সাইবার অপরাধীরা সর্বদা অ্যাক্সেস ম্যানেজমেন্টে অন্ধ দাগের সন্ধান করে, সেগুলি ভুল কনফিগারেশন, দুর্বল শংসাপত্রের অনুশীলন, আনপ্যাচড সিকিউরিটি বাগ বা কর্পোরেট দুর্গের অন্যান্য লুকানো দরজা। এখন, যেহেতু সংস্থাগুলি ক্লাউডের দিকে তাদের আধুনিকীকরণের প্রবাহ চালিয়ে যাচ্ছে, খারাপ অভিনেতারা একটি উদীয়মান সুযোগের সদ্ব্যবহার করছে: সংস্থাগুলি কীভাবে ক্লাউড সরবরাহকারীদের ব্যবহার করে তাতে ত্রুটি এবং ভুল কনফিগারেশনগুলি অ্যাক্সেস করছে৷ পরিচয় এবং অ্যাক্সেস ব্যবস্থাপনা (IAM) স্তর।
বুধবার, ১০ আগস্ট ব্ল্যাক হ্যাট ইউএসএ-তে “শিরোনামে একটি আলোচনায়আইএএম দ্য ওয়ান হু নক্স", ইগাল গফম্যান, Ermetic-এর গবেষণার প্রধান, এই উদীয়মান ঝুঁকি সীমান্তে একটি দৃষ্টিভঙ্গি অফার করবেন। “রক্ষকদের বুঝতে হবে যে নতুন পরিধি আগের মতো নেটওয়ার্ক স্তর নয়। এখন এটি সত্যিই আইএএম - এটি ম্যানেজমেন্ট লেয়ার যা সমস্ত নিয়ন্ত্রণ করে, "তিনি ডার্ক রিডিংকে বলেন।
জটিলতা, মেশিন আইডেন্টিটিস = নিরাপত্তাহীনতা
ক্লাউড আইএএম বাস্তবায়নের সময় নিরাপত্তা দলগুলি যে সবচেয়ে সাধারণ সমস্যায় পড়ে তা হল পরিবেশের নিছক জটিলতাকে স্বীকৃতি না দেওয়া, তিনি নোট করেন। এতে সফ্টওয়্যার-এ-সার্ভিস (SaaS) অ্যাপ তৈরি করা অনুমতির বেলুনিং পরিমাণ বোঝা এবং অ্যাক্সেস অন্তর্ভুক্ত রয়েছে।
"প্রতিপক্ষরা ফিশিং বা অন্য কোনো পদ্ধতির মাধ্যমে টোকেন বা শংসাপত্রের উপর তাদের হাত লাগাতে থাকে," গফম্যান ব্যাখ্যা করেন। “এক সময়ে, তারা আক্রমণকারীকে স্থানীয় মেশিনে যা ছিল তার বাইরে বেশি কিছু দেয়নি। কিন্তু এখন, সেই নিরাপত্তা টোকেনগুলির অনেক বেশি অ্যাক্সেস রয়েছে, কারণ গত কয়েক বছরে প্রত্যেকে ক্লাউডে চলে গেছে এবং ক্লাউড সংস্থানগুলিতে আরও অ্যাক্সেস রয়েছে।"
এটি আসে যখন জটিলতা সমস্যা বিশেষ করে তীব্র হয় মেশিন সত্তা - যা, মানুষের বিপরীতে, সর্বদা কাজ করে। ক্লাউড প্রসঙ্গে, তারা API কী ব্যবহার করে ক্লাউড এপিআই অ্যাক্সেস করতে ব্যবহৃত হয়; সার্ভারহীন অ্যাপ্লিকেশন সক্রিয় করুন; স্বয়ংক্রিয় নিরাপত্তা ভূমিকা (যেমন, ক্লাউড অ্যাক্সেস সার্ভিস ব্রোকার বা CASB); পরিষেবা অ্যাকাউন্ট ব্যবহার করে একে অপরের সাথে SaaS অ্যাপ এবং প্রোফাইল একীভূত করুন; এবং আরো
প্রদত্ত যে গড় কোম্পানী এখন শত শত ক্লাউড-ভিত্তিক অ্যাপ এবং ডেটাবেস ব্যবহার করে, মেশিন পরিচয়ের এই বিশাল বিশাল আন্তঃ বোনা অনুমতি এবং অ্যাক্সেসের একটি অত্যন্ত জটিল ওয়েব উপস্থাপন করে যা সংস্থাগুলির পরিকাঠামোকে আন্ডারপিন করে, যার মধ্যে দৃশ্যমানতা অর্জন করা কঠিন এবং এইভাবে পরিচালনা করা কঠিন, গফম্যান বলেছেন। তাই প্রতিপক্ষরা এই পরিচয়গুলোকে আরও বেশি করে কাজে লাগাতে চাইছে।
