மென்பொருளில் பாதுகாப்பு குறைபாடுகள் ஏற்படுவதற்கான காரணம்

1. மோசமான கணினி நிரலாக்க முறைகள்: மென்பொருளில் பாதுகாப்புக் குறைபாடுகள் ஏற்படுவதற்கான ஒரு முக்கியக் காரணம்

மென்பொருள் உருவாக்குநர்கள் பாதுகாப்பற்ற குறியீடுகளை எழுதும்போது, ​​பாதுகாப்பு குறைபாடுகளை உருவாக்குகிறார்கள். முறையான உள்ளீட்டு சரிபார்ப்பு, பாதுகாப்பான அங்கீகாரம் மற்றும் மறைகுறியாக்கம் இல்லாமல், தாக்குபவர்களால் செயலிகளை எளிதாகக் கையாள முடியும். இதன் விளைவாக, இந்த மென்பொருள் பலவீனங்கள் இணைய அச்சுறுத்தல்களுக்கான நுழைவுப் புள்ளிகளை உருவாக்கி, இறுதியில் தரவு மீறல்கள் மற்றும் கணினி அமைப்புகளைக் கைப்பற்றுவதற்கு வழிவகுக்கின்றன.

SQL ஊடுருவல் – ஒரு பொதுவான பாதுகாப்பு பாதிப்பு

உதாரணமாக, SQL இன்ஜெக்ஷன் என்பது மிகவும் பொதுவான பாதுகாப்பு குறைபாடுகளில் ஒன்றாகும். டெவலப்பர்கள் பயனர் உள்ளீட்டைச் சுத்திகரிக்கத் தவறும்போது, ​​தாக்குபவர்கள் இந்தக் குறைபாட்டைப் பயன்படுத்திக் கொள்கிறார்கள். இதன் விளைவாக, அவர்கள் SQL கட்டளைகளைச் செலுத்தி, அங்கீகாரத்தைத் தவிர்த்து, முக்கியமான தரவுகளுக்கான அணுகலைப் பெறுகிறார்கள். காலப்போக்கில், இந்தக் குறைபாடு பல தொழில்துறைகளில் கடுமையான தரவு மீறல்களை ஏற்படுத்தியுள்ளது.

SQL ஊடுருவல் தாக்குதல்களின் விளைவுகள்:

• ஹேக்கர்கள் பயனர் உள்நுழைவு விவரங்களையும் நிதித் தரவுகளையும் திருடுவதால், நிதி இழப்புகள் ஏற்படுகின்றன.
• தீங்கிழைக்கும் நபர்கள் தரவுத்தளப் பதிவுகளை மாற்றுவதாலோ அல்லது நீக்குவதாலோ, தரவு ஒருமைப்பாட்டில் சிக்கல்கள் ஏற்படுகின்றன.
• வாடிக்கையாளர் தகவல்கள் கசிவதால் நிறுவனங்களுக்கு நற்பெயரும் நிதி ரீதியான பாதிப்பும் ஏற்படுகின்றன.

இந்த பாதுகாப்பு குறைபாட்டைத் தடுப்பது எப்படி:

SQL ஊடுருவல் தாக்குதல்களின் அபாயத்தைக் குறைக்க, நிறுவனங்கள் மேம்பாட்டின் ஒவ்வொரு கட்டத்திலும் முன்னெச்சரிக்கை நடவடிக்கைகளை எடுக்க வேண்டும்.

• பாதுகாப்பான குறியீட்டு வழிகாட்டுதல்களைப் பின்பற்றவும் OWASP முதல் 10 அபாயங்களைக் குறைக்க.
• அளவுருவாக்கப்பட்ட வினவல்களைப் பயன்படுத்துங்கள் மற்றும் தொகுதிக்குத் தயார்செய்யும் கூற்றுகளைப் பயன்படுத்துங்கள். SQL ஊசி.
• நடத்தைக் நிலையான பயன்பாட்டுப் பாதுகாப்புச் சோதனை (SAST) பாதுகாப்புக் குறைபாடுகளை முன்கூட்டியே கண்டறிய.

