द ग्रेट बिज़ऐप हैक: आपके रोज़मर्रा के व्यावसायिक अनुप्रयोगों में साइबर-जोखिम

कुछ साइबर सुरक्षा शीर्षकों को पढ़ें और आप एक प्रवृत्ति देखेंगे: उनमें व्यावसायिक अनुप्रयोग तेजी से शामिल हो रहे हैं।

उदाहरण के लिए, ईमेल टूल Mailchimp का कहना है कि घुसपैठियों ने "आंतरिक टूल" के माध्यम से उसके ग्राहक खातों में सेंध लगाई। मार्केटिंग ऑटोमेशन सॉफ्टवेयर हबस्पॉट घुसपैठ हो गई. कॉर्पोरेट पासवर्ड वॉलेट ओक्टा से समझौता किया गया. परियोजना प्रबंधन उपकरण Jira एक ऐसा अपडेट किया जिससे गलती से Google और NASA जैसे ग्राहकों की निजी जानकारी उजागर हो गई।

यह साइबर सुरक्षा के नवीनतम मोर्चों में से एक है: आपके आंतरिक उपकरण।

यह तार्किक ही है कि दुर्भावनापूर्ण तत्व आगे चलकर यहां घुसपैठ करेंगे, या कर्मचारी गलती से दरवाजे खुले छोड़ देंगे। औसत संगठन अब है 843 SaaS अनुप्रयोग और अपने मुख्य कार्यों को चलाने के लिए उन पर तेजी से निर्भर हो रहा है। मैं इस बारे में उत्सुक था कि प्रशासक इन ऐप्स को सुरक्षित रखने के लिए क्या कर सकते हैं, इसलिए मैंने एक पुराने सहयोगी, मिशा सेल्टज़र, एक सीटीओ और एटमोसेक के सह-संस्थापक, जो इस क्षेत्र में काम कर रहे हैं, का साक्षात्कार लिया।

व्यावसायिक अनुप्रयोग विशेष रूप से असुरक्षित क्यों हैं?

व्यावसायिक अनुप्रयोगों के उपयोगकर्ता सुरक्षा के बारे में नहीं सोचते और अनुपालन. मीशा कहती हैं, आंशिक रूप से, क्योंकि यह उनका काम नहीं है। वे पहले से ही काफी व्यस्त हैं. और आंशिक रूप से, ऐसा इसलिए है क्योंकि ये टीमें आईटी के दायरे से बाहर अपने सिस्टम खरीदने की कोशिश करती हैं।

इस बीच, ऐप्स को लॉन्च करना और एकीकृत करना आसान बनाने के लिए डिज़ाइन किया गया है। आप उनमें से कई को बिना क्रेडिट कार्ड के लॉन्च कर सकते हैं। और उपयोगकर्ता अक्सर इस सॉफ़्टवेयर को अपने कुछ सबसे महत्वपूर्ण रिकॉर्ड सिस्टम जैसे सीआरएम, ईआरपी, सपोर्ट सिस्टम और मानव पूंजी प्रबंधन (एचसीएम) के साथ केवल एक क्लिक के साथ एकीकृत कर सकते हैं।

यह उन प्रमुख विक्रेताओं के ऐप स्टोर में पेश किए गए अधिकांश ऐप्स के लिए सच है। मीशा बताती हैं कि सेल्सफोर्स उपयोगकर्ता ऐसा कर सकते हैं एक ऐप "कनेक्ट" करें Salesforce AppExchange से वास्तव में इसे स्थापित किए बिना. इसका मतलब है कि इसकी कोई जांच नहीं है, यह आपके ग्राहक डेटा तक पहुंच सकता है, और इसकी गतिविधियां उपयोगकर्ता प्रोफ़ाइल के तहत लॉग की जाती हैं, जिससे इसे ट्रैक करना मुश्किल हो जाता है।

तो, यह पहला मुद्दा है। नए, संभावित रूप से असुरक्षित ऐप्स को अपने मुख्य ऐप्स से कनेक्ट करना बहुत आसान है। दूसरा मुद्दा यह है कि इनमें से अधिकांश प्रणालियाँ प्रशासकों के लिए यह देखने के लिए डिज़ाइन नहीं की गई हैं कि उनके भीतर क्या चल रहा है।

उदाहरण के लिए:

• Salesforce कई अद्भुत DevOps उपकरण प्रदान करता है, लेकिन एकीकृत ऐप्स को ट्रैक करने, एपीआई कुंजियों का विस्तार करने, या संदिग्ध परिवर्तनों का पता लगाने के लिए संगठनों की तुलना करने का कोई मूल तरीका नहीं है।
• नेटसुइट का चेंजलॉग केवल इस बात का विवरण नहीं देता कि किसने क्या बदला कि कुछ बदल गया, जिससे ऑडिट करना मुश्किल हो गया।
• जीरा का चेंजलॉग समान रूप से विरल है, और जीरा को अक्सर ज़ेंडेस्क, पेजरड्यूटी और स्लैक के साथ एकीकृत किया जाता है, जिसमें संवेदनशील डेटा होता है।

