ആക്സിയോസ് എൻ‌പി‌എം കോംപ്രമൈസ്: എന്താണ് സംഭവിച്ചത്, ആരെയാണ് ഇത് ബാധിച്ചത്, എങ്ങനെ തടയാം

ആക്സിയോസ് എൻ‌പി‌എം ആക്രമണം അപകടകരമാകുന്നത് എന്തുകൊണ്ട്?

ഒറ്റനോട്ടത്തിൽ, ഒന്നും തെറ്റാണെന്ന് തോന്നുന്നില്ല. അഭ്യർത്ഥന വിജയകരമായി നടപ്പിലാക്കി, ആപ്ലിക്കേഷൻ പ്രതീക്ഷിച്ചതുപോലെ പ്രവർത്തിക്കുന്നു, കൂടാതെ pipelineപിശകുകളില്ലാതെ കടന്നുപോകുന്നത് തുടരുന്നു.

എന്നിരുന്നാലും, അഭ്യർത്ഥന അയയ്ക്കുന്നതിന് മുമ്പാണ് നിർണായക വിശദാംശങ്ങൾ സംഭവിക്കുന്നത്. ആ എക്സിക്യൂഷൻ വിൻഡോയിൽ, അപഹരിക്കപ്പെട്ട ആശ്രിതത്വത്തിന് അംഗീകാര തലക്കെട്ടുകൾ, API ടോക്കണുകൾ, അഭ്യർത്ഥന മെറ്റാഡാറ്റ, പരിസ്ഥിതി വേരിയബിളുകൾ തുടങ്ങിയ സെൻസിറ്റീവ് ഡാറ്റ നിശബ്ദമായി ആക്‌സസ് ചെയ്യാനും ശേഖരിക്കാനും കഴിയും.

ഈ ലോജിക് HTTP അഭ്യർത്ഥന പാതയിൽ നേരിട്ട് സ്ഥിതി ചെയ്യുന്ന ഒരു വിശ്വസനീയ ലൈബ്രറിക്കുള്ളിൽ പ്രവർത്തിക്കുന്നതിനാൽ, ആപ്ലിക്കേഷന്റെ അതേ പ്രത്യേകാവകാശങ്ങളോടെയാണ് ഇത് ഫലപ്രദമായി പ്രവർത്തിക്കുന്നത്. തൽഫലമായി, ബാഹ്യ ആക്രമണകാരികളിൽ നിന്ന് സാധാരണയായി സംരക്ഷിക്കപ്പെടുന്ന ഡാറ്റ ഇതിന് ആക്‌സസ് ചെയ്യാൻ കഴിയും.

ഡാറ്റ ആക്‌സസ് മാത്രമല്ല, ദൃശ്യമായ ആഘാതത്തിന്റെ അഭാവവുമാണ് ഇതിനെ പ്രത്യേകിച്ച് അപകടകരമാക്കുന്നത്. പ്രവർത്തനത്തിൽ ഒരു തടസ്സവുമില്ല, പരാജയപ്പെട്ട അഭ്യർത്ഥനകളില്ല, എന്തോ കുഴപ്പമുണ്ടെന്നതിന്റെ ഉടനടി സൂചനയും ഇല്ല. ഒരു പ്രവർത്തന വീക്ഷണകോണിൽ, എല്ലാം പ്രതീക്ഷിച്ചതുപോലെ പ്രവർത്തിക്കുന്നു.

അതേസമയം, സാധാരണ ആപ്ലിക്കേഷൻ ട്രാഫിക്കിലേക്ക് ലയിക്കുന്ന ഔട്ട്ബൗണ്ട് കണക്ഷനുകൾ വഴി സെൻസിറ്റീവ് വിവരങ്ങൾ ഇതിനകം തന്നെ സിസ്റ്റത്തിൽ നിന്ന് പുറത്തുപോകുന്നുണ്ടാകാം.

എന്തുകൊണ്ടാണ് ഇത് ആദ്യം ഒരു DevOps പ്രശ്നമാകുന്നത്

DevOps ടീമുകളെ സംബന്ധിച്ചിടത്തോളം, ഇത്തരത്തിലുള്ള ആക്രമണം കണ്ടെത്തുന്നത് പ്രത്യേകിച്ച് ബുദ്ധിമുട്ടാണ്, കാരണം ഇത് നിലവിലുള്ള വർക്ക്ഫ്ലോകളിലേക്ക് സുഗമമായി സംയോജിപ്പിക്കുന്നു.

