2023 ஆம் ஆண்டு முடிவுக்கு வரும் வேளையில், இணையப் பாதுகாப்புத் துறையானது அறிக்கைகள் மற்றும் பகுப்பாய்வுகளால் பரபரப்பாக உள்ளது. அவற்றுள், NSA 2023 இணையப் பாதுகாப்பு ஆண்டின் மீள்பார்வை இது கவனத்தை ஈர்த்துள்ளது. இந்த கொந்தளிப்பான ஆண்டில், மென்பொருள் விநியோகச் சங்கிலிக்கு ஏற்படும் அச்சுறுத்தல்களைப் புரிந்துகொள்வதற்கும் தணிப்பதற்கும் பங்களிக்க சைஜெனி நோக்கமாகக் கொண்டுள்ளது. மென்பொருளின் சிக்கலானது அதிகமாக இருக்கும் இந்தக் காலகட்டத்தில், திறந்த மூலக் கூறுகள் மீதான நமது சார்பும், DevSecOps மற்றும் கிளவுட்-நேட்டிவ் அணுகுமுறைகளின் பரிணாம வளர்ச்சியும் புதிய உச்சங்களை எட்டியுள்ளன. இதன் ஒரு முன்னோட்டம்... சைஜெனி அறிக்கை எதிர்கொள்ளும் முக்கிய சவால்கள் குறித்த நுண்ணறிவுகளை வழங்குகிறது software supply chain security 2023-ஆம் ஆண்டில் அவற்றைச் சமாளிப்பதற்கான உத்திகளையும், 2024-ஆம் ஆண்டில் அதற்கான தீர்வுகளையும் வழங்குகிறது.
பொருளடக்கம்
சிக்கலான வலை Software Supply Chain Security
தற்போதைய நிலையில் SSCSசைபர் அச்சுறுத்தல்கள் பெரும் அச்சுறுத்தலாக உருவெடுத்து, நிறுவனங்களுக்கும் தனிநபர்களுக்கும் குறிப்பிடத்தக்க கவலைகளை ஏற்படுத்துகின்றன. தொலைதூரப் பணியின் பெருக்கமும், கிளவுட் அடிப்படையிலான சேவைகளைச் சார்ந்திருக்கும் நிலையும் தாக்குதல் பரப்பை விரிவுபடுத்தியுள்ளன. இதனால், மென்பொருள் விநியோகச் சங்கிலியைப் பாதுகாப்பது இன்னும் கடினமான சவாலாக மாறியுள்ளது. விநியோகச் சங்கிலியே ஒரு திட்டமிட்ட தாக்குதல் ஊடகமாக மாறிவிட்டது என்ற உண்மை, மென்பொருள் துறைக்கு மெதுவாகப் புரியத் தொடங்கியுள்ளது. கேள்விகள் எழுகின்றன: இந்த சிக்கலான வலைப்பின்னலை நாம் எவ்வாறு பாதுகாப்பது? திறந்த மூல மென்பொருள் சமூகங்கள் மற்றும் வணிக வழங்குநர்கள் ஆகிய இரு தரப்பினரின் மென்பொருளையும் நாம் நம்பலாமா? மென்பொருள் பாதிப்புகளோ அல்லது தீம்பொருளோ இல்லை என்பது குறித்து, நிறுவனங்கள் தங்கள் மென்பொருள் நுகர்வோரிடம் எவ்வாறு நம்பிக்கையை ஏற்படுத்த முடியும்?
சைஜெனி அறிக்கை என்ன வெளிப்படுத்தும்
சைஜெனி அவர்களின் அறிக்கை, வரையறுத்த நிகழ்வுகள் மற்றும் போக்குகள் மீது வெளிச்சம் பாய்ச்சுவதை நோக்கமாகக் கொண்டுள்ளது. software supply chain security 2023-ஆம் ஆண்டைப் பற்றிய ஒரு முன்னோட்டத்தையும், 2024-ஆம் ஆண்டில் என்ன நடக்கக்கூடும் என்பதற்கான ஒரு ஆரம்பப் பார்வையையும் இந்த அறிக்கை வழங்குகிறது. இது பின்வருவனவற்றை உள்ளடக்கும்:
சிறப்பம்சங்கள்: “புள்ளிவிவரங்களின்படி”
ஆண்டு என அழைக்கப்படுகிறது டிஜிட்டல் காட்டுத் தீ2023-ஆம் ஆண்டில், PyTorch, 3CX, மற்றும் MOVEit Transfer ஆகியவற்றைப் பாதித்த சம்பவங்கள் உட்பட, செய்திகளில் இடம்பிடித்த பல சம்பவங்கள் நடந்தன. கசப்பான உண்மை என்னவென்றால், 82% நிறுவனங்கள் தற்போது மென்பொருள் விநியோகச் சங்கிலித் தாக்குதல்களுக்கு ஆளாகக்கூடிய நிலையில் உள்ளன, மேலும் ஒரு விநியோகச் சங்கிலியில் உள்ள பாதிப்புக்குள்ளாகக்கூடிய கூறுகளின் சராசரி எண்ணிக்கை ஆண்டுதோறும் 50%க்கும் அதிகமாக அதிகரித்து வருகிறது. அனைத்து விநியோகச் சங்கிலித் தாக்குதல்களிலும் 28% தொழில்நுட்பத் துறையிடமே நடைபெறுவதாகவும், அதுவே அதிகம் குறிவைக்கப்படும் துறையாக இருப்பதாகவும் என்டிடி லிமிடெட் (NTT Ltd) தெரிவிக்கிறது.
