Em li ser ewlehiya ewr diaxivin

Over Exposure

Ka em bi vî awayî bibêjin, hûn ji eşkerekirina çi ditirsin? hebûnên we yên herî bi qîmet çi ne? Hejmara Ewlekariya Civakî ya we? Agahdariya hesabê banka we? Belgeyên taybet, an wêne? Gotina tovê krîptoya we? Ger hûn pargîdaniyek birêve bibin, an ji parastina daneyan berpirsiyar in, dibe ku hûn ji heman celeb agahdariya ku li ber xwe didin fikar bikin, lê li ser abroader scale. Hûn ji hêla xerîdarên xwe ve bi parastina daneyên wan ve hatine spartin.

Wekî xerîdar, em ewlehiya daneyên xwe ji xwe re digirin. Van rojan pir caran ew data di ewr de têne hilanîn. Hejmarek firoşkar karûbaran pêşkêşî dikin ku dihêle xerîdar daneyan ji komputerên xwe yên herêmî li ewr hilînin. Wê wekî dîskek hişk a virtual li ezmên bifikirin. Ev wekî awayek ewledar û hêsan ji bo parastina daneyên we tê reklam kirin. Kêmasî, erê. Hûn dikarin pelek ku we bi xeletî jêbirin vegerînin. Hûn dikarin dîskera tevahî ya ku daneyên wê xera bûne vegerînin.

Lê ew ewle ye? Ji we re kilît û kilît tê pêşkêş kirin. Ya sereke, bi gelemperî, navek bikarhêner û şîfreyek e. Ew şîfrekirî ye û tenê ji we re tê zanîn. Ji ber vê yekê pisporên ewlehiyê pêşniyar dikin ku şîfreya xwe ewle bihêlin. Ger kesek bigihîje şîfreya we, mifteya virtual ya xaniyê weya virtual heye.

Hûn van hemûyan dizanin. Şîfreya we ya karûbarê ewr a paşvekêşanê 16 tîp dirêj e, tîpên mezin û piçûk, jimar û çend tîpên taybetî dihewîne. Hûn şeş mehan carekê wê diguhezînin ji ber ku hûn dizanin ku ew ji hacker re dijwartir dike. Ew ji şîfreyên we yên din cuda ye - hûn ji bo gelek malperan heman şîfreyê bikar neynin. Çi dibe bila bibe?

Hin pargîdan tiştê ku wan wekî "Ewrek Kesane" binav kirine pêşkêş dikin. Rajava Digital yek ji wan pargîdaniyan e ku rêyek hêsan peyda dike ku hûn daneyên xwe li cîhê weya kesane di nav ewr de paşve bikin. Ew hilanîna torê ye ku li ser înternetê heye. Ew bi routerê weya Wi-Fi ve tê girêdan da ku hûn ji her derê hundurê tora xwe bigihîjin wê. Bi hêsanî, ji ber ku ew di heman demê de bi înternetê ve girêdayî ye, hûn dikarin ji her cîhê înternetê xwe bigihînin daneyên kesane. Bi rehetiyê re rîsk tê.

Helwestek lihevhatî

Di destpêka vê salê de, hackers ketin rojava Digital's sîstemên û karîbûn bi qasî 10 Tb daneyan dakêşin. Dûv re posterên reş dane ji bo fîdyeyê girtin û hewl dan ku ji bo vegerandina bi ewle ya daneyan li bakur 10,000,000 dolarên Amerîkî li hev bikin. Daneyên mîna petrolê ye. An jî dibe ku zêr wekheviyek çêtir e. Yek ji hackeran li ser şertê ku navê wî neyê eşkerekirin axivî. Ha! Em Welat'ê Dema ku ew di pêvajoya vê peymana karsaziyê de bi wî re hevpeyvîn kir. Tiştê balkêş ew e ku daneyên ku hatine tawîzkirin rojavayî jî hene Digital's sertîfîkaya kod-îmzakirinê. Ev hevwateya teknolojîk a şopandina retina ye. Sertîfîka armanc e ku bi erênî xwedan an xwedan nas bike. Bi vê şopandina retina virtual, ji bo gihîştina daneyên "ewle" şîfreyek hewce nake. Bi gotineke din, bi vê sertîfîkayê re ev karsazê kulpa reş dikare rast li ber deriyê deriyê bimeşe digital qesr.

