सायबरसुरक्षेमध्ये विशिंग म्हणजे काय आणि ते डेव्हलपर्सनाही का लक्ष्य करते?

तर, सायबरसुरक्षेमध्ये विशिंग म्हणजे काय, आणि डेव्हलपर्सनी त्याची काळजी का घ्यावी? विशिंग, व्हॉइस फिशिंगचे संक्षिप्त रूपहे एक सोशल इंजिनिअरिंग तंत्र आहे, ज्यामध्ये हल्लेखोर फोन कॉल किंवा व्हॉइस मेसेजचा वापर करून लक्ष्यित व्यक्तींना त्यांची क्रेडेन्शियल्स उघड करण्यास, टोकन रीसेट करण्यास किंवा सुरक्षा नियंत्रणे बायपास करण्यास फसवतात. पूर्वी विशिंग हल्ले सामान्य कर्मचाऱ्यांवर लक्ष्य केले जात असले तरी, हल्लेखोरांनी आता डेव्हलपर्स, डेव्हऑप्स इंजिनियर्स आणि सिस्टिम ॲडमिनिस्ट्रेटर्सना लक्ष्य केले आहे, कारण या पदांवरील व्यक्तींना कोडमध्ये थेट प्रवेश असतो. pipelineआणि क्लाउड इन्फ्रास्ट्रक्चर.

उदाहरण: अएखादा हल्लेखोर तुमच्या अंतर्गत आयटी टीममधून असल्याचा बहाणा करून फोन करतो आणि म्हणतो, “एका सुरक्षा घटनेमुळे आम्ही GitHub क्रेडेंशियल्स बदलत आहोत; मला तुमच्या एमएफए कोड. "
एक चुकीची हालचाल, आणि तुमचा सोर्स कोड किंवा pipeline क्रेडेन्शियल्स उघड झाली आहेत. डेव्हलपर वातावरणात, यशस्वी विशिंग हल्ल्यामुळे खालील गोष्टी होऊ शकतात:

• यामुळे CI/CD टोकन रीसेट आणि अनधिकृत तैनाती
  
• स्थानिकरित्या साठवलेल्या API की किंवा SSH क्रेडेंशियल्स उघड करा
  
• बिल्ड सिस्टमद्वारे वापरल्या जाणाऱ्या क्लाउड आणि कंटेनर रजिस्ट्रींना धोका पोहोचवणे
  

म्हणूनच, विशिंग म्हणजे काय हे समजून घेणे ऐच्छिक नाही; ते तुमची डिलिव्हरी सुरक्षित करण्याचा एक भाग आहे. pipeline.

वास्तविक जगातील विशिंग हल्ले जे देव आणि CI/CD वातावरण

वास्तविक विशिंग हल्ल्यांचा तांत्रिक वातावरणावर कसा परिणाम झाला आहे, ते पाहूया. 

खालील असुरक्षित परिस्थिती केवळ शैक्षणिक उद्देशांसाठी आहेत; परवानगीशिवाय उत्पादन किंवा अंतर्गत चाचणीमध्ये त्यांची पुनरावृत्ती करू नका.

• २०२० ट्विटर उल्लंघन: हल्लेखोरांनी अंतर्गत आयटी अधिकारी असल्याचे भासवून कर्मचाऱ्यांना फोन केले. त्यांनी कर्मचाऱ्यांना एमएफए (MFA) कोड शेअर करण्यास पटवून दिले, ज्यामुळे त्यांना बॅकएंड ॲक्सेस मिळाला आणि त्याद्वारे खात्यांवर ताबा मिळवणे शक्य झाले.
• गिटहब घटना (२०२२): डेव्हलपर्सना सुरक्षा सपोर्टमधून असल्याचा दावा करणारे कॉल्स येत होते, ज्यात त्यांना क्रेडेन्शियल्स “रीसेट” करण्याचे मार्गदर्शन केले जात होते, परिणामी त्यांना अनधिकृत रेपो ऍक्सेस मिळत होता.
• AWS प्रशासकीय परिस्थिती: हल्लेखोरांनी फोन-आधारित सोशल इंजिनिअरिंगचा वापर करून पासवर्ड रीसेट घडवून आणले आणि प्रोडक्शन आयएएम रोल्सशी जोडलेल्या डेव्हलपर खात्यांमध्ये प्रवेश मिळवला.

डेव्हलपर्ससाठी, हे अमूर्त धोके नाहीत. एका बनावट अंतर्गत रेड टीम चाचणीमध्ये, एका इंजिनिअरने एक बनावट गोष्ट "पुष्टी" केली. pipeline फोनवरून झालेल्या समस्येमुळे रद्द करण्यात आले CI/CD हल्लेखोराच्या नियंत्रणाखाली असलेल्या ईमेलवर टोकन पुन्हा जारी केले जात आहे. विशिंग हल्ल्याचे सार हेच आहे: तातडीची गरज, विश्वास आणि तांत्रिक संदर्भाचा वापर करून अशा तज्ञांना हाताळणे, ज्यांना वाटते की ते इतके तांत्रिक आहेत की त्यांना फसवता येणार नाही.