సాంకేతికతలు అభివృద్ధి చెందుతాయి మరియు సంవత్సరం తర్వాత మరింత సంక్లిష్టంగా మారతాయి మరియు వాటితో పాటు, దాడి పద్ధతులు మెరుగుపడతాయి. ఆధునిక వాస్తవాలకు ఆన్‌లైన్ అప్లికేషన్‌లు, క్లౌడ్ సేవలు మరియు వర్చువలైజేషన్ ప్లాట్‌ఫారమ్‌లు అవసరమవుతాయి, కాబట్టి కార్పొరేట్ ఫైర్‌వాల్ వెనుక దాచడం మరియు "ప్రమాదకరమైన ఇంటర్నెట్"లో మీ ముక్కును అతికించకుండా ఉండటం ఇకపై సాధ్యం కాదు. ఇవన్నీ, IoT/IIoT వ్యాప్తి, ఫిన్‌టెక్ అభివృద్ధి మరియు రిమోట్ పని యొక్క పెరుగుతున్న ప్రజాదరణతో కలిసి, ముప్పు ప్రకృతి దృశ్యాన్ని గుర్తించలేనంతగా మార్చింది. 2020లో మనకు అందుబాటులో ఉన్న సైబర్ దాడుల గురించి మాట్లాడుకుందాం.
0రోజుల దుర్బలత్వాల దోపిడీ ప్యాచ్‌ల విడుదలను అధిగమిస్తుంది
సాఫ్ట్‌వేర్ సిస్టమ్‌ల సంక్లిష్టత పెరుగుతోంది, కాబట్టి అవి అనివార్యంగా లోపాలను కలిగి ఉంటాయి. డెవలపర్లు పరిష్కారాలను విడుదల చేస్తారు, కానీ దీన్ని చేయడానికి, సమస్య మొదట గుర్తించబడాలి, సంబంధిత బృందాల సమయాన్ని వెచ్చిస్తారు - అదే పరీక్షకులు పరీక్షలు నిర్వహించవలసి వస్తుంది. కానీ చాలా జట్లకు సమయం చాలా తక్కువ. ఫలితంగా ఆమోదయోగ్యం కాని పొడవైన ప్యాచ్ విడుదల లేదా పాక్షికంగా మాత్రమే పనిచేసే ప్యాచ్ కూడా.
2018లో విడుదలైంది , అనగా సమస్యను పూర్తిగా తొలగించలేదు.
2019లో, సిస్కో విడుదల చేసింది .
సెప్టెంబర్ 2019 లో, పరిశోధకులు , అయితే, వారు 90 రోజులలోపు లోపాన్ని సరిచేయలేదు.
బ్లాక్‌హాట్ మరియు వైట్‌హాట్ హ్యాకర్లు దుర్బలత్వాలను వెతకడంపై దృష్టి సారిస్తారు, కాబట్టి వారు సమస్యను కనుగొనే మొదటి వ్యక్తిగా ఉంటారు. వారిలో కొందరు బగ్ బౌంటీ ప్రోగ్రామ్‌ల ద్వారా రివార్డ్‌లను పొందాలని కోరుకుంటారు, మరికొందరు చాలా నిర్దిష్ట హానికరమైన లక్ష్యాలను అనుసరిస్తారు.
మరిన్ని డీప్‌ఫేక్ దాడులు
న్యూరల్ నెట్‌వర్క్‌లు మరియు కృత్రిమ మేధస్సు అభివృద్ధి చెందుతున్నాయి, మోసానికి కొత్త అవకాశాలను సృష్టిస్తున్నాయి. సెలబ్రిటీలతో నకిలీ పోర్న్ వీడియోలను అనుసరించి, తీవ్రమైన వస్తు నష్టంతో చాలా నిర్దిష్ట దాడులు కనిపించాయి.
మార్చి 2019లో. "మాతృ సంస్థ యొక్క అధిపతి" హంగేరి నుండి కాంట్రాక్టర్‌కు డబ్బును బదిలీ చేయమని శాఖ అధిపతిని ఆదేశించాడు. ఆర్టిఫిషియల్ ఇంటెలిజెన్స్‌ని ఉపయోగించి సీఈవో వాయిస్‌ను నకిలీ చేశారు.