இந்தத் தடுப்பு நடவடிக்கைகளை மேற்கொள்வதன் மூலம், வணிகங்கள் SQL ஊடுருவல் தாக்குதல்களின் நிகழ்தகவைக் கணிசமாகக் குறைத்து, பயன்பாட்டுப் பாதுகாப்பை வலுப்படுத்த முடியும்.

2. சரிசெய்யப்படாத மென்பொருள்: பாதுகாப்புக் குறைபாடுகளுக்கு ஒரு முக்கியக் காரணம்

பல பாதுகாப்பு குறைபாடுகள், சரிசெய்யப்படாத மென்பொருளிலிருந்தே உருவாகின்றன. உண்மையில், நிறுவனங்கள் சரிசெய்தல் பணிகளைத் தாமதப்படுத்தும் என்ற நம்பிக்கையில், இணையக் குற்றவாளிகள் அறியப்பட்ட பாதுகாப்பு குறைபாடுகளைத் தீவிரமாகத் தேடுகின்றனர். இதன் விளைவாக, பாதுகாப்புப் புதுப்பிப்புகளைப் புறக்கணிக்கும் வணிகங்கள், தங்கள் அமைப்புகளைத் தாக்குதல்களுக்கு ஆளாக்குகின்றன.

Log4Shell – ஒரு கடுமையான பாதுகாப்பு பாதிப்பு

சமீபத்திய ஆண்டுகளில் ஏற்பட்ட மிக மோசமான பாதுகாப்பு குறைபாடுகளில் ஒன்றான Log4Shell-ஐ எடுத்துக்கொள்வோம். அதன் பரவலான பயன்பாடு காரணமாக, Apache Log4j-இல் உள்ள Log4Shell பாதிப்பு (CVE-2021-44228), தாக்குதல் நடத்துபவர்களை மில்லியன் கணக்கான சாதனங்களில் தொலைநிலைக் குறியீட்டை இயக்க அனுமதித்தது. இதன் விளைவாக, பல்வேறு தொழில்துறைகளைச் சேர்ந்த வணிகங்கள் பெரும் தரவு மீறல்களையும் கணினி செயலிழப்புகளையும் சந்தித்தன. இதைவிட மோசமாக, இணையக் குற்றவாளிகள் இந்தக் குறைபாட்டை உலகளாவிய அளவில் பயன்படுத்திக்கொண்டு, உலகெங்கிலும் உள்ள நிறுவனங்களைப் பாதித்தனர்.

Log4Shell சுரண்டல்களின் தாக்கம்:

• சைபர் குற்றவாளிகள் ரான்சம்வேரைப் பரப்பி, முக்கியத் தரவுகளைத் திருடியதால், உலகளாவிய செயல்பாடுகள் சீர்குலைந்தன.
• மைக்ரோசாப்ட், அமேசான் மற்றும் டெஸ்லா உள்ளிட்ட பெரிய நிறுவனங்கள் பெரும் பாதுகாப்பு மீறல்களால் பாதிக்கப்பட்டன.
• உலகளவில் தணிப்பு நடவடிக்கைகளின் மொத்த செலவு 12 பில்லியன் டாலரைத் தாண்டியது என்று கூறப்படுகிறது. CISஒரு அறிக்கை.

இந்த பாதுகாப்பு குறைபாட்டைத் தடுப்பது எப்படி:

• மென்பொருள் புதுப்பிக்கப்பட்ட நிலையில் இருப்பதை உறுதிசெய்ய, தானியங்குப் பிழைத்திருத்த மேலாண்மையைப் பயன்படுத்தவும்.
• சுரண்டல் முன்கணிப்பு மதிப்பெண் அமைப்பைப் பயன்படுத்தி பேட்ச் செய்வதற்கு முன்னுரிமை அளிக்கவும்.இ.பி.எஸ்.எஸ்.அதிக ஆபத்துள்ள பாதிப்புகளை முதலில் சரிசெய்ய வேண்டும்.
• அறிமுகம் Application Security Posture Management (ASPMகாலாவதியான மென்பொருளைத் தொடர்ந்து கண்காணிக்க வேண்டும்.

