রাশিয়ান পাওয়ার গ্রিড আক্রমণ কীভাবে প্রতিটি পেশাদার করতে পারে

এতক্ষণে আপনি শুনেছেন যে ফেডারেল ব্যুরো অফ ইনভেস্টিগেশন (এফবিআই) এবং মার্কিন হোমল্যান্ড সিকিউরিটি বিভাগের যৌথ তদন্তের ফলে একটি প্রতিবেদন তৈরি হয়েছে যে রাশিয়ান অপারেশনগুলি মার্কিন যুক্তরাষ্ট্রে পাওয়ার গ্রিডের অংশভুক্ত সংস্থাগুলিতে হ্যাক করেছে। আক্রমণকারীদের মার্কিন কম্পিউটার জরুরী প্রস্তুতি দল (ইউএস-সিইআরটি) একটি প্রতিবেদনে বিশদভাবে বর্ণনা করা হয়েছে যাতে বিবৃত করা হয়েছে যে আক্রমণকারীরা কীভাবে বিদ্যুৎ সুবিধা প্রবেশ করতে সক্ষম হয়েছিল এবং তারা যে তথ্য চুরি করেছিল সেগুলি দিয়ে তারা কী করেছিল।

মিডিয়া রিপোর্টগুলিতে যা ছিল না তা হ'ল এটি আইটি পেশাদারদের জন্য উদ্বেগের কারণ হতে পারে, তারা ছোট ব্যবসায়ের (এসএমবি) বা বৃহত্তর সংস্থার পক্ষে কাজ করে কিনা। এই সত্য: আক্রমণকারীরা যে পথটি ব্যবহার করেছিল তা চূড়ান্ত লক্ষ্যটির ছোট অংশীদারদের মধ্য দিয়ে গেছে। তারা সেই ছোট অংশীদারদের প্রতিরক্ষা অনুপ্রবেশ করে তাদের আক্রমণ শুরু করেছিল কারণ তাদের দুর্বল প্রতিরক্ষা হওয়ার সম্ভাবনা ছিল এবং তারপরে তারা লাইন থেকে পরবর্তী সুবিধার্থে আক্রমণ করার জন্য সেখান থেকে জড়িত তথ্য এবং সংস্থান ব্যবহার করে।

একটি স্মার্ট ফিশিং অ্যাটাকের অ্যানাটমি

ছোট অংশীদারটির অ্যাক্সেস পাওয়ার প্রাথমিক মাধ্যমটি ছিল জনসাধারণের তথ্য সন্ধান করা, যা অন্যান্য তথ্যের সাথে একত্রে রাখলে পরবর্তী পদক্ষেপের জন্য প্রয়োজনীয় স্তরের বিশদ সরবরাহ করবে। উদাহরণস্বরূপ, কোনও আক্রমণকারী চূড়ান্ত লক্ষ্য নিয়ে ব্যবসা করে এমন কোনও সংস্থার ওয়েবসাইট পরীক্ষা করতে পারে এবং সেখানে সে অংশীদারের সংস্থা বা চূড়ান্ত টার্গেটে কোনও সিনিয়র এক্সিকিউটির ইমেল ঠিকানাটি খুঁজে পেতে পারে। তারপরে আক্রমণকারী উভয় সংস্থার ওয়েবসাইট থেকে সম্পর্ক কী তা, কারা পরিষেবাগুলি সরবরাহ করছেন এবং প্রতিটি সংস্থার কাঠামো সম্পর্কে কিছু তথ্য পরীক্ষা করতে পারে।