திறந்த மூல மென்பொருள், உள்ளடக்கிய தற்கால பயன்பாட்டு அடுக்குகளில் 70% முதல் 90% வரைபொதுப் பதிவேடுகளில் தீங்கிழைக்கும் மென்பொருட்களின் எண்ணிக்கை திடீரென அதிகரித்துள்ளது – இது முந்தைய ஆண்டுகளின் எண்ணிக்கையை விட இருமடங்காக, மலைக்க வைக்கும் வகையில் 245,032 நிகழ்வுகளாகும்.
தாக்குதல் நிலப்பரப்பு
2023-ல் இணையவழித் தாக்குதல்கள் அதிகரித்து வந்தன, அதோடு ஐரோப்பிய ஒன்றிய இணையப் பாதுகாப்பு முகமை 2,580 பாதுகாப்புச் சம்பவங்கள் பதிவு செய்யப்பட்டன, அவற்றில் 220 சம்பவங்கள் குறிப்பாகப் பல உறுப்பு நாடுகளை இலக்காகக் கொண்டிருந்தன. ரான்சம்வேர் மற்றும் சேவை மறுப்புத் தாக்குதல்கள் ஆதிக்கம் செலுத்தின, ஆனால் மென்பொருள் விநியோகச் சங்கிலி மீதான இலக்குத் தாக்குதல்களும் காணப்பட்டன. குறிப்பாக, செயற்கை நுண்ணறிவு உரையாடல் மென்பொருட்கள் இணையப் பாதுகாப்பு அச்சுறுத்தல் களத்தில் நுழைந்து, 'மலிவான போலிகள்' மற்றும் செயற்கை நுண்ணறிவால் செயல்படுத்தப்படும் தகவல் கையாளுதல் குறித்த கவலைகளை அறிமுகப்படுத்தின.
2023-இல் தாக்குதல் உத்திகள்
தாக்குதல் நடத்துபவர்கள், ஸ்பியர் ஃபிஷிங் மற்றும் சமூகப் பொறியியல் போன்ற பரிச்சயமான உத்திகளையும், திருடப்பட்ட நற்சான்றுகளையும், டைபோஸ்க்வாட் தொகுப்புகள் போன்ற சார்புநிலைத் தாக்குதல்களையும் தொடர்ந்து பயன்படுத்தினர். இருப்பினும், 2023-ஆம் ஆண்டில், அதிநவீன முறைகளின் பயன்பாடு அதிகரித்தது, அவற்றுள் சில: ஆசைப்படுதல் செயற்கை நுண்ணறிவால் உருவாக்கப்பட்ட குரலைப் போன்ற செய்திகளைப் பயன்படுத்தி செய்யப்படும் (குரல்வழி ஃபிஷிங்). பொதுப் பதிவகங்களில் பயன்படுத்தப்பட்ட தீங்கிழைக்கும் தொகுப்புகள் கவலைக்கிடமான வகையில் 245,032 நிகழ்வுகளை எட்டியுள்ளன, இது வலுவான தடுப்பு நடவடிக்கைகளின் அவசியத்தை வலியுறுத்துகிறது.
மேம்பட்ட அச்சுறுத்தல் நடிகர்கள்
புவிசார் அரசியல் இணையவழிச் செயல்பாடுகளில் செல்வாக்கு செலுத்தியது; அரசு ஆதரவு பெற்ற APT குழுக்கள் தவறான தகவல் பரப்புதல், உளவு மற்றும் நாசவேலைகளில் ஈடுபட்டன. உக்ரைன் போர் ஒரு முக்கிய மையமாக மாறியது, அது ரஷ்ய, ஈரானிய மற்றும் வட கொரியக் குழுக்களின் இணையவழிச் செயல்பாடுகளை வெளிப்படுத்தியது. சீனா ஒரு உலகளாவிய இணைய வல்லரசாகத் தனது நிலையை வலுப்படுத்தியது, அதே நேரத்தில் இணையக் குற்றங்கள் தொடர்ந்து பரிணமித்து வந்தன; இதற்கு உதாரணமாக, ஒரு சர்வதேச அரசு சாரா அமைப்பைக் குறிவைத்த சீனாவின் 'தவிர்க்கும் பாண்டா' தாக்குதலைக் கூறலாம்.
