Ishonch haqidagi qo‘rqinchli haqiqat: Nima uchun "tasdiqlangan" bo‘lish sizning xavfsiz ekanligingizni anglatmasligi kerak

Keling, xavfsizlik mutaxassislari uxlashiga yo'l qo'ymaydigan bir narsa haqida gaplashaylik. Bu filmlarda ko'radigan kapushonli xaker emas. Bu qandaydir murakkab "zero-day" eksplotati ham emas. Bu ancha oddiy va cheksiz darajada xavfli narsa: shaxsiyatni tekshirish (verifikatsiya) haqiqiylikni (autentiklikni) tasdiqlash bilan bir xil deb hisoblash.

Yaqinda men qiziqarli (va biroz dahshatli) bir keys-stadiyni (case study) o'rganib chiqdim va uni xayolimdan chiqarolmayapman. Bir kompaniya — aytaylik, oddiy o'rtacha biznes — to'rt oy ichida bir emas, ikki emas, balki UCH marta alohida xavfsizlik hodisasiga duch keldi. Eng qiziq tomoni shundaki, ularning hech biri tarmoqqa kirish yoki dasturiy xatoliklar (bugs) orqali sodir bo'lmagan. Har safar hujumkor shunchaki kompaniya allaqachon ishongan shaxsga aylanib olgan.

Buni o'ylab ko'rsangiz... haqiqatdan ham juda g'alati.

Parol mukammal edi. Inson esa — yo'q.

An'anaviy xavfsizlikning o'ziga xos jihati shundaki: biz autentifikatsiyaga qulvun va kalit muammosi deb qaraymiz. To'g'ri parolni top, MFA (ikki bosqichli tekshiruv)dan o't va bo'o' — sen ichkaridasan. Ammo qulvun aynan loyihadagidek ishlayotgan bo'lsa va uning orqali kirayotgan odam... shunchaki o'zi aytayotgan odam bo'lmasa-chi?

Men aytayotgan holatlar aynan shu muammoning uch xil ko'rinishini ko'rsatdi. Birinchidan, moliya direktori (CFO) o'z akkauntidagi shubhali harakatlar haqida "IT xizmati"dan qo'ng'iroq qabul qildi. Qo'ng'iroq qiluvchi raqam ichki raqam ko'rinishida edi. Ular kompaniyaning MFA provayderini bilishardi. Ular CFO sayohatda ekanligini ham bilishardi (chunki u buni ijtimoiy tarmoqlarda post qilib qo'ygan edi, albatta, barchamiz shunday qilamiz). Ular hatto "dark web"da tarqalgan eski ma'lumotlar to'plamidan ham ma'lumotga ega edilar.

Ularga faqat uning tasdiqlash kodini aytib berishi kerak edi. U esa aytdi.

Yigirma daqiqa ichida kimdir uning elektron pochtasi orqali shoshilinch to'lovlarni so'ray boshladi. Pul harakatlanmaganining yagona sababi nima? To'lov bo'yicha tajribali mutaxassis so'rov "g'alati" ekanligini sezdi va unga to'g'ridan-to'g'ri qo'ng'iroq qildi. Insoniy instinkt vaziyatni saqlab qoldi.

Ishon, lekin tekshir (Agar tekshirmaslik kerak bo'lmasa)

Ushbu hodisalarda meni eng ko'p hayratga solgan narsa hujumlarning murakkabligi emas, balki ularning ko'p xavfsizlik tizimlari uchun qanchalik zerikarli ko'rinishidir. Ma'lumotlar (credentials) to'g'ri chiqdi. Autentifikatsiya o'tdi. Sessiyalar amal qilishda edi.

Lekin qayerdadir biz verifikatsiya faqat "tashxis qo'yish" (check the boxes) emasligini unutib qoldik. Verifikatsiya — bu boshqa tomondagi inson haqiqatdan ham o'zi aytayotgan odam ekanligini va u qilayotgan ish uchun unga haqiqiy sabab borligini tasdiqlashdir.

