ਇੱਕ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਇੱਕ ਪ੍ਰਗਟ ਪ੍ਰਮਾਣ ਪੱਤਰ ਵਿਕਾਸ ਤੱਕ ਸੀਮਤ ਸਮੱਸਿਆ ਵਾਂਗ ਜਾਪਦਾ ਹੈ, ਪਰ ਜਦੋਂ ਬਹੁਤ ਜ਼ਿਆਦਾ ਅਨੁਮਤੀਆਂ ਅਤੇ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਵਾਲੀਆਂ ਖਾਮੀਆਂ ਨਾਲ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਜੋਖਮਾਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਲਈ ਰਾਹ ਪੱਧਰਾ ਕਰ ਸਕਦਾ ਹੈ। ਵੁਲਟਸ, ਇੱਕ ਹਮਲੇ ਦੀ ਲੜੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ ਜੋ ਲਗਭਗ ਸੱਤ ਘੰਟਿਆਂ ਵਿੱਚ, ਕਲਾਉਡ ਵਾਤਾਵਰਣ, ਉਤਪਾਦਨ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਅਤੇ ਇੱਕ ਵੱਡੇ ਬ੍ਰਾਜ਼ੀਲੀ ਸੰਗਠਨ ਦੇ ਨਿੱਜੀ ਅਤੇ ਵਿੱਤੀ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਗਈ ਸੀ।
ਇਹ ਕੇਸ ਏਰਸ ਕਿਲ ਚੇਨਜ਼ ਬ੍ਰੇਕਡਾਊਨ। ਇਹ ਪਹਿਲ ਅਸਲ-ਜੀਵਨ ਦੇ ਮਾਮਲਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ, ਪਛਾਣਾਂ ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਦੇ ਹੋਏ, ਇਹ ਸਮਝਾਉਣ ਲਈ ਕਿ ਕਿਲ ਚੇਨਜ਼ ਅਭਿਆਸ ਵਿੱਚ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀਆਂ ਹਨ - ਯਾਨੀ ਕਿ, ਕਿਵੇਂ ਸੁਤੰਤਰ ਕਦਮ ਕਾਰੋਬਾਰ 'ਤੇ ਮਹੱਤਵਪੂਰਨ ਪ੍ਰਭਾਵ ਪੈਦਾ ਕਰਨ ਲਈ ਜੁੜ ਸਕਦੇ ਹਨ।
ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਗਏ ਦ੍ਰਿਸ਼ ਵਿੱਚ, ਐਂਟਰੀ ਪੁਆਇੰਟ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਜਨਤਕ ਕੋਡ ਵਿੱਚ ਮੌਜੂਦ ਇੱਕ ਪ੍ਰਮਾਣੀਕਰਨ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸੀ। ਇਸ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨੇ ਇੱਕ ਡਾਇਗਨੌਸਟਿਕ ਐਂਡਪੁਆਇੰਟ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੱਤੀ ਜੋ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਮੈਮੋਰੀ ਦਾ ਇੱਕ ਸਨੈਪਸ਼ਾਟ ਪ੍ਰਦਾਨ ਕਰਦਾ ਸੀ। ਇਸ ਡੇਟਾ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਆਧਾਰ 'ਤੇ, ਏਰੇਸ ਬਾਇ ਵੁਲਟਸ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਅਤੇ ਪਹੁੰਚ ਸੰਦਰਭਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਜੋ ਕਲਾਉਡ ਵਾਤਾਵਰਣ ਵਿੱਚ ਨਵੀਆਂ ਸੰਪਤੀਆਂ ਅਤੇ ਅਨੁਮਤੀਆਂ ਦੀ ਮੈਪਿੰਗ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹਨ।
ਪਛਾਣੇ ਗਏ ਮਾਰਗਾਂ ਵਿੱਚ AWS ਸੀਕਰੇਟ ਮੈਨੇਜਰ ਤੱਕ ਪਹੁੰਚ ਸ਼ਾਮਲ ਸੀ, ਜਿਸ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਸਕੋਪਾਂ ਦੇ 700 ਤੋਂ ਵੱਧ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸਨ, ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਨਿੱਜੀ ਜਾਣਕਾਰੀ, ਬਾਇਓਮੈਟ੍ਰਿਕ ਡੇਟਾ ਅਤੇ ਵਿੱਤੀ ਰਿਕਾਰਡਾਂ ਵਾਲੀਆਂ ਫਾਈਲ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸੀ। ਟੈਸਟ ਨੇ ਕੁਬਰਨੇਟਸ ਵਿੱਚ ਉਤਪਾਦਨ ਸਰੋਤਾਂ ਤੱਕ ਪ੍ਰਬੰਧਕੀ ਪਹੁੰਚ ਦਾ ਵੀ ਖੁਲਾਸਾ ਕੀਤਾ, ਨਾਲ ਹੀ ਇੱਕ ਰਸਤਾ ਜੋ ਕਾਰਪੋਰੇਟ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਖਾਤਿਆਂ, ਸਮੂਹਾਂ ਅਤੇ ਨੀਤੀਆਂ ਦੀ ਗਿਣਤੀ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਸੀ।.
ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਗਏ ਖੇਤਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ, 60 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਈ-ਕਾਮਰਸ ਆਰਡਰਾਂ ਨਾਲ ਸਬੰਧਤ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਸੀ, ਜਿਸ ਵਿੱਚ ਨਾਮ, ਈਮੇਲ, ਫ਼ੋਨ ਨੰਬਰ, CPF (ਬ੍ਰਾਜ਼ੀਲੀਅਨ ਟੈਕਸ ਪਛਾਣ ਨੰਬਰ), ਪਤਾ ਅਤੇ ਭੁਗਤਾਨ ਵੇਰਵਿਆਂ ਵਰਗੀ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਸੀ । ਵੁਲਟਸ ਇਸ ਗੱਲ 'ਤੇ ਜ਼ੋਰ ਦਿੰਦਾ ਹੈ ਕਿ ਕੰਮ ਨੇ ਟੈਸਟ ਦੇ ਦਾਇਰੇ ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਸੀਮਾਵਾਂ ਦੀ ਪਾਲਣਾ ਕੀਤੀ: ਡੇਟਾ ਨੂੰ ਸਿਰਫ਼ ਗਿਣਿਆ ਗਿਆ ਸੀ, ਬਿਨਾਂ ਕਿਸੇ ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਦੇ, ਅਤੇ ਸਿਸਟਮ, ਕੀਮਤਾਂ, ਐਪਲੀਕੇਸ਼ਨਾਂ, ਜਾਂ ਉਤਪਾਦਨ ਵਾਤਾਵਰਣ ਵਿੱਚ ਕੋਈ ਬਦਲਾਅ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।
"ਇਸ ਮਾਮਲੇ ਵਿੱਚ ਸਭ ਤੋਂ ਢੁੱਕਵਾਂ ਨੁਕਤਾ ਕੋਈ ਅਲੱਗ-ਥਲੱਗ ਨੁਕਸ ਨਹੀਂ ਹੈ, ਸਗੋਂ ਉਹਨਾਂ ਵਿਚਕਾਰ ਸਬੰਧ ਹੈ। ਇੱਕ ਖੁੱਲ੍ਹਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਦੂਜੇ ਸਿਸਟਮਾਂ ਤੱਕ ਜਾਇਜ਼ ਪਹੁੰਚ ਵਿੱਚ ਬਦਲ ਸਕਦਾ ਹੈ ਅਤੇ ਇਸ ਲਈ, ਇੱਕ ਰਵਾਇਤੀ ਘੁਸਪੈਠ ਦੀ ਕੋਸ਼ਿਸ਼ ਨਾਲੋਂ ਪਤਾ ਲਗਾਉਣਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਹੁੰਦਾ ਹੈ," ਵੁਲਟਸ ਦੇ ਸੀਟੀਓ ਰੋਡਰੀਗੋ ਗਾਵਾ। "ਜਦੋਂ ਤੁਸੀਂ ਸਿਰਫ਼ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਗਿਣਤੀ ਨੂੰ ਦੇਖਦੇ ਹੋ, ਤਾਂ ਸਭ ਤੋਂ ਖਤਰਨਾਕ ਰਸਤੇ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨ ਦਾ ਜੋਖਮ ਹੁੰਦਾ ਹੈ: ਉਹ ਰਸਤਾ ਜੋ ਡੇਟਾ, ਕਾਰਜਾਂ ਅਤੇ ਮਾਲੀਏ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਦੇ ਸਮਰੱਥ ਸੰਪਤੀਆਂ ਨਾਲ ਸ਼ੁਰੂਆਤੀ ਸੰਪਰਕ ਨੂੰ ਜੋੜਦਾ ਹੈ।"