ആശ്രിതത്വങ്ങൾ യാന്ത്രികമായി ഇൻസ്റ്റാൾ ചെയ്യപ്പെടുന്നു, pipelineസാധാരണയായി പ്രവർത്തിക്കുന്നു, ഉടനടി പരാജയങ്ങളൊന്നും സംഭവിക്കുന്നില്ല.

അതേ സമയം തന്നെ, CI/CD പരിസ്ഥിതികൾ പലപ്പോഴും ഉയർന്ന മൂല്യമുള്ള യോഗ്യതാപത്രങ്ങൾ വെളിപ്പെടുത്തുന്നു, അവയിൽ ചിലത്:

• ക്ലൗഡ് ദാതാവിന്റെ ടോക്കണുകൾ
• വിന്യാസ കീകൾ
• CI/CD ആധികാരികത രഹസ്യങ്ങൾ

ഈ സന്ദർഭത്തിൽ പ്രവർത്തിക്കുന്ന ഒരു വിട്ടുവീഴ്ച ചെയ്ത ആശ്രിതത്വത്തിന് ആ ക്രെഡൻഷ്യലുകളിലേക്ക് നേരിട്ട് പ്രവേശിക്കാൻ കഴിയും.

ഇത് എല്ലാം സാധാരണമായി കാണപ്പെടുന്ന ഒരു സാഹചര്യം സൃഷ്ടിക്കുന്നു, അതേസമയം സെൻസിറ്റീവ് ഡാറ്റ പശ്ചാത്തലത്തിൽ ആക്‌സസ് ചെയ്യപ്പെടുന്നു.

യഥാർത്ഥ അപകടസാധ്യത: രഹസ്യ വെളിപ്പെടുത്തൽ വലിയ തോതിൽ

ആധുനിക ആക്രമണ തന്ത്രങ്ങളിലെ ഒരു പ്രധാന മാറ്റത്തെ ആക്സിയോസ് എൻ‌പി‌എം വിട്ടുവീഴ്ച എടുത്തുകാണിക്കുന്നു.

ലക്ഷ്യം ഇനി ദുർബലതകളെ ചൂഷണം ചെയ്യുകയല്ല, മറിച്ച് സാധുവായ ക്രെഡൻഷ്യലുകൾ ആക്‌സസ് ചെയ്യുക എന്നതാണ്.

ആധുനിക സിസ്റ്റങ്ങൾ പരിസ്ഥിതി അടിസ്ഥാനമാക്കിയുള്ള പ്രാമാണീകരണത്തെ ആശ്രയിക്കുന്നതിനാൽ, റൺടൈമിൽ പ്രവർത്തിക്കുന്ന ഒരു ആശ്രിതത്വത്തിന് ഇവ ആക്‌സസ് ചെയ്യാൻ കഴിയും:

• API കീകൾ
• സേവന ടോക്കണുകൾ
• ക്ലൗഡ് ക്രെഡൻഷ്യലുകൾ

ഈ യോഗ്യതാപത്രങ്ങൾ തകർക്കേണ്ടതില്ല.

അവ ഉപയോഗിച്ചാൽ മാത്രം മതി.

ഇത് ആക്രമണകാരികൾക്ക് നിയമാനുസൃതമായ പ്രാമാണീകരണം ഉപയോഗിച്ച് വശങ്ങളിലേക്ക് നീങ്ങാനും, സേവനങ്ങൾ ആക്‌സസ് ചെയ്യാനും, ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാനും പ്രാപ്തമാക്കുന്നു.

തൽഫലമായി, ആക്രമണം എങ്ങനെ നടപ്പിലാക്കുന്നു എന്നതിനെ ആശ്രയിച്ചല്ല, മറിച്ച് ഏതൊക്കെ രഹസ്യങ്ങൾ വെളിപ്പെടുത്തുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കും ആഘാതം.