সেই তথ্য সজ্জিত, আক্রমণকারী বৈধ ইমেল ঠিকানা বলে মনে হচ্ছে যা থেকে অত্যন্ত বিশ্বাসযোগ্য ফিশিং ইমেলগুলি প্রেরণ শুরু করতে পারে; ফায়ারওয়াল বা পরিচালিত শেষ পয়েন্ট সুরক্ষা স্তরে স্থাপন করা কোনও ফিশিং ফিল্টারকে ভালভাবে পরাস্ত করতে পারে এমন যথেষ্ট নকশাকৃত বিশদ রয়েছে ones ফিশিং ইমেলগুলি সেই ব্যক্তির লক্ষ্যবস্তু হওয়ার জন্য লগইন শংসাপত্রগুলি সংগ্রহের জন্য নকশাকৃত করা হত এবং যদি সেগুলির মধ্যে কোনওটি সফল হয় তবে আক্রমণকারীরা তাত্ক্ষণিকভাবে চিহ্নিত এবং চিহ্নিত নেটওয়ার্কের অভ্যন্তরে থাকা কোনও পরিচয় ব্যবস্থাপনার ব্যবস্থা গ্রহণ করতে পারে।

ফেসবুক থেকে ব্যবহারকারীর তথ্য সংগ্রহের তথ্য প্রকাশের সাথে সাথে হুমকির প্রকৃতি প্রসারিত হয়। ২০১৪ সালে একাডেমিক গবেষণার আড়ালে পরিচালিত লঙ্ঘনে একজন রুশ গবেষক আমেরিকান ফেসবুক সদস্যের প্রায় ৫০ মিলিয়ন ব্যবহারকারী প্রোফাইল অ্যাক্সেস পেয়েছিলেন। সেই প্রোফাইলগুলি কেমব্রিজ অ্যানালিটিকাতে স্থানান্তরিত করা হয়েছিল। পরবর্তী তদন্তে জানা গেছে যে এই তথ্যগুলি ফেসবুক ব্যবহারকারীদের অনুমতি ছাড়াই নেওয়া হয়েছিল এবং তারপরে অপব্যবহার করা হয়েছিল।

বাহ্যিক যোগাযোগ নিরীক্ষণ

সতর্ক ব্যবসায়ের জন্য তাদের ওয়েবসাইটগুলির মাধ্যমে কী কী তথ্য সরবরাহ করা উচিত তা কেবল এই প্রশ্নটি নিয়ে আসে। সবচেয়ে খারাপ, এই ক্যোয়ারির সম্ভবত সংস্থার সোশ্যাল মিডিয়া প্রেজেন্সগুলি, ইউটিউবের মতো তৃতীয় পক্ষের বিপণন চ্যানেল এবং এমনকি উচ্চ প্রোফাইল কর্মচারী সামাজিক মিডিয়া প্রোফাইলগুলিতে প্রসারিত হওয়া প্রয়োজন।

"আমি মনে করি তাদের কোম্পানির ওয়েবসাইটগুলিতে কী আছে সে সম্পর্কে তাদের সাবধানতা অবলম্বন করতে হবে, " সাইকস্টেরার চিফ ইনফরমেশন সিকিউরিটি অফিসার (সিআইএসও) এবং এফবিআইয়ের নিউইয়র্ক সিটির ফিল্ড অফিসের সাইবার ডিভিশনের দায়িত্বে থাকা প্রাক্তন স্পেশাল এজেন্ট লিয়ো টাদডিও বলেছেন। "অজান্তেই তথ্য প্রকাশের বড় সম্ভাবনা রয়েছে।"

তাদেদেও বলেছিলেন যে একটি ভাল উদাহরণ চাকরির পোস্টিংগুলিতে যেখানে আপনি প্রকাশ করতে পারবেন আপনি কী কী সরঞ্জাম বিকাশের জন্য ব্যবহার করছেন বা কোন সুরক্ষা বিশেষত্ব যা আপনি খুঁজছেন। "অনেকগুলি উপায় রয়েছে যেগুলি সংস্থাগুলি তাদের প্রকাশ করতে পারে There এখানে একটি বৃহত পৃষ্ঠের অঞ্চল রয়েছে just কেবল ওয়েবসাইট নয় এবং কেবল ইচ্ছাকৃত যোগাযোগ নয়, " তিনি বলেছিলেন।