இந்தப் பாதுகாப்பு நடைமுறைகளைச் செயல்படுத்துவதன் மூலம், நிறுவனங்கள் தாக்குதல் நடத்துபவர்களை முந்திக்கொண்டு, எதிர்காலத்தில் மென்பொருள் பாதிப்புகள் தவறாகப் பயன்படுத்தப்படுவதைத் தடுக்க முடியும்.

3. தவறான உள்ளமைவுகள்: தடுக்கக்கூடிய ஒரு பாதுகாப்புக் குறைபாடு

பெரும்பாலும், தவறாக உள்ளமைக்கப்பட்ட கிளவுட் சேவைகள், தரவுத்தளங்கள் மற்றும் பிணைய அமைப்புகள் கடுமையான பாதுகாப்பு குறைபாடுகளை உருவாக்குகின்றன. பாதுகாப்புக் குழுக்கள் முறையான அணுகல் கட்டுப்பாடுகளைப் பயன்படுத்தத் தவறினால், தாக்குபவர்கள் தவறான உள்ளமைப்புகளை எளிதில் பயன்படுத்திக்கொண்டு அங்கீகரிக்கப்படாத அணுகலைப் பெற முடியும்.

பலவீனமான உள்ளமைவுகளுடன் வெளிப்படுத்தப்பட்ட தரவுத்தளங்கள்

கிளவுட் தரவுத்தளங்களைப் பொது அணுகலில் விட்டுவிடுவது மிகவும் பொதுவான தவறுகளில் ஒன்றாகும். பல நிறுவனங்கள் இந்தத் தரவுத்தளங்களை முறையாகப் பாதுகாக்காததால், அவை தாக்குதல்களுக்கு ஆளாகின்றன. இதன் விளைவாக, ஹேக்கர்கள் இணையத்தில் தவறாக உள்ளமைக்கப்பட்ட சேவைகளைத் தேடி, முக்கியமான தரவுகளைத் திருடுகின்றனர். காலப்போக்கில், இந்தப் பாதுகாப்புக் குறைபாடுகள் பெரும் தரவுக் கசிவுகளுக்கு வழிவகுத்துள்ளன.

கிளவுட் தவறான உள்ளமைவுகளின் தாக்கம்:

• அனுமதியற்ற பயனர்கள் தரவுத்தளங்களை முழுமையாக அணுகுவதால், முக்கியமான வணிகத் தரவுகள் வெளிப்படுகின்றன.
• தாக்குதல் நடத்துபவர்கள் வாடிக்கையாளர் தரவுகளைத் திருடி, அவற்றை டார்க் வெப்பில் விற்பதன் மூலம் மோசடி அபாயங்களை அதிகரிக்கின்றனர்.
• மோசமான பாதுகாப்புக் கட்டுப்பாடுகள் காரணமாக, GDPR மற்றும் CCPA மீறல்களுக்காக நிறுவனங்கள் ஒழுங்குமுறை அபராதங்களை எதிர்கொள்கின்றன.

இந்த பாதுகாப்பு குறைபாட்டைத் தடுப்பது எப்படி:

தவறான உள்ளமைவுகளின் அபாயத்தைக் குறைக்க, நிறுவனங்கள் பாதுகாப்பான நிறுவல் நடைமுறைகளைக் கடைப்பிடித்து, கடுமையான அணுகல் கொள்கைகளை அமல்படுத்த வேண்டும்.

• பயன்பாட்டு Iகுறியீடாக உள்கட்டமைப்பு (IaC) சரியான உள்ளமைவுகளைச் செயல்படுத்த பாதுகாப்பு.
• அங்கீகரிக்கப்படாத அணுகலைக் கட்டுப்படுத்த, பங்கு அடிப்படையிலான அணுகல் கட்டுப்பாட்டை (RBAC) நடைமுறைப்படுத்துங்கள்.
• செயல்படுத்த இரகசிய மேலாண்மை கருவிகள் முக்கியமான சான்றுகளைப் பாதுகாக்க.

இவற்றை அமல்படுத்துவதன் மூலம் கட்டுப்பாடுகள்வணிகங்கள் தவறான உள்ளமைவு அபாயங்களைக் குறைத்து, கிளவுட் பாதுகாப்பை மேம்படுத்தலாம்.

