8 ডিসেম্বর, 2020-এ, ফায়ারআই ঘোষিত সোলারউইন্ডস ওরিয়ন সফ্টওয়্যারে একটি লঙ্ঘনের আবিষ্কার যখন এটি তার রেড টিম টুলকিটে একটি জাতি-রাষ্ট্র আক্রমণের তদন্ত করেছিল। পাঁচ দিন পরে, 13 ডিসেম্বর, 2020-এ, SolarWinds টুইটারে পোস্ট করা হয়েছে, "একটি নিরাপত্তা দুর্বলতা মোকাবেলা করার জন্য সমস্ত গ্রাহকদেরকে অবিলম্বে ওরিয়ন প্ল্যাটফর্ম সংস্করণ 2020.2.1 HF 1-এ আপগ্রেড করতে বলা হচ্ছে।" এটি পরিষ্কার ছিল: সোলারউইন্ডস - টেক্সাস-ভিত্তিক সংস্থা যা নেটওয়ার্ক, সিস্টেম এবং আইটি অবকাঠামো পরিচালনা এবং সুরক্ষার জন্য সফ্টওয়্যার তৈরি করে - হ্যাক করা হয়েছিল।
আরও উদ্বেগজনক ঘটনাটি ছিল যে আক্রমণকারীরা, যা মার্কিন কর্তৃপক্ষ এখন রাশিয়ান গোয়েন্দাদের সাথে যুক্ত করেছে, তারা পিছনের দরজা খুঁজে পেয়েছিল যার মাধ্যমে তারা হ্যাক ঘোষণার প্রায় 14 মাস আগে কোম্পানির সিস্টেমে অনুপ্রবেশ করেছিল। সোলারউইন্ডস হ্যাকটি এখন প্রায় 3 বছর বয়সী, তবে এর প্রভাবগুলি নিরাপত্তা বিশ্বে প্রতিনিয়ত প্রতিধ্বনিত হচ্ছে।
আসুন এটির মুখোমুখি হই: এন্টারপ্রাইজটি ক্রমাগত হুমকির মধ্যে রয়েছে — হয় থেকে দূষিত অভিনেতা যারা আর্থিক লাভের জন্য আক্রমণ করে বা কঠোর সাইবার অপরাধী যারা দেশ-রাষ্ট্র আক্রমণে ডেটা ক্রাউন জুয়েলস বের করে এবং অস্ত্র তৈরি করে। যাইহোক, সরবরাহ চেইন আক্রমণগুলি আজ আরও সাধারণ হয়ে উঠছে, কারণ হুমকি অভিনেতারা সংস্থাগুলিকে লক্ষ্যবস্তু করার জন্য তৃতীয় পক্ষের সিস্টেম এবং এজেন্টদের শোষণ করে চলেছে এবং তাদের নিরাপত্তা প্রহরী ভেঙ্গে চলেছে৷ গার্টনার ভবিষ্যদ্বাণী করেছেন যে 2025 সালের মধ্যে, "বিশ্বব্যাপী 45% সংস্থা তাদের সফ্টওয়্যার সরবরাহ শৃঙ্খলে আক্রমণের অভিজ্ঞতা হবে,” একটি ভবিষ্যদ্বাণী যা সাইবার নিরাপত্তা বিশ্ব জুড়ে একটি লহর তৈরি করেছে এবং আরও কোম্পানিকে অগ্রাধিকার দেওয়া শুরু করতে পরিচালিত করেছে ডিজিটাল সাপ্লাই চেইন ঝুঁকি ব্যবস্থাপনা.
যদিও এটি এন্টারপ্রাইজগুলির জন্য সঠিক দিকনির্দেশনা, প্রশ্নটি এখনও স্থির রয়েছে: সাইবার আক্রমণ থেকে সংস্থাগুলি কী শিক্ষা নিয়েছে যা বের করার জন্য আইল জুড়ে গিয়েছিল বড় কর্পোরেশন এমনকি মার্কিন যুক্তরাষ্ট্রের বাইরের দেশেও সুদূরপ্রসারী পরিণতি সহ মূল সরকারি সংস্থা?
