অ্যাক্সিওস এনপিএম কম্প্রোমাইজ: কী ঘটেছে, কারা ক্ষতিগ্রস্ত এবং কীভাবে এটি প্রতিরোধ করা যায়

কেন অ্যাক্সিওস এনপিএম অ্যাটাক বিপজ্জনক

প্রথম দৃষ্টিতে, কোনো সমস্যা আছে বলে মনে হয় না। অনুরোধটি সফলভাবে সম্পাদিত হয়, অ্যাপ্লিকেশনটি প্রত্যাশিতভাবেই কাজ করে, এবং pipelines ত্রুটি ছাড়াই পাস হতে থাকে।

তবে, গুরুত্বপূর্ণ বিষয়টি ঘটে অনুরোধটি পাঠানোর আগেই। এক্সিকিউশনের সেই সময়কালে, হ্যাক হওয়া ডিপেন্ডেন্সিটি নীরবে অথরাইজেশন হেডার, এপিআই টোকেন, রিকোয়েস্ট মেটাডেটা এবং এনভায়রনমেন্ট ভেরিয়েবলের মতো সংবেদনশীল ডেটা অ্যাক্সেস ও সংগ্রহ করতে পারে।

যেহেতু এই লজিকটি একটি বিশ্বস্ত লাইব্রেরির ভেতরে চলে যা সরাসরি HTTP রিকোয়েস্ট পাথে থাকে, তাই এটি কার্যত অ্যাপ্লিকেশনটির মতোই একই বিশেষাধিকার নিয়ে কাজ করে। ফলে, এটি এমন ডেটা অ্যাক্সেস করতে পারে যা সাধারণত বহিরাগত আক্রমণকারীদের থেকে সুরক্ষিত থাকে।

যা এটিকে বিশেষভাবে বিপজ্জনক করে তোলে তা কেবল ডেটা অ্যাক্সেসই নয়, বরং এর কোনো দৃশ্যমান প্রভাব না থাকা। কার্যকারিতায় কোনো ব্যাঘাত ঘটে না, কোনো অনুরোধ ব্যর্থ হয় না এবং কিছু ভুল হয়েছে এমন কোনো তাৎক্ষণিক সংকেতও পাওয়া যায় না। পরিচালনগত দৃষ্টিকোণ থেকে, সবকিছু প্রত্যাশা অনুযায়ী কাজ করতে থাকে।

ইতিমধ্যে, সংবেদনশীল তথ্য হয়তো বহির্গামী সংযোগের মাধ্যমে সিস্টেম থেকে বেরিয়ে যাচ্ছে, যা সাধারণ অ্যাপ্লিকেশন ট্র্যাফিকের সাথে মিশে যায়।

কেন এটি প্রথমে একটি ডেভঅপস সমস্যা

ডেভঅপস দলগুলোর জন্য এই ধরনের আক্রমণ শনাক্ত করা বিশেষভাবে কঠিন, কারণ এটি বিদ্যমান কর্মপ্রবাহের সাথে নির্বিঘ্নে মিশে যায়।

নির্ভরশীলতাগুলো স্বয়ংক্রিয়ভাবে ইনস্টল হয়ে যায়। pipelines স্বাভাবিকভাবে সম্পাদিত হয় এবং কোনো তাৎক্ষণিক ব্যর্থতা ঘটে না।

একই সময়ে, CI/CD পরিবেশ প্রায়শই উচ্চ-মূল্যের পরিচয়পত্র প্রকাশ করে, যার মধ্যে রয়েছে:

• ক্লাউড প্রদানকারী টোকেন
• ডিপ্লয়মেন্ট কী
• CI/CD প্রমাণীকরণ গোপনীয়তা

এই প্রেক্ষাপটে চলমান একটি ত্রুটিপূর্ণ নির্ভরতা সরাসরি সেই ক্রেডেনশিয়ালগুলো অ্যাক্সেস করতে পারে।

