অভ্যন্তরীণ হুমকি ক্রমবর্ধমানভাবে বিশেষাধিকার বৃদ্ধি শোষণ ব্যবহার করছে

ক রিপোর্ট 2023 সালের শেষের দিকে প্রকাশিত প্রতিবেদনে বলা হয়েছে যে কীভাবে অভ্যন্তরীণ ব্যক্তিরা তাদের সংস্থার নেটওয়ার্কগুলিতে অননুমোদিত পদক্ষেপগুলি চালানোর জন্য বিশেষাধিকার বৃদ্ধির শোষণগুলি ক্রমবর্ধমানভাবে ব্যবহার করছে।

ক্রাউডস্ট্রাইকের রিপোর্ট অনুসারে, 55% চিহ্নিত অভ্যন্তরীণ হুমকিগুলি বিশেষাধিকার বৃদ্ধির শোষণ ব্যবহার করেছে বা ব্যবহার করার চেষ্টা করেছে। যেসব ক্ষেত্রে অভ্যন্তরীণ ব্যক্তি দূষিত ছিল, তারা তাদের উন্নত সুবিধা ব্যবহার করে মেটাসপ্লয়েট, কোবাল্ট স্ট্রাইক এবং সিস্টেমের শোষণের জন্য অন্যান্য সরঞ্জামের মতো অতিরিক্ত কিট ব্যবহার করতে দেখা গেছে।

এটি লক্ষণীয় যে গবেষণাটি অন-প্রিম সিস্টেমের উপর দৃষ্টি নিবদ্ধ করা হয়েছিল এবং সম্ভবত ক্লাউড অ্যাপ্লিকেশনের অপব্যবহার থেকে সংগৃহীত ডেটা অন্তর্ভুক্ত করেনি।

তাদের প্রতিবেদনের মাধ্যমে অনুধাবন করে, বেশিরভাগ হিট উইন্ডোজ এবং লিনাক্স সিস্টেমে। এটি বলেছে, প্রদত্ত পরামিতিগুলির মধ্যে, এইগুলি এখনও কিছু বেশ উল্লেখযোগ্য ফলাফল যা আমরা 2024 নেভিগেট করার সময় নিরাপত্তা দলগুলির জন্য মনোযোগ দেওয়ার যোগ্য৷ এটি ইঙ্গিত দিতে পারে যে অভ্যন্তরীণ হুমকিগুলি গুরুত্বপূর্ণ নিয়ন্ত্রণগুলিকে ফাঁকি দিয়ে মূল সিস্টেমগুলিতে আক্রমণ করার জন্য নতুন উদ্ভাবনী উপায়গুলি খুঁজে পাচ্ছে৷

কেন বিশেষাধিকার বৃদ্ধি গুরুত্বপূর্ণ?

যদি আমরা আমাদের কাজগুলি সঠিকভাবে করি, তাহলে আমাদের লোকেরা কোন সিস্টেম বা সম্পদগুলি অ্যাক্সেস করতে পারে তার পরিপ্রেক্ষিতে আমাদের লোকেরা কী করতে সক্ষম তা নির্ধারণ করে আমরা নিয়ন্ত্রণ রাখি৷ এক ধাপ গভীরে ডুব দিয়ে, আমরা কেবল কী অ্যাক্সেস করা যায় তা নয়, সেই সম্পদের সাথে কেউ কী করতে পারে তা নিয়ন্ত্রণ করতে পারি।

তারা কি একটি সম্পদ পড়তে, লিখতে, সম্পাদনা করতে বা মুছতে পারে? তারা নিজেদের বা অন্যদের জন্য বিশেষাধিকার পরিবর্তন করতে পারেন? বিশেষাধিকারের খরগোশের গর্তটি বেশ দূরে সর্পিল হতে পারে, তবে এটি আপনার ডেটা সুরক্ষার জন্য সত্যিই গুরুত্বপূর্ণ হতে পারে।

আদর্শ বিশ্বে, প্রত্যেক ব্যবহারকারীর কাছে তাদের কাজ করার জন্য প্রয়োজনীয় ন্যূনতম স্তরের অ্যাক্সেস এবং বিশেষাধিকার রয়েছে। এটি ন্যূনতম বিশেষাধিকারের নীতি হিসাবে পরিচিত। এটি সঠিকভাবে পাওয়ার জন্য নিখুঁত হওয়া প্রায় অসম্ভব, তবে এটি লক্ষ্য করার লক্ষ্য।

