अवीवा ज़ैक
अवीवा जैक्स ऑफ़ सुरक्षा जासूस हाल ही में आईबॉस के सीईओ और सह-संस्थापक पॉल मार्टिनी का साक्षात्कार लिया। उसने उससे पूछा कि उसकी कंपनी कैसे नेटवर्क सुरक्षा प्रदान कर रही है।
सुरक्षा जासूस: आपको और आपके भाई पीटर को आईबॉस शुरू करने के लिए किस बात ने प्रेरित किया?
पॉल मार्टिनिक: मैं कॉपर माउंटेन नेटवर्क्स नामक कंपनी में काम कर रहा था। यह ब्रॉडबैंड और हाई-स्पीड कनेक्टिविटी जैसी चीजों की शुरुआत में था। उस समय, 90 के दशक की शुरुआत में, हर कोई अपने डेस्क के नीचे बैठे डेस्कटॉप कंप्यूटर पर काम करता था। तो, सुरक्षा के लिए सभी रणनीतियाँ एक महल और खाई की रणनीति पर आधारित थीं, जहाँ आप मूल रूप से किले को सुरक्षित करते हैं।
चूंकि सभी कर्मचारी कार्यालय में काम करते थे, इसलिए वहां पूरी सुरक्षा लागू की गई थी। कई अलग-अलग साइबर सुरक्षा प्रौद्योगिकियां हैं, लेकिन नेटवर्क सुरक्षा विशेष रूप से तब लागू होती है जब डेटा आपके लैपटॉप या आपके डेस्कटॉप से किसी गंतव्य पर जाता है, जहां यह हवाईअड्डा सुरक्षा चेकपॉइंट की तरह कार्य करता है।
नेटवर्क सुरक्षा सामान खोलती है और मैलवेयर, रैंसमवेयर या डेटा हानि की तलाश करती है। आपके पास फायरवॉल, प्रॉक्सी, और यह सभी गियर हैं जो कार्यालय में स्थापित किए गए थे ताकि यह सुनिश्चित किया जा सके कि जैसे ही डेटा कार्यालय में और बाहर आया, इसका निरीक्षण किया गया और मैलवेयर से सुरक्षित किया गया।
जब आप उस समय पीछे मुड़कर देखते हैं, तो हमने ब्लैकबेरी स्मार्टफोन के आगमन के साथ बैंडविड्थ और कनेक्टिविटी को देखना शुरू कर दिया था और लोग ईमेल के लिए अपने कंप्यूटर के रूप में इसका इस्तेमाल कर रहे थे। असली सवाल यह था कि जब आपके हाथ में फोन आपका कंप्यूटर बन जाएगा तो क्या होगा?
एसडी: जो हमें आज तक ले जाता है, है ना?
PM: सही। आईफ़ोन और लैपटॉप अब इतने शक्तिशाली हो गए हैं कि अब किसी के पास वास्तव में डेस्कटॉप नहीं है। लेकिन एक बार ऐसा हो जाने के बाद, आप किसी को महल में रहने के लिए मजबूर नहीं कर सकते थे। सुरक्षा को उपयोगकर्ता जहां भी काम करता है उसका अनुसरण करने की आवश्यकता होती है। और इसलिए, आप नेटवर्क सुरक्षा कार्यों को कैसे लागू करेंगे, ताकि आप सुनिश्चित कर सकें कि रैंसमवेयर या मैलवेयर उन उपकरणों तक नहीं पहुंच रहे हैं या डेटा हानि से बचाव नहीं कर रहे हैं। जब आप दूर से काम कर रहे हों तो आपको डेटा नहीं खोना चाहिए। तो यह वास्तव में उस कंपनी की थीसिस थी जो सुरक्षा को क्लाउड पर ले जा रही थी।
हम क्लाउड युग में रहते हैं, लेकिन परिधि-आधारित सुरक्षा मॉडल से निश्चित भौतिक सीमाओं के साथ सुरक्षा को नेटफ्लिक्स जैसी सेवा में ले जाना चुनौतीपूर्ण है। जैसे-जैसे उपयोगकर्ता एक स्थान से दूसरे स्थान पर जाते हैं, उपयोगकर्ता कार्यालय बन जाता है, और उनके लैपटॉप या फोन पर काम किया जाता है।
सभी डेटा जो उन उपकरणों से और उन पर स्थानांतरित हो जाता है क्योंकि उपयोगकर्ता क्लाउड ऐप्स और डेटा के साथ इंटरैक्ट करते हैं। जब आप कार्यालय में हों या जब आप डेटा को कार्यालय में वापस भेजते हैं, तो केवल सुरक्षा द्वारा संरक्षित होने के बजाय, आप बस अपनी ज़रूरत की किसी भी चीज़ से जुड़ सकते हैं, और सुरक्षा वहीं चलती है जहाँ एप्लिकेशन क्लाउड में चलते हैं।
एसडी: इस सब पर COVID का किस तरह का प्रभाव पड़ा?