এর ফলে এমন একটি পরিস্থিতি তৈরি হয়, যেখানে সবকিছু স্বাভাবিক দেখালেও নেপথ্যে সংবেদনশীল তথ্য অ্যাক্সেস করা হতে থাকে।

আসল ঝুঁকি: ব্যাপক পরিসরে গোপন তথ্য ফাঁস

অ্যাক্সিওস এনপিএম হ্যাকিংয়ের ঘটনাটি আধুনিক আক্রমণ কৌশলে একটি গুরুত্বপূর্ণ পরিবর্তনের ওপর আলোকপাত করেছে।

এখন আর লক্ষ্য দুর্বলতার সুযোগ নেওয়া নয়, বরং বৈধ ক্রেডেনশিয়াল অ্যাক্সেস করা।

যেহেতু আধুনিক সিস্টেমগুলো পরিবেশ-ভিত্তিক প্রমাণীকরণের উপর নির্ভর করে, তাই রানটাইমে চলমান একটি ডিপেন্ডেন্সি নিম্নলিখিত বিষয়গুলো অ্যাক্সেস করতে পারে:

• API কী
• পরিষেবা টোকেন
• ক্লাউড ক্রেডেনশিয়াল

এই প্রমাণপত্রগুলো ভাঙার কোনো প্রয়োজন নেই।

এগুলো শুধু ব্যবহার করা প্রয়োজন।

এর ফলে আক্রমণকারীরা বৈধ প্রমাণীকরণ ব্যবহার করে এক সাইট থেকে অন্য সাইটে যেতে, পরিষেবা অ্যাক্সেস করতে এবং ডেটা বের করে নিতে পারে।

ফলস্বরূপ, এর প্রভাব নির্ভর করে কী ধরনের গোপনীয় তথ্য ফাঁস হচ্ছে তার ওপর, আক্রমণটি কীভাবে চালানো হচ্ছে তার ওপর নয়।

প্রচলিত নিরাপত্তা সরঞ্জামগুলো কেন এটি ধরতে পারে না

প্রচলিত পদ্ধতিগুলো এই আক্রমণগুলো শনাক্ত করতে ব্যর্থ হয়, কারণ সেগুলো পরিচিত দুর্বলতা বা স্থির বৈশিষ্ট্যের ওপর মনোযোগ দেয়। তবে, যেমনটি তুলে ধরা হয়েছে ওপেনএআই-এর বিশ্লেষণ অ্যাক্সিওস ডেভেলপার টুলের নিরাপত্তা লঙ্ঘনের ঘটনায়, আসল ঝুঁকিটি রানটাইমে দেখা দেয়, যেখানে বিশ্বস্ত নির্ভরতাগুলো সংবেদনশীল ডেটার সাথে মিথস্ক্রিয়া করে।

তবে, একটি ত্রুটিপূর্ণ নির্ভরতায় কোনো সুস্পষ্ট লক্ষণ নাও থাকতে পারে।

হতে পারে:

• কোন CVE নেই
• কোন ক্ষতিকারক স্বাক্ষর নেই
• কোন অস্বাভাবিক বাক্য গঠন নেই

একই সাথে, স্ট্যাটিক অ্যানালাইসিস রানটাইম আচরণ মূল্যায়ন করে না। কোনো ডিপেন্ডেন্সি এক্সিকিউট হওয়ার পর সংবেদনশীল ডেটার সাথে কীভাবে মিথস্ক্রিয়া করে, তা এটি নির্ধারণ করতে পারে না।

এর ফলে এমন একটি ফাঁক তৈরি হয়, যেখানে কোড বিশ্লেষণের সময় নিরাপদ মনে হলেও নির্বাহের সময় ঝুঁকিপূর্ণ হয়ে ওঠে।

Axios npm-এর মতো আক্রমণ কীভাবে সনাক্ত এবং প্রতিরোধ করবেন

এই ধরনের Axios npm আক্রমণ প্রতিরোধ করতে হলে স্ট্যাটিক ইন্সপেকশন থেকে রানটাইম অ্যাওয়ারনেসের দিকে সরে আসা প্রয়োজন।