"সোশ্যাল মিডিয়া একটি ঝুঁকি, " ট্যাডেও ব্যাখ্যা করে বললেন যে সামাজিক মিডিয়ায় পোস্ট করা কোনও কর্মী অজান্তে একটি বড় বিষয় প্রকাশ করতে পারে। তিনি উল্লেখ করেছিলেন যে কর্মীরা বলছেন যে তারা তাদের কাজ নিয়ে খুশি নন তারা শোষণের লক্ষ্য প্রকাশ করতে পারে। "যে কর্মচারীরা তাদের কাজ বা তাদের কৃতিত্বের বিষয়ে বিশদভাবে কথা বলেন তারা ঝুঁকিপূর্ণ। সামাজিক যোগাযোগ মাধ্যম খনন বিরোধীদের পক্ষে খুব ফলদায়ক।"

টেডিও সতর্ক করে দিয়েছিল যে লিঙ্কডইন হিসাবে পেশাদার মিডিয়া ওয়েবসাইটগুলিও যারা সাবধান নয় তাদের জন্যও ঝুঁকিপূর্ণ। তিনি বলেছিলেন যে বিরোধীরা এই জাতীয় ওয়েবসাইটগুলিতে ভুয়া অ্যাকাউন্ট তৈরি করে যা প্রকৃতপক্ষে তারা কে ছদ্মবেশ ধারণ করে এবং তারপর তাদের পরিচিতিগুলি থেকে তথ্য ব্যবহার করে। "সোশ্যাল মিডিয়া সাইটগুলিতে তারা যাই পোস্ট করেন তা তাদের নিয়োগকর্তার সাথে আপোষ করতে পারে, " তিনি বলেছিলেন।

আপনি যে খারাপ অভিনেতারা আপনাকে টার্গেট করছেন তা আপনার ডেটার পরে হতে পারে বা আপনি যে কোনও সংস্থার সাথে কাজ করছেন তার পরেও এই প্রশ্নটি করা যায় যে প্রশ্নটি কেবল আপনি কীভাবে নিজেকে রক্ষা করবেন তা নয় তবে আপনি কীভাবে আপনার ব্যবসায়িক অংশীদারকে সুরক্ষা দেবেন? এটি জটিল যে এই কারণে যে আপনি জানেন না যে আক্রমণকারীরা আপনার ডেটার পরে থাকতে পারে বা কেবল আপনাকে একটি স্টেপিং পাথর এবং সম্ভবত পরবর্তী আক্রমণটির জন্য একটি মঞ্চস্থ অবস্থান হিসাবে দেখবে।

কীভাবে নিজেকে রক্ষা করবেন

যে কোনও উপায়ে, আপনি নিতে পারেন এমন কিছু পদক্ষেপ রয়েছে। এটির কাছে যাওয়ার সর্বোত্তম উপায় হ'ল তথ্য নিরীক্ষণের আকারে। আপনার সংস্থাটি সমস্ত চ্যানেলগুলি বাহ্যিক যোগাযোগের জন্য, অবশ্যই বিপণনের জন্য, তবে এইচআর, পিআর এবং অন্যদের মধ্যে সরবরাহ শৃঙ্খলার জন্য ব্যবহার করছে তা গণনা করুন। তারপরে একটি অডিট টিম তৈরি করুন যাতে সমস্ত আক্রান্ত চ্যানেলগুলির অংশীদার থাকে এবং সেখানে পদ্ধতিগতভাবে এবং ডেটা চোরদের পক্ষে কার্যকর হতে পারে এমন তথ্যের দিকে নজর রেখে বিশ্লেষণ শুরু করুন। প্রথমে আপনার সংস্থার ওয়েবসাইট দিয়ে শুরু করুন:

আপনার কাজের ওয়েবসাইট এবং আপনি যে সরঞ্জামগুলি ব্যবহার করেন সে সম্পর্কে বিশদ সরবরাহ করতে পারে এমন কোনও কিছুর জন্য আপনার কোম্পানির ওয়েবসাইট পরীক্ষা করুন। উদাহরণস্বরূপ, কোনও ফটো স্ক্রিনে উপস্থিত কম্পিউটারের স্ক্রিনে গুরুত্বপূর্ণ তথ্য থাকতে পারে। উত্পাদনের সরঞ্জাম বা নেটওয়ার্ক অবকাঠামোর ফটোগুলি পরীক্ষা করুন, যা আক্রমণকারীদের জন্য দরকারী ক্লু সরবরাহ করতে পারে।