PM: COVID ने मूल रूप से इस परिवर्तन को गति दी। हमने देखा कि यह अपरिहार्य था। मैं अब तक जिन मुद्दों का वर्णन कर रहा हूं, वे वैसे भी होने वाले थे क्योंकि हम जानते थे कि बैंडविड्थ बढ़ती रहेगी। हम जानते थे कि गतिशीलता बढ़ती रहेगी। और हम जानते थे कि डिवाइस खुद मोबाइल होंगे।
आज, अब डेस्कटॉप कंप्यूटर खोजना मुश्किल है। ज्यादातर लोग अपने हाथ की हथेली में या लैपटॉप पर अपना अधिकांश काम करते हैं। इसलिए, अब COVID की मार के साथ, हम देखते हैं कि काम का भविष्य सबसे अच्छा है, लेकिन कई संगठनों ने अपने कार्यालयों को अच्छे के लिए बंद कर दिया है। कई उपयोगकर्ता हर जगह और कहीं से भी पूर्णकालिक रूप से काम कर रहे हैं।
एसडी: आपका सॉफ़्टवेयर उपयोगकर्ताओं की सुरक्षा कैसे करता है?
PM: हमने जो कल्पना की थी वह वास्तव में पूर्ण चक्र में आ गई है, जो एक सास-आधारित क्लाउड सुरक्षा सेवा है जो उपयोगकर्ताओं को जहां कहीं भी काम करती है, वहां से काम करने की अनुमति देती है, लेकिन किसी भी एप्लिकेशन से सीधे जुड़ती है जिसकी उन्हें आवश्यकता होती है।
वे संसाधन कार्यालय या बादल में हो सकते हैं, इससे कोई फर्क नहीं पड़ता। वे इसे जीरो ट्रस्ट सेवा कहते हैं। और ज़ीरो ट्रस्ट सेवा उपयोगकर्ता को एप्लिकेशन से जोड़ने के साथ-साथ यह सुनिश्चित करने के लिए ज़िम्मेदार है कि डेटा सुरक्षित है क्योंकि यह एप्लिकेशन में उस उपयोगकर्ता के बीच चलता है, इसलिए यह मैलवेयर से मुक्त है और डेटा हानि को रोकता है। इसके अलावा, ज़ीरो ट्रस्ट यह सुनिश्चित करता है कि सभी एप्लिकेशन और डेटा पूरी तरह से निजी हैं और केवल उन कर्मचारियों द्वारा ही एक्सेस किया जा सकता है, जिनके पास अन्य सभी को स्वचालित रूप से अस्वीकार करते हुए उन तक पहुंच होनी चाहिए।
मुझे लगता है कि एनआईएसटी 800-207, जीरो ट्रस्ट के लिए सरकार जिस मानक की ओर बढ़ रही है, वह वह जगह है जहां यह सब बढ़ रहा है। सरकार इस विचार की ओर बढ़ रही है जहां सभी आवेदन निजी हैं। परिणामस्वरूप, ऐसा कोई एप्लिकेशन नहीं है, चाहे वह क्लाउड में हो या कार्यालय में, जिसे आप तब तक प्राप्त कर सकते हैं जब तक कि आप एक विश्वसनीय उपयोगकर्ता न हों।
हम मूल रूप से अपनी सेवा को सरकार या कंपनी के अनुप्रयोगों के सामने रखते हैं, उन्हें निजी बनाते हुए, हवाईअड्डा सुरक्षा चेकपॉइंट की तरह अनुप्रयोगों के सामने इसे सुरक्षा के लिए डिज़ाइन किया गया है।
हम केवल उन कुछ कर्मचारियों को अनुमति देते हैं जिनके पास उन एप्लिकेशन तक पहुंच होनी चाहिए और उन्हें उनके साथ बातचीत करने की अनुमति है। यदि एप्लिकेशन असुरक्षित हो जाता है, तो यह फायर ड्रिल नहीं है। और आपके पास रूस या अन्य स्थानों के हैकर्स नहीं हैं, शुरुआत करने के लिए इन एप्लिकेशन के सामने वाले दरवाजे तक पहुंचें।
एसडी: आपकी कंपनी का प्रमुख उत्पाद क्या है?
