ਭੇਤ ਲੀਕ: ਦਿਸ਼ਾ ਵੱਲ ਇੱਕ ਕਦਮsaster

ਆਪਣੇ ਘਰ ਦੀਆਂ ਚਾਬੀਆਂ ਅਪਰਾਧੀਆਂ ਨੂੰ ਦੇਣਾ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਸਭ ਤੋਂ ਵਧੀਆ ਵਿਚਾਰ ਨਹੀਂ ਹੈ। ਪਰ ਆਧੁਨਿਕ ਸਾਫਟਵੇਅਰ ਵਿਕਸਤ ਕਰਨ ਵਾਲੇ ਜ਼ਿਆਦਾਤਰ ਸੰਗਠਨਾਂ ਵਿੱਚ ਅਕਸਰ ਅਜਿਹਾ ਹੀ ਹੁੰਦਾ ਹੈ।

ਗੁਪਤ ਜਾਣਕਾਰੀ ਲੀਕ ਬਾਰੇ ਇਸ ਪਹਿਲੀ ਪੋਸਟ ਵਿੱਚ, ਅਸੀਂ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਾਂਗੇ ਕਿ ਇਹ ਇੰਨੀ ਵਾਰ ਕਿਉਂ ਹੁੰਦਾ ਹੈ, ਇਸਦੇ ਨਤੀਜੇ ਕੀ ਹਨ, ਅਤੇ ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਜਾਂ ਘਟਾਉਣ ਅਤੇ ਗੁਪਤ ਜਾਣਕਾਰੀ ਲੀਕ ਹੋਣ ਦੀਆਂ ਘਟਨਾਵਾਂ ਨਾਲ ਨਜਿੱਠਣ ਲਈ ਕਿਹੜੇ ਕਦਮ ਚੁੱਕੇ ਜਾਣੇ ਚਾਹੀਦੇ ਹਨ।

ਓ ਰੱਬਾ! ਮੈਂ ਆਪਣੀਆਂ ਕਲਾਉਡ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਨੂੰ ਇੱਕ ਜਨਤਕ ਰਿਪੋ ਵਿੱਚ ਧੱਕ ਦਿੱਤਾ

ਹਾਰਡ-ਕੋਡਿਡ ਰਾਜ਼ DevOps ਟੂਲਸ ਵਿੱਚ ਸੋਰਸ ਕੋਡ ਜਾਂ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲਾਂ ਬੁਰੇ ਹੱਥਾਂ ਵਿੱਚ ਜਾ ਸਕਦੀਆਂ ਹਨ। ਜੇਕਰ ਰਾਜ਼ ਹੈ commitਇੱਕ ਜਨਤਕ ਸਰੋਤ ਭੰਡਾਰ ਵਿੱਚ, ਤੁਸੀਂ ਨਿਸ਼ਚਤ ਤੌਰ 'ਤੇ ਤਬਾਹ ਹੋ ਜਾਂਦੇ ਹੋ। ਪਰ ਨਿੱਜੀ ਭੰਡਾਰ ਵੀ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹਨ, ਕਿਉਂਕਿ ਭੇਦ ਐਪਲੀਕੇਸ਼ਨ ਬਾਈਨਰੀ, ਲੌਗ, ਜਾਂ ਚੋਰੀ ਹੋਏ ਸਰੋਤ ਕੋਡ ਰਾਹੀਂ ਵੀ ਲੀਕ ਹੁੰਦੇ ਹਨ।

ਪਿੱਛੇ ਮੁੜ ਕੇ ਦੇਖਣ 'ਤੇ, ਇਹ ਪਰੇਸ਼ਾਨ ਕਰਨ ਵਾਲਾ ਹੈ। ਕਿੰਨੀ ਵਾਰ ਇੱਕ ਸਧਾਰਨ ਜਿਹੀ ਅਣਗਹਿਲੀ ਗੰਭੀਰ ਸੁਰੱਖਿਆ ਉਲੰਘਣਾ ਦਾ ਕਾਰਨ ਬਣੀ ਹੈ। ਬਸ ਗੂਗਲ ਕਰੋ "AWS ਕੁੰਜੀ ਲੀਕ","GitHub ਐਕਸੈਸ ਟੋਕਨ ਲੀਕ", ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਹੀ। ਇਹਨਾਂ ਉਦਾਹਰਣਾਂ ਨੂੰ ਇਸ ਜਾਂ ਉਸ ਵਿਕਰੇਤਾ ਲਈ ਲੁਕੀਆਂ ਹੋਈਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਵਜੋਂ ਨਾ ਲਓ। ਆਪਣੀ ਵਰਤੋਂ ਕਰੋ!