പരമ്പരാഗത സുരക്ഷാ ഉപകരണങ്ങൾ ഇത് കാണാതെ പോകുന്നത് എന്തുകൊണ്ട്?

പരമ്പരാഗത സമീപനങ്ങൾ ഈ ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിൽ ബുദ്ധിമുട്ടുന്നു, കാരണം അവ അറിയപ്പെടുന്ന ദുർബലതകളിലോ സ്റ്റാറ്റിക് സിഗ്നേച്ചറുകളിലോ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു. എന്നിരുന്നാലും, ഇതിൽ എടുത്തുകാണിച്ചിരിക്കുന്നത് പോലെ OpenAI യുടെ വിശകലനം ആക്സിയോസ് ഡെവലപ്പർ ടൂൾ വിട്ടുവീഴ്ചയിൽ, വിശ്വസനീയമായ ഡിപൻഡൻസികൾ സെൻസിറ്റീവ് ഡാറ്റയുമായി സംവദിക്കുന്ന റൺടൈമിലാണ് യഥാർത്ഥ അപകടസാധ്യത ഉയർന്നുവരുന്നത്.

എന്നിരുന്നാലും, ഒരു വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ട ആശ്രിതത്വത്തിൽ വ്യക്തമായ സൂചകങ്ങളൊന്നും അടങ്ങിയിരിക്കണമെന്നില്ല.

ഉണ്ടാകാം:

• സിവിഇ ഇല്ല
• ദോഷകരമായ ഒപ്പ് ഇല്ല.
• അസാധാരണമായ വാക്യഘടനയില്ല.

അതേസമയം, സ്റ്റാറ്റിക് വിശകലനം റൺടൈം പെരുമാറ്റത്തെ വിലയിരുത്തുന്നില്ല. ഒരിക്കൽ എക്സിക്യൂട്ട് ചെയ്‌താൽ സെൻസിറ്റീവ് ഡാറ്റയുമായി ഒരു ആശ്രിതത്വം എങ്ങനെ ഇടപഴകുന്നുവെന്ന് ഇതിന് നിർണ്ണയിക്കാൻ കഴിയില്ല.

ഇത് വിശകലന സമയത്ത് കോഡ് സുരക്ഷിതമാണെന്ന് തോന്നുമെങ്കിലും നടപ്പിലാക്കുമ്പോൾ അപകടസാധ്യതയുള്ളതായി മാറുന്ന ഒരു വിടവ് സൃഷ്ടിക്കുന്നു.

ആക്സിയോസ് എൻ‌പി‌എം പോലുള്ള ആക്രമണങ്ങൾ എങ്ങനെ കണ്ടെത്തി തടയാം

ഇത്തരത്തിലുള്ള ആക്‌സിയോസ് എൻ‌പി‌എം ആക്രമണം തടയുന്നതിന് സ്റ്റാറ്റിക് പരിശോധനയിൽ നിന്ന് റൺടൈം അവബോധത്തിലേക്ക് മാറേണ്ടതുണ്ട്.

ടീമുകൾക്ക് ആശ്രിതത്വങ്ങൾ എന്തൊക്കെയാണ് ഉൾക്കൊള്ളുന്നതെന്ന് മാത്രമല്ല, അവ എങ്ങനെ പെരുമാറുന്നു എന്നതും വ്യക്തമായി മനസ്സിലാക്കേണ്ടതുണ്ട്.

ഇതിൽ ഉൾപ്പെടുന്നവ:

• റൺടൈമിൽ സെൻസിറ്റീവ് ഡാറ്റയിലേക്കുള്ള ആക്‌സസ് നിരീക്ഷിക്കുന്നു
• രഹസ്യങ്ങൾ സംഭരണികളിൽ എത്തുന്നതിനുമുമ്പ് കണ്ടെത്തൽ
• സ്കാൻ ചെയ്യുന്നു pipelineവെളിപ്പെടുത്തിയ ക്രെഡൻഷ്യലുകൾക്കുള്ള കളും ആർട്ടിഫാക്റ്റുകളും
• അപാകതകൾക്കായി ഔട്ട്ബൗണ്ട് നെറ്റ്‌വർക്ക് പ്രവർത്തനം നിരീക്ഷിക്കുന്നു

എന്നിരുന്നാലും, കണ്ടെത്തൽ മാത്രം പോരാ.