ਉਤਪਾਦਨ ਡੇਟਾ ਅਤੇ ਸਰੋਤਾਂ ਤੋਂ ਪਰੇ, ਮੁਲਾਂਕਣ ਨੇ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਲਈ ਇੱਕ ਸੰਭਾਵੀ ਰਸਤੇ ਦੀ ਪਛਾਣ ਕੀਤੀ। ਵਾਤਾਵਰਣ ਵਿੱਚ ਉਪਲਬਧ ਇੱਕ ਏਕੀਕਰਣ ਖਾਤੇ ਦੇ ਨਾਲ, 70,000 ਤੋਂ ਵੱਧ ਉਪਭੋਗਤਾ ਖਾਤਿਆਂ, ਸਮੂਹਾਂ ਅਤੇ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਮੈਪ ਕਰਨਾ ਸੰਭਵ ਸੀ। ਇਹ ਕਦਮ, ਜਿਸ ਵਿੱਚ ਅਧਿਕਾਰਤ ਦਾਇਰੇ ਤੋਂ ਪਰੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਧਾਉਣ ਜਾਂ ਪਾਸੇ ਦੀ ਗਤੀ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਸ਼ਾਮਲ ਨਹੀਂ ਸਨ, ਨੇ ਦਿਖਾਇਆ ਕਿ ਕਿਵੇਂ ਇੱਕ ਮਾੜਾ ਖੰਡਿਤ ਕਲਾਉਡ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਸੇਵਾਵਾਂ ਅਤੇ ਕਾਰਪੋਰੇਟ ਵਾਤਾਵਰਣਾਂ ਵਿਚਕਾਰ ਅਣਚਾਹੇ ਪੁਲ ਬਣਾ ਸਕਦਾ ਹੈ।
2027 ਪੈਨੋਰਮਾ ਦੇ ਪੂਰਵਦਰਸ਼ਨ ਵਿੱਚ, ਸਾਈਬਰ ਜੋਖਮ ਸੂਚਕ ਇੱਕ ਅਜਿਹੇ ਦ੍ਰਿਸ਼ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ ਜਿਸ ਵਿੱਚ ਹਮਲੇ ਨਾ ਸਿਰਫ਼ ਵਧੇਰੇ ਸੰਭਾਵਿਤ ਬਣਦੇ ਹਨ, ਸਗੋਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਵਧੇਰੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਵੀ ਹੁੰਦੇ ਹਨ। I&E ਸੂਚਕਾਂਕ, ਜੋ ਘਟਨਾਵਾਂ ਦੇ ਵਾਪਰਨ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਮਾਪਦਾ ਹੈ, 2026 ਵਿੱਚ 7.57 ਦੇ ਮੁਕਾਬਲੇ 9.06 ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਜੋ ਕਿ 20% ਵਾਧਾ ਹੈ। ਕਿਲਚੇਨ ਸਕੋਰ, ਜੋ ਕਿ ਹਮਲੇ ਦੇ ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ, 8.28 ਤੋਂ 9.00 ਤੱਕ ਵੱਧਦਾ ਹੈ, ਜੋ ਕਿ 9% ਵਾਧਾ ਹੈ। ਵੁਲਟਸ ਲਈ, ਇਹਨਾਂ ਦੋ ਰੁਝਾਨਾਂ ਦਾ ਸੁਮੇਲ ਇੱਕ ਅਜਿਹੇ ਵਾਤਾਵਰਣ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ ਜਿੱਥੇ ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਦਾ ਵਿਸਤਾਰ ਜਾਰੀ ਰਹਿੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਘਟਨਾਵਾਂ ਦੀ ਨੁਕਸਾਨ ਸਮਰੱਥਾ ਉੱਚੀ ਰਹਿੰਦੀ ਹੈ।