যেখানে এটি কঠিন হয়ে যায় যখন একজন ব্যবহারকারী তাদের প্রবিধান করা হয়েছে তা থেকে তাদের সুবিধাগুলি বৃদ্ধি করার উপায় খুঁজে পায়।

যদি তারা সফল হয়, তাহলে তারা আমাদের সিস্টেমের সাথে যা করতে সক্ষম হবে তার সংজ্ঞায়িত সীমানা ভেঙ্গে গেছে। আমরা নিয়ন্ত্রণের একটি স্তর হারিয়ে ফেলি, এবং অভ্যন্তরীণ হুমকি অভিনেতার ক্ষেত্রে, আমরা একটি কঠিন প্রতিপক্ষের মুখোমুখি হই যার আমাদের সম্পদ সম্পর্কে গভীর জ্ঞান রয়েছে এবং কীভাবে সেগুলি খুঁজে পাওয়া যায়।

অভ্যন্তরীণ হুমকি দ্বারা উত্থাপিত চ্যালেঞ্জ

অভ্যন্তরীণ ঘটনাগুলি বিগত বেশ কয়েক বছর ধরে ক্রমাগতভাবে বৃদ্ধি পাচ্ছে, এবং এই প্রবণতাটি 2024 সালে পরিবর্তন হবে বলে আশা করা হচ্ছে না। এটি অত্যন্ত উদ্বেগজনক কারণ অভ্যন্তরীণ হুমকি অনেক উপায়ে বহিরাগত আক্রমণকারীর চেয়ে অনেক বেশি অসুবিধা সৃষ্টি করে।

একটি প্রতিষ্ঠানের উপর তাদের নেতিবাচক প্রভাবের বাইরে, গ্রাহক, অংশীদার এবং অভ্যন্তরীণ স্টেকহোল্ডারদের কাছ থেকে আস্থা হ্রাস করে, তাদের সনাক্ত করা একেবারে কঠিন হতে পারে।

একটি অভ্যন্তরীণ হুমকির সাথে চ্যালেঞ্জগুলির মধ্যে একটি হল যে এই ব্যবহারকারী গেমটি শুরু করে এমন বিশেষ সুবিধাগুলির একটি সেট যা তাদের সংস্থার মধ্যে পা রাখার অনুমতি দেয়৷ এটা মুখে, এই অর্থে তোলে. যদি ব্যক্তি একজন কর্মচারী হয়, তাহলে আপনাকে তাদের তাদের কাজ করার ক্ষমতা দিতে হবে। এর মানে হল একজন কার্যকরী কর্মী হতে উপযুক্ত সিস্টেম এবং ডেটা অ্যাক্সেস করা।

দ্বিতীয় চ্যালেঞ্জ হল যে সংস্থার সিস্টেমের মধ্যে কর্মচারীদের আন্দোলনকে স্বাভাবিক হিসাবে দেখা হবে এবং তারা সংরক্ষণ থেকে খুব বেশি দূরে সরে না গেলে কোনও সতর্কতা ঘণ্টা বন্ধ করার সম্ভাবনা নেই। ব্যবহারিক পরিভাষায়, অভ্যন্তরীণ ব্যক্তি আপনার মধুর পটগুলির একটিকে স্পর্শ করার সম্ভাবনা খুবই কম কারণ তারা ইতিমধ্যেই জানেন যে তারা কী অ্যাক্সেস করতে চান এবং এটি কোথায় অবস্থিত।

সুতরাং এই চ্যালেঞ্জগুলির মধ্যে কয়েকটির প্রেক্ষিতে, আপনার অভ্যন্তরীণ ব্যক্তিদের কাছ থেকে বিশেষাধিকার বৃদ্ধির হুমকি মোকাবেলা করার জন্য আমাদের এখানে কয়েকটি টিপস রয়েছে।