Rajava Digital red kir ku bersivê bide îdîayên hacker ku ew hîn di tora WD de ne. Hackerê ku navê wî nehate zanîn ji nûnerên rojavayî dilgiraniya xwe nîşan da Digital dê bangên wî venegere. Bi awayekî fermî, di a ragehandineke çapemeniyê de, Rojavayî Digital ragihand ku, "Li ser bingeha lêpirsîna heta îro, Şirket bawer dike ku partiyek ne destûr hin dane ji pergalên wê bi dest xistiye û ji bo fêmkirina cewher û çarçoveya wan daneyan dixebite." Ji ber vê yekê, rojavayî Digital dayê ye, lê hacker diqehire. Derbarê ku wan ew çawa kir, hacker diyar dike ka wan çawa qelsiyên naskirî îstismar kirin û karîbûn wekî rêveberek gerdûnî bigihîjin daneyên di ewr de.

Rêvebirek gerdûnî, ji hêla xwezaya rolê ve, gihîştina her tiştî heye. Ew ne hewceyê şîfreya we ye. Mifteya wî heye.

Rajava Digital Ne Tenê ye

A lêkolîn sala borî hat dîtin ku 83% ji pargîdaniyên lêkolînkirî hebûn bêtir binpêkirina daneyan, 45% ji wan-based ewr bûn. Ew navoser lêçûna binpêkirina daneyan li Dewletên Yekbûyî 9.44 mîlyon dolar bû. Lêçûn li çar kategoriyên lêçûn hatin dabeş kirin - karsaziya winda, tespîtkirin û zêdebûn, agahdarkirin û bersiva binpêkirina postê. (Ez ne bawer im fîdyeya daneyê di kîjan kategoriyê de ye. Ne diyar e ku yek ji bersivdaran daxwazên fidyeyê daye an na.) Dema navînî ya ku rêxistinek nas dike û bersivê dide binpêkirina daneyê nêzî 9 meh e. Ji ber vê yekê ne surprîz e ku çend meh piştî rojavayî Digital yekem binpêkirina daneyan pejirand, ew hîn jî lêkolînê dikin.

Zehmet e ku meriv bi rastî bêje ka çend pargîdaniyan binpêkirinên daneyê hene. Ez yek pargîdaniyek mezin a taybet nas dikim ku ji hêla ransomware ve hatî êrîş kirin. Xwedî muzakere red kirin û pere nedan. Wateya vê yekê, li şûna, e-name û pelên daneyê winda kir. Wan hilbijart ku her tiştî ji paşvekişandina nevegirtî ji nû ve ava bikin û nermalavê ji nû ve saz bikin. Wextê daketinê ya girîng û hilberî winda bû. Ev bûyer qet di çapemeniyê de nebû. Ew şirket bi şens bû ji ber ku 66% pargîdaniyên piçûk û navîn ên ku ji hêla ransomware ve têne êrîş kirin di nav 6 mehan de ji karsaziyê derdikevin.

• 30,000 malper hene hacked rojane
• 4 mîlyon pel hene dizîn her roj
• 22 milyar tomar bûn hat binpêkirin li 2021

Ger we çu carî bi karûbarên Capital One, Marriott, Equifax, Target an Uber re kar kiribe, an bikar aniye, mimkun e ku şîfreya we têk çûbe. Her yek ji van pargîdaniyên mezin rastî binpêkirinek girîng a daneyê hat.

