सुरक्षा में मानव भेद्यता

क्लासिक साइबर हमले अक्सर ईमेल से शुरू होते हैं। एक यूजर इसे खोलता है और बड़ी मासूमियत से अंदर मौजूद लिंक पर क्लिक करता है और... कंपनी में लाइटें बुझ जाती हैं। इसमें कोई आश्चर्य नहीं कि कई लोगों ने समस्या का कारण "उपयोगकर्ता" भेद्यता के साथ पहचाना है। ट्रेंड माइक्रो द्वारा एक विश्लेषण।

जुलाई 2021 में कुल 1000 से अधिक प्रतिभागियों के साथ जर्मन और अंग्रेजी (यूरोप के लिए) में हुए दो वेबिनार में आधे से अधिक उत्तरदाताओं ने यह महसूस किया कि उपयोगकर्ता ही समस्या हैं। यहां सवाल पूछा गया था कि निम्नलिखित में से कौन सी समस्या किसी की अपनी कंपनी की आईटी सुरक्षा में "सबसे बड़ी" थी: कि "कर्मचारी गलतियाँ करते हैं जिससे संक्रमण होता है", "बजट की कमी", "दोषपूर्ण सुरक्षा उपकरण" या "आईटी का ओवरलोडिंग" सुरक्षा विभाग। बेशक, साइबर हमलों से वास्तव में प्रभावित कंपनियों में, इनमें से कई कारक लागू होते हैं। लेकिन सबसे बड़ा सिरदर्द "अनुभवहीन" कर्मचारियों के कारण हुआ, जिनमें से प्रत्येक के पास 50% से अधिक कर्मचारी थे। इसमें कोई संदेह नहीं है कि आईटी सुरक्षा में कई समस्याएं मानवीय कारक से संबंधित हैं, लेकिन लापरवाह कर्मचारी पर एकतरफा ध्यान देने से गलत निष्कर्ष और गंभीर परिणाम हो सकते हैं।

भेद्यता कर्मचारी

यह थीसिस बताती है कि एक कर्मचारी जो किसी लिंक पर क्लिक करता है या संदिग्ध दिखने वाले अटैचमेंट को खोलता है, वह अनजाने में हमला करने में मदद कर रहा है। वास्तव में, "लापरवाह कर्मचारी" वास्तव में अन्य "कमजोर बिंदु वाले इंसानों" के संबंध में एक छोटी सी समस्या है, लेकिन यह कुछ समायोजन पेंचों में से एक है जिसके साथ कोई भी महान प्रयास के बिना इसमें शामिल सभी लोगों के लिए प्रासंगिक सुधार प्राप्त कर सकता है। इसलिए कर्मचारियों को नवीनतम ट्रिक्स के बारे में अवश्य जानकारी देनी चाहिए। उन्हें संदिग्ध ईमेल की जांच करने का एक तरीका भी दिया जाना चाहिए - और जब भी कोई कर्मचारी हमला ईमेल देखता है तो उसे धन्यवाद कहें, क्योंकि यह हमलों को रोकने में मदद करता है।

संयोग से, कर्मचारी केवल ऐसे हमले की पहचान करने में सक्षम हैं क्योंकि साइबर अपराधी अभी भी अपने उद्देश्यों को प्राप्त करने के लिए सामान्य रूप से उत्पन्न ईमेल का उपयोग करने में काफी सफल हैं। उनकी अगली चाल लंबे समय से किट में है। इमोटेट पहले से भेजे गए ईमेल के उत्तरों का उपयोग कर चुका है। और यहां तक ​​कि जो तकनीकी रूप से संभव है उसका अंत भी नहीं है। लेकिन साइबर अपराधी अनावश्यक प्रयासों से कतराते हैं। लेकिन इसका मतलब यह है कि कोई भी प्रशिक्षण केवल हमलावर के काम को और अधिक कठिन बनाने का काम करता है। इससे समस्या ठीक नहीं होगी.

