछ सकते हैं। नतीजतन, सूचना सुरक्षा विशेषज्ञ को वास्तव में, दुर्भावनापूर्ण कोड बनाने के लिए मजबूर किया जाता है, और जब इसे भेजा जाता है, तो "वितरण" पहले ही शुरू हो जाता है।

भविष्य में, कानूनों को अंतिम रूप दिया गया था, लेकिन यह हमेशा शोधकर्ताओं के लिए जीवन को आसान नहीं बनाता था। तो, 2006 में, नागरिक संहिता के लेख कॉपीराइट और सुरक्षा के तकनीकी साधनों की सुरक्षा के विषय में दिखाई दिए। अनुसंधान के दौरान भी ऐसे उपायों को दरकिनार करने का प्रयास कानून का उल्लंघन माना जा सकता है।

यह सब शोधकर्ताओं के लिए जोखिम पैदा करता है, इसलिए, कुछ प्रयोगों का संचालन करने से पहले, वकीलों के साथ परामर्श करना बेहतर होता है।

सूचना प्रौद्योगिकी विकास चक्र

आधुनिक दुनिया में, कुछ निश्चित चक्रों में प्रौद्योगिकियां विकसित होती हैं। कुछ अच्छे विचार के उभरने के बाद, इसका व्यवसायीकरण किया जाता है, एक तैयार उत्पाद दिखाई देता है जो आपको पैसा बनाने की अनुमति देता है। यदि यह उत्पाद सफल होता है, तो यह साइबर अपराधियों का ध्यान आकर्षित करता है जो इस या इसके उपयोगकर्ताओं पर पैसे कमाने के तरीकों की तलाश कर रहे हैं। व्यवसायों को इन खतरों का जवाब देने और सुरक्षा में संलग्न होने के लिए मजबूर किया जाता है। हमलावरों और सुरक्षा गार्ड के बीच टकराव शुरू होता है।

इसके अलावा, हाल के वर्षों में कई क्रांतिकारी तकनीकी सफलताएं आई हैं, जो बड़े हाई-स्पीड इंटरनेट एक्सेस, सामाजिक नेटवर्क से लेकर मोबाइल फोन और चीजों के इंटरनेट तक फैला हुआ है। आज, स्मार्टफोन का उपयोग करते हुए, उपयोगकर्ता कंप्यूटर का उपयोग करने के रूप में लगभग सब कुछ कर सकते हैं। लेकिन एक ही समय में, "मोबाइल" में सुरक्षा का स्तर मौलिक रूप से अलग है।

कंप्यूटर चोरी करने के लिए, आपको उस कमरे में प्रवेश करना होगा जहां यह संग्रहीत है। आप बस एक फोन बाहर चोरी कर सकते हैं। हालांकि, कई लोग अभी भी तकनीकी विकास के लिए सुरक्षा जोखिमों के पैमाने को नहीं समझते हैं।

ऐसी ही स्थिति एसएसडी (यानी फ्लैश ड्राइव) से डेटा हटाने के साथ है। चुंबकीय ड्राइव से डेटा निकालने के मानक कई वर्षों से हैं। फ्लैश मेमोरी के साथ, स्थिति अलग है। उदाहरण के लिए, ऐसे डिस्क TRIM ऑपरेशन का समर्थन करते हैं: यह SSD नियंत्रक को बताता है कि हटाए गए डेटा को अब संग्रहीत करने की आवश्यकता नहीं है, और वे पढ़ने के लिए दुर्गम हो जाते हैं। हालांकि, यह कमांड ऑपरेटिंग सिस्टम स्तर पर काम करता है, और यदि आप भौतिक मेमोरी चिप्स के स्तर तक जाते हैं, तो आप एक साधारण प्रोग्रामर का उपयोग करके डेटा तक पहुंच पाएंगे।

एक अन्य उदाहरण 3 जी और 4 जी मोडेम है। पहले, मॉडेम दास थे, वे पूरी तरह से एक कंप्यूटर द्वारा नियंत्रित थे। आधुनिक मॉडेम खुद कंप्यूटर बन गए हैं, उनके पास अपना ओएस है, वे स्वतंत्र कंप्यूटिंग प्रक्रिया चलाते हैं। यदि पटाखा मॉडेम के फर्मवेयर को संशोधित करता है, तो वह किसी भी प्रेषित डेटा को अवरोधन और नियंत्रित करने में सक्षम होगा, और उपयोगकर्ता कभी भी इसके बारे में अनुमान नहीं लगाएगा। इस तरह के हमले का पता लगाने के लिए, आपको 3 जी / 4 जी ट्रैफिक का विश्लेषण करने में सक्षम होना चाहिए, और केवल खुफिया एजेंसियों और मोबाइल ऑपरेटरों के पास ऐसी क्षमताएं हैं। इसलिए इस तरह के सुविधाजनक मॉडेम अविश्वसनीय उपकरण हैं।