• Capital One: Hackerek bi îstismarkirina qelsiyek di binesaziya ewr a pargîdaniyê de gihîştiye 100 mîlyon xerîdar û serlêderan.
• Marriott: Binpêkirinek daneyê agahdarî li ser 500 mîlyon xerîdar eşkere kir (ev binpêkirin 4 salan nehat dîtin).
• Equifax: Agahdariya kesane ya di ewr de li ser 147 mîlyon xerîdar hate eşkere kirin.
• Armanc: Sûcdarên sîber gihîştin 40 mîlyon hejmarên qerta krediyê.
• Uber: Hackeran dest danîn ser laptopek pêşdebiran û gihîştina 57 mîlyon bikarhêner û 600,000 ajokaran.
• LastPass^[1]: Hackeran 33 mîlyon daneyên kelûpelên xerîdar di binpêkirina hilanîna cloudê ya vê pargîdaniya rêveberê şîfreyê de dizîn. Êrîşkar bi karanîna "bişkojka gihîştina hilanînê ya ewr û bişkojkên deşîfrekirina konteynera hilanînê ya dualî" ku ji hawîrdora pêşdebirê wê hatî dizîn, gihîştina hilanîna ewr a Lastpass.

Hûn dikarin kontrol bikin ka hûn li ser vê malperê di binpêkirina daneyê de hatine eşkere kirin: min pwned kiriye? Navnîşana e-nameya xwe binivîsin û ew ê nîşanî we bide ku navnîşana e-nameyê çend binpêkirinên daneyê di nav de hatine dîtin. Mînak, min yek ji navnîşanên e-nameya xwe yên kesane nivîsand û dît ku ew beşek ji 25 binpêkirinên daneyên cihêreng bûye, tevî Evite. , Dropbox, Adobe, LinkedIn û Twitter.

Têkbirina Suitors Nexwastî

Dibe ku ti carî îtîrafek ji aliyê Rojava ve neyê kirin Digital bi rastî çi qewimî. Bûyer du tiştan destnîşan dike: daneyên di ewr de tenê bi qasî parêzvanên wê ewle ne û pêdivî ye ku parêzvanên mifteyê bi taybetî baldar bin. Ji bo ravekirina Prensîba Peter Parker, bi gihîştina root re berpirsiyariyek mezin tê.

Ji bo ku bêtir rast be, bikarhênerek root û rêveberek gerdûnî tam ne yek in. Her du jî pir hêz in lê divê hesabên cuda bin. Bikarhênerê root di asta herî nizm de xwediyê hesabê cloudê ya pargîdanî ye û gihîştina wê heye. Bi vî rengî, ev hesab dikare hemî daneyan, VM-an, agahdariya xerîdar jê bibe - her tiştê ku karsaziyek di ewr de ewle kiriye. Di AWS de, tenê hene Karên 10, tevî sazkirin û girtina hesabê AWS-ya xwe, ku bi rastî gihîştina root hewce dike.

Pêdivî ye ku hesabên rêveberiyê bêne çêkirin ku karên îdarî (duh) bikin. Bi gelemperî gelek hesabên Rêvebir hene ku bi gelemperî li ser bingeha kesane ne, berevajî hesabê yek root. Ji ber ku hesabên Rêvebir bi kesek ve girêdayî ne, hûn dikarin bi hêsanî bişopînin ka kî çi guhertin di hawîrdorê de kiriye.

Kêm îmtiyazê ji bo Ewlehiya herî zêde

Lêkolîna binpêkirina daneyan bandora 28 faktoran li ser giraniya binpêkirina daneyê lêkolîn kir. Bikaranîna ewlehiya AI-ê, nêzîkatiyek DevSecOps, perwerdehiya karmend, rêveberiya nasname û gihîştinê, MFA, analîtîkên ewlehiyê hemî bandorek erênî di kêmkirina dravê navînî ya ku di bûyerek de winda kir de hebû. Digel vê yekê, têkçûnên lihevhatinê, tevliheviya pergala ewlehiyê, kêmbûna jêhatîbûna ewlehiyê, û koça ewr faktorên ku bûne sedema zêdebûna netîce ya zêde ya lêçûna navîn a binpêkirina daneyê.

