Log4Shell या Solarwinds कंपनियों पर उनकी सॉफ़्टवेयर आपूर्ति श्रृंखला के माध्यम से हमलों के विशिष्ट उदाहरण हैं। यह विशेषता है कि साइबर अपराधी लक्ष्य कंपनी तक सीधी पहुंच प्राप्त नहीं करते हैं, बल्कि पिछले दरवाजे से हमला करते हैं। ट्रेंड माइक्रो की एक टिप्पणी।
यदि आप हाल के कुछ हमलों (विशेष रूप से Solarwinds या Log4Shell) को देखते हैं, तो आप देखेंगे कि वे अधिक से अधिक "गैंग्स" खेल रहे हैं। इसका मतलब यह है कि हमलावर अब लक्षित कंपनियों पर सीधे हमला नहीं करते हैं, लेकिन उनकी (सॉफ्टवेयर) आपूर्ति श्रृंखला के माध्यम से। चाहे पीड़ितों पर समझौता किए गए Solarwinds अपडेट या Log4Shell में अंतराल के माध्यम से हमला किया गया हो - दोनों ही मामलों में सॉफ़्टवेयर आपूर्ति श्रृंखला भी संक्रमण की श्रृंखला है।
आपूर्ति श्रृंखला संक्रमण
इसका मतलब है कि आपूर्ति श्रृंखला की अखंडता का मुद्दा अधिक से अधिक विस्फोटक होता जा रहा है। इसका मुख्य रूप से अर्थ है: क्या मैं अपनी आपूर्ति श्रृंखला में सभी आपूर्तिकर्ताओं/सेवा प्रदाताओं को जानता हूं? और न केवल प्रत्यक्ष, बल्कि क्षणिक निर्भरता भी! क्या पूरी आपूर्ति श्रृंखला को इस तरह से प्रलेखित किया गया है कि उपयोग की जाने वाली पुस्तकालयों में अंतर होने की स्थिति में, आप सीधे कह सकते हैं कि क्या आपका स्वयं का सॉफ़्टवेयर प्रभावित हुआ है? ऐसा इसलिए हो क्योंकि आप सीधे पुस्तकालय का उपयोग करते हैं या क्षणिक निर्भरताओं में से एक।
"आपूर्ति श्रृंखला की अखंडता" जल्दी से ध्यान में आती है, खासकर सुरक्षा घटनाओं के दौरान। ऐसे मामलों में, क्षति को जल्द से जल्द सीमित करने का प्रयास किया जाता है। पर्यावरण के आधार पर, इसके लिए विभिन्न तकनीकी समाधान भी हैं: (वर्चुअल) पैच, सॉफ़्टवेयर निर्भरताओं के अपडेट, सेवा प्रदाताओं के साथ SLAs और बहुत कुछ। दुर्भाग्य से, जैसा कि अक्सर होता है जब तीव्र दर्द दूर हो जाता है, एक बार सबसे खराब हो जाने पर इसमें रुचि जल्दी से कम हो जाती है।
आपूर्ति श्रृंखला को कुशलता से प्रबंधित करें
यह हर किसी के लिए स्पष्ट होना चाहिए कि आपूर्ति श्रृंखला की अखंडता ऐसी चीज नहीं है जिसे हमेशा तकनीकी "बैंड-एड्स" के साथ तुरंत संबोधित किया जाना चाहिए। बल्कि, यह उपयुक्त प्रक्रियाओं (और तकनीकी प्रक्रियाओं) को स्थापित करने के बारे में है जो आपको अपनी स्वयं की आपूर्ति श्रृंखला की अखंडता को कुशलतापूर्वक प्रबंधित करने में मदद करती हैं। यह आमतौर पर एक छोटे हमले की सतह और कम से कम एक बेहतर डेटाबेस के परिणामस्वरूप होता है जो सुरक्षा घटना की स्थिति में मैन्युअल जांच को कम करता है।
