मुश्किल, कमजोर, कमतर आंका गया: साइबर खतरे 2020

तकनीकें साल दर साल विकसित हो रही हैं और उनके साथ-साथ हमले की तकनीकों में सुधार किया जा रहा है। आधुनिक वास्तविकताओं के लिए ऑनलाइन एप्लिकेशन, क्लाउड सेवाओं और वर्चुअलाइजेशन प्लेटफार्मों की आवश्यकता होती है, इसलिए आप कॉर्पोरेट फ़ायरवॉल के पीछे नहीं जा पाएंगे और "खतरनाक इंटरनेट" पर अपनी नाक नहीं चिपकाएंगे। यह सब, IoT / IIoT के प्रसार के साथ, फिनटेक के विकास और मान्यता से परे दूरस्थ कार्य की बढ़ती लोकप्रियता ने खतरों के परिदृश्य को बदल दिया है। आइए साइबरवर्क्स के बारे में बात करते हैं कि 2020 हमारे लिए तैयारी कर रहा है।

0day कमजोरियों का शोषण पैच के आगे होगा

सॉफ्टवेयर सिस्टम की जटिलता बढ़ रही है, इसलिए वे अनिवार्य रूप से त्रुटियां रखते हैं। डेवलपर्स पैच जारी करते हैं, लेकिन इसके लिए समस्या को पहले संबंधित टीमों सहित समय बिताने से पहचाना जाना चाहिए - वही परीक्षक जो परीक्षण करने के लिए मजबूर हैं। लेकिन अभी कई टीमों के समय में कमी है। परिणाम पैच की एक अस्वीकार्य रूप से लंबी रिलीज है, या यहां तक ​​कि एक पैच की उपस्थिति है जो केवल आंशिक रूप से काम करता है।

2018 में जारी माइक्रोसॉफ्ट जेट इंजन में 0day भेद्यता के लिए पैच अधूरा था , अर्थात। समस्या को पूरी तरह से खत्म नहीं किया।
2019 में, सिस्को ने रूटर्स के फर्मवेयर में सीवीई-2019-1652 और सीवीई-2019-1653 के लिए पैच जारी किए जो त्रुटियों को ठीक नहीं करते थे ।
सितंबर 2019 में, शोधकर्ताओं ने विंडोज के लिए ड्रॉपबॉक्स में 0day भेद्यता की खोज की और डेवलपर्स को इसके बारे में सूचित किया , लेकिन उन्होंने अभी भी 90 दिनों के लिए त्रुटि को ठीक नहीं किया।

ब्लैकहैट और व्हाइटहाट हैकर्स कमजोरियों की तलाश पर केंद्रित हैं, इसलिए इस समस्या का पता लगाने की संभावना सबसे अधिक है। उनमें से कुछ बग बाउंटी कार्यक्रमों के माध्यम से पुरस्कार चाहते हैं, जबकि अन्य बहुत विशिष्ट दुर्भावनापूर्ण लक्ष्यों का पीछा करते हैं।

अधिक डिपफेक अटैक

तंत्रिका नेटवर्क और कृत्रिम बुद्धिमत्ता विकसित हो रही है, जिससे धोखाधड़ी के नए अवसर पैदा हो रहे हैं। मशहूर हस्तियों के साथ नकली अश्लील वीडियो के बाद, गंभीर सामग्री क्षति के साथ काफी विशिष्ट हमले दिखाई दिए।

मार्च 2019 में, अपराधियों ने एक एकल फोन कॉल के साथ एक ऊर्जा कंपनी से $ 243 हजार की चोरी की । "मूल कंपनी के प्रमुख" ने शाखा प्रबंधक को हंगरी से ठेकेदार को पैसे हस्तांतरित करने का निर्देश दिया। कृत्रिम बुद्धि के साथ सीईओ की आवाज में छेड़छाड़ की गई है।

डिप्शेक बनाने की तकनीक के तेजी से विकास को देखते हुए, यह उम्मीद की जा सकती है कि साइबर खलनायक बीईसी हमलों और धोखाधड़ी योजनाओं के हिस्से के रूप में उपयोगकर्ता के आत्मविश्वास को बढ़ाने के लिए नकली ऑडियो और वीडियो क्लिप के निर्माण का परिचय देंगे।

शीर्ष प्रबंधक डिप्फ़िक के लिए मुख्य लक्ष्य बन जाएंगे, क्योंकि उनकी बातचीत और भाषणों की रिकॉर्डिंग सार्वजनिक डोमेन में होती है।

फिनटेक के माध्यम से बैंकों पर हमले

भुगतान सेवाओं पर यूरोपीय निर्देश को अपनाने से PSD2 ने बैंकों और उनके ग्राहकों पर नए प्रकार के हमले करना संभव बना दिया। ये फिनटेक एप्लिकेशन के उपयोगकर्ताओं के खिलाफ फ़िशिंग अभियान हैं, और फिनटेक स्टार्टअप्स पर डीडीओएस के हमले, और खुले एपीआई के माध्यम से बैंक से डेटा चोरी।