Gava ku hûn koçî ewr dikin, divê hûn di parastina daneyên xwe de ji her demê bêtir hişyar bin. Li vir çend awayên din hene ku hûn xetereya xwe kêm bikin û jîngehek ewledar ji a ewlekarî helwest:

1. Nasnameya Muli-faktorê: MFA ji bo root û hemî hesabên Rêvebir bicîh bikin. Hê çêtir, amûrek MFA-ya hişk a fîzîkî bikar bînin. Hackerek potansiyel dê ne tenê navê hesab û şîfreyê, lê di heman demê de MFA-ya laşî ya ku kodek hevdemkirî çêdike jî hewce bike.

2. Hêza di hejmarên piçûk de: Sînora kê gihîştina root heye. Hin pisporên ewlehiyê ji 3 bikarhêneran bêtir pêşniyar dikin. Gihîştina bikarhênerê root bi baldarî birêve bibin. Ger hûn rêveberiya nasnameyê û li cîhek din nexebitînin, li vir bikin. Ger yek di xeleka pêbaweriyê de ji rêxistinê derkeve, şîfreya root biguhezîne. Amûra MFA-yê vegerînin.

3. Taybetmendiyên Hesabê Birêkûpêk: Dema ku hesabên bikarhêner an rolên nû dabîn dikin, pê ewle bin ku ji hêla xwerû ve îmtiyazên hindiktirîn têne dayîn. Bi polîtîkaya gihîştina hindiktirîn dest pê bikin û dûv re li gorî hewcedariyê destûrên zêde bidin. Prensîba peydakirina ewlehiya herî hindik ji bo pêkanîna peywirek modelek e ku dê standardên lihevhatina ewlehiya SOC2 derbas bike. Têgeh ev e ku her bikarhêner an serîlêdan divê xwedan ewlehiya hindiktirîn a ku ji bo pêkanîna fonksiyona pêdivî ye hebe. îmtiyaza ku tê tawîzkirin çi qas bilindtir be, xeter jî ew qas mezin dibe. Berevajî vê, îmtiyaz çiqas kêm be, rîsk jî kêm dibe.

4. Taybetmendiyên Kontrolkirinê: Bi rêkûpêk îmtiyazên ku ji bikarhêneran, rol û hesaban re di nav hawîrdora weya cloudê de hatine vedîtin û binirxînin. Ev piştrast dike ku kesan tenê destûra pêwîst heye ku karên xwe yên destnîşankirî pêk bînin.

5. Rêvebiriya Nasnameyê û Taybetmendiyên Just-in-time: Ji bo kêmkirina metirsiya gihîştina nedestûrî her îmtiyazên zêde an nebikar anîne nas bikin û betal bikin. Tenê dema ku ew ji bo karek taybetî an demek tixûbdar ji wan re hewce dikin mafên gihîştinê ji bikarhêneran re peyda bikin. Ev rûyê êrîşê kêm dike û pencereya fersendê ji bo tehdîdên ewlehiyê yên potansiyel kêm dike.

6. pêbaweriyên pêvekirî: Kodkirina hişk a rastkirina neşîfrekirî (navê bikarhêner, şîfre, mifteyên gihîştinê) di nivîsar, kar, an kodên din de qedexe bike. Li şûna a gerînendeyê veşartî ku hûn dikarin bikar bînin ku bi bernamekî pêbaweran bistînin.

7. Veavakirina Binesaziya-wek Kodê (IaC).: Dema ku binesaziya ewrê xwe bi karanîna amûrên IaC yên mîna AWS CloudFormation an Terraform mîheng dikin, pratîkên çêtirîn ên ewlehiyê bişopînin. Ji hêla xwerû dayîna gihandina gelemperî dûr bixin û gihandina çavkaniyan tenê ji torên pêbawer, bikarhêner an navnîşanên IP-yê re sînordar bikin. Destûrên hûrgulî û mekanîzmayên kontrolkirina gihîştinê bikar bînin da ku prensîba kêmtirîn îmtiyazê bicîh bînin.

