हैकर्स क्रिटिकल इन्फ्रास्ट्रक्चर को क्यों निशाना बनाते हैं और साइबर सुरक्षा को अपग्रेड करना मुश्किल क्यों है?

हाल ही में 2022 Pwn2Own एथिकल हैकिंग प्रतियोगिता में, दो सुरक्षा शोधकर्ताओं ने ICONICS जेनेसिस64 का उल्लंघन किया, जो कि ऑपरेटरों के लिए औद्योगिक मशीनों का उपयोग करने के लिए डिज़ाइन किया गया एक सॉफ्टवेयर है, केवल सेकंड में। इसके विपरीत, 2012 में एक iPhone को हैक करने में उन्हें तीन सप्ताह का समय लगा।

यह देखते हुए कि प्रमुख, बहु-मिलियन-डॉलर की कंपनियां और उद्योग इन ऐप्स के मालिक हैं, कई लोग यह जानकर हैरान हैं कि अधिकांश आधुनिक स्मार्टफ़ोन की तुलना में हमला करना कितना आसान है।

तो हमारा महत्वपूर्ण बुनियादी ढांचा खतरे में क्यों है? और इसे अपग्रेड करने में बहुत अधिक समय क्यों लगता है?

महत्वपूर्ण बुनियादी ढांचे को लक्षित करने का एक संक्षिप्त इतिहास

अतीत में, साइबर अपराधियों ने आम तौर पर व्यक्तिगत उपयोगकर्ताओं या सामान्य निजी व्यवसायों पर हमला किया था। और जबकि ये हमले चिंता का कारण थे और इससे लाखों डॉलर का नुकसान हुआ, उन्होंने आमतौर पर हमलावरों को ज्यादा कमाई नहीं की।

हालांकि, औपनिवेशिक पाइपलाइन जैसे हालिया विकास और जेबीएस फूड्स रैंसमवेयर हमलों ने दिखाया कि सार्वजनिक व्यवस्था और सुरक्षा के लिए महत्वपूर्ण सिस्टम के लाभदायक होने की अधिक संभावना है। इसके अलावा, मौद्रिक लाभ के अलावा, महत्वपूर्ण बुनियादी ढांचे पर साइबर हमले राजनीतिक या सैन्य रूप से प्रेरित भी हो सकते हैं।

उदाहरण के लिए, 2022 में रूस द्वारा यूक्रेन पर आक्रमण करने से कुछ घंटे पहले, यूक्रेन के साइबर बुनियादी ढांचे पर कई हमले हुए थे। इन्हें सरकारी इकाइयों के बीच संचार को नष्ट करने या बाधित करने के लिए डिज़ाइन किया गया था। एक अन्य उदाहरण स्टक्सनेट कंप्यूटर वर्म है, जिसे जानबूझकर ईरान में यूरेनियम संवर्धन संयंत्र पर हमला करने के लिए तैनात किया गया था।

प्रमुख बुनियादी ढांचे को कौन हैक करता है?

कई समूहों ने ली है जिम्मेदारी हाल ही में रैंसमवेयर साइबर हमले. इनमें डार्कसाइड (औपनिवेशिक पाइपलाइन), कोंटी/विज़ार्ड स्पाइडर (यूके के स्वास्थ्य और सुरक्षा कार्यकारी), और एग्रेगर शामिल हैं। इनमें से अधिकतर समूह निजी व्यक्तियों से बने हैं जो अधिकतर मुनाफे के पीछे हैं।

अन्य, अधिक खतरनाक प्रकार के हैकर राष्ट्र-राज्यों द्वारा प्रायोजित हैं। ये ऑपरेटर अन्य देशों के महत्वपूर्ण बुनियादी ढांचे को लक्षित करते हैं ताकि उनके गृह देश को विश्व स्तर पर लाभ मिल सके। वे अपने कौशल का उपयोग उन निजी कंपनियों पर हमला करने के लिए भी कर सकते हैं जिन्हें वे अपनी संप्रभुता के लिए खतरा मानते हैं, जैसे सोनी पर उत्तर कोरिया का कथित हमला 2014 में।