सेवा प्रदाताओं के माध्यम से जटिल हमले

कंपनियां गैर-मुख्य गतिविधियों को आउटसोर्स करते हुए अपनी विशेषज्ञता बढ़ा रही हैं। उनके कर्मचारियों को आउटसोर्स में विश्वास के साथ रखा जाता है जो बहीखाता पद्धति का संचालन करते हैं, तकनीकी सहायता प्रदान करते हैं या सुरक्षा सुनिश्चित करते हैं। नतीजतन, किसी कंपनी पर हमला करने के लिए लक्ष्य के बुनियादी ढांचे में दुर्भावनापूर्ण कोड को इंजेक्ट करने और पैसे या जानकारी चोरी करने के लिए सेवा प्रदाताओं में से एक से समझौता करने के लिए पर्याप्त है।

अगस्त 2019 में, हैकर्स ने दो आईटी कंपनियों के बुनियादी ढांचे में प्रवेश किया जो डेटा भंडारण और बैकअप सेवाएं प्रदान करते हैं, और इसके माध्यम से उन्होंने संयुक्त राज्य में कई सौ दंत कार्यालयों में रैंसमवेयर की शुरुआत की।
न्यूयॉर्क सिटी पुलिस विभाग की सेवा करने वाली आईटी कंपनी ने एक संक्रमित इंटेल एनयूसी मिनी-कंप्यूटर को पुलिस नेटवर्क से जोड़कर कई घंटों तक फिंगरप्रिंट डेटाबेस को निष्क्रिय कर दिया।

जैसे-जैसे आपूर्ति श्रृंखला लंबी और लंबी होती जाती है, अधिक से अधिक कमजोर लिंक उभर रहे हैं जिनकी कमजोरियों का सबसे बड़ी लूट पर हमला करने के लिए शोषण किया जा सकता है।
एक अन्य कारक जो आपूर्ति श्रृंखला के माध्यम से हमलों की सुविधा देगा, दूरस्थ नौकरियों का व्यापक प्रसार होगा। सार्वजनिक वाई-फाई या घर से काम करने वाले फ्रीलांसर आसान शिकार हैं, और वे कई गंभीर कंपनियों के साथ बातचीत कर सकते हैं, इसलिए उनके समझौता किए गए डिवाइस साइबर हमले के अगले चरणों की तैयारी और संचालन के लिए एक सुविधाजनक आधार बन जाते हैं।

जासूसी और जबरन वसूली के लिए IoT / IIoT का व्यापक उपयोग

आईओटी उपकरणों की संख्या में तेजी से वृद्धि, जिसमें स्मार्ट टीवी, स्मार्ट स्पीकर और विभिन्न आवाज सहायक शामिल हैं, साथ में बड़ी संख्या में कमजोरियों की पहचान की गई है, उनके अनधिकृत उपयोग के लिए कई अवसर पैदा करेंगे।
स्मार्ट उपकरणों से समझौता करना और एआई का उपयोग करके लोगों के भाषण को पहचानना आपको निगरानी की वस्तु की पहचान करने की अनुमति देता है, जो ऐसे उपकरणों को जबरन वसूली या कॉर्पोरेट जासूसी के लिए एक सेट में बदल देता है।

एक अन्य क्षेत्र जिसमें IoT उपकरणों का उपयोग जारी रहेगा, विभिन्न दुर्भावनापूर्ण साइबर सेवाओं के लिए बॉटनेट्स का निर्माण है: स्पैमिंग, अज्ञातकरण और DDoS हमले ।
चीजों की औद्योगिक इंटरनेट के घटकों से लैस महत्वपूर्ण बुनियादी सुविधाओं पर हमलों की संख्या में वृद्धि होगी । उनका लक्ष्य, उदाहरण के लिए, उद्यम को रोकने की धमकी के तहत फिरौती का प्रसार हो सकता है।

जितने अधिक बादल, उतने खतरे

बादलों के लिए आईटी इन्फ्रास्ट्रक्चर के बड़े कदम से हमलों के लिए नई वस्तुओं का उदय होगा। क्लाउड सर्वरों को तैनात करने और कॉन्फ़िगर करने में त्रुटियों का साइबर अपराधियों द्वारा सफलतापूर्वक शोषण किया जाता है। क्लाउड में असुरक्षित डेटाबेस सेटिंग्स से जुड़े लीक की संख्या हर साल बढ़ रही है।