অভ্যন্তরীণ হুমকি থেকে আপনার ঝুঁকি কমানোর জন্য 3টি কৌশল

1. প্যাচ করুন, প্যাচ করুন এবং তাড়াতাড়ি এবং প্রায়শই প্যাচ করতে ভুলবেন না

সাইবার নিরাপত্তার ক্ষেত্রে দীর্ঘস্থায়ী উপদেশগুলির মধ্যে একটি, এমনকি মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) বাস্তবায়নের পূর্বাভাস, আপনার সফ্টওয়্যার সিস্টেমগুলিকে প্যাচ করার সমালোচনা।

যদিও শূন্য দিনের দুর্বলতা যেমন ইরানের পারমাণবিক স্থাপনাগুলিকে ক্ষতিগ্রস্ত করতে বা আইফোন হ্যাক করার জন্য ব্যবহৃত সমস্ত প্রেস পেতে পারে, বেশিরভাগ হ্যাকাররা তাদের আক্রমণ সফলভাবে চালানোর জন্য জনসাধারণের কাছে প্রকাশ করা পরিচিত দুর্বলতাগুলি ব্যবহার করে।

হ্যাকাররা সাধারণত দুটি উপায়ের একটিতে এই দুর্বলতাগুলি জুড়ে আসে। প্রথমত তারা জনসাধারণের সুবিধার জন্য MITER কর্পোরেশন দ্বারা প্রকাশিত সর্বজনীনভাবে উপলব্ধ দুর্বলতা (CVEs) দেখতে সক্ষম। দ্বিতীয়ত, এবং আরও বিরক্তিকরভাবে, তারা সফ্টওয়্যার আপডেটগুলি দেখতে পারে এবং কী ঠিক করা হয়েছে তা বের করার চেষ্টা করতে পারে এবং তারপরে কীভাবে এটিকে কাজে লাগাতে হয় তা দেখতে পারে। এই কারণে এবং আরও অনেক কিছুর জন্য, নতুন সংস্করণগুলি উপলব্ধ হওয়ার পরে শীঘ্রই প্যাচ করতে ভুলবেন না।

দুর্বলতা রিপোর্টিং এবং প্রকাশনার প্রক্রিয়ার অংশ হিসাবে, যে কোম্পানিগুলি সফ্টওয়্যারের মালিক, বা ওপেন সোর্স সফ্টওয়্যারের ক্ষেত্রে প্রকল্প পরিচালকদের, তথ্য প্রকাশের আগে তাদের পণ্যগুলির সমস্যাগুলি সমাধান করার জন্য সাধারণত 90 দিনের সময় দেওয়া হয়৷ এই সফ্টওয়্যার মালিকদের বাগ সমাধানের জন্য তাদের প্রয়োজনীয় স্থানের সাথে পদক্ষেপে ঠেলে দেওয়ার প্রয়োজনের মধ্যে ভারসাম্য বজায় রাখে।

যাইহোক, তাদের সমস্ত কঠোর পরিশ্রম বৃথা যায় যদি আমরা তাদের ইস্যু করা প্যাচগুলি ব্যবহার না করি। এর অর্থ হল CVE-এর জন্য প্যাচগুলি বাস্তবায়ন করা, প্যাচ মঙ্গলবারের প্রয়োজনীয়তার মধ্য দিয়ে যাওয়া এবং সাধারণত নিশ্চিত করা যে আমাদের সিস্টেমগুলি সর্বশেষ সংস্করণগুলির সাথে আপ টু ডেট রয়েছে৷

প্যাচিং একটি বিশাল যন্ত্রণা হতে পারে, এবং কোন সংস্থাই সেখানে নেই যেখানে তাদের এটিতে থাকা উচিত। সর্বদা কয়েক পা পিছিয়ে, এই আশায় যে তারা তাদের সবচেয়ে সমালোচনামূলক সিস্টেমগুলি প্যাচ করেছে।

আশা করা যায় যে ক্লাউডে সরানো শেষ ব্যবহারকারীদের কাছ থেকে প্যাচিংয়ের দায়িত্ব সরিয়ে ফেলবে এবং SaaS সমাধান প্রদানকারী বিক্রেতাদের কাছে এটির বেশি ধাক্কা দেবে। তবে মনে রাখবেন যে AWS, Azure এবং GCP-এর মতো ক্লাউড ইনফ্রাস্ট্রাকচারের (IaaS) ক্ষেত্রে এটি আসে না, তাই আপনার আইটি এবং নিরাপত্তা দলগুলিকে এখনও কিছু সময়ের জন্য এই সিস্টেমগুলিতে বর্তমান থাকার জন্য প্রস্তুত হতে হবে। .

