জটিল, দুর্বল, আন্ডারকনফিগার করা: সাইবার হুমকি 2020

প্রযুক্তিগুলি বছরের পর বছর বিকশিত হয় এবং আরও জটিল হয়ে ওঠে এবং তাদের সাথে আক্রমণের কৌশলগুলিও উন্নত হয়। আধুনিক বাস্তবতার জন্য অনলাইন অ্যাপ্লিকেশন, ক্লাউড পরিষেবা এবং ভার্চুয়ালাইজেশন প্ল্যাটফর্মের প্রয়োজন, তাই কর্পোরেট ফায়ারওয়ালের পিছনে লুকিয়ে থাকা এবং "বিপজ্জনক ইন্টারনেট" এ আপনার নাক আটকানো আর সম্ভব নয়। IoT/IIoT-এর বিস্তার, ফিনটেকের বিকাশ এবং দূরবর্তী কাজের ক্রমবর্ধমান জনপ্রিয়তার সাথে এই সবই হুমকির ল্যান্ডস্কেপকে স্বীকৃতির বাইরে পরিবর্তন করেছে। 2020 সালে আমাদের জন্য যে সাইবার আক্রমণ রয়েছে সে সম্পর্কে কথা বলা যাক।

0দিনের দুর্বলতার শোষণ প্যাচ প্রকাশকে ছাড়িয়ে যাবে

সফ্টওয়্যার সিস্টেমের জটিলতা ক্রমবর্ধমান, তাই তারা অনিবার্যভাবে ত্রুটি ধারণ করে। বিকাশকারীরা ফিক্সগুলি প্রকাশ করে, তবে এটি করার জন্য, সমস্যাটি প্রথমে চিহ্নিত করতে হবে, সংশ্লিষ্ট দলের সময় ব্যয় করতে হবে - একই পরীক্ষক যারা পরীক্ষা পরিচালনা করতে বাধ্য হয়। কিন্তু অনেক দলের হাতেই সময়ের অভাব। ফলাফল হল একটি অগ্রহণযোগ্য দীর্ঘ প্যাচ রিলিজ, বা এমনকি একটি প্যাচ যা শুধুমাত্র আংশিকভাবে কাজ করে।

2018 সালে মুক্তি পায় মাইক্রোসফ্ট জেট ইঞ্জিনে 0 দিনের দুর্বলতার জন্য প্যাচটি অসম্পূর্ণ ছিল, অর্থাৎ সমস্যা সম্পূর্ণভাবে দূর করেনি।
2019 সালে, সিসকো মুক্তি পেয়েছে রাউটার ফার্মওয়্যারে দুর্বলতার জন্য প্যাচ CVE-2019-1652 এবং CVE-2019-1653 যা ত্রুটিগুলি সংশোধন করেনি.
2019 সালের সেপ্টেম্বরে, গবেষকরা উইন্ডোজের জন্য ড্রপবক্সে একটি 0 দিনের দুর্বলতা আবিষ্কার করেছে এবং এটি সম্পর্কে বিকাশকারীদের অবহিত করেছেতবে, তারা ৯০ দিনের মধ্যে ত্রুটি সংশোধন করেনি।

ব্ল্যাকহ্যাট এবং হোয়াইটহ্যাট হ্যাকাররা দুর্বলতা খোঁজার দিকে মনোনিবেশ করে, তাই তারাই প্রথম সমস্যা আবিষ্কার করার সম্ভাবনা বেশি। তাদের মধ্যে কেউ কেউ বাগ বাউন্টি প্রোগ্রামের মাধ্যমে পুরষ্কার পেতে চায়, অন্যরা খুব নির্দিষ্ট দূষিত লক্ষ্য অনুসরণ করে।

আরও ডিপফেক আক্রমণ

নিউরাল নেটওয়ার্ক এবং কৃত্রিম বুদ্ধিমত্তা বিকাশ করছে, জালিয়াতির জন্য নতুন সুযোগ তৈরি করছে। সেলিব্রিটিদের সাথে জাল পর্নো ভিডিও অনুসরণ করে, গুরুতর উপাদান ক্ষতি সহ খুব নির্দিষ্ট আক্রমণ দেখা দিয়েছে।

মার্চ 2019 এঅপরাধীরা একটি ফোন কলে একটি শক্তি কোম্পানি থেকে $243 চুরি করেছে. "মূল কোম্পানির প্রধান" শাখার প্রধানকে হাঙ্গেরি থেকে ঠিকাদারকে অর্থ স্থানান্তর করার নির্দেশ দিয়েছেন। কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে সিইওর ভয়েস জাল করা হয়েছিল।