சமீபத்திய மோதல்களைப் பொறுத்தவரை, ஹமாஸுக்கும் இஸ்ரேலுக்கும் இடையிலான இணையவழி மோதலில் பரஸ்பர DDoS தாக்குதல்கள் இடம்பெற்றன. சில ஆய்வாளர்கள் ஹமாஸை ஈரானிய அச்சுறுத்தல் நடவடிக்கைகளுடன் தொடர்புபடுத்துகின்றனர். ஈரானுடன் தொடர்புடைய APT அக்ரியஸ், "அகோனைசிங் செர்பன்ஸ்" என்றும் அழைக்கப்படுகிறது. அதன் அழிவுகரமான வைப்பர்களுக்காகப் பெயர்போன இது, பல்வேறு துறைகள் மற்றும் நாடுகளில் உள்ள இஸ்ரேலிய அமைப்புகளைப் பிரதானமாகக் குறிவைத்து வருகிறது. 2023-ல், அக்ரியஸின் முயற்சிகள் இஸ்ரேலில் உள்ள கல்வி மற்றும் தொழில்நுட்பத் துறைகளில் குவிக்கப்பட்டிருந்தன.
தாக்குதல்களின் தாக்கம்
சேதமடைந்த அமைப்புகள், தரவுச் சிதைவு மற்றும் ஊடுருவல்கள் போன்ற இணையவழித் தாக்குதல்களின் டிஜிட்டல் தாக்கமானது, நிதி மற்றும் சமூகத் தாக்கங்களை விட அதிகமாக இருந்தது. ஸ்ப்ளங்கின் கணக்கெடுப்பு தூய்மைப் பணிகளுக்காகக் கணிசமான நேரமும் வளங்களும் செலவிடப்பட்டதை இது எடுத்துக்காட்டியது, அதேவேளையில் பதிலளித்தவர்களில் 4% மட்டுமே குறிப்பிடத்தக்க பின்விளைவுகள் எதுவும் ஏற்படவில்லை என்று தெரிவித்தனர்.
2023-ஆம் ஆண்டில் நடந்த தொடர்புடைய தாக்குதல்களின் சுருக்கம்
இந்த ஆண்டில், PyTorch இரவு நேர InfoStealer, CircleCI சம்பவம், 3CX பல-படி தாக்குதல், MOVEit Transfer தரவு மீறல், PyPI தற்காலிக இடைநீக்கம், NPM Manifest குழப்பம், JumpCloud தாக்குதல் மற்றும் VMConnect பிரச்சாரம் உள்ளிட்ட முன்மாதிரியான தாக்குதல்கள் நிகழ்ந்தன. ஒவ்வொரு சம்பவமும் SSC தாக்குதல்களின் பன்முக மற்றும் மாறிவரும் தன்மையை அடிக்கோடிட்டுக் காட்டின.
பரிணாமம் Standardமற்றும் ஒழுங்குமுறைகள்
SSC-க்கான ஒழுங்குமுறை கட்டமைப்பு உருவாக்கப்பட்டு வருகிறது. பிராந்தியங்கள் முழுவதும் மிகவும் மாறுபட்ட தீவிரத்தன்மையுடன், அமெரிக்கா மிகவும் முதிர்ச்சியான கட்டமைப்பைக் கொண்டிருப்பதாகவும், ஐரோப்பிய ஒன்றியம் பின்தங்கியிருப்பதாகவும் தெரிகிறது. இதன் வெளியீடு தேசிய இணையப் பாதுகாப்பு உத்தி மற்றும் இந்த திறந்த மூல மென்பொருள் பாதுகாப்பு செயல் திட்டம் அமெரிக்காவில் நடந்த முக்கிய நிகழ்வுகள் இவை. ஐரோப்பிய ஒன்றியத்தில், சைபர் மீள்திறன் சட்டம் ஒரு அரசியல் உடன்பாட்டை எட்டியது, ஆனால் பெரும்பாலான அமைப்புகள் NIS2 நெறிமுறை மற்றும் டிஜிட்டல் செயல்பாட்டு மீள்திறன் சட்டம் (DORA) ஆகியவற்றில் பணியாற்றின.
ஒருவேளை உலகளாவிய அளவில் மிக முக்கியமான நிகழ்வு கூட்டு வழிகாட்டியாக இருந்திருக்கலாம். சைபர் பாதுகாப்பு இடரின் சமநிலையை மாற்றுதல்: வடிவமைப்பிலேயே பாதுகாப்பான மென்பொருளுக்கான கோட்பாடுகளும் அணுகுமுறைகளும் தலைமையில் CISமேலும், உலகெங்கிலும் உள்ள பல இணையப் பாதுகாப்பு வல்லுநர்களும் இதில் இணைந்தனர்.