আক্রমণের সাথে কী ঘটেছে এবং সংস্থাগুলি কীভাবে সোলারউইন্ডস হ্যাকের মতো ঘটনার জন্য প্রস্তুতি নিতে পারে তা আরও ভালভাবে বোঝার জন্য, ঘটনার গভীরে ডুব দেওয়ার জন্য সোলারউইন্ডস সিআইএসও টিম ব্রাউনের সাথে সংযুক্ত ডার্ক রিডিং এবং তিন বছর পরে শেখা পাঠ।
1. সহযোগিতা সাইবার নিরাপত্তার জন্য গুরুত্বপূর্ণ
ব্রাউন স্বীকার করেছেন যে SolarWinds নামটি অন্যদের জন্য আরও ভাল করতে, দুর্বলতাগুলি ঠিক করতে এবং তাদের সম্পূর্ণ সুরক্ষা আর্কিটেকচারকে শক্তিশালী করার জন্য একটি অনুস্মারক হিসাবে কাজ করে। সমস্ত সিস্টেম দুর্বল, সহযোগিতা সাইবার নিরাপত্তা প্রচেষ্টার একটি অবিচ্ছেদ্য অংশ।
"আপনি যদি সাপ্লাই চেইন কথোপকথনগুলি দেখেন যেগুলি এসেছে, তারা এখন আমাদের যে নিয়মগুলি স্থাপন করা উচিত এবং কীভাবে সরকারী এবং বেসরকারী অভিনেতারা প্রতিপক্ষকে থামাতে আরও ভালভাবে সহযোগিতা করতে পারে তার উপর ফোকাস করছে," তিনি বলেছেন। "আমাদের ঘটনাটি দেখায় যে গবেষণা সম্প্রদায় একসাথে আসতে পারে কারণ সেখানে অনেক কিছু চলছে।"
সাম্প্রতিক বছরগুলিতে সম্ভবত সবচেয়ে বড় নিরাপত্তা লঙ্ঘনের প্রথম সারিতে দাঁড়ানোর পরে, ব্রাউন বোঝেন যে সকল সাইবার নিরাপত্তা প্রচেষ্টার জন্য সহযোগিতা গুরুত্বপূর্ণ।
"ব্যক্তি, সরকার এবং অন্যদের মধ্যে বিশ্বাসের চারপাশে প্রচুর কথোপকথন চলছে," তিনি বলেছেন। "আমাদের প্রতিপক্ষরা তথ্য শেয়ার করে - এবং আমাদেরও তাই করতে হবে।"
2. ঝুঁকি পরিমাপ করুন এবং নিয়ন্ত্রণে বিনিয়োগ করুন
কোন সংগঠন নেই 100% সুরক্ষিত 100% সময়ের, যেমন SolarWinds ঘটনাটি দেখিয়েছে। নিরাপত্তা জোরদার করতে এবং তাদের পরিধিকে রক্ষা করতে, ব্রাউন সংস্থাগুলিকে একটি নতুন পদ্ধতি অবলম্বন করার পরামর্শ দেন যা CISO ভূমিকাকে ব্যবসায়িক অংশীদার হওয়ার বাইরে ঝুঁকি কর্মকর্তা হওয়ার দিকে এগিয়ে যেতে দেখে। CISO-কে অবশ্যই এমনভাবে ঝুঁকি পরিমাপ করতে হবে যা "সৎ, বিশ্বস্ত এবং উন্মুক্ত" এবং তারা যে ঝুঁকির সম্মুখীন হয় এবং কীভাবে তারা তাদের জন্য ক্ষতিপূরণ দিচ্ছে সে সম্পর্কে কথা বলতে সক্ষম হবে।
সংস্থাগুলি আরও সক্রিয় হয়ে উঠতে পারে এবং ফাঁদগুলিকে ব্যবহার করার আগে তাদের পরাজিত করতে পারে কৃত্রিম বুদ্ধিমত্তা (AI), মেশিন লার্নিং (ML), এবং ডেটা মাইনিং, ব্রাউন ব্যাখ্যা করে। যাইহোক, যদিও সংস্থাগুলি স্বয়ংক্রিয় সনাক্তকরণের জন্য AI ব্যবহার করতে পারে, ব্রাউন সতর্ক করে দেয় যে AI কে সঠিকভাবে প্রাসঙ্গিক করার প্রয়োজন রয়েছে।