दुर्भाग्य से, किसी की सॉफ़्टवेयर आपूर्ति श्रृंखला की अखंडता को बनाए रखने के लिए प्रक्रियाएँ स्थापित करना अक्सर थकाऊ होता है। खासकर जब से यह न केवल तकनीकी सुरक्षा पहलुओं के बारे में है, बल्कि एक मानवीय और प्रशासनिक घटक भी है। इसके अलावा, तकनीकी आईटी सुरक्षा की तुलना में ज्ञान और विशेषज्ञ कर्मचारी दुर्लभ हैं।
अमेरिकी वाणिज्य विभाग से युक्तियाँ
का नया संस्करण NIST विशेष प्रकाशन SP800-161r1 ("सिस्टम और संगठनों के लिए साइबर सुरक्षा आपूर्ति श्रृंखला जोखिम प्रबंधन अभ्यास")। इसमें पृष्ठभूमि, योगदानकर्ताओं और सुरक्षित सॉफ़्टवेयर आपूर्ति श्रृंखलाओं के कार्यान्वयन का व्यापक परिचय शामिल है। इसमें प्रलेखित प्रक्रियाएं और उदाहरण परिदृश्य कार्यान्वयन में उत्कृष्ट अंतर्दृष्टि प्रदान करते हैं, लेकिन सुरक्षित सॉफ़्टवेयर आपूर्ति श्रृंखलाओं के लाभों में भी।
यह एनआईएसटी प्रकाशन को अपने सॉफ्टवेयर आपूर्ति श्रृंखला की अखंडता में सुधार करने वाले किसी भी व्यक्ति के लिए एक बहुत ही मूल्यवान संसाधन बनाता है। और यह सभी के लिए महत्वपूर्ण होना चाहिए! अनुभव से पता चलता है कि हमलावर हमले के मॉडल पर ध्यान केंद्रित करते हैं जो काम करते हैं। और वह सबूत निश्चित रूप से आपूर्ति श्रृंखला हमलों के लिए है। इसलिए, अब आपूर्ति श्रृंखला के संरक्षण और दस्तावेज़ीकरण से निपटना चाहिए - क्योंकि अगली बार उसके लिए बहुत देर हो चुकी है। दूसरे शब्दों में, कोई रक्षा के साथ इतना व्यस्त है कि प्रक्रिया वैसे भी कोई भूमिका नहीं निभाती है। और इसलिए दुविधा फिर से शुरू हो जाती है।
TrendMicro.com पर अधिक
ट्रेंड माइक्रो के बारे में आईटी सुरक्षा के दुनिया के अग्रणी प्रदाताओं में से एक के रूप में, ट्रेंड माइक्रो डिजिटल डेटा एक्सचेंज के लिए एक सुरक्षित दुनिया बनाने में मदद करता है। 30 से अधिक वर्षों की सुरक्षा विशेषज्ञता, वैश्विक खतरा अनुसंधान और निरंतर नवाचार के साथ, ट्रेंड माइक्रो व्यवसायों, सरकारी एजेंसियों और उपभोक्ताओं के लिए सुरक्षा प्रदान करता है। हमारी XGen™ सुरक्षा रणनीति के लिए धन्यवाद, हमारे समाधान अग्रणी-एज वातावरण के लिए अनुकूलित रक्षा तकनीकों के एक क्रॉस-जेनरेशनल संयोजन से लाभान्वित होते हैं। नेटवर्क की खतरे की जानकारी बेहतर और तेज सुरक्षा को सक्षम बनाती है। क्लाउड वर्कलोड, एंडपॉइंट्स, ईमेल, IIoT और नेटवर्क के लिए अनुकूलित, हमारे कनेक्टेड समाधान तेजी से खतरे का पता लगाने और प्रतिक्रिया के लिए पूरे उद्यम में केंद्रीकृत दृश्यता प्रदान करते हैं।