PM: इसे आईबॉस जीरो ट्रस्ट एज कहा जाता है। नेटफ्लिक्स ने फिल्म का आविष्कार नहीं किया; उन्होंने इसे क्लाउड से स्ट्रीम करके आपके देखने के तरीके को बदल दिया।
हम जो कर रहे हैं वह वही है, सिवाय इसके कि यह फिल्मों के साथ नहीं है - यह सभी कनेक्टिविटी के लिए साइबर सुरक्षा है। डीवीडी प्लेयर के बजाय, जो फायरवॉल और उपकरण सहित सभी पुराने साइबर सुरक्षा गियर के बराबर है, जो केवल भौतिक रूप से कार्यालय की सुरक्षा करता है, हमने इसे एक वैश्विक सुरक्षा सेवा के साथ बदल दिया है जो सुरक्षा को क्लाउड पर ले जाती है। हमने इसे सास-आधारित सेवा में स्थानांतरित कर दिया है जो उपयोगकर्ता को जहां कहीं भी सुरक्षा प्रदान करता है। वे जिस भी चीज से जुड़ते हैं वह हमेशा सुरक्षित रहती है। कनेक्शन हमारी सेवा के माध्यम से जाते हैं जहां हम मैलवेयर, रैंसमवेयर, डेटा हानि की रोकथाम और अनुपालन के लिए निरीक्षण करते हैं।
एसडी: साइबर सुरक्षा कंपनी से भरी दुनिया में आपकी कंपनी कैसे प्रतिस्पर्धी बनी रहती है?
PM: मुझे लगता है, गहराई से रक्षा, सुरक्षा की कई परतों का होना वास्तव में महत्वपूर्ण है। लेकिन कुछ प्रमुख मुख्य सुरक्षा घटक हैं जिनकी प्रत्येक कंपनी को आवश्यकता होती है, और प्रत्येक उपयोगकर्ता की आवश्यकता होती है।
उदाहरण के लिए, डेस्कटॉप एंटीवायरस यह सुनिश्चित करने के लिए आपकी हार्ड ड्राइव को स्कैन करता है कि आपके कंप्यूटर पर कोई वायरस नहीं है। मुझे लगता है कि यह एक प्रधान है। लेकिन अंत में, डेटा आपके कंप्यूटर को छोड़कर या इंटरनेट से या किसी कार्यालय से आपके कंप्यूटर पर आने वाला है। और इसलिए वह नेटवर्क सुरक्षा है, जहां हम बैठते हैं और महसूस करते हैं कि यह एक और मुख्य सुरक्षा प्रधान है। हालाँकि, नेटवर्क सुरक्षा गियर के साथ ऐसा करने के बजाय, हम इसे SaaS सेवा के रूप में स्वचालित रूप से और बड़े पैमाने पर कर रहे हैं।
और फिर वर्चुअल प्राइवेट नेटवर्क (वीपीएन) जैसी चीजें हैं। आप कार्यालय से जुड़ने के लिए एक वीपीएन चालू करते हैं। फिर जब आपका काम पूरा हो जाए तो आप इसे बंद कर दें। यह एक प्रधान है क्योंकि एक कंपनी के लिए काम करने वाले कर्मचारी के रूप में, आप अपना काम नहीं कर सकते हैं यदि कार्यालय में कुछ आवेदन बैठे हैं, और आप उनसे जुड़ नहीं सकते हैं। हमारी सेवा के साथ, हम अलग से वीपीएन की आवश्यकता के बिना कर्मचारियों को किसी भी एप्लिकेशन से स्वचालित रूप से जोड़ते हैं, जिसमें कार्यालय में भी शामिल हैं। सेवा सुरक्षा और हर चीज की कनेक्टिविटी को संभालती है।