"আমরা অ-মানব পরিচয়ের ব্যবহার বৃদ্ধি দেখতে পাচ্ছি, যার অভ্যন্তরীণভাবে বিভিন্ন সংস্থান এবং বিভিন্ন পরিষেবার অ্যাক্সেস রয়েছে," তিনি নোট করেছেন। “এগুলি এমন পরিষেবা যা অন্যান্য পরিষেবাগুলির সাথে কথা বলে৷ তাদের অনুমতি আছে, এবং সাধারণত মানুষের চেয়ে বিস্তৃত অ্যাক্সেস আছে। ক্লাউড প্রদানকারীরা তাদের ব্যবহারকারীদের সেগুলি ব্যবহার করার জন্য চাপ দিচ্ছে, কারণ মৌলিক স্তরে তারা তাদের আরও নিরাপদ বলে মনে করে। কিন্তু, কিছু শোষণের কৌশল রয়েছে যা সেই অ-মানবিক পরিচয়গুলি ব্যবহার করে পরিবেশের সাথে আপস করতে ব্যবহার করা যেতে পারে।"
ম্যানেজমেন্টের অনুমতি সহ মেশিন সত্তাগুলি প্রতিপক্ষদের ব্যবহারের জন্য বিশেষভাবে আকর্ষণীয়, তিনি যোগ করেন।
"এটি একটি প্রধান ভেক্টর যা আমরা সাইবার অপরাধীদের লক্ষ্যবস্তু করতে দেখি, বিশেষ করে Azure-এ," তিনি ব্যাখ্যা করেন। "আইএএম-এর মধ্যে কীভাবে সেগুলি পরিচালনা করবেন সে সম্পর্কে আপনার যদি অন্তরঙ্গ বোঝা না থাকে তবে আপনি একটি সুরক্ষা গর্ত অফার করছেন।"
ক্লাউডে আইএএম সুরক্ষা কীভাবে বুস্ট করবেন
একটি প্রতিরক্ষামূলক দৃষ্টিকোণ থেকে, গফম্যান ক্লাউডে কার্যকর আইএএম বাস্তবায়নের সমস্যার চারপাশে তাদের অস্ত্র পাওয়ার জন্য সংস্থাগুলির অনেকগুলি বিকল্প নিয়ে আলোচনা করার পরিকল্পনা করেছেন। একের জন্য, পরিবেশে কে — এবং কী — বিদ্যমান তার একটি বিস্তৃত দৃষ্টিভঙ্গি তৈরি করতে সংস্থাগুলিকে ক্লাউড প্রদানকারীদের লগিং ক্ষমতা ব্যবহার করা উচিত৷
"এই সরঞ্জামগুলি আসলে ব্যাপকভাবে ব্যবহৃত হয় না, তবে আপনার পরিবেশে কী ঘটছে তা আরও ভালভাবে বোঝার জন্য তারা ভাল বিকল্প," তিনি ব্যাখ্যা করেন। “আপনি আক্রমণের সারফেস কমাতেও লগিং ব্যবহার করতে পারেন, কারণ আপনি দেখতে পাচ্ছেন ব্যবহারকারীরা ঠিক কী ব্যবহার করছে এবং তাদের কী অনুমতি রয়েছে। প্রশাসকরা প্রদত্ত পরিকাঠামোর মধ্যে আসলে কী ব্যবহার করা হচ্ছে তার সাথেও বর্ণিত নীতির তুলনা করতে পারেন।"
তিনি শীর্ষ তিনটি পাবলিক ক্লাউড প্রদানকারী - অ্যামাজন ওয়েব সার্ভিসেস, গুগল ক্লাউড প্ল্যাটফর্ম, এবং মাইক্রোসফ্ট অ্যাজুর - এবং তাদের সুরক্ষা পদ্ধতিগুলি থেকে আলাদা আলাদা আইএএম পরিষেবাগুলিকে ভেঙে ফেলার এবং তুলনা করার পরিকল্পনা করেছেন, যার সবগুলিই কিছুটা আলাদা৷ মাল্টি-ক্লাউড আইএএম হল কর্পোরেশনগুলির জন্য বিভিন্ন প্রদানকারীর থেকে বিভিন্ন ক্লাউড ব্যবহার করে একটি অতিরিক্ত বলি, এবং গফম্যান নোট করে যে তারা যে সরঞ্জামগুলি অফার করে তার মধ্যে সূক্ষ্ম পার্থক্যগুলি বোঝা প্রতিরক্ষা ব্যবস্থাকে উন্নত করার জন্য একটি দীর্ঘ পথ যেতে পারে।
সংস্থাগুলি অবকাঠামো জুড়ে আরও ভাল দৃশ্যমানতা অর্জনের জন্য বিভিন্ন তৃতীয় পক্ষের, ওপেন সোর্স সরঞ্জামগুলিও ব্যবহার করতে পারে, তিনি উল্লেখ করেছেন যে তিনি এবং তার সহ-উপস্থাপক নোয়াম দাহান, Ermetic-এর গবেষণার নেতৃত্ব, একটি বিকল্প ডেমো করার পরিকল্পনা করেছেন।
"ক্লাউড আইএএম অত্যন্ত গুরুত্বপূর্ণ," গফম্যান বলেছেন। "আমরা বিপদ সম্পর্কে কথা বলতে যাচ্ছি, যে সরঞ্জামগুলি ব্যবহার করা যেতে পারে এবং কোন অনুমতিগুলি ব্যবহার করা হয় এবং কোন অনুমতিগুলি ব্যবহার করা হয় না এবং কীভাবে এবং কোথায় প্রশাসকরা অন্ধ দাগগুলি সনাক্ত করতে পারে তা আরও ভালভাবে বোঝার গুরুত্ব সম্পর্কে কথা বলতে যাচ্ছি।"