आईबी में 20 वर्षों के परिणामों पर निष्कर्ष

मैं बीस साल से सूचना सुरक्षा के क्षेत्र से जुड़ा हुआ हूं, और इस दौरान उद्योग के विकास के साथ इसके भीतर मेरी रुचियां बदल गई हैं। आज, सूचना प्रौद्योगिकी विकास के ऐसे स्तर पर है कि एक छोटी सी जगह के भीतर भी सब कुछ जानना असंभव है, जैसे कि रिवर्स इंजीनियरिंग। इसलिए, वास्तव में प्रभावी सुरक्षा उपकरणों का निर्माण अब केवल ज्ञान और दक्षताओं के विविध सेट के साथ अनुभवी विशेषज्ञों के संयोजन वाली टीमों के लिए संभव है।

एक अन्य महत्वपूर्ण निष्कर्ष: फिलहाल, सूचना सुरक्षा का कार्य किसी भी हमले को असंभव बनाना नहीं है, बल्कि जोखिमों का प्रबंधन करना है। रक्षा और हमले के विशेषज्ञों के बीच टकराव हमले को महंगा बनाने और एक सफल हमले की स्थिति में संभावित वित्तीय नुकसान को कम करने के लिए आता है।

और तीसरा, अधिक वैश्विक निष्कर्ष: सूचना सुरक्षा की आवश्यकता तभी तक है जब तक कि व्यवसाय को इसकी आवश्यकता है। यहां तक ​​कि जटिल प्रवेश परीक्षणों का संचालन करना, जिनके लिए अतिरिक्त श्रेणी के विशेषज्ञों की आवश्यकता होती है, अनिवार्य रूप से सूचना सुरक्षा के लिए उत्पादों को बेचने की प्रक्रिया का एक सहायक कार्य है।

सुरक्षा हिमशैल की नोक है। हम उन सूचना प्रणालियों की रक्षा करते हैं जो केवल इसलिए बनाई जाती हैं क्योंकि व्यापार को इसकी समस्याओं को हल करने के लिए इसे बनाने की आवश्यकता है। लेकिन यह तथ्य सूचना सुरक्षा के क्षेत्र के महत्व से ऑफसेट है। यदि कोई सुरक्षा समस्या होती है, तो यह सूचना प्रणालियों के कामकाज को बाधित कर सकता है, और यह सीधे व्यापार को प्रभावित करेगा। इसलिए सुरक्षा टीम पर बहुत कुछ निर्भर करता है।

कुल मिलाकर

आज, सूचना प्रौद्योगिकी के क्षेत्र में, सब कुछ बादल रहित है, और गंभीर समस्याएं मौजूद हैं। यहाँ तीन मुख्य हैं, मेरी राय में:

अधिकारियों का अत्यधिक ध्यान। दुनिया भर के राज्य इंटरनेट और सूचना प्रौद्योगिकी को नियंत्रित करने और विनियमित करने की कोशिश कर रहे हैं।
इंटरनेट सूचना युद्ध के लिए एक मंच में बदल रहा है। बीस साल पहले, किसी ने दुनिया की सभी समस्याओं के लिए "रूसी हैकर्स" को दोषी नहीं ठहराया था, लेकिन आज यह चीजों के क्रम में है।
नई तकनीकें लोगों को बेहतर या स्मार्ट नहीं बनाती हैं। लोगों को यह समझाने की आवश्यकता है कि यह या उस निर्णय की आवश्यकता क्यों है, उन्हें इसका उपयोग करने का तरीका सिखाएं, और संभावित जोखिमों के बारे में बात करें।

इन सभी नुकसानों के साथ, आज सूचना सुरक्षा स्पष्ट रूप से एक क्षेत्र है जिसे संबोधित किया जाना चाहिए। केवल यहां हर दिन आप नवीनतम तकनीकों, दिलचस्प लोगों का सामना करेंगे, आप "ब्लैक हैट्स" के साथ टकराव में खुद का परीक्षण कर सकते हैं। प्रत्येक नया दिन चुनौती देगा, और कभी भी ऊब नहीं होगा।

दिमित्री Sklyarov, अनुप्रयोग विश्लेषण, सकारात्मक टेक्नोलॉजीज के प्रमुख द्वारा पोस्ट किया गया