ਉਦਾਹਰਣ ਵਜੋਂ, (ਵਿੱਚ) ਮਸ਼ਹੂਰ ਕੋਡੇਕੋਵ ਹਮਲਾ ਅਪ੍ਰੈਲ 2021 ਦੀ ਤਾਰੀਖ ਇਸ ਲਈ ਸੰਭਵ ਹੋਈ ਕਿਉਂਕਿ ਕੋਡਕੋਵ ਡੌਕਰ ਚਿੱਤਰ ਵਿੱਚ ਗਿੱਟ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸਨ ਜੋ ਹਮਲਾਵਰ ਨੂੰ ਕੋਡਕੋਵ ਦੇ ਨਿੱਜੀ ਗਿੱਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਸੰਗ੍ਰਹਿ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਅਤੇ ਗਿੱਟ ਰਿਪੋਜ਼ਟਰੀ URL ਲਈ ਕੋਡਕੋਵ ਦੇ ਬੈਸ਼ ਅਪਲੋਡਰ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਇੱਕ ਸਿੰਗਲ ਲਾਈਨ ਜੋੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਸਨ।

ਯਾਦ ਦਿਵਾਓ ਕਿ ਹਮਲਿਆਂ ਵਿੱਚ ਇਨਾਮ ਦਾ ਇੱਕ ਹਿੱਸਾ ਵਾਧੂ ਸਿਸਟਮਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਰਾਜ਼ ਹਨ, ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਹਮਲੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ, ਕ੍ਰਿਪਟੋ ਕੁੰਜੀਆਂ ਅਤੇ ਟੋਕਨਾਂ ਦੇ ਐਕਸਫਿਲਟਰੇਸ਼ਨ 'ਤੇ ਭਾਰੀ ਨਿਵੇਸ਼ ਕਰਦੇ ਹਨ। 

ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਹਾਰਡ-ਕੋਡਿਡ ਰਾਜ਼ ਆਮ ਜਗ੍ਹਾ ਹਨ. ਮਾਰਚ 2022 ਵਿੱਚ ਲੈਪਸਸ$ ਏ.ਪੀ.ਟੀ. 189GB ਲੀਕ ਹੋਇਆ ਸੈਮਸੰਗ ਦੇ ਸਰੋਤ ਕੋਡ ਅਤੇ ਹੋਰ ਸੰਵੇਦਨਸ਼ੀਲ ਫਾਈਲਾਂ ਦਾ। ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਪਤਾ ਲੱਗਾ ਕਿ ਇਸ ਵਿੱਚ ਕੁਝ ਸ਼ਾਮਲ ਸਨ 6,600 ਹਾਰਡ-ਕੋਡਿਡ ਰਾਜ਼: ਅੰਦਰੂਨੀ ਸਿਸਟਮਾਂ ਲਈ 90%, ਪਰ GitHub, AWS ਜਾਂ Google ਵਰਗੇ ਬਾਹਰੀ ਸੇਵਾਵਾਂ ਅਤੇ ਟੂਲਸ ਲਈ 10%। ਉਨ੍ਹਾਂ ਰਾਜ਼ਾਂ ਵਿੱਚ AWS / Twilio / Google API ਕੁੰਜੀਆਂ, ਡੇਟਾਬੇਸ ਕਨੈਕਸ਼ਨ ਸਟ੍ਰਿੰਗਾਂ, ਅਤੇ ਹੋਰ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਸੀ। ਇਹ ਜ਼ਿਆਦਾਤਰ ਕੋਡ ਬੇਸਾਂ ਵਿੱਚ ਅਤਿ-ਆਧੁਨਿਕ ਹੈ।

ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਦਾ ਸਭ ਤੋਂ ਆਸਾਨ ਰਸਤਾ ਗੁਪਤ ਜਾਣਕਾਰੀ ਲੀਕ ਕਰਨਾ ਹੈ