കണ്ടെത്തൽ മുതൽ പ്രതിരോധം വരെ: യഥാർത്ഥത്തിൽ അപകടസാധ്യത കുറയ്ക്കുന്നത് എന്താണ്

ഇതുപോലുള്ള ഒരു സംഭവത്തിന് ശേഷം, ടീമുകൾ പലപ്പോഴും തുറന്നുകാട്ടപ്പെടാൻ സാധ്യതയുള്ള നിരവധി യോഗ്യതകളെ അഭിമുഖീകരിക്കുന്നു.

അവരെ കണ്ടെത്തുകയല്ല വെല്ലുവിളി, ഏതാണ് പ്രധാനമെന്ന് തിരിച്ചറിയുക എന്നതാണ്.

പ്രധാന ചോദ്യം ഇതായിരിക്കും:

ഏതൊക്കെ രഹസ്യങ്ങളാണ് ഇപ്പോഴും സാധുവായതും ഉപയോഗപ്പെടുത്താവുന്നതും?

സ്ഥിരീകരണം കൂടാതെ, യഥാർത്ഥ അപകടസാധ്യതകൾ തുറന്നിരിക്കുമ്പോൾ, ടീമുകൾ നിഷ്‌ക്രിയ ക്രെഡൻഷ്യലുകളിൽ സമയം ചെലവഴിക്കുന്നു.

ഫലപ്രദമായ പ്രതികരണത്തിന് ഇവ ആവശ്യമാണ്:

• വെളിപ്പെടുത്തിയ രഹസ്യങ്ങൾ കണ്ടെത്തൽ
• അവർ ഇപ്പോഴും ആക്‌സസ് അനുവദിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കുന്നു
• അവയെ വേഗത്തിൽ പിൻവലിക്കുകയോ തിരിക്കുകയോ ചെയ്യുക

ഇത് എക്സ്പോഷർ സമയം കുറയ്ക്കുകയും ആക്രമണകാരിയുടെ വിൻഡോ പരിമിതപ്പെടുത്തുകയും ചെയ്യുന്നു.

സപ്ലൈ ചെയിൻ റിസ്ക് കുറയ്ക്കാൻ സൈജെനി എങ്ങനെ സഹായിക്കുന്നു

സൈജെനി കണ്ടെത്തൽ, സ്ഥിരീകരണം, പരിഹാര നടപടികൾ എന്നിവ ഒരൊറ്റ വർക്ക്ഫ്ലോയിൽ സംയോജിപ്പിച്ചുകൊണ്ട് ഈ വെല്ലുവിളിയെ അഭിസംബോധന ചെയ്യുന്നു.

ഇത് കോഡിലുടനീളം വെളിപ്പെടുത്തിയ രഹസ്യങ്ങൾ തുടർച്ചയായി തിരിച്ചറിയുന്നു, pipelineകൾ, ആർട്ടിഫാക്റ്റുകൾ എന്നിവ. അതേ സമയം, ആ യോഗ്യതാപത്രങ്ങൾ ഇപ്പോഴും പരിസ്ഥിതിയിൽ സജീവമാണോ എന്ന് ഇത് സാധൂകരിക്കുന്നു.

ആക്രമണകാരികൾക്ക് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കാൻ കഴിയുന്ന കാര്യങ്ങളിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കാൻ ഇത് ടീമുകളെ അനുവദിക്കുന്നു.

സജീവ രഹസ്യങ്ങൾ തിരിച്ചറിഞ്ഞുകഴിഞ്ഞാൽ, ഓട്ടോമേറ്റഡ് റെമഡിയേഷൻ വർക്ക്ഫ്ലോകൾ അസാധുവാക്കൽ അല്ലെങ്കിൽ നിയന്ത്രിത ഭ്രമണം വഴി എക്സ്പോഷർ സമയം കുറയ്ക്കാൻ സഹായിക്കുന്നു.

തൽഫലമായി, പ്രതികരണം വേഗത്തിലാകുന്നു, കൂടുതൽ മുമ്പത്തേതിനേക്കാൾcise, കുറവ് തടസ്സപ്പെടുത്തുന്നതും.