ဆိုက်ဘာလုံခြုံရေးမှာ Vishing ဆိုတာဘာလဲ၊ ဘာကြောင့် developer တွေကိုလည်း ပစ်မှတ်ထားတာလဲ။

ဒါဆိုရင် ဆိုက်ဘာလုံခြုံရေးမှာ vishing ဆိုတာဘာလဲ၊ developer တွေက ဘာကြောင့်ဂရုစိုက်သင့်တာလဲ။ Vishing ဆိုတာ အသံနဲ့ လိမ်လည်လှည့်ဖြားတဲ့ စကားလုံးရဲ့ အတိုကောက်ပါ။, သည် တိုက်ခိုက်သူများသည် ဖုန်းခေါ်ဆိုမှုများ သို့မဟုတ် အသံမက်ဆေ့ချ်များကို အသုံးပြု၍ ပစ်မှတ်များအား အထောက်အထားများ ဖော်ထုတ်ရန်၊ တိုကင်များကို ပြန်လည်သတ်မှတ်ရန် သို့မဟုတ် လုံခြုံရေးထိန်းချုပ်မှုများကို ကျော်လွှားရန် လှည့်စားသည့် လူမှုရေးအင်ဂျင်နီယာနည်းပညာတစ်ခုဖြစ်သည်။ vishing တိုက်ခိုက်မှုများကို တစ်ချိန်က အထွေထွေဝန်ထမ်းများအတွက် ရည်ရွယ်ခဲ့သော်လည်း၊ တိုက်ခိုက်သူများသည် developer များ၊ DevOps အင်ဂျင်နီယာများနှင့် sysadmin များဆီသို့ ပြောင်းလဲသွားကြသည်၊ အဘယ်ကြောင့်ဆိုသော် ဤအခန်းကဏ္ဍများသည် ကုဒ်များကို တိုက်ရိုက်ဝင်ရောက်ခွင့်ရှိသောကြောင့်ဖြစ်သည်။ pipelines နှင့် cloud အခြေခံအဆောက်အအုံ။

ဥပမာ: ကတိုက်ခိုက်သူတစ်ဦးက သင့်အတွင်းပိုင်း IT အဖွဲ့မှ ဟန်ဆောင်ကာ “လုံခြုံရေးဆိုင်ရာ အဖြစ်အပျက်တစ်ခုကြောင့် GitHub အထောက်အထားများကို ကျွန်ုပ်တို့ လှည့်ပတ်နေပါသည်။ ကျွန်ုပ်သည် သင့်အချက်အလက်များကို အတည်ပြုရန် လိုအပ်ပါသည်” ဟု ဖုန်းခေါ်ဆိုပါသည်။ MFA ကုဒ်။ "
တစ်ချက်မှားလိုက်တာနဲ့ သင့်ရဲ့ source code ဒါမှမဟုတ် pipeline အထောက်အထားများ ဖော်ထုတ်ခံရသည်။ developer environment တွေမှာ vishing attack အောင်မြင်ရင်-

• ဦးဆောင်ခဲ့သည် CI/CD တိုကင်ပြန်လည်သတ်မှတ်ခြင်းနှင့် ခွင့်ပြုချက်မရှိဘဲ ဖြန့်ကျက်ခြင်း
  
• ဒေသတွင်းမှာ သိမ်းဆည်းထားတဲ့ API key တွေ ဒါမှမဟုတ် SSH အထောက်အထားတွေကို ဖော်ထုတ်ပါ
  
• build system မှ အသုံးပြုသော cloud နှင့် container registry များကို compromise လုပ်ခြင်း
  

ဒါကြောင့် vishing ဆိုတာဘာလဲဆိုတာ နားလည်တာက မဖြစ်မနေလုပ်ရမယ့်အရာမဟုတ်ပါဘူး။ သင့်ရဲ့ပို့ဆောင်မှုကို လုံခြုံအောင်လုပ်ဖို့ရဲ့ အစိတ်အပိုင်းတစ်ခုပါပဲ။ pipeline.