इन्फ्रास्ट्रक्चर को लक्षित करना आसान क्यों है

हम में से अधिकांश के लिए अनजान, कई औद्योगिक प्रणालियां बहुत पुरानी हैं। जबकि अधिकांश उपभोक्ता कंप्यूटर अब विंडोज 10 या विंडोज 11 चलाते हैं, आप अलग-अलग उद्योगों में विभिन्न कारखानों में सिस्टम पाएंगे जो अभी भी विंडोज 7, या इससे भी बदतर, विंडोज एक्सपी चला रहे हैं। इसका मतलब है कि उनके ऑपरेटिंग सिस्टम अत्यधिक असुरक्षित हैं, कई प्रसिद्ध सुरक्षा खामियों के साथ जिन्हें पैच नहीं किया जा सकता है।

और देर इनमें से कई प्रणालियां एयर-गैप्ड हैं, जिसका अर्थ है कि वे इंटरनेट से भौतिक रूप से जुड़े नहीं हैं, एक लापरवाह कर्मचारी जो किसी संक्रमित कंप्यूटर या यूएसबी ड्राइव को नेटवर्क में प्लग करता है, वह सिस्टम को बंद कर सकता है।

अद्यतन प्रणाली के साथ चुनौती

दुर्भाग्य से, इन सभी प्रणालियों को अद्यतन करना उतना आसान नहीं है जितना कि Microsoft से अद्यतनों को डाउनलोड करना और कंप्यूटरों को पुनः आरंभ करना। सबसे पहले, जैसा कि नाम से पता चलता है, ये महत्वपूर्ण अवसंरचनाएं हैं। इसका मतलब है कि वे बिल्कुल भी ऑफलाइन नहीं जा सकते। इस पर विचार करें—क्या होगा यदि न्यूयॉर्क शहर की सभी ट्रैफिक लाइटें एक अपडेट के कारण एक घंटे के लिए बुझ जाएं? यह पूरी तरह से अराजकता होगी।

एक अन्य समस्या जो महत्वपूर्ण प्रणालियों को झेलनी चाहिए, वह यह है कि वे आम तौर पर विशिष्ट या संचालित होती हैं एम्बेडेड ऑपरेटिंग सिस्टम. इसका मतलब है कि कोई भी एक आकार-फिट-सभी अपडेट उद्योग के पूरे क्षेत्र के लिए काम नहीं करेगा। उदाहरण के लिए, विभिन्न कंपनियों द्वारा निर्मित विभिन्न परमाणु ऊर्जा संयंत्र अलग-अलग हार्डवेयर सिस्टम का उपयोग करेंगे। तो, एक संयंत्र पर एक हार्डवेयर अद्यतन दूसरे पर काम नहीं करेगा।

साथ ही, इन प्रणालियों की हवाई सुरक्षा एक आशीर्वाद और अभिशाप दोनों है। हालांकि यह सिस्टम को बाहरी हमलों से बचाता है, यह सुनिश्चित करता है कि आपको सिस्टम तक पहुंचने के लिए भौतिक रूप से कनेक्ट होना होगा, इसका मतलब यह भी है कि अपडेट उनके आपूर्तिकर्ताओं द्वारा आसानी से नहीं भेजे जा सकते हैं। इसलिए, यदि कोई हार्डवेयर आपूर्तिकर्ता देश भर में छह अलग-अलग स्थानों वाले कारखाने के लिए नया फर्मवेयर बनाता है, तो उनके कर्मचारियों को शारीरिक रूप से वहां यात्रा करनी होगी और अपडेट को मैन्युअल रूप से इंस्टॉल करना होगा।

एक और चीज जो कंपनियों को करनी चाहिए वह है विशेष उपकरण। उदाहरण के लिए, मान लें कि आप एक खाद्य निर्माण कंपनी हैं और आपने 2009 में Windows XP पर चलने वाली आपूर्ति श्रृंखला प्रणाली खरीदी थी। दुर्भाग्य से, आपका सिस्टम प्रदान करने वाली कंपनी बंद हो गई। आपके पास नया आपूर्ति श्रृंखला प्रबंधन सॉफ़्टवेयर प्राप्त करने के लिए बजट नहीं है, और न ही आपके पास अपने कर्मियों को फिर से प्रशिक्षित करने का समय है। इस तरह से कंपनियां 2020 के दशक में विंडोज एक्सपी चलाने वाले कंप्यूटरों के साथ समाप्त होती हैं।

उपभोक्ता इससे कैसे प्रभावित होते हैं?