इसलिए, हम उन चीजों को हल करते हैं जिनके बारे में मैंने अभी बात की - नेटवर्क सुरक्षा उपकरणों की आवश्यकता को समाप्त करना, वीपीएन की आवश्यकता को समाप्त करना, और यह सुनिश्चित करना कि उपयोगकर्ताओं को एक सुसंगत और शानदार अनुभव मिले क्योंकि वे डेटा और एप्लिकेशन के साथ बातचीत करते हैं जिनकी उन्हें सुरक्षा प्रदान करके आवश्यकता होती है। बादल। एप्लिकेशन के लिए कार्यालय से कनेक्ट करने के लिए वीपीएन चालू करने के बजाय, हमारी ज़ीरो ट्रस्ट सेवा हमेशा चालू रहती है।
अगर मैं अपने लैपटॉप पर हूं और मैं अलग-अलग एप्लिकेशन खोलता हूं, तो उनमें से कुछ इंटरनेट पर हो सकते हैं और उनमें से कुछ कार्यालय में हो सकते हैं। लेकिन मैं ऐसा करने के लिए कभी भी वीपीएन चालू नहीं कर रहा हूं। हम इन वीपीएन को खरीदने से संबंधित लागतों को कम करने में सक्षम हैं और फिर अंतिम-उपयोगकर्ता अनुभव में सुधार कर सकते हैं।
वीपीएन के साथ दूसरा मुद्दा यह है कि उपयोगकर्ता आमतौर पर उनका उपयोग करते समय बहुत धीमे कनेक्शन का अनुभव करते हैं। ऐसी सेवा होना जो हमेशा चलती रहती है और जो वीपीएन को सक्षम या अक्षम करने की आवश्यकता को समाप्त करते हुए अल्ट्रा-फास्ट कनेक्शन प्रदान करती है, उपयोगकर्ता अनुभव को बेहतर बनाती है।
इसके अलावा, क्योंकि हम उपयोगकर्ताओं को इन अनुप्रयोगों से जोड़ रहे हैं, चाहे वे कार्यालय में हों या क्लाउड में, हम सभी सुरक्षा कार्य चला सकते हैं, पेलोड खोल सकते हैं, और रैंसमवेयर और मैलवेयर जैसी चीज़ों की तलाश कर सकते हैं, साथ ही इन अनुप्रयोगों को निजी बनाने के रूप में।
अंत में, डिजिटल परिवर्तन के लिए आवश्यक बजट जिसकी तलाश संगठन कर रहे हैं वह इस विरासत गियर और प्रौद्योगिकी को खत्म करने से आ सकता है। हमारी ज़ीरो ट्रस्ट तकनीक वास्तव में कंपनियों के पैसे बचाती है क्योंकि यह वीपीएन, प्रॉक्सी और फ़ायरवॉल गियर के लिए कंपनियों के बजट को समाप्त कर देती है। और हमारी सेवा का उपयोग करते हुए, कंपनियों को अभी भी सीमित कर्मचारियों के मामले में अधिक उत्पादन मिलता है, जो कि नेटवर्क और नेटवर्क सुरक्षा जैसे कुशल श्रम बाजारों में एक समस्या रही है।
कई कंपनियां उन लोगों को रखने का जोखिम नहीं उठा सकती हैं और वे उन्हें नहीं ढूंढ सकती हैं। सास सुरक्षा सेवा में संक्रमण करके विरासती महल-और-खाई सुरक्षा रणनीति की जटिलता को समाप्त करना आसान है। नेटफ्लिक्स की तरह, अब आपको अपने सभी साउंड सिस्टम और डीवीडी प्लेयर को सेट करने के लिए ऑडियो-वीडियो विशेषज्ञ की आवश्यकता नहीं है। तो, यह अधिक लागत प्रभावी है।
आईबॉस जैसी सेवा शुरू करते समय, हम संसाधनों के साथ शुरू करते हैं, सबसे महत्वपूर्ण और कमजोर अनुप्रयोग पहले। भले ही उपयोगकर्ता इन अनुप्रयोगों से जुड़ सकते हैं, हम यह सुनिश्चित करने के लिए कंपनी के अनुप्रयोगों के सामने खुद को रखकर शुरू करते हैं कि वे पूरी तरह से निजी हैं।