ਪੈਕੇਜ ਨਿਰਭਰਤਾ ਵਰਤਮਾਨ ਵਿੱਚ ਸਭ ਤੋਂ ਵੱਧ ਆਮ ਹਨ, ਹਾਲਾਂਕਿ ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਲਈ ਇਹ ਵਿਲੱਖਣ ਨਿਸ਼ਾਨਾ ਨਹੀਂ ਹਨ। ਬੁਰੇ ਲੋਕ ਇੱਕ ਨਵਾਂ ਪੈਕੇਜ ਬਣਾ ਸਕਦੇ ਹਨ ਜੋ ਪੀੜਤਾਂ ਦੇ ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਸਥਾਪਤ ਹੁੰਦਾ ਹੈ ( ਟਾਈਪੋ ਸਕੈਟਿੰਗ ਅਤੇ ਹੋਰ ਤਕਨੀਕਾਂ), ਪਰ ਆਮ ਤੌਰ 'ਤੇ ਉਹ ਸਾਫਟਵੇਅਰ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਸੋਧਾਂ ਜੋੜ ਕੇ ਮੌਜੂਦਾ ਪੈਕੇਜ ਨੂੰ ਸੰਕਰਮਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ (SCM) ਜਿਵੇਂ ਕਿ GitHub, GitLab ਜਾਂ BitBucket, ਜਾਂ NPM, PyPI, RubyGems, Maven Central ਵਰਗੀਆਂ ਜਨਤਕ ਰਜਿਸਟਰੀਆਂ ਵਿੱਚ ਖਤਰਨਾਕ ਸੰਸਕਰਣ ਜੋੜ ਕੇ।

ਪਰ ਇੱਕ ਗੁੰਝਲਦਾਰ ਨਿਰਭਰਤਾ ਗ੍ਰਾਫ ਵਿੱਚ ਛੁਪੀ ਹੋਈ ਖਤਰਨਾਕ ਕੋਡ ਜਾਂ ਇੱਕ ਖਤਰਨਾਕ ਨਿਰਭਰਤਾ ਨੂੰ ਇੰਜੈਕਟ ਕਰਨ ਲਈ ਲੋੜ ਹੁੰਦੀ ਹੈ login ਯੂਜ਼ਰਨੇਮ/ਪਾਸਵਰਡ, ਟੋਕਨ ਜਾਂ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਵਰਗੇ ਪ੍ਰਮਾਣ ਪੱਤਰ (ਆਓ ਉਹਨਾਂ ਨੂੰ "ਕੁੰਜੀ” ਸੰਖੇਪ ਵਿੱਚ), ਕ੍ਰਮਵਾਰ ਟਾਰਗੇਟ ਸੋਰਸ ਰਿਪੋਜ਼ਟਰੀ ਜਾਂ ਪਬਲਿਕ ਰਜਿਸਟਰੀ ਲਈ। 

ਬੁਰੇ ਲੋਕ ਕਈ ਵਾਰ ਚਾਬੀਆਂ ਇਸ ਰਾਹੀਂ ਹਾਸਲ ਕਰਦੇ ਹਨ ਸਮਾਜਿਕ ਇੰਜੀਨੀਅਰਿੰਗ. The 'ਤੇ ਹਮਲਾ event-stream ਪ੍ਰਸਿੱਧ NPM ਪੈਕੇਜ ਇੱਕ ਵਧੀਆ ਉਦਾਹਰਣ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਪਰ ਲੀਕ ਹੋਈ ਦੀ ਖੋਜ login ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਲਈ ਕ੍ਰੇਡੇੰਸ਼ਿਅਲ ਜਾਂ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਸਭ ਤੋਂ ਵੱਧ ਆਮ ਹਮਲਾ ਤਕਨੀਕ ਹੈ।

ਸਾਫਟਵੇਅਰ ਬਿਲਡ ਵਿੱਚ ਸਰੋਤ ਰਿਪੋਜ਼ਟਰੀਆਂ ਅਤੇ ਪੈਕੇਜ ਰਜਿਸਟਰੀਆਂ ਦੋ ਜ਼ਰੂਰੀ ਸਿਸਟਮ ਹਨ। pipeline. ਪਰ DevOps ਵਿੱਚ ਬਹੁਤ ਸਾਰੇ ਟੂਲ ਹਨ: CI/CD ਸਿਸਟਮ, ਟੈਸਟ ਚਲਾਉਣ ਲਈ ਟੂਲ, ਕੌਂਫਿਗਰੇਸ਼ਨ ਅਤੇ ਪ੍ਰੋਵਿਜ਼ਨਿੰਗ ਆਟੋਮੇਸ਼ਨ, ਜਾਂ ਡਿਪਲਾਇਮੈਂਟ ਅਤੇ ਰੀਲੀਜ਼। ਇਹਨਾਂ ਸਾਰਿਆਂ ਦੀ ਦੁਰਵਰਤੋਂ ਸਾਫਟਵੇਅਰ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਲਗਾਉਣ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਇਹਨਾਂ ਟੂਲਸ ਲਈ ਵੈਧ ਕੁੰਜੀਆਂ ਲੀਕ ਹੋਣ ਨਾਲ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਦੁੱਖ ਅਤੇ ਪੀੜਾ ਹੁੰਦੀ ਹੈ। ਆਪਣੇ ਜਨਤਕ ਕਲਾਉਡ ਸਰੋਤਾਂ 'ਤੇ ਪੂਰੇ ਨਿਯੰਤਰਣ ਨਾਲ ਰੂਟ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਲੀਕ ਹੋਣ ਦੀ ਕਲਪਨਾ ਕਰੋ...

