इस तरह के हमले साइबर सुरक्षा टीमों के लिए एक प्रमुख सिरदर्द बनते जा रहे हैं, और उनका मुकाबला करना एक बड़ी चुनौती है।
जैसे-जैसे आपूर्ति श्रृंखला हमले साइबर हमले का एक सामान्य प्रकार बनते जा रहे हैं, साइबर सुरक्षा पेशेवरों पर दबाव डाला जा रहा है व्यक्तियों और संगठनों के लिए चल रहे इस खतरे से निपटने के लिए नए, अधिक शक्तिशाली समाधानों के साथ आएं दुनिया।
हालांकि, साइबर हमले के खिलाफ कुशल बचाव विकसित करने में सक्षम होने से पहले, हमें यह पता लगाना चाहिए कि आपूर्ति श्रृंखला के हमले क्यों बढ़ रहे हैं और अपनी पिछली गलतियों से सीखें।
आपूर्ति श्रृंखला हमले क्या हैं?
आपूर्ति श्रृंखला हमला एक प्रकार का साइबर हमला है जो संगठनों को उनकी आपूर्ति श्रृंखला में कमजोर लिंक, जैसे कि तृतीय-पक्ष सॉफ़्टवेयर, हार्डवेयर और सेवाओं की खोज करके लक्षित करता है। भले ही किसी संगठन के पास मजबूत साइबर सुरक्षा हो, आमतौर पर असुरक्षित सॉफ़्टवेयर होते हैं आपूर्तिकर्ता या अन्य तृतीय पक्ष जिनका किसी संगठन की सुरक्षा को बायपास करने के लिए पिछले दरवाजे के रूप में उपयोग किया जा सकता है सिस्टम।
संक्षेप में, एक हमलावर एक आसान लक्ष्य पाता है और आपूर्ति श्रृंखला के अंदर पार्टियों के बीच भरोसेमंद रिश्ते का लाभ उठाता है। आमतौर पर, वे आपूर्ति श्रृंखला में अनधिकृत पहुंच प्राप्त करने के लिए आपूर्तिकर्ता के सॉफ़्टवेयर को मैलवेयर से संक्रमित करते हैं, और फिर वे पूरे नेटवर्क में मैलवेयर फैलाते हैं। जैसा कि आपको संदेह है, यह बड़े पैमाने पर डेटा उल्लंघनों का कारण बन सकता है।
दुर्भाग्य से, एक सफल आपूर्ति श्रृंखला हमले में समझौता किए गए घटक जंगल की आग की तरह फैलते हैं, इस प्रकार के साइबर हमले का पता लगाना कठिन होता है। यदि आपको संदेह है कि आपके संवेदनशील डेटा से समझौता किया गया है, तो ऐसे तरीके हैं जो आप कर सकते हैं डेटा ब्रीच के बाद खुद को सुरक्षित रखें, लेकिन आपको तेजी से कार्य करना होगा।
आपूर्ति श्रृंखला हमले क्यों बढ़ रहे हैं I
आपूर्ति श्रृंखला के हमलों को विशेष रूप से खतरनाक बनाता है यह तथ्य है कि सुरक्षा में थोड़ी सी भी दरार या सबसे छोटे परिवर्तन के गंभीर परिणाम हो सकते हैं। उदाहरण के लिए, यदि कोड के एक टुकड़े से समझौता किया जाता है, तो पूरी आपूर्ति श्रृंखला को नुकसान हो सकता है। यहाँ तक कि विश्वसनीय सॉफ़्टवेयर भी इस प्रकार के हमलों से सुरक्षित नहीं है क्योंकि सबसे विश्वसनीय सॉफ़्टवेयर की भी अपनी कमज़ोरियाँ होती हैं, और हमलावर उनका शोषण करने के लिए तैयार रहते हैं।
अब, आपूर्ति श्रृंखला हमलों के बढ़ने के कुछ प्राथमिक कारणों पर नजर डालते हैं।
1. ओपन सोर्स सॉफ्टवेयर में कमजोरियां
जबकि खुला स्रोत सॉफ़्टवेयर संगठनों के लिए शानदार लाभ के साथ आता है (लचीलेपन और पारदर्शिता से लेकर लागत में कटौती तक), इसकी भेद्यता ऐप सुरक्षा के लिए गंभीर जोखिम पैदा करती है। चूंकि कोई भी ओपन सोर्स सॉफ़्टवेयर का निरीक्षण, सुधार या अन्यथा संशोधित कर सकता है, यह इसे आपूर्ति श्रृंखला हमलों के लिए खुला बनाता है।
साइबर अपराधी आसानी से संगठन की प्रणालियों तक अनधिकृत पहुंच प्राप्त करने के लिए इसकी कमजोरियों का फायदा उठा सकते हैं, जहां वे संवेदनशील डेटा या तोड़फोड़ सॉफ्टवेयर या पूरे सिस्टम को चुरा सकते हैं।
2. विक्रेता-आपूर्ति सॉफ्टवेयर
जैसा कि आप पहले से ही अनुमान लगा सकते हैं, तृतीय-पक्ष ऐप्स पर निर्भरता नेटवर्क साइबर हमले और नेटवर्क-स्तरीय सुरक्षा खतरों का जोखिम बढ़ा सकती है। यदि कोई तृतीय-पक्ष ऐप हैक हो जाता है, तो साइबर अपराधी उन सभी से संवेदनशील डेटा प्राप्त कर सकते हैं जो वर्तमान में इसका उपयोग कर रहे हैं।
साथ ही, हो सकता है कि ऐप में वही गोपनीयता सुरक्षा न हो जो संगठन के पास है, जिसका अर्थ है कि उपयोगकर्ता डेटा हो सकता है तृतीय पक्षों के साथ उनकी सहमति के बिना साझा किया जा सकता है—या इससे भी बदतर, इसे विज्ञापनदाताओं को तुरंत पैसा देकर बेचा जा सकता है।
3. अधिक परिष्कृत मैलवेयर
चाहे हम रैंसमवेयर, स्पाइवेयर, या कंट्रोल-एंड-कमांड हमले के बारे में बात कर रहे हों, दुर्भावनापूर्ण सॉफ़्टवेयर (उर्फ़ मैलवेयर) अधिक परिष्कृत होता जा रहा है—यहाँ तक कि ChatGPT का उपयोग मैलवेयर बनाने के लिए किया जा रहा है.