2024-ஆம் ஆண்டின் ஒரு பார்வை
இந்த அறிக்கை சில கணிப்புகளை வழங்குகிறது: 2025-ஆம் ஆண்டிற்குள், உலகெங்கிலும் உள்ள 45% நிறுவனங்கள் குறைந்தது ஒரு SSC தாக்குதலையாவது சந்திக்கும். ஒழுங்கமைக்கப்பட்ட குற்றக் குழுக்கள், மேலும் முதிர்ச்சியடைந்த 'சேவையாக இணையக் குற்றம்' (Cybercrime-as-a-Service) சேவைகளைப் பயன்படுத்தி இணையக் குற்றங்களில் ஈடுபடுவதை நாம் காண்போம். இந்த ஆண்டில் நடைமுறைக்கு வரும் ஒழுங்குமுறைகள், பாதுகாப்புச் சம்பவங்கள் குறித்த வெளிப்படைத்தன்மையை மேம்படுத்தும்; மேலும் தாக்குதல் விவரங்களும் கற்றுக்கொண்ட பாடங்களும் வெளியிடப்படும். இணைய இடர் காப்பீடு அதன் வரம்புகளையும் வரம்புமீறல்களையும் காட்டும். மேலும், தொழில்நுட்ப முன்னேற்றங்கள் இதனுடன் ஒத்துப்போகும். வடிவமைப்பின் மூலம் பாதுகாப்பு மென்பொருள் உற்பத்தியாளர்கள் மீது அதிக சுமையை ஏற்படுத்தும் ஒரு போக்கு.
2023-ஆம் ஆண்டில் ஏற்பட்ட செயற்கை நுண்ணறிவு அலை, பல பாதுகாப்பு விற்பனையாளர்களைத் தங்கள் தயாரிப்புகளில் சில "செயற்கை நுண்ணறிவு அம்சங்களை" சேர்க்க ஈர்த்தது. இருப்பினும், எதிர்காலத்தில் செயற்கை நுண்ணறிவு ஒரு முக்கியப் பங்கை வகிக்க உள்ளது. software supply chain securityஅச்சுறுத்தல் புலனாய்வு மற்றும் இடர் மதிப்பீடு, குறியீட்டுக் களஞ்சியங்களில் உள்ள முரண்பாடுகளைக் கண்டறிதல், பாதிப்பு மதிப்பீடு மற்றும் முன்னுரிமைப்படுத்துதல் போன்ற துறைகளில் செயற்கை நுண்ணறிவு ஒரு முக்கியப் பங்கை வகிக்கும். ஃபிஷிங் தாக்குதல் கண்டறிதல்ஆனால், முக்கியமாக அறிவார்ந்த சரிசெய்தல் மற்றும் குறியீட்டு மறுஆய்வு தானியக்கத்தில்.
ஆனால், தீய சக்திகள் செயற்கை நுண்ணறிவை ஒரு ஆயுதமாகப் பயன்படுத்தத் தொடங்கியுள்ளன, அதன் விளைவாக, செயற்கை நுண்ணறிவால் இயங்கும் உளவு, மிகவும் நம்பத்தகுந்த ஈட்டித் தாக்குதல் போன்ற புதிய நுட்பங்களை நாம் காண்போம். ஃபிஷிங்ஜெயில்பிரேக்கிங் AI கருவிகள், அல்லது CAPTCHA தீர்க்கும் சேவைகள்.
தீர்மானம்
சைஜெனி தனது விரிவான அறிக்கையை வெளியிடத் தயாராகி வரும் நிலையில் software supply chain security 2023-ல், இந்தத் துறை எதிர்கொள்ளும் சவால்களும் அச்சுறுத்தல்களும் தெளிவாகத் தெரிகின்றன. ஒரு காலத்தில் திரைக்குப் பின்னால் நடக்கும் செயல்முறையாகக் கருதப்பட்ட மென்பொருள் விநியோகச் சங்கிலி, இணைய எதிரிகளின் முக்கிய இலக்காக உருவெடுத்துள்ளது. இந்தச் சவால்களுக்கு இந்தத் துறை அளிக்கும் பதில், வரும் ஆண்டுகளில் மென்பொருள் பாதுகாப்பின் போக்கை வடிவமைக்கும். நாங்கள் விவரங்களை ஆழமாக ஆராய்ந்து, இந்தச் சிக்கலான சூழலை வழிநடத்த உதவும் நுண்ணறிவுகளை வழங்குவதால், முழுமையான அறிக்கைக்காகக் காத்திருங்கள். software supply chain security.