ਆਮ ਸਿਫ਼ਾਰਸ਼ਾਂ

ਅਸੀਂ ਇੱਥੇ ਕੁਝ ਨਵਾਂ ਨਹੀਂ ਕਹਿ ਰਹੇ, ਤੁਸੀਂ ਸਾਰੇ ਇਹ ਜਾਣਦੇ ਹੋ। ਪਰ ਕਾਰਵਾਈ ਕਰੋ! ਯਾਦ ਰੱਖੋ ਕਿ ਬੋਟ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਸਾਰੇ ਜਨਤਕ ਨੂੰ ਸਕੈਨ ਕਰ ਰਹੇ ਹਨ SCM ਰਿਪੋਜ਼ਟਰੀਆਂ। ਕੁਝ ਸਿਫ਼ਾਰਸ਼ਾਂ, ਕਿਸੇ ਖਾਸ ਕ੍ਰਮ ਵਿੱਚ ਨਹੀਂ।

• ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਆਈ.ਟੀ. ਸੁਰੱਖਿਆ ਪ੍ਰਬੰਧਨ ਦੀ ਜ਼ਿੰਮੇਵਾਰੀ ਹੈ, ਪਰਿਭਾਸ਼ਿਤ ਕਰੋ ਕਿ ਭੇਤਾਂ ਨੂੰ ਕਿਵੇਂ ਸੰਭਾਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਸੁਰੱਖਿਆ ਨੀਤੀ ਵਿੱਚ। ਪਰ ਨੀਤੀਆਂ ਸਿਰਫ਼ ਲਾਗੂ ਕਰਨ ਜਿੰਨੀਆਂ ਹੀ ਵਧੀਆ ਹਨ: ਇਹ ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਤੁਹਾਡੇ ਸੰਗਠਨ ਵਿੱਚ ਇੱਕ ਗੁਪਤ ਸੰਭਾਲ ਦਿਸ਼ਾ-ਨਿਰਦੇਸ਼ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ - ਜਿਸ ਵਿੱਚ ਨਾ ਸਿਰਫ਼ ਤੁਹਾਡੀਆਂ DevOps ਟੀਮਾਂ ਸ਼ਾਮਲ ਹਨ, ਸਗੋਂ ਤੁਹਾਡੇ ਸਾਫਟਵੇਅਰ ਸਪਲਾਇਰ ਵੀ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਇਹ ਕਿ ਤੁਹਾਡੀ ਸੰਸਥਾ ਦੀ ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆ ਯੋਜਨਾ ਵਿੱਚ ਗੁਪਤ ਲੀਕ ਦੀਆਂ ਘਟਨਾਵਾਂ ਲਈ ਪ੍ਰਬੰਧ ਹਨ।
• ਲਾਗੂ ਕਰੋ ਅਤੇ ਲਾਗੂ ਕਰੋ ਬਹੁ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ (MFA, 2FA ਜਾਂ ਜੋ ਵੀ ਸੰਖੇਪ ਰੂਪ ਹੈ)। ਅਤੇ ਸੁਰੱਖਿਆ ਵਿੱਚ ਕੋਈ ਕਟੌਤੀ ਨਹੀਂ: ਇੱਕ USB ਸੁਰੱਖਿਆ ਕੁੰਜੀ ਕੁਝ ਡਾਲਰਾਂ ਦੇ ਬਰਾਬਰ ਹੈ ਜੋ ਇਸਦੀ ਕੀਮਤ ਹੈ। ਤੁਹਾਨੂੰ ਆਪਣੇ ਹਜ਼ਾਰਾਂ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਵੀ (ਆਸਾਨੀ ਨਾਲ) ਗਿੱਟ-ਪੁਸ਼ ਕਰਨਾ ਪਵੇਗਾ ਅਤੇ ਫਿਰ ਸ਼ਰਾਬੀ ਹੋ ਕੇ ਆਪਣੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਇੱਕ ਬਾਰ ਵਿੱਚ ਛੱਡਣਾ ਪਵੇਗਾ ਜਿਸ ਨਾਲ ਕੁਝ ਤੁਹਾਡੇ ਨਾਲ ਜੁੜਿਆ ਹੋਵੇ (ਮੌਕਾ ਥੋੜ੍ਹਾ ਛੋਟਾ ਹੈ, ਖਾਸ ਕਰਕੇ ਜੇਕਰ ਤੁਸੀਂ ਟੀਟੋਟਾਲਰ ਹੋ)।