డీప్‌ఫేక్ సాంకేతికత యొక్క వేగవంతమైన అభివృద్ధిని దృష్టిలో ఉంచుకుని, సైబర్-విలన్‌లు నకిలీ ఆడియో మరియు వీడియోల సృష్టిని BEC దాడులు మరియు టెక్ సపోర్ట్ స్కామ్‌లలో వినియోగదారు నమ్మకాన్ని పెంచుతారని మేము ఆశించవచ్చు.
వారి సంభాషణలు మరియు ప్రసంగాల రికార్డింగ్‌లు ఉచితంగా అందుబాటులో ఉన్నందున, డీప్‌ఫేక్‌ల కోసం ప్రధాన లక్ష్యాలు అగ్ర నిర్వాహకులుగా ఉంటాయి.
ఫిన్‌టెక్ ద్వారా బ్యాంకులపై దాడులు
యూరోపియన్ చెల్లింపు సేవల ఆదేశం PSD2 యొక్క స్వీకరణ బ్యాంకులు మరియు వారి వినియోగదారులపై కొత్త రకాల దాడులను నిర్వహించడం సాధ్యం చేసింది. వీటిలో ఫిన్‌టెక్ అప్లికేషన్‌ల వినియోగదారులపై ఫిషింగ్ ప్రచారాలు, ఫిన్‌టెక్ స్టార్టప్‌లపై DDoS దాడులు మరియు ఓపెన్ API ద్వారా బ్యాంక్ నుండి డేటా దొంగతనం ఉన్నాయి.
సర్వీస్ ప్రొవైడర్ల ద్వారా అధునాతన దాడులు
కంపెనీలు తమ స్పెషలైజేషన్‌ను తగ్గించుకుంటూ, నాన్-కోర్ కార్యకలాపాలను అవుట్‌సోర్సింగ్ చేస్తున్నాయి. వారి ఉద్యోగులు అకౌంటింగ్‌ను నిర్వహించే, సాంకేతిక మద్దతును అందించే లేదా భద్రతను అందించే అవుట్‌సోర్సర్‌లపై నమ్మకాన్ని పెంచుకుంటారు. ఫలితంగా, ఒక కంపెనీపై దాడి చేయడానికి, దాని ద్వారా టార్గెట్ ఇన్‌ఫ్రాస్ట్రక్చర్‌లో హానికరమైన కోడ్‌ను ప్రవేశపెట్టడానికి మరియు డబ్బు లేదా సమాచారాన్ని దొంగిలించడానికి సర్వీస్ ప్రొవైడర్‌లలో ఒకరితో రాజీ పడడం సరిపోతుంది.
ఆగస్ట్ 2019లో, హ్యాకర్లు డేటా స్టోరేజ్ మరియు బ్యాకప్ సేవలను అందించే రెండు ఐటీ కంపెనీల ఇన్‌ఫ్రాస్ట్రక్చర్‌లోకి చొచ్చుకుపోయారు.
న్యూయార్క్ సిటీ పోలీస్ డిపార్ట్‌మెంట్‌కు సేవలందిస్తున్న ఒక ఐటీ కంపెనీ వేలిముద్ర డేటాబేస్‌ను కొన్ని గంటలపాటు క్రాష్ చేసింది.
సరఫరా గొలుసులు పొడవుగా మారడంతో, అతిపెద్ద గేమ్‌పై దాడి చేయడానికి మరింత బలహీనమైన లింక్‌లు ఉపయోగించబడతాయి.
సరఫరా గొలుసు దాడులను సులభతరం చేసే మరొక అంశం రిమోట్ పనిని విస్తృతంగా స్వీకరించడం. పబ్లిక్ Wi-Fi లేదా ఇంటి నుండి పని చేసే ఫ్రీలాన్సర్‌లు సులభమైన లక్ష్యాలు మరియు వారు అనేక తీవ్రమైన కంపెనీలతో పరస్పర చర్య చేయవచ్చు, కాబట్టి వారి రాజీపడిన పరికరాలు సైబర్ దాడి యొక్క తదుపరి దశలను సిద్ధం చేయడానికి మరియు నిర్వహించడానికి అనుకూలమైన స్ప్రింగ్‌బోర్డ్‌గా మారతాయి.