एक उपभोक्ता के रूप में, आप सोच सकते हैं कि यह आपकी समस्या नहीं है। आखिरकार, आपको लगता है कि आप तब तक ठीक हैं जब तक आप वहां पहुंच सकते हैं जहां आप जा रहे हैं और आपका जीवन बाधित नहीं होता है। दुर्भाग्य से, यह सच्चाई से आगे नहीं हो सकता।

औपनिवेशिक पाइपलाइन हमले पर विचार करें। हालांकि नुकसान सीमित था, आगामी दहशत के कारण कई स्टेशनों पर लंबी गैस लाइनें लगीं। सीएनबीसी ने बताया हर्ट्सफ़ील्ड-जैक्सन अटलांटा अंतर्राष्ट्रीय हवाई अड्डे में एयरलाइन, जिसे औपनिवेशिक पाइपलाइन सीधे आपूर्ति करती थी, को करना था स्थानीय आपूर्ति के पूरक के लिए अन्य हवाई अड्डों से अतिरिक्त ईंधन में उड़ान भरें या लंबी दूरी की उड़ानों के लिए अतिरिक्त स्टॉप करें ईंधन भरना

हालांकि इस घटना के कारण सिस्टम में देरी नहीं हुई, लेकिन अगर इसे एक सप्ताह में हल नहीं किया गया होता तो यह एक महत्वपूर्ण समस्या का कारण बनता।

एक अन्य उदाहरण 2015 में यूक्रेन के पावर ग्रिड पर साइबर हमला है। इस घटना ने इवानो-फ्रैंकिव्स्क क्षेत्र के आधे हिस्से को छह घंटे तक अंधेरे में रखा। और जबकि ये सामान्य समय के दौरान असुविधाओं और मौद्रिक नुकसान का कारण बन सकते हैं, आक्रमण से पहले निष्पादित होने पर इन हमलों के गंभीर परिणाम हो सकते हैं।

हम क्या कर सकते है?

जब तक आप इन विशिष्ट उद्योगों में एक वरिष्ठ कार्यकारी के रूप में काम नहीं कर रहे हैं, तब तक अधिकांश सामान्य व्यक्ति इस समस्या को ठीक करने के लिए बहुत कुछ नहीं कर सकते हैं। आप अपने कार्यालयों में अपने कांग्रेस और सीनेट प्रतिनिधियों तक पहुंचकर अपनी आवाज को ज्ञात कर सकते हैं, लेकिन यह इसके बारे में है।

लेकिन अगर आप इनमें से किसी भी उद्योग में बोर्ड के सदस्य या सी-सूट के कार्यकारी हैं, तो यह उचित समय है कि आप अपनी कंपनी की साइबर सुरक्षा प्रणालियों की समीक्षा करें। जबकि आपके बुनियादी ढांचे और मशीनरी को अपग्रेड करना महंगा हो सकता है, आपके सबसे कमजोर सिस्टम पर हमला कहीं अधिक महंगा होगा।

जब आप अपने हार्डवेयर को अपग्रेड करते हैं, तो आप न केवल अपने सिस्टम में किसी भी संभावित कमजोरियों को ठीक करते हैं, बल्कि आपको अधिक कुशल संचालन का मौका भी मिलता है।

हमें अपने महत्वपूर्ण बुनियादी ढांचे की रक्षा करनी चाहिए

का उल्लंघन आइकॉनिक्स उत्पत्ति64 दिखाता है कि हमारे बुनियादी ढांचे पर हर साइबर हमले पर प्रतिक्रिया देना पर्याप्त नहीं है; इसके बजाय, हमें कमजोरियों को पकड़ने और उन्हें ठीक करने में सक्रिय होना चाहिए। यदि हम साइबर अपराधियों और अन्य अभिनेताओं को हमारे उद्योगों और उपयोगिताओं पर स्वतंत्र शासन करने देते हैं, तो उनके कारण होने वाली क्षति हमारे सिस्टम को सुरक्षित रखने के लिए हमें चुकाई जाने वाली लागत से कहीं अधिक हो सकती है।

9 टाइम्स हैकर्स ने औद्योगिक सुविधाओं पर साइबर हमले को लक्षित किया

आगे पढ़िए

लेखक के बारे में