कमजोर बिंदु आईटी विशेषज्ञ/सुरक्षा

यदि किसी कर्मचारी को कोई ई-मेल प्राप्त होता है, तो वह पहले ही कई तकनीकी स्तरों से गुजर चुका होता है। हमलों का सीधे पता लगाने के लिए सैंडबॉक्स विधियाँ, कृत्रिम बुद्धिमत्ता और अन्य प्रौद्योगिकियाँ विकसित की गई हैं। यदि वे ऐसा नहीं करते हैं, तो सिस्टम स्तर पर और नेटवर्क में अन्य सुरक्षा समाधान मौजूद हैं, जिनमें से सभी को संदिग्ध गतिविधि का भी पता लगाना चाहिए। ये पेशेवर उपकरण हैं जो सभी अनुभव के साथ बनाए गए हैं और विशेष रूप से इस उद्देश्य के लिए लागू किए गए हैं, ताकि लोगों को अंत में सुरक्षित रूप से काम करने में सक्षम बनाया जा सके। यदि ये सभी तकनीकी उपकरण हमले को रोक नहीं सकते हैं या कम से कम इसकी पहचान नहीं कर सकते हैं, तो सवाल उठता है कि एक "सामान्य" उपयोगकर्ता को किसी भी चीज़ के लिए जिम्मेदार क्यों ठहराया जा सकता है। इंजीनियरिंग उपकरण, और उन्हें बनाए रखने और तेज करने के लिए एक टीम खरीदी और भुगतान की जाती है ताकि लोगों के लिए यह तय करना आसान हो जाए कि कुछ अच्छा है या नहीं!

उपकरण को निर्णय लेना चाहिए

लेकिन यहीं वह समस्या है जिसे अक्सर नजरअंदाज कर दिया जाता है: आईटी सुरक्षा तकनीक लगातार बदल रही है। जिस प्रकार हमलावर अपने हथियारों को तेज़ कर रहे हैं, उसी प्रकार रक्षक भी। इसके परिणामस्वरूप निरंतर अद्यतन, कार्यात्मक या रणनीतिक परिवर्तन होते हैं। इसके अलावा, कंपनियां अधिक से अधिक जटिल आईटी वातावरण का निर्माण कर रही हैं और अधिक से अधिक डेटा संसाधित कर रही हैं। साथ ही, किसी कंपनी की परिचालन क्षमताओं के लिए कामकाजी आईटी तेजी से महत्वपूर्ण होती जा रही है।

आईटी सुरक्षा कर्मचारी अक्सर अभिभूत रहते हैं

आईटी सुरक्षा कर्मचारी, यदि वे आईटी सुरक्षा पर बिल्कुल भी ध्यान केंद्रित कर सकते हैं, तो वे सिस्टम की भीड़ और विभिन्न कॉन्फ़िगरेशन विकल्पों से अभिभूत हो जाते हैं। यदि कोई कंपनी चतुराईपूर्वक सुरक्षा समाधान खरीदने का निर्णय लेती है, तो कार्यभार तेजी से बढ़ जाता है। (सामरिक खरीदारी केवल एक नया सुरक्षा उत्पाद खरीदने का प्रयास करने का व्यवहार है जब कोई समस्या उत्पन्न हो जाती है या जिसे अब नजरअंदाज नहीं किया जा सकता है।) यह दृष्टिकोण, अन्य बातों के अलावा, सुनिश्चित करता है कि सिस्टम समन्वित तरीके से कार्य नहीं करते हैं, बल्कि केवल विशिष्ट पूर्ति करते हैं कार्य. यह अत्यधिक माँगों के कारण ज्ञान में अंतराल और त्रुटियाँ पैदा करता है। अधिक काम करने से अक्सर काम में निराशा होती है।