• ਇੱਕ ਮਜ਼ਬੂਤ, ਅਣਸੇਵ ਕੀਤੇ ਪਾਸਵਰਡ ਵਾਲੇ ਪਾਸਵਰਡ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰੋ। ਸਿਸਟਮਾਂ ਵਿੱਚ ਭੇਦ ਸੰਭਾਲਣ ਲਈ ਵਰਤੋਂ ਗੁਪਤ ਤਿਜੋਰੀਆਂ. CI/CD ਸਿਸਟਮ, ਕਲਾਉਡ ਪ੍ਰਦਾਤਾ, SCMs ਅਤੇ ਹੋਰ DevOps ਟੂਲ ਇਹ ਸੇਵਾ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ, ਪਰ ਤੁਸੀਂ ਇੱਕ ਆਮ ਸੀਕ੍ਰੇਟ ਵਾਲਟ ਹੱਲ ਦੀ ਚੋਣ ਕਰ ਸਕਦੇ ਹੋ।
• ਨੂੰ ਤਰਜੀਹ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਲੰਬੇ ਸਮੇਂ ਤੱਕ ਚੱਲਣ ਵਾਲੀਆਂ ਪਹੁੰਚ ਕੁੰਜੀਆਂ ਲਈ ਟੋਕਨ। ਉਹਨਾਂ ਨੂੰ ਰੱਦ ਕਰਨਾ ਅਤੇ ਬੁਰਾਈ ਲਈ ਇੱਕ ਹੋਰ ਸੀਮਤ ਵਿੰਡੋ ਨੂੰ ਬੇਨਕਾਬ ਕਰਨਾ ਆਸਾਨ ਹੈ।
• ਕ੍ਰੀਡੈਂਸ਼ੀਅਲ ਦੀ ਮੁੜ ਵਰਤੋਂ ਸੀਮਤ ਕਰੋ: ਹਮਲਾਵਰ ਇੱਕ ਟਾਰਗੇਟ ਲਈ ਬਣਾਏ ਗਏ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਦੂਜੇ ਸਿਸਟਮਾਂ ਵਿੱਚ ਦੁਬਾਰਾ ਵਰਤਣਗੇ, ਪਾਸਵਰਡ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਇੱਕ ਹੋਰ ਨੁਕਤਾ। ਪਾਸਵਰਡ ਪ੍ਰਬੰਧਕਾਂ ਅਤੇ ਗੁਪਤ ਵਾਲਟਾਂ ਨੂੰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਮੁੜ ਵਰਤੋਂ ਨੂੰ ਬੀਤੇ ਸਮੇਂ ਦੀ ਗੱਲ ਬਣਾ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ।
• ਦੀ ਵਰਤੋਂ ਨੂੰ ਸੀਮਤ ਕਰੋ ਅਤੇ ਨਿਗਰਾਨੀ ਕਰੋ ਪਰਬੰਧਕ ਪਾਸਵਰਡ। ਇਹ ਇੰਨੇ ਸ਼ਕਤੀਸ਼ਾਲੀ ਹਨ ਕਿ ਵਿਸ਼ੇਸ਼ ਟਰੈਕਿੰਗ ਦੇ ਹੱਕਦਾਰ ਹਨ।
• ਲਾਗੂ ਮਜ਼ਬੂਤ ​​ਹੈਸ਼ਿੰਗ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ. USB (ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ) ਕੁੰਜੀਆਂ, ਭਾਈਵਾਲਾਂ ਅਤੇ ਸਹਿ-ਕਰਮਚਾਰੀਆਂ ਨਾਲ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸੰਚਾਰਿਤ ਕਰਨ ਲਈ ਸਖ਼ਤ ਪ੍ਰਕਿਰਿਆਵਾਂ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਹੋਰ ਬਹੁਤ ਕੁਝ 'ਤੇ ਵਾਪਸ ਜਾਓ।
