سائبرسیکیوریٹی میں کیا ویشنگ ہے اور یہ ڈویلپرز کو بھی کیوں نشانہ بناتا ہے۔

تو، سائبرسیکیوریٹی میں کیا چیز ہے، اور ڈویلپرز کو کیوں خیال رکھنا چاہئے؟ وشنگ، صوتی فشنگ کے لیے مختصر, ایک سوشل انجینئرنگ تکنیک ہے جہاں حملہ آور اہداف کو دھوکہ دینے کے لیے فون کالز یا صوتی پیغامات کا استعمال کرتے ہیں تاکہ وہ اسناد کو ظاہر کرنے، ٹوکنز کو دوبارہ ترتیب دینے، یا سیکیورٹی کنٹرولز کو نظر انداز کر سکیں۔ اگرچہ کسی زمانے میں ویشنگ حملوں کا مقصد عام ملازمین پر ہوتا تھا، حملہ آور ڈویلپرز، DevOps انجینئرز، اور سیسڈمینز کی طرف بڑھ گئے ہیں، کیونکہ یہ کردار کوڈ تک براہ راست رسائی رکھتے ہیں، pipelines، اور کلاؤڈ انفراسٹرکچر۔

مثال: an حملہ آور آپ کی داخلی IT ٹیم سے ہونے کا بہانہ کرتے ہوئے کال کرتا ہے، "ہم سیکیورٹی کے ایک واقعے کی وجہ سے GitHub کی اسناد کو گھما رہے ہیں؛ مجھے آپ کی تصدیق کرنی ہوگی۔ ایم ایف اے کوڈ".
ایک غلط اقدام، اور آپ کا سورس کوڈ یا pipeline اسناد بے نقاب ہیں. ڈویلپر ماحول میں، ایک کامیاب ویشنگ حملہ یہ کر سکتا ہے:

• کی قیادت کی CI/CD ٹوکن ری سیٹ اور غیر مجاز تعیناتیاں
  
• مقامی طور پر اسٹور کردہ API کیز یا SSH اسناد کو بے نقاب کریں۔
  
• بلڈ سسٹم کے ذریعے استعمال ہونے والی کلاؤڈ اور کنٹینر رجسٹریوں سے سمجھوتہ کریں۔
  

اسی لیے یہ سمجھنا کہ وشنگ کیا ہے اختیاری نہیں ہے۔ یہ آپ کی ترسیل کو محفوظ بنانے کا حصہ ہے۔ pipeline.

دیو کو متاثر کرنے والے حقیقی دنیا کے وشنگ حملے اور CI/CD ماحولیات۔

آئیے دیکھتے ہیں کہ حقیقی وشنگ حملوں نے تکنیکی ماحول کو کس طرح متاثر کیا ہے۔ 

نیچے دیے گئے غیر محفوظ حالات صرف تعلیمی مقاصد کے لیے ہیں۔ اجازت کے بغیر پیداوار یا اندرونی جانچ میں نقل نہ بنائیں۔

• 2020 ٹویٹر کی خلاف ورزی: حملہ آوروں نے اندرونی آئی ٹی کی نقالی کرتے ہوئے ملازمین کو بلایا۔ انہوں نے عملے کو ایم ایف اے کوڈز شیئر کرنے پر راضی کیا، بیک اینڈ تک رسائی حاصل کی جس سے اکاؤنٹ ٹیک اوور ہوا۔
• GitHub واقعہ (2022): ڈیولپرز کو سیکیورٹی سپورٹ سے ہونے کا دعویٰ کرنے والی کالوں کے ذریعے نشانہ بنایا گیا، جس سے انہیں اسناد کو "ری سیٹ" کرنے کی رہنمائی کی گئی، جس کے نتیجے میں غیر مجاز ریپو رسائی حاصل ہوئی۔
• AWS ایڈمن منظرنامے: حملہ آوروں نے فون پر مبنی سوشل انجینئرنگ کا استعمال کرتے ہوئے پاس ورڈ دوبارہ ترتیب دینے اور پروڈکشن IAM رولز سے منسلک ڈویلپر اکاؤنٹس تک رسائی حاصل کی۔

ڈویلپرز کے لیے، یہ تجریدی خطرات نہیں ہیں۔ ایک مصنوعی اندرونی ریڈ ٹیم ٹیسٹ میں، ایک انجینئر نے جعلی کی "تصدیق" کی۔ pipeline فون پر مسئلہ، منسوخی کا باعث بنتا ہے۔ CI/CD ٹوکن حملہ آور کے زیر کنٹرول ای میل پر دوبارہ جاری کیا جا رہا ہے۔ یہ ایک حیرت انگیز حملے کا نچوڑ ہے: ایسے ماہرین کو جوڑ توڑ کرنے کے لیے عجلت، بھروسہ اور تکنیکی سیاق و سباق کا استعمال کرتے ہوئے جو یہ سمجھتے ہیں کہ وہ بہت تکنیکی ہیں انہیں بے وقوف بنایا جا سکتا ہے۔