ডিপফেক প্রযুক্তির দ্রুত বিকাশের পরিপ্রেক্ষিতে, আমরা আশা করতে পারি যে সাইবার-ভিলেনরা ব্যবহারকারীর আস্থা বাড়াতে BEC আক্রমণ এবং প্রযুক্তি সহায়তা স্ক্যামের সাথে নকল অডিও এবং ভিডিও তৈরিকে অন্তর্ভুক্ত করবে।

ডিপফেকের প্রধান লক্ষ্য হবে শীর্ষ পরিচালক, যেহেতু তাদের কথোপকথন এবং বক্তৃতার রেকর্ডিং অবাধে উপলব্ধ।

ফিনটেকের মাধ্যমে ব্যাঙ্কে হামলা

ইউরোপীয় অর্থপ্রদান পরিষেবা নির্দেশিকা PSD2 গ্রহণের ফলে ব্যাংক এবং তাদের গ্রাহকদের উপর নতুন ধরনের আক্রমণ চালানো সম্ভব হয়েছে। এর মধ্যে রয়েছে ফিনটেক অ্যাপ্লিকেশনের ব্যবহারকারীদের বিরুদ্ধে ফিশিং প্রচারণা, ফিনটেক স্টার্টআপগুলিতে DDoS আক্রমণ এবং একটি খোলা API এর মাধ্যমে একটি ব্যাঙ্ক থেকে ডেটা চুরি।

পরিষেবা প্রদানকারীদের মাধ্যমে অত্যাধুনিক আক্রমণ

কোম্পানীগুলি ক্রমবর্ধমানভাবে তাদের বিশেষীকরণকে সংকুচিত করছে, নন-কোর কার্যক্রম আউটসোর্সিং করছে। তাদের কর্মীরা আউটসোর্সারদের উপর আস্থা গড়ে তোলে যারা অ্যাকাউন্টিং পরিচালনা করে, প্রযুক্তিগত সহায়তা প্রদান করে বা নিরাপত্তা প্রদান করে। ফলস্বরূপ, একটি কোম্পানিকে আক্রমণ করার জন্য, এটির মাধ্যমে লক্ষ্য পরিকাঠামোতে দূষিত কোড প্রবর্তন করার জন্য এবং অর্থ বা তথ্য চুরি করার জন্য পরিষেবা প্রদানকারীর একজনের সাথে আপস করাই যথেষ্ট।

আগস্ট 2019 সালে, হ্যাকাররা ডেটা স্টোরেজ এবং ব্যাকআপ পরিষেবা প্রদানকারী দুটি আইটি কোম্পানির পরিকাঠামোতে প্রবেশ করেছিল এবং এর মাধ্যমে মার্কিন যুক্তরাষ্ট্রে কয়েকশ ডেন্টাল অফিসে র্যানসমওয়্যার চালু করেছে।
নিউইয়র্ক সিটি পুলিশ ডিপার্টমেন্টে সেবা প্রদানকারী একটি আইটি কোম্পানি কয়েক ঘন্টার জন্য তার আঙ্গুলের ছাপের ডাটাবেস ক্র্যাশ করেছে। একটি সংক্রামিত ইন্টেল NUC মিনি-কম্পিউটারকে পুলিশ নেটওয়ার্কের সাথে সংযুক্ত করে।

সাপ্লাই চেইন দীর্ঘ হওয়ার সাথে সাথে আরও দুর্বল লিঙ্ক রয়েছে যা সবচেয়ে বড় গেমটিকে আক্রমণ করার জন্য কাজে লাগানো যেতে পারে।
আরেকটি কারণ যা সরবরাহ শৃঙ্খল আক্রমণকে সহজতর করবে তা হবে দূরবর্তী কাজের ব্যাপক গ্রহণ। পাবলিক ওয়াই-ফাই বা বাসা থেকে কাজ করা ফ্রিল্যান্সাররা সহজ লক্ষ্য, এবং তারা বেশ কয়েকটি গুরুতর কোম্পানির সাথে যোগাযোগ করতে পারে, তাই তাদের আপস করা ডিভাইসগুলি সাইবার আক্রমণের পরবর্তী ধাপগুলি প্রস্তুত ও পরিচালনা করার জন্য একটি সুবিধাজনক স্প্রিংবোর্ড হয়ে ওঠে।

