በሶፍትዌር ውስጥ የደህንነት ተጋላጭነቶች የሚከሰቱበት ምክንያት

1. ደካማ የኮድ አሠራሮች፡ በሶፍትዌር ውስጥ የደህንነት ተጋላጭነቶች የሚከሰቱበት ዋና ምክንያት

ገንቢዎች ደህንነቱ ያልተጠበቀ ኮድ ሲጽፉ የደህንነት ተጋላጭነቶችን ያስተዋውቃሉ። ተገቢ የግብዓት ማረጋገጫ፣ ደህንነቱ የተጠበቀ ማረጋገጫ እና ምስጠራ ከሌለ አጥቂዎች መተግበሪያዎችን በቀላሉ ማዛባት ይችላሉ። በዚህም ምክንያት፣ እነዚህ የሶፍትዌር ድክመቶች ለሳይበር ስጋቶች የመግቢያ ነጥቦችን ይፈጥራሉ፣ በመጨረሻም ወደ የውሂብ ጥሰቶች እና የስርዓት ቁጥጥር ይመራሉ።

የSQL ኢንጀክሽን - የተለመደ የደህንነት ተጋላጭነት

ለምሳሌ፣ SQL injection በጣም ከተለመዱት የደህንነት ተጋላጭነቶች አንዱ ነው። ገንቢዎች የተጠቃሚ ግብዓትን ማጽዳት ሲያቅታቸው አጥቂዎች ይህንን ጉድለት ይጠቀማሉ። በዚህም ምክንያት፣ የSQL ትዕዛዞችን ይወጋሉ፣ ማረጋገጫን ያልፋሉ እና ሚስጥራዊ መረጃዎችን ያገኛሉ። ከጊዜ በኋላ፣ ይህ ተጋላጭነት በብዙ ኢንዱስትሪዎች ውስጥ ከባድ የውሂብ ጥሰቶችን አስከትሏል።

የSQL መርፌ ጥቃቶች ውጤቶች፡

• ጠላፊዎች የተጠቃሚ ምስክርነቶችን እና የፋይናንስ መረጃዎችን ይሰርቃሉ፣ ይህም የገንዘብ ኪሳራ ያስከትላል።
• ተንኮል አዘል ተዋናዮች የውሂብ ጎታ መዝገቦችን ይለውጣሉ ወይም ይሰርዛሉ፣ ይህም የውሂብ ታማኝነትን ችግሮች ያስከትላል።
• ድርጅቶች በደንበኞች መረጃ ምክንያት የዝና እና የገንዘብ ጉዳት ይደርስባቸዋል።

ይህንን የደህንነት ተጋላጭነት እንዴት መከላከል እንደሚቻል፡

የSQL መርፌ ጥቃቶችን አደጋ ለመቀነስ፣ ድርጅቶች በእያንዳንዱ የእድገት ደረጃ ላይ ቅድመ ጥንቃቄ እርምጃዎችን መውሰድ አለባቸው።

• ደህንነቱ የተጠበቀ የኮድ መመሪያዎችን ይከተሉ ከሚከተሉት OWASP ከፍተኛ 10 አደጋዎችን ለመቀነስ.
• ፓራሜትሪ የተደረገባቸውን ጥያቄዎች ይተግብሩ እና ለማገድ መግለጫዎችን ያዘጋጁ የ SQL መርፌ.
• ምግባር የማይንቀሳቀስ የመተግበሪያ ደህንነት ሙከራ (SAST) ተጋላጭነቶችን ቀደም ብሎ ለመለየት።

እነዚህን የመከላከያ እርምጃዎች በመውሰድ፣ ንግዶች የSQL መርፌ ጥቃቶችን የመከሰት እድልን በእጅጉ ሊቀንሱ እና የመተግበሪያ ደህንነትን ሊያጠናክሩ ይችላሉ።

2. ያልተጣመረ ሶፍትዌር፡ ለደህንነት ተጋላጭነቶች ዋነኛው መንስኤ

ብዙ የደህንነት ተጋላጭነቶች የሚመነጩት ካልተጣመረ ሶፍትዌር ነው። እንዲያውም፣ የሳይበር ወንጀለኞች ድርጅቶች ጥገናውን እንደሚያዘገዩ ተስፋ በማድረግ የሚታወቁ ተጋላጭነቶችን በንቃት ይፈልጋሉ። በዚህም ምክንያት የደህንነት ዝማኔዎችን ችላ የሚሉ ንግዶች ስርዓቶቻቸውን ለጥቃት ያጋልጣሉ።