• ਇੱਕ ਵਰਤੋ ਸੀਕ੍ਰੇਟ ਸਕੈਨਰ, ਉਦਾਹਰਨ ਲਈ ਇੱਕ ਵਿੱਚ ਚਲਾਓ pre-commit ਹੁੱਕ ਸੁਰੱਖਿਆ ਗੇਟ ਦੇ ਤੌਰ 'ਤੇ, ਸੰਸਕਰਣ ਨਿਯੰਤਰਣ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਲੀਕ ਤੋਂ ਬਚਣ ਲਈ। ਗੱਲ ਤੋਂ ਪਹਿਲਾਂ। ਇੱਥੇ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਵਿਕਲਪਕ ਤੌਰ 'ਤੇ, ਲੀਕ ਹੋਏ ਰਾਜ਼ਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਪੋਸਟ-ਹਾਕ ਸਕੈਨ ਦੀ ਵਰਤੋਂ ਕਰੋ, ਉਦਾਹਰਣ ਵਜੋਂ ਪਹਿਲਾਂ ਜਾਂਚ ਵਜੋਂ pull request ਮਿਲਾਉਂਦਾ ਹੈ। ਨੋਟ: ਸਾਡੇ Xygeni ਪਲੇਟਫਾਰਮ ਵਿੱਚ ਇੱਕ ਸੀਕ੍ਰੇਟ ਸਕੈਨਰ ਸ਼ਾਮਲ ਹੈ ਜੋ ਦੋਵਾਂ ਤਰ੍ਹਾਂ ਦੇ ਕਾਰਜਾਂ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। 
• ਵਰਤੋਂ ਦਾ ਦਸਤੀ ਵਿਕਲਪ ਕੋਡ ਸਮੀਖਿਆ ਹਾਰਡ-ਕੋਡ ਕੀਤੇ ਰਾਜ਼ਾਂ ਦੀ ਖੋਜ ਕਰਨ ਦੀ ਲਾਗਤ ਵਧੇਰੇ ਹੁੰਦੀ ਹੈ ਅਤੇ ਇਹ ਬਾਅਦ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ-commit (ਪਰ ਉਮੀਦ ਹੈ ਕਿ ਘੱਟੋ ਘੱਟ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਗੁਪਤ ਬਾਹਰੀ ਲੋਕਾਂ ਲਈ ਉਪਲਬਧ ਹੋਵੇ)। ਪਰ ਸਮੀਖਿਆਵਾਂ ਗੈਰ-ਰਵਾਇਤੀ ਰਾਜ਼ਾਂ ਦਾ ਪਤਾ ਲਗਾ ਸਕਦੀਆਂ ਹਨ ਜੋ ਗੁਪਤ ਸਕੈਨਰਾਂ ਤੋਂ ਬਚ ਸਕਦੇ ਹਨ।       
• ਗਲਤੀ ਨਾਲ ਬਚੋ commitਆਮ ਫਾਈਲਾਂ ਨੂੰ ਰਾਜ਼ਾਂ ਨਾਲ ਵਰਜਨ ਕੰਟਰੋਲ ਵਿੱਚ ਢੁਕਵੇਂ ਨਾਲ ਜੋੜਨਾ ਪੈਟਰਨ ਸ਼ਾਮਲ ਨਾ ਕਰੋ (ਜਿਵੇਂ ਕਿ `gitignore` ਟੈਂਪਲੇਟ), ਫਾਈਲਾਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਜਿਵੇਂ ਕਿ .env, .npmrc, .pypirc, ਅਸਥਾਈ ਫਾਈਲਾਂ... ਸੁਰੱਖਿਆ ਪਿਆਜ਼ ਵਿੱਚ ਇੱਕ ਵਾਧੂ ਪਰਤ।
• ਅਤੇ ਇਸ ਲੰਬੀ ਸੂਚੀ ਵਿੱਚ ਆਖਰੀ: ਜਦੋਂ ਵੀ ਉਪਲਬਧ ਹੋਵੇ, ਕਲਾਉਡ ਪ੍ਰਦਾਤਾਵਾਂ ਨੂੰ ਆਪਣੀਆਂ ਕੁੰਜੀਆਂ ਦੇ ਲੀਕ ਹੋਣ ਲਈ ਸਕੈਨ ਕਰਨ ਦਿਓ। ਘੱਟੋ ਘੱਟ, ਇਹ ਹੋ ਸਕਦਾ ਹੈ ਲੀਕ ਹੋਣ 'ਤੇ ਤੁਹਾਨੂੰ ਦੱਸਾਂਗਾ, ਪਰ ਕਲਾਉਡ ਪ੍ਰਦਾਤਾਵਾਂ ਲਈ ਸੁਰੱਖਿਆ ਜ਼ਰੂਰੀ ਹੈ। ਇਹ ਪੋਸਟ-ਹਾਕ ਗੁਪਤ ਸਕੈਨਿੰਗ ਇਸ ਬਾਰੇ ਬਹੁਤ ਪਾਰਦਰਸ਼ੀ ਨਹੀਂ ਹੈ ਕਿ ਸਕੈਨ ਕਿੱਥੇ ਅਤੇ ਕਿੰਨੀ ਵਾਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਅਕਸਰ ਸਪਸ਼ਟ ਸੈੱਟਅੱਪ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਪਰ ਜਦੋਂ ਬਾਕੀ ਸਭ ਕੁਝ ਅਸਫਲ ਹੋ ਜਾਂਦਾ ਹੈ ਤਾਂ ਇਹ ਨਿਸ਼ਚਤ ਤੌਰ 'ਤੇ ਆਖਰੀ ਸਰੋਤ ਹੁੰਦਾ ਹੈ।