Ikkinchi hodisa masofaviy ishga olingan xodim haqida edi, u butunlay haqiqiy odamdek ko'rinardi. Ajoyib rezyume. Ishonchli tavsiyanomlar. Kuchli portfolio. Ammo masala shundaki — bularning hech birini o'g'irlash qiyin emas. U odam aslida haqiqiy muhandisning shaxsiyatidan foydalanayotgan, tavsiyanomlari to'liq sun'iy bo'lgan va kompaniya noutbuklarini ijaraga olingan kvartiraga yuborib, chetdagi davlatdan ishlayotgan ekanligi ma'lum bo'ldi.

Buni aniqlashning yagona sababi nima? Kimdir noutbuk tungi vaqtda juda faol ishlayotganini payqadi. Xolos. Hech qanday murakkab deteksiya emas. Shunchaki kimdir biroz g'alati tuyulgan narsaga e'tibor qildi.

Hech kim gapirmaydigan "Sessiya muammosi"

Va uchinchi hodisa bor, menimcha, u zamonaviy xavfsizlikdagi eng e'tibordan chetda qolgan tahdiddir. Rahbarning akkauntiga Ruminiyadan kirildi. U esa shu vaqtda Ohayoda uxlayotgan edi.

Uning paroli buzilmagan edi. MFA chetlab o'tilmagan edi. Buning o'rniga, uyda ishlatiladigan umumiy kompyuterdagi zararli dastur (malware) uning brauzer sessiya kukilari (cookies)ni yig'ib olgan edi. Hujumkor raqamli eshikdan xuddi mukammal autentifikatsiyadan o'tgan foydalanuvchidek kirib keldi.

Bu sessiyaga asoslangan autentifikatsiyaning "qora siri": bir marta ichkariga kirganingizdan so'ng, ko'pincha u yerda qolib ketasiz. Sessiya tokenlari soatlab, hatto kunlab amal qilishi mumkin. Va parollar kabi ular foydalanuvchi tomonidan osonlikcha himoyalanishi yoki yangilanishi mumkin bo'lgan narsa emas.

Xo'sh, haqiqiy dars nima?

Menimcha, bu yerda dars "ko'proq paranoik bo'ling" degani emas (garchi sog'lom paranoiya hech qachon zarar keltirmasa ham). Meningcha, haqiqiy xulosa — shaxsiyatni tekshirish (identity verification) va ishonchni tasdiqlash (trust confirmation) o'rtasidagi farqdadir.

Ko'pgina tashkilotlar birinchi qismni ancha yaxshi o'rganib olishgan. Biz ma'lumotlarni tekshiramiz, MFA ni joriy qilamiz, barcha shartlarni bajarib chiqamiz. Ammo ikkinchi qism — ya'ni kimdir hali ham ruxsatga ega ekanligini va o'zini to'g'ri tutayotganini doimiy ravishda tasdiqlash — mana shu yerda biz yetishmayapmiz.

Biz ko'rayotgan barcha holatlarda yana bir umumiy jihat bor edi: ular faqat autentifikatsiya xatolarini emas, balki xulq-atvor (behavioral) anomaliyalarini qidiradigan insonlar yoki inson tomonidan yaratilgan tizimlar tomonidan aniqlangan edi. G'alati so'rovni shubha bilan qaragan hamkasb. G'alati ish tartibini payqagan tahlilchi. "Imkonsiz sayohat" (masalan, bir soat ichida ikki qit'ada bo'lish)ni belgilagan avtomatik tizim.

Texnik nazorat zarur. Ammo u yetarli emas. Haqiqiy xavfsizlik ko'paytuvchisi — bu odamlar xato tuyulgan narsalarni (hatto ma'lumotlar to'g'ri chiqsa ham) so'roq qilishga o'zlarini erkin his qiladigan madaniyatni yaratishdir.

Chunki haqiqat shuki: bugungi tahdidlar dunyosida eng katta xavf sizning devorlaringiz ortidagi hujumkor bo'lishi mumkin emas. U devorlaringiz ichidagi, tashqi ko'rinishi mukammal darajada to'g'ri ko'rinadigan shaxsiyat bo'lishi mumkin.

Hushyor bo'ling, do'stlar.

Etiketlar ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']