গুপ্তচরবৃত্তি এবং চাঁদাবাজির জন্য IoT/IIoT-এর ব্যাপক ব্যবহার

স্মার্ট টিভি, স্মার্ট স্পিকার এবং বিভিন্ন ভয়েস অ্যাসিস্ট্যান্ট সহ IoT ডিভাইসের সংখ্যার দ্রুত বৃদ্ধি এবং তাদের মধ্যে চিহ্নিত বৃহৎ সংখ্যক দুর্বলতাগুলি তাদের অননুমোদিত ব্যবহারের জন্য অনেক সুযোগ তৈরি করবে।
স্মার্ট ডিভাইসগুলির সাথে আপস করা এবং AI ব্যবহার করে লোকেদের বক্তৃতা সনাক্ত করা নজরদারির লক্ষ্য সনাক্ত করা সম্ভব করে তোলে, যা এই জাতীয় ডিভাইসগুলিকে চাঁদাবাজি বা কর্পোরেট গুপ্তচরবৃত্তির জন্য একটি কিটে পরিণত করে।

আরেকটি দিক যেখানে IoT ডিভাইসগুলি ব্যবহার করা অব্যাহত থাকবে তা হল বিভিন্ন ক্ষতিকারক সাইবার পরিষেবাগুলির জন্য বটনেট তৈরি করা: স্প্যামিং, বেনামীকরণ এবং পরিচালনা DDoS আক্রমণ.
উপাদান দিয়ে সজ্জিত গুরুত্বপূর্ণ অবকাঠামো সুবিধার উপর আক্রমণের সংখ্যা বৃদ্ধি পাবে জিনিসের শিল্প ইন্টারনেট. তাদের লক্ষ্য হতে পারে, উদাহরণস্বরূপ, এন্টারপ্রাইজের কার্যক্রম বন্ধ করার হুমকিতে মুক্তিপণ আদায় করা।

যত বেশি মেঘ, তত বেশি বিপদ

ক্লাউডে আইটি অবকাঠামোর ব্যাপক পদক্ষেপ আক্রমণের জন্য নতুন লক্ষ্যগুলির উত্থানের দিকে পরিচালিত করবে। ক্লাউড সার্ভারের স্থাপনা এবং কনফিগারেশনের ত্রুটিগুলি আক্রমণকারীরা সফলভাবে শোষণ করে। ক্লাউডে অনিরাপদ ডাটাবেস সেটিংসের সাথে যুক্ত ফাঁসের সংখ্যা প্রতি বছর বাড়ছে।

অক্টোবর 2019 এ, একটি ইলাস্টিক সার্চ সার্ভার রয়েছে ব্যক্তিগত তথ্য সহ 4 বিলিয়ন রেকর্ড।
নভেম্বর 2019 এর শেষে Microsoft Azure ক্লাউডে, ট্রু ডায়ালগ কোম্পানির একটি ডাটাবেস পাবলিক ডোমেনে পাওয়া গেছে, যেখানে প্রায় 1 বিলিয়ন রেকর্ড রয়েছে, যাতে গ্রাহকদের সম্পূর্ণ নাম, ইমেল ঠিকানা এবং ফোন নম্বর, সেইসাথে SMS বার্তাগুলির পাঠ্য রয়েছে৷

ক্লাউডে সংরক্ষিত ডেটা ফাঁস শুধুমাত্র কোম্পানিগুলির সুনামকে ক্ষতিগ্রস্ত করবে না, তবে জরিমানা ও জরিমানা আরোপের দিকে পরিচালিত করবে।

অপর্যাপ্ত অ্যাক্সেস সীমাবদ্ধতা, দুর্বল অনুমতি ব্যবস্থাপনা, এবং অসাবধান লগিং হল কিছু ভুল যা কোম্পানিগুলি তাদের ক্লাউড নেটওয়ার্ক সেট আপ করার সময় করবে। ক্লাউড মাইগ্রেশনের অগ্রগতির সাথে সাথে, বিভিন্ন নিরাপত্তা দক্ষতা সহ তৃতীয় পক্ষের পরিষেবা প্রদানকারীরা ক্রমবর্ধমানভাবে জড়িত হয়ে উঠবে, অতিরিক্ত আক্রমণের সারফেস প্রদান করবে।