কর্মীদের তালিকা দেখুন। আপনার প্রবীণ কর্মীদের তালিকাভুক্ত ইমেল ঠিকানা রয়েছে কি? এই ঠিকানাগুলি কেবল আক্রমণকারীকে একটি সম্ভাব্য লগইন ঠিকানা সরবরাহ করে না, তবে অন্যান্য কর্মীদের কাছে প্রেরিত ইমেলগুলি ফাঁকি দেওয়ারও একটি উপায়। ফর্মের সাথে লিঙ্কযুক্ত তাদের প্রতিস্থাপনের বিষয়টি বিবেচনা করুন বা অভ্যন্তরীণ ব্যবহারের বিপরীতে জনসাধারণের জন্য আলাদা ইমেল ঠিকানা ব্যবহার করুন।

আপনার ওয়েবসাইট কি আপনার গ্রাহক বা অংশীদার কে বলে? এটি কোনও আক্রমণকারীকে আপনার সংস্থাকে আক্রমণ করার অন্য উপায় সরবরাহ করতে পারে যদি তাদের আপনার সুরক্ষা কাটিয়ে উঠতে সমস্যা হয়।

আপনার কাজের পোস্টিং পরীক্ষা করুন। তারা আপনার সংস্থার সরঞ্জামগুলি, ভাষাগুলি বা অন্যান্য দিকগুলি সম্পর্কে কতটা প্রকাশ করে? নিজেকে সেই তথ্য থেকে আলাদা করতে একটি নিয়োগ সংস্থার মাধ্যমে কাজ করার কথা বিবেচনা করুন।

আপনার বিরোধীরা অবশ্যই এই চ্যানেলের মাধ্যমে তথ্য খনন করার চেষ্টা করবে তা মনে রেখে, আপনার সামাজিক মিডিয়া উপস্থিতিটি দেখুন Look আপনার সিনিয়র স্টাফদের দ্বারা পোস্টিংগুলিতে আপনার সংস্থা সম্পর্কে কতটা তথ্য প্রকাশিত হয়েছে তা দেখুন। আপনি সোশ্যাল মিডিয়াতে আপনার কর্মচারীদের ক্রিয়াকলাপ সম্পর্কে সমস্ত কিছু নিয়ন্ত্রণ করতে পারবেন না তবে আপনি এটি লক্ষ্য রাখতে পারেন।

আপনার নেটওয়ার্ক আর্কিটেকচার বিবেচনা করুন। ট্যাডেও একটি প্রয়োজনীয় প্রয়োজনের পদ্ধতির প্রস্তাব দেয় যেখানে প্রশাসনিক অ্যাক্সেস কেবল তখনই দেওয়া হয় যখন কেবল প্রয়োজন হয় এবং কেবল সিস্টেমের দৃষ্টি দেওয়ার প্রয়োজন হয়। তিনি একটি সফ্টওয়্যার সংজ্ঞায়িত পরিধি (এসডিপি) ব্যবহার করার পরামর্শ দেন যা মূলত মার্কিন প্রতিরক্ষা বিভাগ দ্বারা তৈরি করা হয়েছিল। "পরিণামে, প্রতিটি ব্যবহারকারীর অ্যাক্সেস এনটাইটেলমেন্টগুলি পরিচয়, ডিভাইস, নেটওয়ার্ক এবং অ্যাপ্লিকেশন সংবেদনশীলতার উপর ভিত্তি করে গতিশীল পরিবর্তন করা হয়, " তিনি বলেছিলেন। "এগুলি সহজেই কনফিগার করা নীতি দ্বারা চালিত হয় application অ্যাপ্লিকেশন অ্যাক্সেসের সাথে নেটওয়ার্ক অ্যাক্সেস প্রান্তিককরণের মাধ্যমে, আক্রমণকারী পৃষ্ঠের অঞ্চলটি নাটকীয়ভাবে হ্রাস পাওয়ার সময় ব্যবহারকারীরা সম্পূর্ণ উত্পাদনশীল থাকে remain"