ਗਾਵਾ ਲਈ, ਇਹ ਮਾਮਲਾ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਸੁਰੱਖਿਆ ਮੁਲਾਂਕਣਾਂ ਦੇ ਜਵਾਬ ਨੂੰ ਹਮਲੇ ਦੇ ਚਾਲ-ਚਲਣ ਦੁਆਰਾ ਕਿਉਂ ਚਲਾਇਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਾ ਕਿ ਸਿਰਫ਼ ਤਕਨੀਕੀ ਖੋਜਾਂ ਦੀ ਮਾਤਰਾ ਦੁਆਰਾ। "ਏਆਈ-ਸੰਚਾਲਿਤ ਟੂਲ ਇੱਕ ਡਿਜੀਟਲ ਸਤਹ ਨੂੰ ਬਹੁਤ ਜ਼ਿਆਦਾ ਗਤੀ ਅਤੇ ਦਾਇਰੇ ਨਾਲ ਟੈਸਟ ਕਰ ਸਕਦੇ ਹਨ। ਇਹ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਗਿਣਤੀ ਨੂੰ ਵਧਾਉਂਦਾ ਹੈ, ਪਰ ਕੰਪਨੀਆਂ ਨੂੰ ਇਹ ਵੀ ਤਰਜੀਹ ਦੇਣ ਦਾ ਮੌਕਾ ਦਿੰਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਪਹਿਲਾਂ ਕੀ ਰੋਕਣ ਦੀ ਲੋੜ ਹੈ: ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਰੱਦ ਕਰਨਾ ਅਤੇ ਘੁੰਮਾਉਣਾ, ਐਕਸਪੋਜ਼ਰ ਦੇ ਸਰੋਤ ਨੂੰ ਬੰਦ ਕਰਨਾ, ਅਤੇ ਬਹੁਤ ਜ਼ਿਆਦਾ ਅਨੁਮਤੀਆਂ ਨੂੰ ਘਟਾਉਣਾ। ਫਿਰ ਪਛਾਣ, ਪਹੁੰਚ ਅਤੇ ਵਿਭਾਜਨ ਦੀ ਸਮੀਖਿਆ ਕਰਨ ਦਾ ਢਾਂਚਾਗਤ ਕੰਮ ਆਉਂਦਾ ਹੈ।"
ਏਰੇਸ ਨੇ ਖੁਦਮੁਖਤਿਆਰੀ ਨਾਲ 14 ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀਆਂ, ਦੋ ਉੱਚ-ਪੱਧਰੀ ਕਮਜ਼ੋਰੀਆਂ, ਪੰਜ ਮੱਧਮ-ਪੱਧਰੀ ਕਮਜ਼ੋਰੀਆਂ, ਸੱਤ ਹੇਠਲੇ-ਪੱਧਰੀ ਕਮਜ਼ੋਰੀਆਂ, ਅਤੇ ਤਿੰਨ ਜਾਣਕਾਰੀ ਸੰਬੰਧੀ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ। ਵੁਲਟਸ ਲਈ, ਅੰਕੜੇ ਚੁਣੌਤੀ ਨੂੰ ਮਾਪਣ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ, ਪਰ ਉਹ ਲੱਭੀਆਂ ਗਈਆਂ ਸੰਪਤੀਆਂ ਅਤੇ ਅਨੁਮਤੀਆਂ ਵਿਚਕਾਰ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਲੜੀ ਦੀ ਸਮਝ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੇ। ਕੇਸ ਦੀ ਪੂਰੀ ਸਮੱਗਰੀ ਨੂੰ ਲੜੀ ਏਰੇਸ ਕਿਲ ਚੇਨਜ਼ ਬ੍ਰੇਕਡਾਊਨ, ਇੱਕ ਤਕਨੀਕੀ ਅਤੇ ਵਿਦਿਅਕ ਫੋਕਸ ਦੇ ਨਾਲ, ਸ਼ਾਮਲ ਸੰਗਠਨ ਦੀ ਪਛਾਣ ਅਤੇ ਇੱਕ ਅਧਿਕਾਰਤ ਮੁਲਾਂਕਣ ਦੀਆਂ ਨੈਤਿਕ ਸੀਮਾਵਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਿਆ ਜਾਵੇਗਾ।