Dev နှင့် သက်ဆိုင်သော လက်တွေ့ကမ္ဘာ Vishing တိုက်ခိုက်မှုများ CI/CD ပတ်ဝန်းကျင်

တကယ့် vishing တိုက်ခိုက်မှုတွေက နည်းပညာဆိုင်ရာပတ်ဝန်းကျင်တွေကို ဘယ်လိုအကျိုးသက်ရောက်ခဲ့လဲဆိုတာ ကြည့်ကြရအောင်။ 

အောက်ဖော်ပြပါ မလုံခြုံသော အခြေအနေများသည် ပညာရေးဆိုင်ရာ ရည်ရွယ်ချက်များအတွက်သာ ဖြစ်သည်။ ခွင့်ပြုချက်မရှိဘဲ ထုတ်လုပ်မှု သို့မဟုတ် အတွင်းပိုင်း စမ်းသပ်မှုတွင် ပုံတူကူးယူခြင်း မပြုရ။

• ၂၀၂၀ တွစ်တာ ချိုးဖောက်မှု: တိုက်ခိုက်သူများသည် အတွင်းပိုင်း IT အယောင်ဆောင်၍ ဝန်ထမ်းများကို ဖုန်းခေါ်ဆိုခဲ့ကြသည်။ ၎င်းတို့သည် ဝန်ထမ်းများအား MFA ကုဒ်များကို မျှဝေရန် ဆွဲဆောင်ခဲ့ပြီး အကောင့်ကို သိမ်းပိုက်နိုင်စေမည့် backend ဝင်ရောက်ခွင့်ကို ရရှိခဲ့သည်။
• GitHub ဖြစ်ရပ် (၂၀၂၂): လုံခြုံရေးပံ့ပိုးမှုမှဟု ဆိုသော ဖုန်းခေါ်ဆိုမှုများဖြင့် developer များကို ပစ်မှတ်ထားခဲ့ပြီး အထောက်အထားများကို "ပြန်လည်သတ်မှတ်ရန်" လမ်းညွှန်ပေးခဲ့ပြီး ခွင့်ပြုချက်မရှိဘဲ repo ဝင်ရောက်ခွင့် ရရှိခဲ့သည်။
• AWS အက်ဒမင် အခြေအနေများ- တိုက်ခိုက်သူများသည် စကားဝှက်ပြန်လည်သတ်မှတ်ခြင်းကို စတင်ရန်နှင့် ထုတ်လုပ်မှု IAM အခန်းကဏ္ဍများနှင့် ချိတ်ဆက်ထားသော developer အကောင့်များသို့ ဝင်ရောက်ခွင့်ရရန် ဖုန်းအခြေပြု လူမှုရေးအင်ဂျင်နီယာကို အသုံးပြုခဲ့ကြသည်။

ဆော့ဖ်ဝဲရေးသားသူများအတွက်၊ ၎င်းတို့သည် ယေဘုယျအန္တရာယ်များမဟုတ်ပါ။ အတုအယောင် အတွင်းပိုင်း အနီရောင်အဖွဲ့ စမ်းသပ်မှုတစ်ခုတွင် အင်ဂျင်နီယာတစ်ဦးသည် အတုတစ်ခုကို "အတည်ပြု" ခဲ့သည် pipeline ဖုန်းနဲ့ ပတ်သတ်တဲ့ ပြဿနာကြောင့် ပယ်ဖျက်ခံရတဲ့ အခြေအနေအထိ ရောက်သွားပါတယ် CI/CD တိုက်ခိုက်သူထိန်းချုပ်ထားသော အီးမေးလ်သို့ တိုကင်ကို ပြန်လည်ထုတ်ပေးနေသည်။ အဲဒါက vishing တိုက်ခိုက်မှုရဲ့ အနှစ်သာရပါပဲ။ အရေးတကြီးဖြစ်မှု၊ ယုံကြည်မှုနဲ့ နည်းပညာဆိုင်ရာ အခြေအနေတွေကို အသုံးပြုပြီး ကိုယ့်ကိုယ်ကိုယ် နည်းပညာပိုင်းဆိုင်ရာ ကျွမ်းကျင်သူတွေလို့ ထင်မြင်ယူဆတဲ့ ကျွမ်းကျင်သူတွေကို ခြယ်လှယ်တာပါ။