भेद्यता आईटी सॉफ्टवेयर विकास

इसी तरह की चुनौतियाँ सॉफ़्टवेयर विकास में भी पाई जा सकती हैं। उपभोक्ताओं की ऐप्स की बढ़ती आवश्यकता के कारण, अधिक से अधिक सॉफ़्टवेयर घटक विकसित या असेंबल किए जा रहे हैं। DevOps प्रथाओं में, विकास व्यावहारिक रूप से एक अंतहीन लूप है, और यहां काम करने वाले लोग निश्चित रूप से आईटी-प्रेमी हैं। और फिर भी ये विशेषज्ञ ही हैं जो अक्सर सुरक्षा के दृष्टिकोण से सबसे हास्यास्पद गलतियाँ करते हैं। "पूरी दुनिया" को ग्राहक डेटाबेस तक पहुंच दी गई है क्योंकि अनुमतियाँ परिभाषित करना भूल गए थे। या आपने विकास के दौरान लॉगिन डेटा को प्रोग्राम किया लेकिन सरल वर्कअराउंड को फिर से बदलना भूल गए, और इसलिए ग्राहकों के क्रेडिट कार्ड तक पहुंच केवल उपयोगकर्ता नाम और पासवर्ड "एडमिन" से सुरक्षित है।

ये सभी गलतियाँ होती हैं, और यदि कंपनी पर्याप्त महत्वपूर्ण है, तो कोई घटना सुर्खियाँ बनेगी। फिर, मुख्य कारण तनाव है। क्योंकि सॉफ्टवेयर डेवलपमेंट में दबाव होता है. नया फीचर आज नहीं तो कल आना चाहिए. यदि आवश्यक हो तो इसमें सुधार किया जा सकता है। किसी न किसी समस्या को अक्सर नज़रअंदाज़ कर दिया जाता है या जानबूझकर नज़रअंदाज कर दिया जाता है। इसके अलावा, बहुत कम सॉफ़्टवेयर डेवलपर सुरक्षा समाधान विकसित करते हैं। सुरक्षा एक नापसंद हथकंडा है, जिसे अक्सर इस्तेमाल करने के लिए मजबूर किया जाता है।

भेद्यता सीआईएसओ - सी-लेवल

बेशक, प्रबंधन आईटी सुरक्षा के महत्व को पहचानता है। हालाँकि, इसे अक्सर एक आवश्यक बुराई के रूप में देखा जाता है और केवल कभी-कभार ही मूल्य श्रृंखला के अभिन्न अंग के रूप में देखा जाता है। इसकी लागत यथासंभव कम होनी चाहिए और आदर्श रूप से यह ध्यान देने योग्य नहीं होनी चाहिए। वास्तव में, अधिकांश कंपनियां अपेक्षाकृत कम खर्च के बावजूद, हाल के वर्षों में इस रणनीति को बहुत सफलतापूर्वक लागू करने में सक्षम रही हैं। "चलती हुई व्यवस्था को कभी न बदलें" के आदर्श वाक्य के अनुरूप, दशकों पुरानी अवधारणाओं पर सवाल नहीं उठाया जाता है, बल्कि लगातार उन पर अमल किया जाता है।

साइबर हमलों की गुणवत्ता वर्षों से बढ़ रही है

लेकिन सुरक्षा की दुनिया भी बदल गई है. साइबर हमलों की मात्रा और गुणवत्ता दोनों ही वर्षों से लगातार बढ़ रही हैं। अकेले 2021 में "सनबर्स्ट", "हाफ़नियम" और "कासिया" को लेकर बहुत उत्साह था, "कोलोनिया पाइपलाइन" या "जेबीएस हैक" जैसी दुनिया भर में गूंज के साथ व्यक्तिगत घटनाओं का उल्लेख नहीं किया गया। साइबर अंडरग्राउंड में आर्थिक उछाल कोई संयोग नहीं है जो फिर से गायब हो जाएगा, बल्कि एक संरचनात्मक परिवर्तन है। इस प्रकार, क्रिप्टोकरेंसी और राजनीतिक शत्रुता की शुरूआत ने आपराधिक गतिविधि के लिए एक अनियंत्रित, शायद अनियंत्रित, वैश्विक बाजार के साथ एक विश्व-ऐतिहासिक नवीनता का निर्माण किया। इस स्थिति की विशिष्टता कुछ ऐसी है जिसकी चर्चा अब उच्चतम राजनीतिक स्तर पर भी हो रही है।