ਓ ਰੱਬਾ! ਮੈਂ ਆਪਣੀਆਂ ਕਲਾਉਡ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਨੂੰ ਇੱਕ ਜਨਤਕ ਰੈਪੋ ਵਿੱਚ ਧੱਕ ਦਿੱਤਾ, #2 ਲਓ।

ਇਹ ਸਾਡੇ ਵਿੱਚੋਂ ਸਭ ਤੋਂ ਵਧੀਆ ਲੋਕਾਂ ਨਾਲ ਵੀ ਹੋ ਸਕਦਾ ਹੈ। ਆਪਣੀਆਂ ਬਾਹਾਂ ਉੱਪਰ ਕਰੋ!

ਲੀਕ ਹੋਏ ਗੁਪਤ ਨੂੰ ਤੁਰੰਤ ਰੀਨਿਊ / ਰੱਦ / ਅਯੋਗ ਕਰੋ! ਜੇਕਰ ਖਾਤੇ ਵਿੱਚ ਵਧੀਆ MFA ਹੈ ਤਾਂ ਜੋਖਮ ਬਹੁਤ ਘੱਟ ਹੈ। ਇਹ ਵੈੱਬਸਾਈਟਾਂ ਵਿੱਚ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਦੇ ਨਾਲ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਹੋ ਸਕਦਾ ਹੈ (ਤੁਹਾਨੂੰ ਇੱਕ ਨਵੀਂ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਲਈ ਇੱਕ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨ ਅਤੇ ਮੌਜੂਦਾ ਨੂੰ ਰੱਦ ਕਰਨ ਦੀ ਲੋੜ ਹੈ), ਪਰ ਆਧੁਨਿਕ ਸਾਧਨਾਂ ਕੋਲ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਰੀਨਿਊ ਕਰਨ ਜਾਂ ਟੋਕਨਾਂ ਨੂੰ ਰੱਦ ਕਰਨ ਦਾ ਇੱਕ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ। 

ਉਪਲਬਧ ਹੋਣ 'ਤੇ ਪ੍ਰਦਾਤਾ ਦੁਆਰਾ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੇ ਕਦਮਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ, ਜਿਵੇਂ ਕਿ ਇਸ ਉਦਾਹਰਣ ਵਿੱਚ AWS.

ਲੀਕ ਦੇ ਕਾਰਨ ਦੀ ਪਛਾਣ ਕਰੋ। ਇਹ ਜਾਣਨਾ ਕਿ ਇਹ ਕਿਵੇਂ ਹੋਇਆ, ਖੁਲਾਸਾ, ਵਿਸ਼ਲੇਸ਼ਣ, ਰੋਕਥਾਮ ਅਤੇ ਸਬਕ-ਸਿੱਖੀਆਂ ਗਤੀਵਿਧੀਆਂ ਲਈ ਜ਼ਰੂਰੀ ਹੈ।

ਫਿਰ ਪ੍ਰਭਾਵਿਤ ਧਿਰਾਂ ਨੂੰ ਲੀਕ ਦੀ ਰਿਪੋਰਟ ਕਰੋ, ਲੀਕ ਨੂੰ ਰੋਕਣ ਅਤੇ ਨੁਕਸਾਨ ਘਟਾਉਣ ਲਈ ਤੁਹਾਡੇ ਦੁਆਰਾ ਕੀਤੇ ਜਾ ਰਹੇ ਕਦਮਾਂ ਬਾਰੇ ਦੱਸੋ। ਹੋਏ ਨੁਕਸਾਨ ਨੂੰ ਵਾਪਸ ਕਰਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਹੈ, ਜੋ ਲੀਕ ਹੋਇਆ ਸੀ ਉਹ ਲੀਕ ਹੋਇਆ ਹੈ। ਪਾਰਦਰਸ਼ੀ ਰਹੋ ਅਤੇ ਦੂਜਿਆਂ ਨੂੰ ਸੂਚਿਤ ਕਰੋ ਤਾਂ ਜੋ ਉਹ ਕਾਰਵਾਈ ਕਰ ਸਕਣ। 

