यहां तक कि साइबर सुरक्षा पेशेवरों को भी अपनी सुरक्षा स्थिति में सुधार करने की आवश्यकता है।
यह फरवरी में आरएसए सम्मेलन से सबक है, जहां सिस्को और नेटविटनेस द्वारा संचालित सुरक्षा संचालन केंद्र (एसओसी) ने 55,525 अद्वितीय खातों से 2,210 क्लियरटेक्स्ट पासवर्ड कैप्चर किए, कंपनियों ने पिछले सप्ताह जारी एक रिपोर्ट में कहा। एसओसी द्वारा जांच किए गए एक मामले में, एक मुख्य सूचना सुरक्षा अधिकारी के पास एक गलत कॉन्फ़िगर किया गया ईमेल क्लाइंट था जिसने पासवर्ड और टेक्स्ट को स्पष्ट रूप से भेजा, जिसमें पेशेवर प्रमाणीकरण के लिए उनके भुगतान जैसे संवेदनशील दस्तावेज़ भी शामिल थे।
जबकि सिस्को सिक्योर में तकनीकी गठबंधन के निदेशक जेसिका बैर ओपेनहाइमर का कहना है कि 96,361 में उजागर हुए 2020 पासवर्ड और 100,000 में क्लियर में भेजे गए 2019 से अधिक पासवर्ड की तुलना में क्लियरटेक्स्ट पासवर्ड की संख्या में सुधार हुआ है, लेकिन अभी भी सुधार की गुंजाइश है।
"चूंकि आरएसए सम्मेलन में ज्यादातर साइबर सुरक्षा पेशेवर और सुरक्षा उद्योग के भीतर सहायक भूमिका निभाने वाले लोग भाग लेते हैं, हम आम तौर पर जनसांख्यिकीय को सुरक्षा जागरूकता के 'सर्वोत्तम-मामले' स्तर का अधिक प्रतिनिधित्व करने वाला मानते हैं," वह कहती हैं। "कुछ हद तक चौंकाने वाली बात यह है कि अनएन्क्रिप्टेड ईमेल का उपयोग अभी भी 2022 में किया जा रहा है।"
RSI वार्षिक विवरण उपयोगकर्ताओं के सुरक्षा-केंद्रित समूह के बीच नेटवर्क उपयोग पर एक दृष्टिकोण प्रस्तुत करता है। सिस्को और नेटविटनेस ने इस बात पर जोर दिया कि आरएसए सम्मेलन में वायरलेस नेटवर्क को सबसे सुरक्षित तरीके से कॉन्फ़िगर नहीं किया गया है, बल्कि शैक्षिक उद्देश्यों के लिए निगरानी के लिए कॉन्फ़िगर किया गया है। इस कारण से, नेटवर्क में एक सपाट वास्तुकला है, जो किसी भी डिवाइस को नेटवर्क पर किसी भी अन्य डिवाइस से संपर्क करने की अनुमति देती है। होस्ट आइसोलेशन, जो डिवाइसों को इंटरनेट तक जाने का रास्ता देता है, लेकिन नेटवर्क पर अन्य डिवाइसों तक नहीं, अधिक सुरक्षित होगा लेकिन कम दिलचस्प होगा।
उपयोगकर्ता क्रेडेंशियल ख़तरे में हैं
रिपोर्ट में कहा गया है कि लगभग 19,900 उपस्थित लोगों में, 2022 आरएसए सम्मेलन में 2020 में पिछले सम्मेलन की तुलना में केवल आधे लोग थे, लेकिन नेटवर्क पर उपयोगकर्ताओं की संख्या लगभग समान थी।
ईमेल और अन्य लोकप्रिय एप्लिकेशन का उपयोग करते समय प्रमाणीकरण चरण के लिए एन्क्रिप्शन का उपयोग करने में विफलता प्रमुख मुद्दा थी। रिपोर्ट में कहा गया है कि लगभग 20% डेटा स्पष्ट रूप से नेटवर्क से होकर गुजरता है।
रिपोर्ट में कहा गया है, "ट्रैफ़िक को एन्क्रिप्ट करना आवश्यक रूप से किसी को अधिक सुरक्षित नहीं बनाता है, लेकिन यह व्यक्तियों को अपनी साख देने से और संगठनों को कॉर्पोरेट संपत्ति की जानकारी स्पष्ट रूप से देने से रोकता है।"