जैसे-जैसे मैलवेयर विकसित होता है, आपूर्ति श्रृंखला के भीतर इसका पता लगाना कठिन होता जा रहा है क्योंकि यह खुद को एक सुरक्षित ऐप या एक वैध सॉफ़्टवेयर अपडेट के रूप में बदल सकता है।
4. अंदरूनी धमकी या मानवीय त्रुटि
आपूर्ति श्रृंखला के हमलों के साथ, अंदरूनी खतरे संगठन के कर्मचारियों पर ही नहीं रुकते हैं, बल्कि उन सभी तृतीय पक्षों को भी शामिल करते हैं जिनके साथ संगठन सहयोग करता है। इस प्रकार के खतरे का मुकाबला करने के लिए सख्त अभिगम नियंत्रण और उपयोगकर्ता गतिविधि निगरानी लागू करना महत्वपूर्ण है। हालांकि ये हमले अपेक्षाकृत दुर्लभ हैं, लेकिन इनके परिणाम किसी संगठन के लिए विनाशकारी हो सकते हैं।
मानव त्रुटि कारक को पूरी तरह समाप्त नहीं किया जा सकता है, लेकिन उचित सुरक्षा के साथ इसे कम किया जा सकता है प्रथाओं, जैसे कि आपूर्ति श्रृंखला के मुद्दों के बारे में जागरूकता को बढ़ावा देना और इसके लिए प्रशिक्षण प्रदान करना कर्मचारी। आखिरकार, एक मानवीय त्रुटि एक ईमेल में गलत लिंक पर क्लिक करने और अनजाने में आप पर जासूसी करने और आपका डेटा चोरी करने के लिए मैलवेयर डाउनलोड करने जैसी सरल हो सकती है।
5. गैर-मौजूद एन्क्रिप्शन
व्यापार भागीदारों, तृतीय-पक्ष प्रदाताओं, कर्मचारियों और अंतिम उपयोगकर्ताओं पर भरोसा करना एक बहुत ही विनम्र बात है, यह संगठन की सुरक्षा के लिए बहुत कुछ नहीं करेगा। किसी संगठन के भीतर संवेदनशील डेटा को सुरक्षित रखने के लिए, एंड-टू-एंड एन्क्रिप्शन एक जरूरी है.
आपके पक्ष में मजबूत एन्क्रिप्शन के साथ, साइबर अपराधियों को आपूर्ति श्रृंखला हमले के दौरान डेटा की चोरी के लिए पिछले दरवाजे को स्थापित करने में परेशानी होगी। संक्षेप में, आपका सभी निजी डेटा निजी रहेगा।
6. ज़ीरो-ट्रस्ट इज इज इजीयर सेज्ड देन डन
जीरो-ट्रस्ट मॉडल यह नहीं मानता है कि उपयोगकर्ता और ऐप डिफ़ॉल्ट रूप से भरोसेमंद हैं, लेकिन डेटा और अन्य आईटी संपत्तियों तक पहुंच की अनुमति देने से पहले प्रमाणीकरण की आवश्यकता होती है। एक नेटवर्क के भीतर अनधिकृत गतिविधियों को रोककर, एक शून्य-विश्वास ढांचा आपूर्ति श्रृंखला के हमलों को कम कर सकता है।
हालांकि, एक और चीज जो जीरो-ट्रस्ट फ्रेमवर्क को कम कर सकती है, वह उत्पादकता है, यही वजह है कि कई संगठन इसे अपनाने में धीमे हैं। इसके अलावा, मौजूदा सुरक्षा प्रणालियों के साथ-साथ समय और लागत के अनुपालन की भी समस्या है जो छोटे संगठनों को पीछे धकेल सकती है।
क्या हम आपूर्ति श्रृंखला सुरक्षा जोखिमों को कम कर सकते हैं?
हाँ, हम कर सकते हैं, हालाँकि यह उतना सरल नहीं है जितना यह लग सकता है। ज्यादातर मामलों में, आपूर्ति श्रृंखला के हमले दूरगामी, अच्छी तरह से शोधित और अच्छी तरह से संसाधनयुक्त संचालन हैं। वे व्यापार भागीदारों और तृतीय-पक्ष सॉफ़्टवेयर प्रदाताओं के बीच विश्वास का भी फायदा उठाते हैं, जिससे इस प्रकार के हमलों को नुकसान होने से पहले रोकना और पता लगाना मुश्किल हो जाता है।
लेकिन हम जीरो-ट्रस्ट मॉडल (मल्टी-फैक्टर ऑथेंटिकेशन और एंड-टू-एंड एन्क्रिप्शन को शामिल करते हुए) को लागू करने के साथ-साथ सुरक्षा प्रणालियों को मजबूत करने और नियमित सुरक्षा ऑडिट करने से शुरुआत कर सकते हैं। साथ ही, किसी संगठन की समग्र सुरक्षा के लिए कर्मचारी प्रशिक्षण क्या कर सकता है, इसे कभी कम न समझें।