साइबर जोखिम सूचकांक स्पष्टता प्रदान करता है

यह, उदाहरण के लिए, पोनेमॉन/ट्रेंड माइक्रो के साइबर जोखिम सूचकांक अनुसंधान में परिलक्षित होता है। यह विश्वास में स्पष्ट गिरावट को ध्यान देने योग्य है कि सी-स्तर भी खतरे की स्थिति को गंभीरता से लेता है, हालांकि व्यावहारिक रूप से सभी उत्तरदाता बढ़े हुए जोखिम की स्थिति को मानते हैं। यह पूरी तरह से मानवीय कमजोरी या प्रतिभा से संबंधित है, जो आईटी सुरक्षा कर्मियों के बीच विशेष रूप से व्यापक नहीं है। यह प्रबंधक को उपायों की आवश्यकता को उचित रूप से "बेचने" की प्रतिभा के बारे में है। क्योंकि विशेष रूप से उन कंपनियों में जहां पिछली आईटी सुरक्षा ने सफलतापूर्वक सब कुछ रोक दिया है, वहां अधिक कर्मचारियों या अधिक आधुनिक समाधानों के लिए शायद ही कभी अतिरिक्त बजट होता है। यहां कूटनीतिक तरीके से आगे बढ़ना जरूरी है, क्योंकि जो काम अब तक दोषरहित रहा है, उसकी आलोचना नहीं की जा सकती। और फिर भी... स्थिति बाहरी कारकों (जैसा कि ऊपर वर्णित है) के कारण बदलती है, जिन पर आईटी सुरक्षा विशेषज्ञों के लिए बहस करना अक्सर मुश्किल होता है क्योंकि वे उनकी अपनी विशेषज्ञता के बाहर मौजूद होते हैं। विशेष रूप से सीआईएसओ को बजट, तकनीकी और कार्मिक सुधार हासिल करने के लिए खतरे की स्थिति में बदलाव को विश्वसनीय रूप से स्पष्ट करना मुश्किल लगता है। आईटी सुरक्षा अधिनियम के साथ, संघीय सरकार एक बार फिर तर्क-वितर्क के संदर्भ में और अधिक सहायता प्रदान करने के लिए महत्वपूर्ण बुनियादी ढांचे के लिए आईटी और आईटी सुरक्षा के महत्व को रेखांकित कर रही है। क्योंकि भले ही यह निंदनीय लगता है... अक्सर कुछ तभी घटित होता है जब अपेक्षित दंड महसूस किया जाता है (दुर्भाग्य से)।

आईटी सुरक्षा का कमजोर बिंदु - एसओसी विशेषज्ञ

कई कंपनियां आईटी सुरक्षा अधिनियम के अधीन हैं, लेकिन अधिक से अधिक मध्यम आकार की कंपनियां भी एक सुरक्षा संचालन केंद्र बनाने का निर्णय ले रही हैं। यहां काम करने वाले अत्यधिक विशिष्ट कर्मचारियों को सुरक्षा घटनाओं का विश्लेषण करना और उन्हें जल्द से जल्द ठीक करना है। सैद्धांतिक रूप से जो साइबर हमलों की समस्या से प्रभावी ढंग से निपटता है वह व्यवहार में अक्सर एक चुनौती बन जाता है। कुशल श्रमिकों की कमी और खरीदे गए व्यक्तिगत समाधानों के ऐतिहासिक रूप से विकसित चिड़ियाघर की समस्याओं का मतलब यह भी है कि एसओसी कर्मचारियों का काम का बोझ बहुत बढ़ गया है। दुनिया भर में 70 से अधिक उत्तरदाताओं के ट्रेंड माइक्रो सर्वेक्षण में, 2000% ने कहा कि काम से संबंधित तनाव का उनके व्यक्तिगत जीवन पर प्रभाव पड़ा। कार्यस्थल पर, अतिभार, अन्य बातों के अलावा, इस तथ्य की ओर ले जाता है कि किसी और चीज़ पर काम करने के लिए अलार्म को जानबूझकर नजरअंदाज कर दिया जाता है (40% ने इसे स्वीकार किया) और 43% ने अपने कार्यस्थल को खाली छोड़ दिया या बस अलार्म बंद कर दिया। इसके अलावा, जब "कुछ नहीं होता" तो उनके काम की सराहना शायद ही की जाती है। उच्च उतार-चढ़ाव, विशेष रूप से मध्यम आकार की कंपनियों में, इसका परिणाम है और कार्मिक समस्या का और अधिक बढ़ना सुनिश्चित करता है।