2. অস্বাভাবিক আচরণের জন্য মনিটর

যদি কোনও অভ্যন্তরীণ ব্যক্তি, বা কেউ ভান করে, তাদের সুবিধাগুলিকে তারা স্বাভাবিকের চেয়ে ভিন্ন সিস্টেমে অ্যাক্সেস করতে পারে, এটি প্রধান ফ্ল্যাগগুলি সেট করা উচিত। যদি আপনার কাছে মনিটরিং থাকে তবে অবশ্যই তা ধরতে হবে।

ব্যবহারকারীর আচরণ বিশ্লেষণ সরঞ্জামগুলির সাহায্যে স্বাভাবিক কার্যকলাপের একটি বেসলাইন ক্যাপচার করা যখন সন্দেহজনক আচরণ চলছে তা খুঁজে বের করার জন্য অপরিহার্য।

এখানে সুবিধা হল যে আপনার আচরণের নিরীক্ষণ ব্যাকগ্রাউন্ডে চলে এবং তাদের বিশেষাধিকারের অবৈধ পরিবর্তন দ্বারা প্রভাবিত হবে না। তারা যে সিস্টেমগুলিকে স্পর্শ করে বা অন্যান্য ক্রিয়াকলাপগুলি তারা গ্রহণ করে তা বাছাই করা হবে, লগ করা হবে এবং সতর্ক করা হবে যদি তারা তাদের জন্য স্বাভাবিক হিসাবে সংজ্ঞায়িত করা সীমা থেকে বিচ্যুত হয়।

সতর্কতা বৈশিষ্ট্যের বাইরে, আপনার পরিবেশ পর্যবেক্ষণ করার অন্য সুবিধা হল একটি ঘটনার পরে তদন্তে ব্যবহার করা। ঘটনার প্রতিক্রিয়ায় সবচেয়ে বড় চ্যালেঞ্জগুলির মধ্যে একটি হল বোঝা যে কোন সিস্টেমগুলি প্রভাবিত হয়েছিল এবং প্রতিকারের প্রয়োজন হতে পারে। একটি নির্দিষ্ট ব্যবহারকারীর সাথে সংযুক্ত সংবেদনশীল সিস্টেমে কার্যকলাপের সেশন রেকর্ডিং থাকা তদন্তে ব্যয় করা সময়কে উল্লেখযোগ্যভাবে কমাতে পারে।

3. নিয়ম অনুসরণ সম্পর্কে আপনার কর্মশক্তি শিক্ষিত

Facebook-এর মার্ক জুকারবার্গ স্টার্টআপ নীতির অংশ হিসেবে "মুভ ফাস্ট অ্যান্ড ব্রেক থিংস" ধারণাটিকে জনপ্রিয় করেছেন যা কোম্পানিগুলোকে সাফল্যের দিকে নিয়ে গেছে। যদিও উদ্ভাবনের ক্ষেত্রে একটি স্থূল কর্পোরেট মানসিকতা থেকে বেরিয়ে এসে অনেক ভাল কাজ করতে পারে, অন্তত কিছু নির্দেশিকাগুলির মধ্যে থাকার কিছু সুবিধা রয়েছে৷

ব্যবসার মেশিনে কি ধরনের সফ্টওয়্যার ডাউনলোড করা যেতে পারে এবং অনুমোদনের প্রক্রিয়াগুলি একটি কারণের জন্য রয়েছে সে সম্পর্কে কোম্পানির নীতিগুলি। এমনকি একটি প্রদত্ত নীতি এমন কিছুর চেয়ে বেশি বাধা বলে মনে হয় যা সম্পূর্ণ অনেক অর্থবহ করে তোলে।

আপনার লোকেদের আপনার নিয়মগুলি অনুসরণ করার জন্য সবচেয়ে ভাল উপায় হল লাঠির বিষয়ে কম এবং নিয়ম ভঙ্গের সম্ভাব্য প্রভাব কী হতে পারে তা তাদের ব্যাখ্যা করে তাদের বোর্ডে আনার বিষয়ে আরও বেশি।