4. விநியோகச் சங்கிலித் தாக்குதல்கள்: மென்பொருளில் பாதுகாப்புக் குறைபாடுகள் ஏற்படுவதற்கான ஒரு முக்கியக் காரணம்

நவீன பயன்பாடுகள் மூன்றாம் தரப்பு நூலகங்களையும் சார்புநிலைகளையும் சார்ந்துள்ளன. இருப்பினும், தாக்குதல் நடத்துபவர்கள் பெரும்பாலும் இந்த கூறுகளைக் குறிவைத்து ஊடுருவல்களைச் செய்கின்றனர். தீம்பொருள்இதன் காரணமாக, பெரிய அளவிலான மீறல்களைத் தடுக்க, வணிக நிறுவனங்கள் தங்களின் மென்பொருள் விநியோகச் சங்கிலியைப் பாதுகாக்க வேண்டும்.

சோலார் விண்ட்ஸ் விநியோகச் சங்கிலித் தாக்குதல்

சைபர் குற்றவாளிகள் சோலார்விண்ட்ஸ் ஓரியன் அப்டேட்களில் ஊடுருவி, பரவலாகப் பயன்படுத்தப்படும் செயலிகளில் பின்கதவுகளைச் செலுத்தியுள்ளனர். enterprise மென்பொருள். இதன் விளைவாக, ஃபார்ச்சூன் 500 நிறுவனங்கள் மற்றும் அரசாங்க முகமைகள் உட்பட ஆயிரக்கணக்கான நிறுவனங்கள், தங்களுக்குத் தெரியாமலேயே தீங்கிழைக்கும் புதுப்பிப்புகளை நிறுவின.

விநியோகச் சங்கிலி மீதான தாக்குதல்களின் விளைவுகள்:

• ஹேக்கர்கள், பெருநிறுவன மற்றும் அரசாங்க வலையமைப்புகளுக்கு நீண்டகால அணுகலைப் பெறுவதற்காக, மறைமுக வழிகளைப் பயன்படுத்திக்கொண்டனர்.
• அரசு நிறுவனங்கள் உளவு மற்றும் செயல்பாட்டு இடையூறுகளால் பாதிக்கப்பட்டதால், தேசியப் பாதுகாப்புக்கு அச்சுறுத்தல் ஏற்பட்டது.
• அதன்படி, நிதி இழப்பு 100 மில்லியன் டாலரைத் தாண்டியது. அமெரிக்க அரசாங்க அறிக்கை.

மென்பொருள் விநியோகச் சங்கிலியைப் பாதுகாப்பது எப்படி:

விநியோகச் சங்கிலி மீதான தாக்குதல்கள் அதிகரித்து வருவதால், வணிகங்கள் தங்களைச் சார்ந்திருப்பவர்களைப் பாதுகாக்க முன்னெச்சரிக்கை நடவடிக்கைகளை எடுக்க வேண்டும்.

• தத்தெடுக்க மென்பொருள் தொகுப்பு பகுப்பாய்வு (SCA) சார்புநிலைகளில் உள்ள பாதுகாப்புக் குறைபாடுகளைத் தொடர்ந்து கண்காணித்து, அபாயங்களை முன்கூட்டியே கண்டறிதல்.
• Xygeni-ஐ செயல்படுத்தவும் Open Source Security தீம்பொருள் பாதித்த தொகுப்புகள் செயலிகளைப் பாதிக்கும் முன் அவற்றைக் கண்டறிந்து தடுப்பது.
• மென்பொருள் மூலப்பொருட்களின் பட்டியலைச் செயல்படுத்தவும் (SBOMs) மூன்றாம் தரப்புக் கூறுகளைக் கண்காணிப்பதன் மூலம், மென்பொருள் விநியோகச் சங்கிலியில் முழுமையான வெளிப்படைத்தன்மையை உறுதி செய்தல்.