विश्लेषण सारांश

दरअसल, आईटी सुरक्षा में मानवीय कमजोरियां ही समस्या हैं। लेकिन यह "सामान्य कर्मचारी" नहीं हैं जो सबसे बड़ी चिंता का कारण हैं। लगातार बढ़ते कार्यभार के साथ पहचान की कमी के साथ-साथ यथासंभव तेज़ और कुशल होने का दबाव, विशेष रूप से आईटी और विशेष रूप से आईटी सुरक्षा विशेषज्ञों के बीच त्रुटियों के प्रति बढ़ती निराशा और संवेदनशीलता को सुनिश्चित करता है।

पैच समस्या, जो 20 वर्षों से अधिक समय से मौजूद है, हाल के वर्षों में एक वास्तविक सॉफ़्टवेयर विस्फोट के कारण कई गुना बढ़ गई है और इसका मतलब है कि आईटी सुरक्षा टीमों को शायद ही इसका अवलोकन है कि वास्तव में क्या उपयोग किया जा रहा है, कई प्रणालियों की सुरक्षा स्थिति की तो बात ही छोड़ दें। है।

आईटी सुरक्षा टीमें ट्रैक से भटक गईं

दूसरी ओर, व्यवसाय घटनाओं पर त्वरित प्रतिक्रिया देने की क्षमता खो रहे हैं और वास्तविक आपात स्थितियों से निपटने के लिए उनके पास कम कर्मचारी हैं। दूसरी ओर, एक वास्तविक भूमिगत अर्थव्यवस्था उभर रही है, जिसने सबसे ऊपर अपने नायकों की विशेषज्ञता को प्रेरित किया है। इस माहौल में तत्काल पुनर्विचार की जरूरत है। पारंपरिक आईटी सुरक्षा रणनीतियों पर पुनर्विचार करने की आवश्यकता है। प्रशासन क्षेत्र में आधुनिक तकनीकों को कार्यान्वित और अनुकूलित किया गया है। कर्मचारियों को राहत देने के लिए जितनी अधिक स्वचालितताएँ मौजूद होंगी, वे उतना ही बेहतर ढंग से गंभीर समस्याओं पर ध्यान केंद्रित कर सकेंगे। अपने पुनर्विक्रेता भागीदारों के साथ, ट्रेंड माइक्रो इसका समर्थन करने के लिए समाधान और प्रक्रियाएं प्रदान करता है।

लोग तो लोग हैं और यह वैसे ही रहता है। जो बदल रहा है वह ढाँचे की स्थितियाँ हैं और उनमें बड़े पैमाने पर बदलाव आया है। और यहाँ प्रकृति का एक और नियम है: जो लोग नई पर्यावरणीय परिस्थितियों के अनुकूल ढलने में सक्षम होते हैं वे जीवित रहते हैं।