8. Têketina Çalakiyan: Têketin û çavdêriya berfireh a kiryar û bûyeran di nav hawîrdora weya ewr de çalak bikin. Ji bo her çalakiyên neasayî an potansiyel ên xerab têketinên xwe bigirin û analîz bikin. Çareseriyên rêveberiya têketinê û agahdariya ewlehiyê û rêveberiya bûyerê (SIEM) bicîh bikin da ku tavilê bûyerên ewlehiyê bibînin û bersiv bidin.

9. Birêkûpêk Nirxandinên Xirabbûnê: Ji bo ku qelsiyên ewlehiyê di hawîrdora weya ewrê de nas bikin, bi rêkûpêk nirxandinên lawazbûnê û ceribandina pêketinê bikin. Qelsiyên ku hatine nas kirin tavilê paqij bikin û sererast bikin. Nûvekirinên ewlehiyê û paçên ku ji hêla peydakiroxa weya cloudê ve hatine berdan bişopînin û pê ewle bibin ku ew tavilê têne sepandin da ku li hember xetereyên naskirî biparêzin.

10. Perwerdekirin û fêrkirin: Pêşvebirina çanda hişyariya ewlehiyê û perwerdehiya birêkûpêk ji karmendan re li ser girîngiya prensîba kêmtirîn îmtiyazê. Wan di derheqê xetereyên potansiyel ên ku bi îmtiyazên zêde ve girêdayî ne û pratîkên çêtirîn ên ku dişopînin dema gihîştin û rêvebirina çavkaniyan di hundurê hawîrdora ewr de têne fêr kirin.

11. Patch û Nûvekirin: Bi nûvekirina bi rêkûpêk hemî nermalava serverê qelsiyan kêm bikin. Binesaziya xweya ewr û serîlêdanên têkildar nûve bikin da ku li hember qelsiyên naskirî biparêzin. Pêşkêşkerên Cloud bi gelemperî paç û nûvekirinên ewlehiyê derdixin, ji ber vê yekê domdariya bi pêşniyarên wan re girîng e.

Bawerî

Ew ji pêbaweriyê tê - tenê ji yên di rêxistina we de pêbaweriyê peyda dike da ku karên ku ew hewce ne ku bikin da ku karê xwe bi cih bînin. Pisporên ewlehiyê pêşniyar dikin Baweriya Zero. Modela ewlehiya Zero Trust li ser sê prensîbên sereke ye:

• Bi eşkere verast bikin - hemî xalên daneya berdest bikar bînin da ku nasname û gihîştina bikarhênerek rast bikin.
• Gihîştina herî kêm-îmtiyaz bikar bînin - tam di wextê de û tenê têra ewlehiyê.
• Bipejirînin - her tiştî şîfre bikin, analîtîkên proaktîf bikar bînin û di cîh de bersiva acîl hebe.

Wekî xerîdarek karûbarên ewr û ewr, ew jî pêbaweriyê tê. Pêdivî ye ku hûn ji xwe bipirsin, "ma ez ji firoşkarê xwe bawer dikim ku daneyên min ên hêja di ewr de hilîne?" Bawerî, di vê rewşê de, tê vê wateyê ku hûn xwe bispêrin wê pargîdaniyê, an yek mîna wê, da ku ewlehiyê wekî ku me li jor behs kiriye birêve bibe. Wekî din, heke hûn bi neyînî bersiv bidin, hûn amade ne ku di hawîrdora xaniyê xwe de heman celeb çalakiya rêveberiya ewlehiyê pêk bînin. Ma hûn bi xwe bawer dikin?

Wekî pargîdaniyek ku di ewr de karûbaran peyda dike, xerîdar baweriya xwe bi we anîne da ku daneyên xwe di binesaziya cloudê de biparêzin. Ew pêvajoyek berdewam e. Di derbarê metirsiyên derketine de agahdar bimînin, tedbîrên xwe yên ewlehiyê li gorî vê yekê biguncînin, û bi pisporên bi ezmûn an şêwirmendên ewlehiyê re hevkariyê bikin da ku parastina herî zêde ji bo karsaziya we di perestgeha ewr a ku herdem pêşveçûyî de misoger bike.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