په سایبر امنیت کې ویشینګ څه شی دی او ولې دا پراختیا کونکي هم په نښه کوي؟

نو، په سایبر امنیت کې ویشینګ څه شی دی، او ولې پراختیا ورکوونکي باید پاملرنه وکړي؟ ویشینګ، د غږیز فشینګ لپاره لنډیز، د ټولنیز انجینرۍ یوه تخنیک ده چیرې چې برید کونکي د تلیفون زنګونو یا غږیز پیغامونو څخه کار اخلي ترڅو هدفمندان د اسنادو افشا کولو، د ټوکنونو بیا تنظیم کولو، یا د امنیتي کنټرولونو څخه تیرولو لپاره دوکه کړي. که څه هم د ویشنګ بریدونه یو وخت د عمومي کارمندانو په نښه وو، بریدګر د پراختیا کونکو، DevOps انجینرانو او سیسټم مدیرانو په لور مخ په وړاندې تللي دي، ځکه چې دا رولونه کوډ ته مستقیم لاسرسی لري، pipelines، او کلاوډ زیربنا.

بېلګه: aبریدګر ستاسو د داخلي معلوماتي ټکنالوژۍ ټیم څخه د ځان ښودلو په توګه زنګ وهي، "موږ د یوې امنیتي پیښې له امله د GitHub اسناد بدلوو؛ زه به ستاسو تصدیق ته اړتیا ولرم د بهرنیو چارو وزارت کوډ. "
یو غلط اقدام، او ستاسو د سرچینې کوډ یا pipeline اسناد افشا شوي دي. په پراختیا کونکي چاپیریال کې، یو بریالی ویشینګ برید کولی شي:

• مشرۍ ته CI/CD د ټوکن بیا تنظیم او غیر مجاز ځای پرځای کول
  
• په محلي توګه زیرمه شوي API کیلي یا SSH اسناد ښکاره کړئ
  
• د جوړونې سیسټم لخوا کارول شوي کلاوډ او کانټینر راجسترونو سره جوړجاړی وکړئ
  

له همدې امله د دې پوهیدل چې څه شی دی اختیاري ندي؛ دا ستاسو د تحویلۍ خوندي کولو یوه برخه ده. pipeline.

د حقیقي نړۍ ویشونکي بریدونه چې پراختیا کونکي او CI/CD چاپیریال

راځئ وګورو چې د ریښتیني ویشینګ بریدونو تخنیکي چاپیریال څنګه اغیزمن کړی دی. 

لاندې ناامنه سناریوګانې یوازې د تعلیمي موخو لپاره دي؛ پرته له اجازې په تولید یا داخلي ازموینې کې مه تکراروئ.

• د ۲۰۲۰ ټویټر سرغړونه: بریدګرو کارمندانو ته زنګ وواهه، د داخلي معلوماتي ټکنالوژۍ تقلید یې وکړ. دوی کارمندان قانع کړل چې د MFA کوډونه شریک کړي، د بیک انډ لاسرسی یې ترلاسه کړ چې د حسابونو نیولو ته یې اجازه ورکړه.
• د ګیټ هب پیښه (۲۰۲۲): پراختیا کونکو ته د تلیفونونو له لارې هدف ورکړل شو چې ادعا یې کوله د امنیتي ملاتړ څخه دي، دوی ته یې لارښوونه وکړه چې اسناد "بیا تنظیم" کړي، چې په پایله کې یې غیر مجاز ریپو لاسرسی رامینځته شو.
• د AWS اداري سناریوګانې: بریدګرو د تلیفون پر بنسټ ټولنیز انجینرۍ څخه کار واخیست ترڅو د پټنوم بیا تنظیمولو او د تولید IAM رولونو سره تړلي پراختیا کونکو حسابونو ته لاسرسی ترلاسه کړي.

د پراختیا کونکو لپاره، دا خلاص خطرونه ندي. په یوه نقل شوي داخلي سور ټیم ازموینه کې، یو انجینر جعلي "تایید" کړ pipeline د تلیفون له لارې ستونزه، چې د لغوه کیدو لامل کیږي CI/CD نښه د بریدګر لخوا کنټرول شوي بریښنالیک ته بیا صادریږي. دا د یو ویرونکي برید جوهر دی: د بیړني حالت، باور او تخنیکي شرایطو څخه کار اخیستل ترڅو هغه متخصصین چې فکر کوي دومره تخنیکي دي چې دوکه نشي.