यदि आप CISA, साइबर सुरक्षा और इंफ्रास्ट्रक्चर सुरक्षा एजेंसी की एक रिपोर्ट को देखें, जिसने 2021 में रैंसमवेयर की घटनाओं का अध्ययन किया था। उन्होंने FBI और NSA जैसी सभी अमेरिकी एजेंसियों के साथ-साथ यूनाइटेड किंगडम और ऑस्ट्रेलिया के साथ भागीदारी की। यह एक बड़ा संयुक्त प्रयास था। उन्होंने पाया कि 2021 में रैंसमवेयर के लिए शीर्ष तीन प्रारंभिक संक्रमण वैक्टर फ़िशिंग, चोरी किए गए क्रेडेंशियल और सॉफ़्टवेयर में कमजोरियाँ थे। इसलिए, उदाहरण के लिए, कुछ मामलों में जहां सॉफ़्टवेयर असुरक्षित हो जाता है और प्रमाणीकरण के लिए पूछना चाहिए, जैसे आपको अपने उपयोगकर्ता नाम और पासवर्ड का उपयोग करने के लिए प्रेरित करना, यह ऐसा नहीं करता है। यह क्रेडेंशियल के लिए संकेत देने में विफल रहता है क्योंकि यह असुरक्षित है और बस आपको अंदर आने देता है। और यह एक मुद्दा है, जाहिर है।
तो, शीर्ष तीन प्रारंभिक संक्रमण वैक्टर फ़िशिंग, चोरी किए गए क्रेडेंशियल और सॉफ़्टवेयर में कमजोरियाँ हैं। लेकिन मूल कारण यदि आप उन शीर्ष तीन के बारे में सोचते हैं तो वास्तव में सॉफ़्टवेयर की अनधिकृत पहुंच शुरू होती है।
क्योंकि अगर सॉफ्टवेयर कमजोर हो जाता है, तो ऐसा क्यों है कि रूस और चीन इसका फायदा उठा सकते हैं? भेद्यता का लाभ उठाने के लिए उन्हें उस एप्लिकेशन से कनेक्ट करने में सक्षम नहीं होना चाहिए। यदि वे क्रेडेंशियल्स का एक सेट चुराते हैं, तो वे सेवा या एप्लिकेशन से कैसे जुड़ सकते हैं और उन क्रेडेंशियल्स का उपयोग कैसे कर सकते हैं?
यदि आप हमारे काम करने के तरीके के बारे में सोचते हैं, तो कम उल्लंघनों और रैंसमवेयर का कारण यह था कि सभी एप्लिकेशन एक भौतिक कार्यालय के अंदर थे। भले ही कमजोरियां थीं, या हो सकता है कि किसी ने आपका पासवर्ड चुरा लिया हो, वे पासवर्ड का उपयोग कैसे करेंगे जब तक कि वे कार्यालय में इसे सर्वर में पंच करने के लिए नहीं तोड़ते, है ना?
आज वह परिधि समाप्त हो गई है। तो, ये सभी एप्लिकेशन क्लाउड में चल रहे हैं। हमलावर यह जानते हैं, इसलिए वे बस इन कमजोरियों के बाहर आने का इंतजार करते हैं। वे रूस, चीन और अन्य स्थानों पर बैठ सकते हैं, और फिर वे इसका उपयोग एप्लिकेशन से कनेक्ट करने के लिए करते हैं। उन्हें एक भौतिक कार्यालय में जाने और चोरी की गई साख या भेद्यता का लाभ उठाने या फ़िशिंग का लाभ उठाने की आवश्यकता नहीं है। आप लिंक पर क्लिक करते हैं, उन्हें आपके लैपटॉप पर रैंसमवेयर मिलता है, और यह तुरंत फैल जाता है।
यही कारण है कि एनआईएसटी, जो कि राष्ट्रीय मानक और प्रौद्योगिकी संस्थान है, ने जीरो ट्रस्ट आर्किटेक्चर नामक एक रूपरेखा तैयार की। यह 800-207 नामक दस्तावेज़ के तहत है, जिसे हाल के कार्यकारी आदेश के अंदर संदर्भित किया गया है। एनआईएसटी ढांचे में प्रस्तुत ज़ीरो ट्रस्ट आर्किटेक्चर का लक्ष्य इस मुद्दे की जड़ पर ध्यान केंद्रित करना है, जो डेटा और सेवाओं तक अनधिकृत पहुंच को रोकना है।