Log4Shell - ከባድ የደህንነት ተጋላጭነት

በቅርብ ዓመታት ውስጥ ካሉት እጅግ የከፋ የደህንነት ተጋላጭነቶች አንዱ የሆነውን የLog4Shellን ሁኔታ እንውሰድ። በስፋት ጥቅም ላይ የዋለው የLog4Shell ተጋላጭነት (CVE-2021-44228) በአፓቼ ሎግ4ጄ ውስጥ አጥቂዎች በሚሊዮን የሚቆጠሩ መሳሪያዎች ላይ የርቀት ኮድ እንዲፈጽሙ አስችሏቸዋል። በዚህም ምክንያት በተለያዩ ኢንዱስትሪዎች ውስጥ ያሉ ንግዶች ከፍተኛ የውሂብ ጥሰቶች እና የስርዓት ውድቀቶች አጋጥሟቸዋል። ከዚህም የከፋው የሳይበር ወንጀለኞች ይህንን ጉድለት በዓለም አቀፍ ደረጃ ተጠቅመው በዓለም ዙሪያ ያሉ ድርጅቶችን ነክተዋል።

የLog4Shell Exploits ተጽእኖ፡

• የሳይበር ወንጀለኞች ራንሰምዌርን በማሰማራት እና ሚስጥራዊ መረጃዎችን በመስረቅ ዓለም አቀፍ ስራዎችን በማስተጓጎል።
• ማይክሮሶፍት፣ አማዞን እና ቴስላን ጨምሮ ትላልቅ ኩባንያዎች ከፍተኛ የደህንነት ጥሰቶች ደርሶባቸዋል።
• አጠቃላይ የማሻሻያ ወጪ በዓለም አቀፍ ደረጃ ከ12 ቢሊዮን ዶላር በላይ መሆኑን የሪፖርቱ አሃዝ አመልክቷል። CISሪፖርት.

ይህንን የደህንነት ተጋላጭነት እንዴት መከላከል እንደሚቻል፡

• ሶፍትዌሩ እንደተዘመነ ለማረጋገጥ አውቶማቲክ የመጠገኛ አስተዳደርን ይጠቀሙ።
• የExploit Prediction Scoring Systemን በመጠቀም ለመለጠፍ ቅድሚያ ይስጡ (EPSS) ከፍተኛ ተጋላጭነት ያላቸውን ተጋላጭነቶች በመጀመሪያ ለማስተካከል።
• ያስተዋውቁ Application Security Posture Management (ASPM) ጊዜ ያለፈባቸውን ሶፍትዌሮች ያለማቋረጥ ለመከታተል።

እነዚህን የደህንነት ልምዶች በመተግበር ድርጅቶች ከአጥቂዎች ቀድመው ሊቀጥሉ እና የወደፊት የሶፍትዌር ተጋላጭነቶች እንዳይበዘበዙ መከላከል ይችላሉ።

3. የተሳሳቱ ውቅሮች፡ ሊከላከል የሚችል የደህንነት ተጋላጭነት

በጣም ብዙ ጊዜ፣ የተሳሳቱ የደመና አገልግሎቶች፣ የውሂብ ጎታዎች እና የአውታረ መረብ ቅንብሮች ከባድ የደህንነት ተጋላጭነቶችን ይፈጥራሉ። የደህንነት ቡድኖች ተገቢውን የመዳረሻ መቆጣጠሪያዎችን ተግባራዊ ካላደረጉ፣ አጥቂዎች የተሳሳቱ ውቅሮችን በቀላሉ ሊበዘብዙ እና ያልተፈቀደ መዳረሻ ሊያገኙ ይችላሉ።

ደካማ ውቅሮች ያሏቸው የተጋለጡ የውሂብ ጎታዎች

በጣም ከተለመዱት ስህተቶች አንዱ የደመና ዳታቤዞችን ለሕዝብ ተደራሽ ማድረግ ነው። ብዙ ድርጅቶች እነዚህን ዳታቤዞች በአግባቡ አያስጠብቁም፣ ይህም ለጥቃት ክፍት እንዲሆኑ ያደርጋቸዋል። በዚህም ምክንያት ጠላፊዎች የተሳሳተ የተዋቀሩ አገልግሎቶችን ለማግኘት በይነመረቡን ይቃኛሉ እና ሚስጥራዊ መረጃዎችን ይሰርቃሉ። ከጊዜ በኋላ እነዚህ የደህንነት ተጋላጭነቶች ከፍተኛ የውሂብ መፍሰስ አስከትለዋል።