గూఢచర్యం మరియు దోపిడీ కోసం IoT/IIoT యొక్క విస్తృత ఉపయోగం
స్మార్ట్ టీవీలు, స్మార్ట్ స్పీకర్లు మరియు వివిధ వాయిస్ అసిస్టెంట్‌లతో సహా IoT పరికరాల సంఖ్యలో వేగవంతమైన పెరుగుదల, వాటిలో గుర్తించబడిన పెద్ద సంఖ్యలో దుర్బలత్వాలతో పాటు, వాటి అనధికార ఉపయోగం కోసం అనేక అవకాశాలను సృష్టిస్తుంది.
స్మార్ట్ పరికరాలను రాజీ చేయడం మరియు AIని ఉపయోగించి వ్యక్తుల ప్రసంగాన్ని గుర్తించడం ద్వారా నిఘా లక్ష్యాన్ని గుర్తించడం సాధ్యపడుతుంది, ఇది అటువంటి పరికరాలను దోపిడీ లేదా కార్పొరేట్ గూఢచర్యానికి కిట్‌గా మారుస్తుంది.
IoT పరికరాలను ఉపయోగించడం కొనసాగించే మరొక దిశలో వివిధ హానికరమైన సైబర్ సేవల కోసం బోట్‌నెట్‌ల సృష్టి: స్పామింగ్, అనామకీకరణ మరియు నిర్వహించడం .
కాంపోనెంట్స్‌తో కూడిన కీలకమైన మౌలిక సదుపాయాలపై దాడుల సంఖ్య పెరుగుతుంది . వారి లక్ష్యం, ఉదాహరణకు, సంస్థ యొక్క ఆపరేషన్‌ను ఆపివేసే ముప్పుతో విమోచన క్రయధనం కావచ్చు.
ఎక్కువ మేఘాలు, మరింత ప్రమాదాలు
క్లౌడ్‌కు ఐటీ ఇన్‌ఫ్రాస్ట్రక్చర్‌ల భారీ తరలింపు దాడులకు కొత్త లక్ష్యాల ఆవిర్భావానికి దారి తీస్తుంది. క్లౌడ్ సర్వర్‌ల విస్తరణ మరియు కాన్ఫిగరేషన్‌లో లోపాలు దాడి చేసేవారిచే విజయవంతంగా ఉపయోగించబడతాయి. క్లౌడ్‌లోని అసురక్షిత డేటాబేస్ సెట్టింగ్‌లతో అనుబంధించబడిన లీక్‌ల సంఖ్య ప్రతి సంవత్సరం పెరుగుతోంది.
అక్టోబర్ 2019లో, సాగే శోధన సర్వర్ కలిగి ఉంది
నవంబర్ 2019 చివరిలో , ఇందులో చందాదారుల పూర్తి పేర్లు, ఇమెయిల్ చిరునామాలు మరియు ఫోన్ నంబర్‌లు, అలాగే SMS సందేశాల టెక్స్ట్‌లు ఉన్నాయి.
క్లౌడ్స్‌లో నిక్షిప్తమైన డేటా లీక్‌ల వల్ల కంపెనీల ప్రతిష్ట దెబ్బతినడమే కాకుండా జరిమానాలు, జరిమానాలు విధించే అవకాశం ఉంటుంది.
తగినంత యాక్సెస్ పరిమితులు, పేలవమైన అనుమతి నిర్వహణ మరియు అజాగ్రత్త లాగింగ్ వంటివి కంపెనీలు తమ క్లౌడ్ నెట్‌వర్క్‌లను సెటప్ చేసేటప్పుడు చేసే కొన్ని తప్పులు. క్లౌడ్ మైగ్రేషన్ పురోగమిస్తున్న కొద్దీ, వైవిధ్యమైన భద్రతా నైపుణ్యం కలిగిన మూడవ-పక్ష సేవా ప్రదాతలు మరింత ఎక్కువగా పాల్గొంటారు, అదనపు దాడి ఉపరితలాలను అందిస్తారు.
వర్చువలైజేషన్ సమస్యల తీవ్రతరం
సేవల కంటెయినరైజేషన్ సాఫ్ట్‌వేర్‌ను అభివృద్ధి చేయడం, నిర్వహించడం మరియు అమలు చేయడం సులభతరం చేస్తుంది, అయితే అదే సమయంలో అదనపు ప్రమాదాలను సృష్టిస్తుంది. జనాదరణ పొందిన కంటైనర్ చిత్రాలలోని దుర్బలత్వం వాటిని ఉపయోగించే ఎవరికైనా సమస్యగా కొనసాగుతుంది.