ভার্চুয়ালাইজেশন সমস্যার তীব্রতা

পরিষেবাগুলির কন্টেইনারাইজেশন সফ্টওয়্যার বিকাশ, রক্ষণাবেক্ষণ এবং স্থাপন করা সহজ করে তোলে, কিন্তু একই সময়ে অতিরিক্ত ঝুঁকি তৈরি করে। জনপ্রিয় ধারক চিত্রগুলির দুর্বলতাগুলি যে কেউ সেগুলি ব্যবহার করে তাদের জন্য একটি সমস্যা হতে থাকবে৷

কোম্পানিগুলিকে কনটেইনার আর্কিটেকচারের বিভিন্ন উপাদানে, রানটাইম বাগ থেকে অর্কেস্ট্রেটর এবং পরিবেশ তৈরিতে দুর্বলতার সাথে লড়াই করতে হবে। আক্রমণকারীরা DevOps প্রক্রিয়ার সাথে আপস করার জন্য যেকোনো দুর্বলতা খুঁজবে এবং কাজে লাগাবে।

ভার্চুয়ালাইজেশন সম্পর্কিত আরেকটি প্রবণতা হল সার্ভারহীন কম্পিউটিং। গার্টনারের মতে, 2020 সালে, 20% এরও বেশি কোম্পানি এই প্রযুক্তি ব্যবহার করবে. এই প্ল্যাটফর্মগুলি ডেভেলপারদের সম্পূর্ণ সার্ভার বা কন্টেইনারগুলির জন্য অর্থ প্রদানের প্রয়োজনীয়তা দূর করে পরিষেবা হিসাবে কোড চালানোর ক্ষমতা প্রদান করে। যাইহোক, সার্ভারহীন কম্পিউটিং-এ চলে যাওয়া নিরাপত্তা সমস্যা থেকে অনাক্রম্যতা প্রদান করে না।

সার্ভারবিহীন অ্যাপ্লিকেশনগুলিতে আক্রমণের জন্য এন্ট্রি পয়েন্টগুলি পুরানো এবং আপস করা লাইব্রেরি এবং ভুলভাবে কনফিগার করা পরিবেশ হবে৷ আক্রমণকারীরা গোপন তথ্য সংগ্রহ করতে এবং এন্টারপ্রাইজ নেটওয়ার্কে প্রবেশ করতে তাদের ব্যবহার করবে।

কিভাবে 2020 সালে হুমকির সম্মুখীন হতে হবে

সাইবার অপরাধমূলক প্রভাবের ক্রমবর্ধমান জটিলতার পরিপ্রেক্ষিতে, কোম্পানিগুলিকে তাদের অবকাঠামোর সমস্ত সেক্টরে ঝুঁকি কমাতে নিরাপত্তা পেশাদারদের সাথে সহযোগিতা বাড়াতে হবে। এটি ডিফেন্ডার এবং ডেভেলপারদের অতিরিক্ত তথ্য পেতে এবং নেটওয়ার্ক-সংযুক্ত ডিভাইসগুলিকে আরও ভাল নিয়ন্ত্রণ করতে এবং তাদের দুর্বলতাগুলি দূর করতে অনুমতি দেবে।

ক্রমাগত পরিবর্তনশীল হুমকির আড়াআড়ি নিরাপত্তা ব্যবস্থার উপর ভিত্তি করে বহু-স্তরযুক্ত সুরক্ষা বাস্তবায়নের প্রয়োজন হবে যেমন:

• সফল আক্রমণ চিহ্নিত করা এবং তাদের পরিণতি হ্রাস করা,
• পরিচালিত সনাক্তকরণ এবং আক্রমণ প্রতিরোধ,
• আচরণগত পর্যবেক্ষণ: নতুন হুমকির সক্রিয় অবরোধ, এবং অস্বাভাবিক আচরণ সনাক্তকরণ,
• শেষ বিন্দু সুরক্ষা।

দক্ষতার ঘাটতি এবং নিম্নমানের সাইবার নিরাপত্তা জ্ঞান সংস্থাগুলির নিরাপত্তার সামগ্রিক স্তর নির্ধারণ করবে, তাই তথ্য সুরক্ষার ক্ষেত্রে সচেতনতা বৃদ্ধির সাথে কর্মীদের নিরাপদ আচরণের পদ্ধতিগত প্রশিক্ষণ তাদের পরিচালনার আরেকটি কৌশলগত লক্ষ্য হওয়া উচিত।

উত্স: www.habr.com