इससे यह जानना मुश्किल हो जाता है कि क्या कॉन्फ़िगर किया गया है, किस एप्लिकेशन के पास किस डेटा तक पहुंच है, और आपके सिस्टम में कौन है।

आप इसके बारे में क्या कर सकते हैं

मिशा कहती हैं, सबसे अच्छा बचाव स्वचालित बचाव है, इसलिए अपनी साइबर सुरक्षा टीम से बात करें कि वे आपके व्यावसायिक अनुप्रयोगों की निगरानी को अपनी मौजूदा योजनाओं में कैसे शामिल कर सकते हैं। लेकिन पूर्ण जागरूकता और कवरेज के लिए, उन्हें भी, इन उपकरणों के मूल रूप से प्रदान किए जाने वाले उपकरणों की तुलना में इन अनुप्रयोगों के भीतर और उनके बीच क्या हो रहा है, इसकी गहरी अंतर्दृष्टि की आवश्यकता होगी। आपको ऐसे उपकरण बनाने या खरीदने की आवश्यकता होगी जो आपकी सहायता कर सकें:

• अपने जोखिमों को पहचानें: आपको प्रत्येक एप्लिकेशन में कॉन्फ़िगर की गई सभी चीज़ों को देखने, स्नैपशॉट को समय पर सहेजने और उन स्नैपशॉट की तुलना करने की क्षमता की आवश्यकता होगी। यदि कोई उपकरण आपको कल के कॉन्फ़िगरेशन और आज के कॉन्फ़िगरेशन के बीच अंतर बता सकता है, तो आप देख सकते हैं कि किसने क्या किया है - और घुसपैठ या घुसपैठ की संभावना का पता लगा सकते हैं।
• कमजोरियों की जांच, निगरानी और विश्लेषण करें: आपको अपने सबसे संवेदनशील कॉन्फ़िगरेशन में परिवर्तनों के लिए अलर्ट सेट करने का एक तरीका चाहिए। इन्हें पारंपरिक SaaS सुरक्षा मुद्रा प्रबंधन (एसएसपीएम) टूल से आगे जाने की आवश्यकता होगी, जो एक समय में केवल एक एप्लिकेशन की निगरानी करते हैं, या केवल नियमित सिफारिशें प्रदान करते हैं। यदि कोई चीज़ Salesforce या Zendesk से जुड़ती है और किसी महत्वपूर्ण वर्कफ़्लो को बदल देती है, तो आपको जानना आवश्यक है।
• एक प्रतिक्रिया योजना विकसित करें: एक Git-जैसा टूल अपनाएं जो आपको "संस्करण"आपके व्यावसायिक एप्लिकेशन पूर्व स्थितियों को संग्रहीत करते हैं जिन्हें आप बाद में वापस कर सकते हैं। यह हर घुसपैठ को ठीक नहीं करेगा, और इससे आपको मेटाडेटा खोना पड़ सकता है, लेकिन यह निवारण की एक प्रभावी पहली पंक्ति है।
• अपनी SaaS सुरक्षा स्वच्छता बनाए रखें: अपने संगठनों को अद्यतित रखने, अनावश्यक उपयोगकर्ताओं और एकीकरणों को निष्क्रिय करने और यह सुनिश्चित करने के लिए टीम में किसी को नियुक्त करें कि बंद की गई सुरक्षा सेटिंग्स वापस चालू हो गई हैं - उदाहरण के लिए, यदि कोई वेबहुक को कॉन्फ़िगर करने के लिए एन्क्रिप्शन या टीएलएस को अक्षम करता है, तो जांचें कि यह था पुनः सक्षम.

यदि आप यह सब एक साथ रख सकते हैं, तो आप उन क्षेत्रों की पहचान करना शुरू कर सकते हैं जिनमें दुर्भावनापूर्ण अभिनेता प्रवेश कर सकते हैं - जैसे स्लैक के वेबहुक के माध्यम से, जैसा कि मीशा बताती है।

बिजनेस सिस्टम सुरक्षा में आपकी भूमिका

इन प्रणालियों को सुरक्षित करना अकेले प्रशासकों पर निर्भर नहीं है, लेकिन आप कुछ स्पष्ट खुले दरवाजों को बंद करने में महत्वपूर्ण भूमिका निभा सकते हैं। और जितना बेहतर आप इन प्रणालियों को देख पाएंगे - एक ऐसा काम जिसे वे हमेशा अनुमति देने के लिए मूल रूप से नहीं बनाए जाते हैं - उतना ही बेहतर आपको पता चलेगा कि क्या किसी ने व्यावसायिक एप्लिकेशन को हैक किया है।