• এখন আপনার মেঘ পরিষেবাগুলি একইভাবে বিবেচনা করুন। এটি প্রায়শই তৃতীয় পক্ষের কর্পোরেট মেঘ পরিষেবাগুলিতে আপনার কোম্পানির গুগল অ্যানালিটিক্স বা বিক্রয় বাহিনীর অ্যাকাউন্টগুলির মতো সিনিয়র কোম্পানির এক্সিকিউটিভ অ্যাডমিনিস্ট্রেটরদের তৈরি করার জন্য একটি ডিফল্ট কনফিগারেশন। যদি তাদের সেই স্তরের অ্যাক্সেসের প্রয়োজন না হয় তবে তাদের ব্যবহারকারীর স্থিতিতে ফেলে দেওয়া এবং আইটি কর্মীদের প্রশাসনিক অ্যাক্সেসের স্তর ছেড়ে দেওয়ার কথা বিবেচনা করুন যাদের ইমেল লগইনগুলি সন্ধান করা আরও কঠিন।

অবশেষে, ট্যাডেও ছায়া আইটি দ্বারা নির্মিত দুর্বলতার সন্ধান করতে বলেছিল। আপনি এটির সন্ধান না করলে আপনি আপনার কঠোর সুরক্ষার কাজটি অতিক্রম করতে পারবেন কারণ কেউ তাদের অফিসে একটি ওয়্যারলেস রাউটার ইনস্টল করেছে যাতে তারা কাজের জায়গায় তাদের ব্যক্তিগত আইপ্যাডের আরও সহজ ব্যবহার করতে পারে। অজানা তৃতীয় পক্ষের মেঘ পরিষেবাগুলিও এই বিভাগে আসে। বড় সংস্থাগুলিতে, বিভাগীয় প্রধানরা তাদের আইটি "লাল টেপ" হিসাবে যা দেখছেন তাকে বাইপাস করার জন্য সুবিধাজনক মেঘ পরিষেবাগুলির জন্য কেবল তাদের বিভাগগুলিতে সাইন আপ করা অস্বাভাবিক কিছু নয়।

এর মধ্যে মূল আইটি পরিষেবাগুলি অন্তর্ভুক্ত থাকতে পারে, যেমন ড্রপবক্স বিজনেসকে নেটওয়ার্ক স্টোরেজ হিসাবে ব্যবহার করা বা কোনও আলাদা বিপণন অটোমেশন পরিষেবা ব্যবহার করা কারণ অফিসিয়াল কর্পোরেট-ব্যাকড সরঞ্জামটির জন্য সাইন আপ করা খুব ধীর এবং খুব বেশি ফর্ম পূরণ করা প্রয়োজন। এগুলির মতো সফ্টওয়্যার পরিষেবাগুলি আইটি ছাড়াই সংবেদনশীল ডেটার গোবগুলি প্রকাশ করে। আপনার সংস্থায় কোন অ্যাপ্লিকেশনগুলি ব্যবহার হচ্ছে, কার দ্বারা এবং আপনি কী অ্যাক্সেস পেয়েছেন তার দৃ firm়ভাবে আপনি নিয়ন্ত্রণে আছেন তা নিশ্চিত হয়ে নিন।

এর মতো নিরীক্ষণের কাজ ক্লান্তিকর এবং কখনও কখনও সময়সাপেক্ষ হলেও এটি দীর্ঘকালীন সময়ে বড় লভ্যাংশ দিতে পারে। যতক্ষণ না আপনার বিরোধীরা আপনার পিছনে আসে, আপনি জানেন না যে আপনার কাছে কী এটি চুরির মূল্য হতে পারে। সুতরাং আপনার কীভাবে সুরক্ষার সাথে এমন পদ্ধতিতে পৌঁছানো দরকার যা নমনীয় যা এখনও গুরুত্বপূর্ণ কিছুর দিকে নজর রাখছে; এবং এটি করার একমাত্র উপায় হ'ল আপনার নেটওয়ার্কে কী চলছে সে সম্পর্কে পুরোপুরি অবহিত করা।