টিমগুলোর শুধু ডিপেন্ডেন্সিগুলোর মধ্যে কী আছে তা জানলেই হবে না, বরং সেগুলো কীভাবে কাজ করে সে সম্পর্কেও স্বচ্ছ ধারণা থাকা প্রয়োজন।

এটা অন্তর্ভুক্ত:

• রানটাইমে সংবেদনশীল ডেটাতে অ্যাক্সেস পর্যবেক্ষণ করা
• রিপোজিটরিতে পৌঁছানোর আগেই গোপনীয় তথ্য শনাক্ত করা
• স্ক্যান করা হচ্ছে pipelineপ্রকাশিত পরিচয়পত্রের জন্য নিদর্শন এবং আর্টিফ্যাক্ট
• অস্বাভাবিকতা শনাক্ত করার জন্য বহির্গামী নেটওয়ার্ক কার্যকলাপ পর্যবেক্ষণ করা

তবে, শুধু শনাক্তকরণই যথেষ্ট নয়।

শনাক্তকরণ থেকে প্রতিরোধ: আসলে কী ঝুঁকি কমায়

এই ধরনের ঘটনার পর দলগুলো প্রায়শই বিপুল সংখ্যক ফাঁস হয়ে যাওয়ার ঝুঁকিতে থাকা ক্রেডেনশিয়ালের সম্মুখীন হয়।

চ্যালেঞ্জটা সেগুলোকে খুঁজে বের করা নয়। চ্যালেঞ্জটা হলো, কোনগুলো গুরুত্বপূর্ণ তা শনাক্ত করা।

মূল প্রশ্নটি হলো:

কোন গোপনীয় তথ্যগুলো এখনও বৈধ এবং ব্যবহারযোগ্য?

যাচাইকরণ ছাড়া, দলগুলো নিষ্ক্রিয় ক্রেডেনশিয়ালের পেছনে সময় ব্যয় করে, অথচ প্রকৃত ঝুঁকিগুলো উন্মুক্ত থেকে যায়।

কার্যকরী প্রতিক্রিয়ার জন্য প্রয়োজন:

• প্রকাশিত গোপনীয়তা সনাক্ত করা
• তারা এখনও প্রবেশাধিকার দেয় কিনা তা যাচাই করা হচ্ছে
• দ্রুত সেগুলোকে প্রত্যাহার বা ঘোরানো

এর ফলে সংস্পর্শের সময় কমে যায় এবং আক্রমণকারীর সুযোগ সীমিত হয়ে পড়ে।

জাইজেনি কীভাবে সাপ্লাই চেইন ঝুঁকি কমাতে সাহায্য করে

জাইজেনি সনাক্তকরণ, যাচাইকরণ এবং প্রতিকারকে একটি একক কর্মপ্রবাহে একত্রিত করার মাধ্যমে এই চ্যালেঞ্জের সমাধান করা হয়।

এটি কোড জুড়ে ক্রমাগতভাবে উন্মুক্ত গোপনীয় তথ্য শনাক্ত করে, pipelineক্রেডেনশিয়াল এবং আর্টিফ্যাক্ট। একই সাথে, এটি যাচাই করে যে সেই ক্রেডেনশিয়ালগুলো পরিবেশে এখনও সক্রিয় আছে কিনা।

এর ফলে দলগুলো আক্রমণকারীরা প্রকৃতপক্ষে কী ব্যবহার করতে পারে, সেদিকে মনোযোগ দিতে পারে।

সক্রিয় গোপনীয় তথ্য শনাক্ত হয়ে গেলে, স্বয়ংক্রিয় প্রতিকার কর্মপ্রবাহ বাতিলকরণ বা নিয়ন্ত্রিত আবর্তনের মাধ্যমে ঝুঁকির সময় কমাতে সাহায্য করে।

এর ফলে প্রতিক্রিয়া আরও দ্রুত এবং সুনির্দিষ্ট হয়ে ওঠে।cisএবং কম বিঘ্ন সৃষ্টিকারী।