एनआईएसटी के मुताबिक, जीरो ट्रस्ट का यही मूल है। और यह वास्तव में हम जो पेशकश करते हैं उसके अनुसार जीरो ट्रस्ट का मूल है। हमारा लक्ष्य, वास्तव में, जब आप उल्लंघनों और जोखिम को कम करने के लिए एक दृष्टिकोण को देखते हैं, तो अनुप्रयोगों और डेटा तक अनधिकृत पहुंच को रोकना है, चाहे वे क्लाउड में हों या कार्यालय में चल रहे हों। क्रिप्टोलॉकर रैंसमवेयर प्राप्त करने या विकीलीक्स पर अपना डेटा डालने के आपके जोखिम को कम करने के लिए, मैं कहूंगा कि यह नंबर एक चीज है। आप मूल कारण के लिए हल कर रहे हैं कि वे कैसे प्रवेश करते हैं, शुरू करने के लिए।
इसलिए, हमने उन एप्लिकेशन के सामने iboss Zero Trust सेवा डालकर शुरुआत की, और वे निजी हो गए। फिर हम उपयोगकर्ताओं को केवल तभी जाने देते हैं जब हमें पता चलता है कि वे एक कर्मचारी हैं और संगठन का हिस्सा हैं। हवाईअड्डा सुरक्षा चेकपॉइंट से अलग नहीं, यात्रियों को केवल एक बार अपनी आईडी चेक, उनके टिकट और उनके बैग की जांच करने के बाद विमान में चढ़ने देता है और फिर उन्हें चेकपॉइंट पार करने देता है। यह वही अवधारणा है जिसका उपयोग वे हवाईअड्डे में विमानों की सुरक्षा के लिए करते हैं, सिवाय इसके कि हम एप्लिकेशन और डेटा के साथ ऐसा करते हैं।
तो, प्रश्न का उत्तर देने के लिए और पीछे की ओर चक्कर लगाने के लिए, यह एक मूलभूत घटक है। प्रत्येक संगठन को परिधि-आधारित प्रकार के सुरक्षा दृष्टिकोणों से संबंधित किसी भी चीज़ से दूर जाने की आवश्यकता है। वे फ़ायरवॉल उपकरण, और प्रॉक्सी उपकरण पर कम और VPN पर कम खर्च करेंगे। लक्ष्य उपयोगकर्ताओं को उनकी ज़रूरत की हर चीज़ से जोड़ना है, चाहे वह कार्यालय में हो या क्लाउड में।
भविष्य को देखते हुए, हर कंपनी हाइब्रिड होगी। यह सिर्फ कुछ कर्मचारी नहीं हैं, शायद सभी कर्मचारियों के पास किसी न किसी रूप में दूरस्थ कार्य और कार्यालय में काम होगा। हमारी जैसी तकनीक के बिना, उन कर्मचारियों और उस मॉडल का अस्तित्व संभव नहीं है। ऐसा कोई तरीका नहीं है जिससे कर्मचारी अपना काम करने के लिए आवश्यक एप्लिकेशन और डेटा से जुड़ सके; उन्हें संसाधनों और सुरक्षा की आवश्यकता है।
इसलिए, हम कई अलग-अलग क्षेत्रों से बजट प्राप्त कर रहे हैं। हम बेहतर एंड-यूज़र अनुभव के लिए विश्व स्तरीय सुरक्षा को सस्ता, तेज़ और अधिक कुशल बना रहे हैं। और हम एक दिन में 150 बिलियन से अधिक लेनदेन सुरक्षित कर रहे हैं। हम दुनिया के सबसे बड़े संगठनों के साथ काम करते हैं और दुनिया भर में लाखों उपयोगकर्ताओं की सुरक्षा करते हैं।
हम सभी कंपनियों को सुरक्षित करने जा रहे हैं क्योंकि हम इस सेवा को सभी आकारों की कंपनियों को वितरित कर सकते हैं, अब आपको इस प्रकार की तकनीक का लाभ उठाने के लिए फॉर्च्यून 500 या संघीय सरकार होने की आवश्यकता नहीं है।