আদর্শভাবে পাওয়ারপয়েন্ট দ্বারা মৃত্যু এড়ান এবং সেশনগুলিকে একটু বেশি ইন্টারেক্টিভ করুন। একটি পদ্ধতি যা আরও কার্যকর প্রমাণিত হয়েছে তা হল নীতিগুলি ভাঙার বিভিন্ন কেস বরাদ্দ করা এবং কীভাবে তা কার্যকর হয়েছে তা তাদের গ্রুপের কাছে উপস্থাপন করা।

জীবন ও মৃত্যুর সুরক্ষা সামগ্রী শেখানোর জন্য সামরিক বাহিনীতেও এটি একই পদ্ধতি ব্যবহার করা হয় এবং এটি সত্যিই আপনার স্মৃতিতে আটকে থাকে।

অনিচ্ছাকৃতভাবে বেপরোয়া কিন্তু দূষিত নয়

প্রতিবেদনটি পড়ে, এখানে খবরটি যতটা খারাপ মনে হয় ততটা খারাপ নয়।

লেখকরা উল্লেখ করেছেন যে 45% ঘটনাগুলি দূষিত অভ্যন্তরীণ ব্যক্তিদের দ্বারা সৃষ্ট বলে মনে হয় না যারা হুমকি হতে চায়। কিছু ঘটনার মধ্যে অভ্যন্তরীণ ব্যক্তিরা নিয়ম ভঙ্গ করে যাতে তারা সংস্থার মেশিনগুলিতে সফ্টওয়্যার ডাউনলোড করতে পারে যা তাদের অনুমিত নয়, কিন্তু তাদের নিয়োগকর্তার ক্ষতি ছাড়া অন্য কারণে।

কর্মচারীদের নিয়ন্ত্রণের চারপাশে স্কার্ট করার কথা চিন্তা করুন যাতে তারা তাদের কাজের মেশিনে টরেন্ট বা অন্যান্য অবৈধ সফ্টওয়্যার ডাউনলোড করতে পারে।

সম্ভবত এই ধরনের সবচেয়ে বড় গল্পগুলির মধ্যে একটি হল এ-এ কর্মীদের সম্পর্কে পুরানো এবং সর্বদা গুডি ইউক্রেনীয় পারমাণবিক বিদ্যুৎ কেন্দ্র যারা ক্রিপ্টোকারেন্সি খনির উদ্দেশ্যে ইচ্ছাকৃতভাবে অফলাইন সিস্টেমগুলিকে ইন্টারনেটের সাথে সংযুক্ত করেছে৷ এটি যুদ্ধের প্রাদুর্ভাবের আগে ছিল, কিন্তু রাশিয়ান হ্যাকারদের দ্বারা ইউক্রেনীয় সমালোচনামূলক অবকাঠামোকে লক্ষ্য করে প্রচারাভিযান শুরু হয়েছিল, তাই এটি এখনও একটি ব্যতিক্রমী খারাপ ধারণা ছিল।

অন্যদিকে, কেউ ক্ষতি করার ইচ্ছা করে না তার মানে এই নয় যে কোনও ফাউল নেই। অনুযায়ী 2023 সালের জন্য ভেরিজন ডেটা লঙ্ঘন তদন্ত প্রতিবেদন , বিবিধ ত্রুটিগুলি বার্ষিক ডেটা লঙ্ঘনের পরিসংখ্যানের একটি উল্লেখযোগ্য অংশকে অন্তর্ভুক্ত করে চলেছে৷ এবং যখন গ্রাহক PII-এর মতো নিয়ন্ত্রিত ডেটা প্রকাশের জন্য নিয়ন্ত্রক সংস্থাগুলির তদন্তের কথা আসে, তখন তারা খুব একটা চিন্তা করে না যে পদক্ষেপটি দূষিত ছিল কিনা। ঠিক যে এটা ঘটেছে.

আশা করি সর্বোত্তম অনুশীলনগুলি অনুসরণ করে এবং আপনার দলকে শিক্ষিত করে, আপনি একটি খারাপ ঘটনাকে খারাপ রায় বনাম সম্পূর্ণভাবে খারাপ বিশ্বাসের কাজ হিসাবে ব্যাখ্যা করা এড়াতে পারেন।