"সেখানে কিছু প্রকল্প ব্যর্থ হচ্ছে কারণ তারা খুব বড় হওয়ার চেষ্টা করছে," তিনি বলেছেন। “তারা প্রসঙ্গ ছাড়াই যাওয়ার চেষ্টা করছে এবং সঠিক প্রশ্ন জিজ্ঞাসা করছে না: আমরা ম্যানুয়ালি কী করছি এবং কীভাবে আমরা এটি আরও ভাল করতে পারি? বরং, তারা বলছে, 'ওহ, আমরা ডেটা দিয়ে এটি সব করতে পারি' - এবং এটি আপনার অগত্যা যা প্রয়োজন তা নয়।"
ব্রাউনের মতে, নেতাদের অবশ্যই সমস্যার বিশদ বিবরণ বুঝতে হবে, তারা কী ফলাফলের জন্য আশা করছেন এবং দেখতে হবে যে তারা এটি সঠিক প্রমাণ করতে পারে কিনা।
"আমাদের কেবল সেই বিন্দুতে যেতে হবে যেখানে আমরা সঠিক দিনে মডেলগুলিকে ব্যবহার করতে পারি এমন কোথাও আমাদের নিয়ে যেতে, যেখানে আমরা আগে যাইনি," তিনি বলেছেন।
3. যুদ্ধের জন্য প্রস্তুত থাকুন
আইটি নেতাদের অবশ্যই প্রতিপক্ষের থেকে এক ধাপ এগিয়ে থাকতে হবে। যাইহোক, এটা সব ধ্বংস এবং অন্ধকার নয়. ব্রাউন বলেছেন, সাইবার সিকিউরিটি বোর্ড জুড়ে এত দুর্দান্ত কাজের জন্য সোলারউইন্ডস হ্যাক একটি অনুঘটক ছিল।
"সাপ্লাই চেইনে এখনই অনেকগুলি অ্যাপ্লিকেশন তৈরি করা হচ্ছে যা আপনার সমস্ত সম্পদের একটি ক্যাটালগ রাখতে পারে যাতে বিল্ডিং ব্লকের কোনও অংশে যদি কোনও দুর্বলতা দেখা দেয় তবে আপনি জানতে পারবেন, আপনি প্রভাবিত হয়েছেন কিনা তা মূল্যায়ন করতে সক্ষম হবেন। ," তিনি বলেন.
এই সচেতনতা, ব্রাউন যোগ করে, এমন একটি সিস্টেম তৈরি করতে সাহায্য করতে পারে যা পরিপূর্ণতার দিকে ঝুঁকছে, যেখানে সংস্থাগুলি দুর্বলতাগুলিকে দ্রুত শনাক্ত করতে পারে এবং দূষিত অভিনেতারা তাদের শোষণ করার আগে তাদের সাথে সিদ্ধান্তমূলকভাবে মোকাবেলা করতে পারে। এটি একটি গুরুত্বপূর্ণ মেট্রিক কারণ এন্টারপ্রাইজগুলি এর কাছাকাছি শূন্য-বিশ্বাস পরিপক্কতা মডেল সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (সিআইএসএ) দ্বারা নির্ধারিত।
ব্রাউন বলেছেন যে তিনি আশাবাদী যে সোলারউইন্ডস হ্যাকের এই পাঠগুলি এন্টারপ্রাইজ নেতাদের তাদের পাইপলাইনগুলি সুরক্ষিত করতে এবং সর্বদা বিকশিত সাইবার নিরাপত্তা যুদ্ধে যুদ্ধের জন্য প্রস্তুত থাকতে সহায়তা করবে।