5. உள் அச்சுறுத்தல்கள்: பெரும்பாலும் கவனிக்கப்படாத ஒரு பாதுகாப்பு குறைபாடு

பலர் வெளிப்புற அச்சுறுத்தல்களில் கவனம் செலுத்தினாலும், உள்ளக அபாயங்களும் அதே அளவு ஆபத்தானவை. தீங்கிழைக்கும் உள்ளக நபர்கள் மற்றும் கவனக்குறைவான ஊழியர்கள் இருவரும், கணினி அமைப்புகளைத் தவறாக உள்ளமைத்தல், முக்கியமான தரவுகளைத் தவறாகக் கையாளுதல் அல்லது தற்செயலாக அணுகல் சான்றுகளை வெளிப்படுத்துதல் போன்றவற்றின் மூலம் பாதுகாப்பு குறைபாடுகளை ஏற்படுத்தலாம். இதன் விளைவாக, உள்ளக அச்சுறுத்தல்களின் அபாயத்தைக் குறைக்க, நிறுவனங்கள் கடுமையான உள்ளகப் பாதுகாப்புக் கொள்கைகளை அமல்படுத்த வேண்டும்.

பலவீனமான அணுகல் கட்டுப்பாடுகள் காரணமாக நிர்வாக இடைமுகம் வெளிப்பட்டது

கட்டுப்பாடற்ற நிர்வாகப் பலகங்களைக் கொண்ட வலைப் பயன்பாடுகளை எடுத்துக்கொண்டால், அவை முரட்டுத்தனமான தாக்குதல்களுக்கு (brute-force attacks) முக்கிய இலக்குகளாக உள்ளன. நிறுவனங்கள் வலுவான அங்கீகாரக் கொள்கைகளை அமல்படுத்தத் தவறினால், தாக்குபவர்கள் முக்கியமான அமைப்புகளுக்குள் எளிதாக அணுகலைப் பெற முடியும். எல்லாவற்றிற்கும் மேலாக, பல உள் அச்சுறுத்தல்கள் வேண்டுமென்றே தீங்கு விளைவிப்பதால் மட்டுமல்ல, பலவீனமான அணுகல் கட்டுப்பாடுகளாலேயே ஏற்படுகின்றன.

உள் அச்சுறுத்தல்களின் தாக்கம்:

• ஊழியர்கள் தற்செயலாக முக்கியமான தரவுகளை வெளிப்படுத்துவதால், இணக்க விதிமுறைகள் மீறப்படுகின்றன.
• ஹேக்கர்கள் நிர்வாகியின் உள்நுழைவு விவரங்களைத் திருடி, சிறப்புரிமைகளை அதிகரித்து, முக்கிய கணினி அமைப்புகளைத் தங்கள் கட்டுப்பாட்டிற்குள் கொண்டு வருகிறார்கள்.
• அதன்படி, நிறுவனங்கள் நிதி மற்றும் நற்பெயர் சேதத்தை சந்திக்கின்றன. கார்ட்னர் அறிக்கை.

உள் அச்சுறுத்தல்களைத் தணிப்பது எப்படி:

உள் அச்சுறுத்தல்களைக் குறைப்பதற்கு, வணிக நிறுவனங்கள் கடுமையான அணுகல் கொள்கைகளையும் கண்காணிப்புக் கருவிகளையும் செயல்படுத்த வேண்டும்.

• அங்கீகரிக்கப்படாத அணுகலைத் தடுக்க, அனைத்து நிர்வாகி கணக்குகளுக்கும் பல காரணி அங்கீகாரத்தை (MFA) அமல்படுத்துங்கள்.
• பாதிப்பைக் குறைக்க, VPNகள் அல்லது தனியார் நெட்வொர்க்குகளைப் பயன்படுத்தி நிர்வாகப் பேனல்களுக்கான அணுகலைக் கட்டுப்படுத்துங்கள்.
• உருட்டவும் சைஜெனி முரண்பாடு கண்டறிதல் சந்தேகத்திற்கிடமான நடவடிக்கைகளைக் கண்காணிக்க CI/CD pipelineஅசாதாரண நடத்தையைக் கண்டறிந்து கொடியிடவும்.

இந்த உள்ளகப் பாதுகாப்புக் கட்டுப்பாடுகளைச் செயல்படுத்துவதன் மூலம், நிறுவனங்கள் உள் அச்சுறுத்தல்களுடன் தொடர்புடைய அபாயங்களைப் பெருமளவில் குறைக்க முடியும்.