अक्टूबर 2019 में, ElasticSearch सर्वर को सार्वजनिक डोमेन में खोजा गया था, जिसमें व्यक्तिगत डेटा के साथ 4 बिलियन रिकॉर्ड थे।
नवंबर 2019 के अंत में, ट्रू डायलॉग कंपनी डेटाबेस सार्वजनिक डोमेन में Microsoft Azure क्लाउड में पाया गया, जिसमें लगभग 1 बिलियन रिकॉर्ड थे , जिसमें सब्सक्राइबर, ईमेल एड्रेस और फोन नंबर, साथ ही एसएमएस टेक्स्ट संदेशों का पूरा नाम था।

डेटा क्लाउड में लीक्स न केवल कंपनियों की प्रतिष्ठा को नुकसान पहुंचाएगा, बल्कि जुर्माना और जुर्माना भी लेगा।

अपर्याप्त पहुँच प्रतिबंध, अनुचित अनुमति प्रबंधन और लॉगिंग में लापरवाही कुछ गलतियाँ हैं जो कंपनियां अपने "क्लाउड" नेटवर्क को स्थापित करते समय करेंगी। जब आप बादलों की ओर पलायन करते हैं, तो अलग-अलग सुरक्षा दक्षताओं वाले तृतीय-पक्ष सेवा प्रदाता तेजी से इस प्रक्रिया में शामिल हो जाएंगे, जो हमलों के लिए अतिरिक्त अवसर प्रदान करेगा।

बढ़ रहे वर्चुअलाइजेशन मुद्दे

सेवाओं का कंटेनरीकरण सॉफ्टवेयर के विकास, रखरखाव और तैनाती की सुविधा प्रदान करता है, लेकिन एक ही समय में अतिरिक्त जोखिम पैदा करता है। लोकप्रिय कंटेनर छवियों में कमजोरियां उन सभी के लिए एक समस्या बनी रहेंगी जो उनका उपयोग करते हैं।

कंपनियों को कंटेनर आर्किटेक्चर के विभिन्न घटकों में कमजोरियों से भी निपटना होगा, रनटाइम त्रुटियों से लेकर ऑर्केस्ट्रेटर्स और बिल्ड वातावरण तक। हमलावर DevOps प्रक्रिया से समझौता करने के लिए किसी भी तरह की कमजोरी की तलाश करेंगे और उसका फायदा उठाएंगे।

वर्चुअलाइजेशन से संबंधित एक और प्रवृत्ति सर्वर रहित कंप्यूटिंग है। गार्टनर के अनुसार, 2020 में, 20% से अधिक कंपनियां इस तकनीक का उपयोग करेंगी । ये प्लेटफ़ॉर्म डेवलपर्स को सेवा के रूप में कोड निष्पादित करने की क्षमता प्रदान करते हैं, जिससे पूरे सर्वर या कंटेनरों के भुगतान की आवश्यकता समाप्त हो जाती है। हालाँकि, सर्वर रहित कंप्यूटिंग पर स्विच करना सुरक्षा समस्याओं से प्रतिरक्षा प्रदान नहीं करता है।

सर्वर रहित अनुप्रयोगों पर हमलों के लिए प्रवेश बिंदु पुराने और समझौता किए गए पुस्तकालय और अनुचित तरीके से कॉन्फ़िगर किए गए वातावरण होंगे। हमलावर उनका उपयोग गोपनीय जानकारी एकत्र करने और उद्यम नेटवर्क में घुसपैठ करने के लिए करेंगे।

2020 में खतरों का मुकाबला कैसे करें

साइबर अपराध की बढ़ती जटिलता को देखते हुए, कंपनियों को अपने बुनियादी ढांचे के सभी क्षेत्रों में जोखिम को कम करने के लिए सुरक्षा पेशेवरों के साथ अपने जुड़ाव का विस्तार करने की आवश्यकता होगी। यह रक्षकों और डेवलपर को नेटवर्क से जुड़ी अतिरिक्त जानकारी और बेहतर नियंत्रण उपकरण प्राप्त करने और उनकी कमजोरियों को खत्म करने की अनुमति देगा।

कभी भी बदलते खतरे वाले परिदृश्य को सुरक्षा तंत्रों के आधार पर बहु-स्तरीय सुरक्षा की शुरुआत की आवश्यकता होगी:

• सफल हमलों की पहचान और उनके परिणामों का शमन,
• निर्देशित हमले का पता लगाने और रोकथाम,
• व्यवहार की निगरानी: लगातार नए खतरों को रोकती है, और असामान्य व्यवहार का पता लगाती है,
• समापन बिंदु सुरक्षा।

साइबर सुरक्षा के क्षेत्र में कौशल की कमी और ज्ञान की कम गुणवत्ता संगठनों की सुरक्षा के समग्र स्तर को निर्धारित करेगी, इसलिए उनके नेतृत्व के लिए एक और रणनीतिक कार्य सूचना सुरक्षा के क्षेत्र में जागरूकता बढ़ाने के साथ संयोजन में कर्मचारियों के सुरक्षित व्यवहार का व्यवस्थित प्रशिक्षण होना चाहिए।