የደመና የተሳሳቱ ውቅሮች ተጽዕኖ፦

• ያልተፈቀዱ ተጠቃሚዎች የውሂብ ጎታዎችን ሙሉ በሙሉ ማግኘት ይችላሉ፣ ይህም ወሳኝ የንግድ መረጃዎችን ያጋልጣል።
• አጥቂዎች የደንበኛ መረጃን ወደ ውጭ በማውጣት በጨለማ ድር ላይ ይሸጣሉ፣ ይህም የማጭበርበር አደጋዎችን ይጨምራል።
• ኩባንያዎች በደካማ የደህንነት ቁጥጥር ምክንያት ለ GDPR እና CCPA ጥሰቶች የቁጥጥር ቅጣት ይደርስባቸዋል።

ይህንን የደህንነት ተጋላጭነት እንዴት መከላከል እንደሚቻል፡

የተሳሳቱ ውቅሮችን አደጋ ለመቀነስ ድርጅቶች ደህንነቱ የተጠበቀ የማሰማራት ልምዶችን ተግባራዊ ማድረግ እና ጥብቅ የመዳረሻ ፖሊሲዎችን ማስፈጸም አለባቸው።

• ጥቅም Iመሠረተ ልማት እንደ ኮድ (IaC) ትክክለኛ ውቅሮችን ለማስፈፀም ደህንነት።
• ያልተፈቀደ መዳረሻን ለመገደብ በሚላን ላይ የተመሰረተ የመዳረሻ መቆጣጠሪያ (RBAC) ተግባራዊ ያድርጉ።
• አግብር የሚስጥር አስተዳደር መሳሪያዎች ሚስጥራዊነት ያላቸውን ምስክርነቶች ለመጠበቅ።

እነዚህን በማስፈጸም መቆጣጠሪያዎችንግዶች የተሳሳቱ የውቅር አደጋዎችን ሊቀንሱ እና የደመና ደህንነትን ሊያሻሽሉ ይችላሉ።

4. የአቅርቦት ሰንሰለት ጥቃቶች፡ በሶፍትዌር ውስጥ የደህንነት ተጋላጭነቶች የሚከሰቱበት እየጨመረ የመጣ ምክንያት

ዘመናዊ አፕሊኬሽኖች በሶስተኛ ወገን ቤተ-መጻሕፍት እና ጥገኞች ላይ የተመሰረቱ ናቸው። ሆኖም ግን፣ አጥቂዎች ብዙውን ጊዜ እነዚህን ክፍሎች በመርፌ ለማስገባት ያነጣጠሩ ናቸው። ተንኮል አዘል ዌርበዚህ ምክንያት፣ ንግዶች ከፍተኛ መጠን ያላቸውን ጥሰቶች ለመከላከል የሶፍትዌር አቅርቦት ሰንሰለታቸውን መጠበቅ አለባቸው።

የሶላር ንፋስ አቅርቦት ሰንሰለት ጥቃት

የሳይበር ወንጀለኞች የሶላርዊንድስ ኦሪዮን ዝመናዎችን ሰርገው በመግባት የኋላ በሮችን በስፋት ጥቅም ላይ እንዲውሉ አድርገዋል enterprise ሶፍትዌር። በዚህም ምክንያት በሺዎች የሚቆጠሩ ድርጅቶች ሳያውቁት ተንኮል አዘል ዝመናዎችን ጭነዋል፣ ከእነዚህም ውስጥ የፎርቹን 500 ኩባንያዎችን እና የመንግስት ኤጀንሲዎችን ጨምሮ።

የአቅርቦት ሰንሰለት ጥቃቶች ውጤቶች፡

• ጠላፊዎች የኮርፖሬት እና የመንግስት አውታረ መረቦችን ለረጅም ጊዜ ለማግኘት የኋላ በሮችን ተጠቅመዋል።
• የመንግስት ኤጀንሲዎች የስለላ እና የአሠራር መስተጓጎል ደርሶባቸዋል፣ ይህም ብሔራዊ ደህንነትን አደጋ ላይ ጥሏል።
• የገንዘብ ጉዳት ከ100 ሚሊዮን ዶላር በላይ መድረሱን በሪፖርቱ ዘግቧል። የአሜሪካ መንግስት ሪፖርት.