फिर भी स्थिति उतनी ख़राब नहीं है जितनी हो सकती थी। रिपोर्ट में कहा गया है कि चूंकि वायरलेस नेटवर्क में शो फ्लोर से ट्रैफिक शामिल होता है, इसलिए कई उपयोगकर्ता नाम और पासवर्ड डेमो सिस्टम और वातावरण से आने की संभावना है। इसके अलावा, अधिकांश क्लियरटेक्स्ट उपयोगकर्ता नाम और पासवर्ड - लगभग 80% - वास्तव में सरल नेटवर्क प्रबंधन प्रोटोकॉल (एसएनएमपी) के पुराने संस्करण का उपयोग करने वाले उपकरणों द्वारा लीक किए गए थे। प्रोटोकॉल के संस्करण 1 और 2 को असुरक्षित माना जाता है, जबकि एसएनएमपी वी3 महत्वपूर्ण सुरक्षा क्षमताएं जोड़ता है।
रिपोर्ट में कहा गया है, "यह आवश्यक रूप से उच्च-निष्ठा वाला ख़तरा नहीं है।" "[एच]हालाँकि, यह डिवाइस के साथ-साथ उस संगठन के बारे में जानकारी लीक करता है जिसके साथ यह संचार करने का प्रयास कर रहा है।"
प्लेनटेक्स्ट उपयोगकर्ता नाम और पासवर्ड के निरंतर उपयोग के अलावा, एसओसी ने पाया कि ऑनलाइन आवेदनों की संख्या तेजी से बढ़ रही है, जिससे पता चलता है कि उपस्थित लोग काम करने के लिए मोबाइल उपकरणों पर तेजी से निर्भर हो रहे हैं। उदाहरण के लिए, एसओसी ने पोर्ट 80 पर घरेलू सुरक्षा प्रणालियों से कनेक्ट होने वाले अनएन्क्रिप्टेड वीडियो कैमरा ट्रैफ़िक और वॉयस-ओवर-आईपी कॉल सेट करने के लिए उपयोग किए जाने वाले अनएन्क्रिप्टेड डेटा को कैप्चर किया।
सीआईएसओ गलती
अधिकांश भाग के लिए, अनएन्क्रिप्टेड ट्रैफ़िक छोटे-व्यवसायी उपयोगकर्ताओं से होने की संभावना है, जैसा कि कंपनियों ने रिपोर्ट में कहा है। रिपोर्ट में कहा गया है, "इन दिनों स्पष्ट टेक्स्ट में ईमेल भेजना मुश्किल है और इन घटनाओं का विश्लेषण करने पर समानताएं पाई गईं।" “इसमें से अधिकांश ट्रैफ़िक होस्ट किए गए डोमेन से था। इसका मतलब उन डोमेन पर ईमेल सेवाएँ हैं जो पारिवारिक नाम या छोटे व्यवसाय हैं।
फिर भी एक मामले में, एक मुख्य सूचना सुरक्षा अधिकारी ने अपने ईमेल क्लाइंट को गलत तरीके से कॉन्फ़िगर किया था और अंततः डेटा को स्पष्ट रूप से भेजकर उनके ईमेल उपयोगकर्ता नाम और पासवर्ड को उजागर कर दिया था। एसओसी को समस्या का पता तब चला जब उसे एंड्रॉइड-आधारित ईमेल क्लाइंट से स्पष्ट रूप से भेजे गए सीआईएसएसपी भुगतान की रसीद मिली।
रिपोर्ट में कहा गया है, "इस खोज ने एक जांच को जन्म दिया जिसने पुष्टि की कि उस व्यक्ति से दर्जनों ईमेल असुरक्षित प्रोटोकॉल में खुले नेटवर्क पर डाउनलोड किए गए थे।"
कंपनियों को यह सत्यापित करना चाहिए कि कर्मचारियों द्वारा उपयोग की जाने वाली प्रौद्योगिकियों ने एंड-टू-एंड एन्क्रिप्टेड कनेक्शन बनाए हैं और उचित समय पर यह जांचने के लिए शून्य-विश्वास सिद्धांतों को लागू करना चाहिए कि एन्क्रिप्शन अभी भी लागू किया जा रहा है।
सिस्को सिक्योर के ओपेनहाइमर कहते हैं, "हमें ऐसे एप्लिकेशन और वेबसाइटें मिली हैं जो एन्क्रिप्टेड को प्रमाणित करते हैं और फिर खुले नेटवर्क में एन्क्रिप्शन के बिना डेटा पास करते हैं।" “वैकल्पिक रूप से, कुछ खुले नेटवर्क में अनएन्क्रिप्टेड क्रेडेंशियल पास करेंगे और फिर डेटा को एन्क्रिप्ट करेंगे। दोनों परिदृश्य आदर्श से कमतर हैं।
वर्चुअल प्राइवेट नेटवर्क रामबाण नहीं हैं लेकिन अनएन्क्रिप्टेड एप्लिकेशन की सुरक्षा को मजबूत कर सकते हैं। अंत में, संगठनों को अपने हाइब्रिड श्रमिकों को दूरस्थ स्थानों से काम करते समय सुरक्षित रहने के बारे में शिक्षित करने के लिए साइबर सुरक्षा और जागरूकता प्रशिक्षण का उपयोग करना चाहिए।