अधिक आईटी सुरक्षा के लिए कुछ युक्तियाँ

• आईटी सुरक्षा अद्यतन चक्र कम करें। उन्हें आधुनिक प्रौद्योगिकी को तेजी से लागू करने में सक्षम होने की आवश्यकता है। "एक सेवा के रूप में सॉफ़्टवेयर" ऑफ़र के साथ, विभिन्न प्रदाता इन चक्रों को स्वयं पूरा करने की संभावना प्रदान करते हैं। पार्टनर चुनते समय इस बात पर भी ध्यान दें कि कोई निर्माता नई तकनीकों को कितनी अच्छी तरह विकसित कर सकता है। एक बार अत्याधुनिक प्रौद्योगिकी प्रदान करना पर्याप्त नहीं है। नए विकास के साथ बने रहने के लिए टिके रहने की शक्ति का होना भी कहीं अधिक महत्वपूर्ण है।
• अपनी सुरक्षा की प्रबंधनीयता का विश्लेषण करें। सुरक्षा की जटिलता साइबर अपराधी को डराती नहीं है। इससे भी अधिक महत्वपूर्ण यह प्रश्न है कि क्या आप नेटवर्क में असामान्य घटनाओं पर नज़र रखने में सक्षम हैं। विशेष रूप से एसओसी और आईटी सुरक्षा कर्मचारियों पर अक्सर अधिक काम किया जाता है और उन्हें शायद ही कभी अपना नियमित काम करने को मिलता है। किसी आपात स्थिति में सही ढंग से प्रतिक्रिया देना कठिन है।
• बीएसआई के अनुसार, सुरक्षा एक लक्ष्य नहीं है जिसे हासिल किया जाता है, बल्कि एक प्रक्रिया है जिसे अनुकूलित किया जाना चाहिए। अतीत में, लाइसेंस समाप्त होने पर समय-समय पर नई कार्यक्षमता जोड़ने का प्रयास किया जाता था। आज यह पर्याप्त नहीं है. चूँकि साइबर अपराधी व्यवसायों पर हमला करने के लिए काम करते हैं, इसलिए व्यवसायों को भी अपनी रक्षा के लिए प्रौद्योगिकी के अत्याधुनिक साधन पर बने रहना चाहिए। यदि आपके अपने कर्मचारी ऐसा करने में सक्षम नहीं हैं, तो प्रबंधित सेवा परियोजनाएँ सभी मामलों में आपका समर्थन कर सकती हैं।
• बाहरी सुरक्षा पर्याप्त नहीं है. हमलावर किसी भी बचाव से बच सकते हैं। महत्वपूर्ण यह है कि आप कितनी जल्दी उनका पता लगा पाते हैं और फिर समस्या का समाधान कर पाते हैं। तथाकथित XDR रणनीतियाँ यहाँ सबसे नया विकल्प हैं। हमारी XDR रणनीति को ट्रेंड माइक्रो विज़न वन कहा जाता है।

शून्य विश्वास रणनीति पर विचार करें. सबसे बढ़कर, आपको यह मान लेना चाहिए कि आपकी कंपनी की तकनीक से समझौता किया गया है। क्योंकि भले ही किसी व्यक्ति को कुछ बुरा करने के लिए मनाना संभव हो, यह आमतौर पर पासवर्ड चुराने और तकनीक को धोखा देने से कहीं अधिक कठिन है। यह XDR रणनीति का विषय भी है।

TrendMicro.com पर अधिक

 

---

ट्रेंड माइक्रो के बारे में

आईटी सुरक्षा के दुनिया के अग्रणी प्रदाताओं में से एक के रूप में, ट्रेंड माइक्रो डिजिटल डेटा एक्सचेंज के लिए एक सुरक्षित दुनिया बनाने में मदद करता है। 30 से अधिक वर्षों की सुरक्षा विशेषज्ञता, वैश्विक खतरा अनुसंधान और निरंतर नवाचार के साथ, ट्रेंड माइक्रो व्यवसायों, सरकारी एजेंसियों और उपभोक्ताओं के लिए सुरक्षा प्रदान करता है। हमारी XGen™ सुरक्षा रणनीति के लिए धन्यवाद, हमारे समाधान अग्रणी-एज वातावरण के लिए अनुकूलित रक्षा तकनीकों के एक क्रॉस-जेनरेशनल संयोजन से लाभान्वित होते हैं। नेटवर्क की खतरे की जानकारी बेहतर और तेज सुरक्षा को सक्षम बनाती है। क्लाउड वर्कलोड, एंडपॉइंट्स, ईमेल, IIoT और नेटवर्क के लिए अनुकूलित, हमारे कनेक्टेड समाधान तेजी से खतरे का पता लगाने और प्रतिक्रिया के लिए पूरे उद्यम में केंद्रीकृत दृश्यता प्रदान करते हैं।

---

 

विषय से संबंधित लेख