የሶፍትዌር አቅርቦት ሰንሰለትን እንዴት ደህንነቱ የተጠበቀ ማድረግ እንደሚቻል፡

የአቅርቦት ሰንሰለት ጥቃቶች እየጨመሩ በመምጣታቸው፣ ንግዶች ጥገኞቻቸውን ለመጠበቅ ቅድመ ጥንቃቄ እርምጃዎችን መውሰድ አለባቸው።

• ወስዶ እሥራ ላይ አዋለ የሶፍትዌር ቅንብር ትንተና (SCA) ተጋላጭነቶችን ያለማቋረጥ ለመቃኘት እና አደጋዎችን ቀደም ብሎ ለመለየት።
• የXygeni'sን ተግባራዊ ማድረግ Open Source Security በማልዌር የተበከሉ ፓኬጆችን ከመለየታቸው በፊት መተግበሪያዎችን ከማስገባታቸው በፊት መለየት እና ማገድ።
• የሶፍትዌር የቁሳቁስ ሂሳቦችን ያከናውኑ (SBOMs) የሶስተኛ ወገን ክፍሎችን ለመከታተል፣ በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ሙሉ ታይነትን ለማረጋገጥ።

5. የውስጥ አካላት ማስፈራሪያዎች፡ ብዙ ጊዜ ችላ የተባለ የደህንነት ተጋላጭነት

ብዙዎች በውጫዊ ስጋቶች ላይ ትኩረት ቢያደርጉም፣ የውስጥ አደጋዎችም እንዲሁ አደገኛ ናቸው። ተንኮል አዘል የውስጥ አካላትም ሆኑ ግድየለሾች ሰራተኞች ስርዓቶችን በተሳሳተ መንገድ በማዋቀር፣ ሚስጥራዊ መረጃዎችን በአግባቡ ባለመያዝ ወይም ሆን ብለው የመዳረሻ ምስክርነቶችን በማጋለጥ የደህንነት ተጋላጭነቶችን ሊያመጡ ይችላሉ። በዚህም ምክንያት ድርጅቶች የውስጥ አደጋዎችን አደጋ ለመቀነስ ጥብቅ የውስጥ ደህንነት ፖሊሲዎችን ማስፈጸም አለባቸው።

ደካማ የመዳረሻ መቆጣጠሪያዎች ምክንያት የተጋለጠ የአስተዳዳሪ በይነገጽ

ያልተገደበ የአስተዳደር ፓነሎችን በመጠቀም የድር መተግበሪያዎችን ሁኔታ እንውሰድ - እነሱ ለጭካኔ ኃይል ጥቃቶች ዋና ኢላማዎች ናቸው። ኩባንያዎች ጠንካራ የማረጋገጫ ፖሊሲዎችን ማስፈጸም ካልቻሉ፣ አጥቂዎች ወደ ወሳኝ ስርዓቶች በቀላሉ መድረስ ይችላሉ። ከሁሉም በላይ ብዙ ውስጣዊ ስጋቶች የሚከሰቱት ደካማ የመዳረሻ መቆጣጠሪያዎች በመኖራቸው ነው፣ ሆን ተብሎ በሚደርስ ጉዳት ብቻ አይደለም።

የውስጥ አካላት ስጋት ተጽእኖ፡

• ሰራተኞች በአጋጣሚ ሚስጥራዊ መረጃዎችን ያጋልጣሉ፣ የተገዢነት ደንቦችን ይጥሳሉ።
• ጠላፊዎች የአስተዳዳሪ ምስክርነቶችን ይሰርቃሉ እና መብቶችን ያባብሳሉ፣ ወሳኝ ስርዓቶችን ይቆጣጠራሉ።
• ድርጅቶች የገንዘብ እና የዝና ጉዳት እንደሚደርስባቸው በሪፖርቱ ገለጻ፣ ጋርትነር ሪፖርት.

የውስጥ አካላትን አደጋዎች እንዴት መቀነስ እንደሚቻል፡

የውስጥ አደጋዎችን ለመቀነስ፣ ንግዶች ጥብቅ የመግቢያ ፖሊሲዎችን እና የክትትል መሳሪያዎችን መተግበር አለባቸው።

• ያልተፈቀደ መዳረሻን ለመከላከል ለሁሉም የአስተዳዳሪ መለያዎች ባለብዙ-ደረጃ ማረጋገጫ (MFA) ያስፈጽሙ።
• ተጋላጭነትን ለመቀነስ VPNs ወይም የግል አውታረ መረቦችን በመጠቀም የአስተዳዳሪ ፓነሎችን መዳረሻ ይገድቡ።
• ማንከባለል የXygeni's Anomaly ምርመራ አጠራጣሪ እንቅስቃሴዎችን ለመከታተል በ CI/CD pipelineእና ያልተለመደ ባህሪን ይጠቁሙ።

እነዚህን የውስጥ የደህንነት ቁጥጥሮች ተግባራዊ በማድረግ ድርጅቶች ከውስጥ አደጋዎች ጋር የተያያዙ አደጋዎችን በእጅጉ ሊቀንሱ ይችላሉ።