రన్‌టైమ్ బగ్‌ల నుండి ఆర్కెస్ట్రేటర్లు మరియు బిల్డ్ ఎన్విరాన్‌మెంట్‌ల వరకు కంటైనర్ ఆర్కిటెక్చర్‌లోని వివిధ భాగాలలోని దుర్బలత్వాలను కంపెనీలు ఎదుర్కోవలసి ఉంటుంది. దాడి చేసేవారు DevOps ప్రక్రియలో రాజీ పడేందుకు ఏవైనా బలహీనతలను వెతుకుతారు మరియు ఉపయోగించుకుంటారు.
వర్చువలైజేషన్‌కు సంబంధించిన మరో ట్రెండ్ సర్వర్‌లెస్ కంప్యూటింగ్. గార్ట్నర్ ప్రకారం, . ఈ ప్లాట్‌ఫారమ్‌లు డెవలపర్‌లకు కోడ్‌ను సేవగా అమలు చేయగల సామర్థ్యాన్ని అందిస్తాయి, మొత్తం సర్వర్లు లేదా కంటైనర్‌లకు చెల్లించాల్సిన అవసరాన్ని తొలగిస్తాయి. అయినప్పటికీ, సర్వర్‌లెస్ కంప్యూటింగ్‌కు వెళ్లడం వలన భద్రతా సమస్యల నుండి రోగనిరోధక శక్తిని అందించదు.
సర్వర్‌లెస్ అప్లికేషన్‌లపై దాడుల కోసం ఎంట్రీ పాయింట్‌లు పాతవి మరియు రాజీపడే లైబ్రరీలు మరియు తప్పుగా కాన్ఫిగర్ చేయబడిన పర్యావరణం. దాడి చేసేవారు గోప్యమైన సమాచారాన్ని సేకరించడానికి మరియు ఎంటర్‌ప్రైజ్ నెట్‌వర్క్‌లలోకి చొచ్చుకుపోవడానికి వాటిని ఉపయోగిస్తారు.
2020లో బెదిరింపులను ఎలా ఎదుర్కోవాలి
సైబర్‌క్రిమినల్ ప్రభావాల యొక్క పెరుగుతున్న సంక్లిష్టత కారణంగా, కంపెనీలు తమ మౌలిక సదుపాయాల యొక్క అన్ని రంగాలలో ప్రమాదాన్ని తగ్గించడానికి భద్రతా నిపుణులతో సహకారాన్ని పెంచుకోవాలి. ఇది డిఫెండర్లు మరియు డెవలపర్లు అదనపు సమాచారాన్ని పొందేందుకు మరియు నెట్‌వర్క్-కనెక్ట్ చేయబడిన పరికరాలను మెరుగ్గా నియంత్రించడానికి మరియు వారి దుర్బలత్వాలను తొలగించడానికి అనుమతిస్తుంది.
నిరంతరం మారుతున్న ముప్పు ప్రకృతి దృశ్యం వంటి భద్రతా విధానాల ఆధారంగా బహుళ-లేయర్డ్ రక్షణను అమలు చేయడం అవసరం:
- విజయవంతమైన దాడులను గుర్తించడం మరియు వాటి పర్యవసానాలను తగ్గించడం,
- దాడులు నిర్వహించే గుర్తింపు మరియు నివారణ,
- ప్రవర్తనా పర్యవేక్షణ: కొత్త బెదిరింపులను ముందస్తుగా నిరోధించడం మరియు క్రమరహిత ప్రవర్తనను గుర్తించడం,
- ముగింపు స్థానం రక్షణ.
నైపుణ్యం కొరత మరియు తక్కువ నాణ్యత గల సైబర్ సెక్యూరిటీ పరిజ్ఞానం అనేది సంస్థల భద్రత యొక్క మొత్తం స్థాయిని నిర్ణయిస్తుంది, కాబట్టి సమాచార భద్రత రంగంలో పెరుగుతున్న అవగాహనతో కలిపి ఉద్యోగుల సురక్షిత ప్రవర్తన యొక్క క్రమబద్ధమైన శిక్షణ వారి నిర్వహణ యొక్క మరొక వ్యూహాత్మక లక్ష్యం.
మూలం: www.habr.com