ਫਿਰ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ ਫੌਰੈਂਸਿਕਸ. The ਐਕਸਪੋਜ਼ਰ ਵਿੰਡੋ ਇਹ ਲੀਕ ਹੋਣ ਅਤੇ ਉਸ ਸਮੇਂ ਦੇ ਵਿਚਕਾਰ ਦਾ ਸਮਾਂ ਹੈ ਜਦੋਂ ਗੁਪਤ ਜਾਣਕਾਰੀ ਵੈਧ ਨਹੀਂ ਸੀ। ਉਸ ਵਿੰਡੋ ਦੌਰਾਨ ਪ੍ਰਭਾਵਿਤ ਖਾਤੇ ਨਾਲ ਲੌਗ ਪੜ੍ਹਨ ਅਤੇ ਅਸਾਧਾਰਨ ਗਤੀਵਿਧੀ ਨੂੰ ਟਰੈਕ ਕਰਨ ਲਈ ਤਿਆਰ ਰਹੋ। ਪ੍ਰਭਾਵਿਤ ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਤਿਆਰ ਕੀਤੇ ਗਏ ਖਾਤੇ ਅਤੇ ਕੁੰਜੀਆਂ ਨੂੰ ਹਟਾਓ। ਯਾਦ ਦਿਵਾਓ ਕਿ ਜੇਕਰ ਪ੍ਰਭਾਵਿਤ ਖਾਤੇ ਵਿੱਚ ਪ੍ਰਬੰਧਕੀ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਹਨ, ਤਾਂ ਹੱਲ ਕਰਨਾ ਬਹੁਤ ਜ਼ਿਆਦਾ ਗੁੰਝਲਦਾਰ ਹੈ। 

ਇਤਿਹਾਸ ਨੂੰ ਮੁੜ ਲਿਖਣਾ (ਵਰਜਨ ਨਿਯੰਤਰਣ) ਗੁੰਝਲਦਾਰ ਹੈ। ਇੱਥੋਂ ਤੱਕ ਕਿ ਤਾਨਾਸ਼ਾਹੀ ਰਾਜ ਵੀ ਇਸਦਾ ਕੋਈ ਫਾਇਦਾ ਨਹੀਂ ਕਰਦੇ (ਸ਼ਬਦ ਦੇ ਇਰਾਦੇ ਨਾਲ।) ਅਤੇ ਸ਼ਾਇਦ ਅਪ੍ਰਸੰਗਿਕ: ਹੈਕਰਾਂ ਜਾਂ ਜਨਤਕ ਰਿਪੋਜ਼ 'ਤੇ ਬੋਟਾਂ ਨੇ ਰਿਪੋਜ਼ ਨੂੰ ਕਲੋਨ ਕੀਤਾ ਹੋ ਸਕਦਾ ਹੈ ਜਾਂ ਪਹਿਲਾਂ ਹੀ ਸੋਨਾ ਕੱਢ ਲਿਆ ਹੋ ਸਕਦਾ ਹੈ, ਖਾਸ ਕਰਕੇ ਜੇਕਰ ਐਕਸਪੋਜ਼ਰ ਵਿੰਡੋ ਕਾਫ਼ੀ ਵੱਡੀ ਹੈ। 

ਜੇਕਰ ਤੁਸੀਂ ਸਾਹਸੀ ਹੋ ਅਤੇ ਖੁਦ ਦੇਖਣਾ ਚਾਹੁੰਦੇ ਹੋ ਕਿ ਬੋਟਾਂ ਨੂੰ ਲੀਕ ਹੋਏ ਰਾਜ਼ ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਿੱਚ ਕਿੰਨਾ ਸਮਾਂ ਲੱਗਦਾ ਹੈ, ਤਾਂ ਟ੍ਰਿਪਵਾਇਰ ਜਿਵੇਂ ਕਿ ਕੈਨਰੀ ਟੋਕਨ ਤੁਹਾਨੂੰ ਪ੍ਰਯੋਗ ਕਰਨ ਦਿਓ। ਯਾਦ ਰੱਖੋ, ਬੋਟ ਡਿਫਾਲਟ ਨੂੰ ਬਲੈਕਲਿਸਟ ਕਰਦੇ ਹਨ canarytokens.org ਡੋਮੇਨ…