Security အတွက် ဘယ်သူ့မှာ တာဝန်ရှိသလဲ?

တကယ်ဆို ဒီစာကို မရေးချင်ပါဘူး။ ဘာလို့လဲဆိုတော့ ဒီလိုအကြောင်းအရာတွေကို ကုမ္ပဏီတွေမှာ သွားရောက် ဆွေးနွေး (workshop) လုပ်ရင်းကျွန်တော် ဝင်ငွေ ရပါတယ် ☺️။ (Workshop မှာ ပြောဖြစ်သလောက် မစုံလင်ပေမဲ့ပေါ့) ဒီ post မှာ ခု အကြောင်းအရာကို နားလည်အောင် ပြောပြပေးပါမယ်။

#Security_အတွက်_ဘယ်သူ့မှာ_တာဝန်ရှိသလဲ?

ဒီမေးခွန်းကိုမေးတာက ကျွန်တော့်သင်တန်းက ကျောင်းသားတစ်ယောက် ပါ။ သူက System Administrator တစ်ယောက်က ဒါမျိုးမဖြစ်အောင် ဘယ်လိုရှောင်ရမလဲဆိုတာ ကို မေးခဲ့တာပါ။

သူ့ organization မှာက သီးသန့် domain ရှိသလို သီးသန့် Mail server လည်း ရှိပါတယ်။

ဖြစ်ပုံက org ထဲက တစ်စုံတစ်ယောက်ရဲ့ mail က admin ဆီရောက်လာပါတယ်။ Admin လည်း ပါတဲ့ထဲက link ကို နှိပ်မိလိုက်တယ် ထင်ပါတယ်။

Attack ဖြစ်သွားတယ်ဆိုပါတော့...

ဒီဖြစ်ရပ်မှာ Admin ရဲ့ ပေါ့လျော့မှု ချည်းပဲတော့ မဟုတ်ပါဘူး။ သူ့အနေနဲ့ ကိုယ့် ကုမ္ပဏီဝန်ထမ်းထဲက ပို့တာဆိုတော့ ကိုယ့်အချင်းချင်း ပို့တဲ့စာအဖြစ် ယုံကြည်မှု တစ်ခု ရှိသွားပါလိမ့်မယ်။ အဲအချက်က Link ကို အလျင်အမြန် နှိပ်မိဖို့ တွန်းအားပေးရာရောက်သွားမှာပါ။

သာမန် Gmail လို Mail မျိုး မဟုတ်ဘဲနဲ့ company or organization ပိုင် mail မျိုး နဲ့ ကိုယ်ပိုင် mail server မျိုး သုံးထားရင် အဲလို mail သုံးသူတိုင်းက Security ကို အလေးထားရပါမယ်။

ကုမ္ပဏီတစ်ခုမှာ sector တွေ သီးသန့်စီ ရှိတတ်ကြတဲ့အတွက် company mail ကို သုံးတဲ့သူတွေ အတော်များများ ရှိနေနိုင်ပါတယ်။

ဥပမာ - marketing ပိုင်း တာဝန်ယူထားသူတွေမှာဆိုရင် marketing1@company.com, marketing2@company.com ဆိုတာမျိုး mail address တွေကို သုံးတတ်ကြပါတယ်။

သာမန်စဉ်းစားကြည့်မယ်ဆိုရင်တောင် system admin နဲ့ marketing ဝန်ထမ်းမှာ ဘယ်သူ့ကို attack လုပ်ရတာ ပိုလွယ်တယ်ဆိုတာ ခွဲခြားမြင်နိုင်ပါတယ်။ ဒီတော့ marketing ပိုင်းက တစ်စုံတစ်ယောက်ကို Social Engineering သုံးပြီး Acc Phish လုပ်မယ်။ ပြီးမှ သူ့ Acc ကနေတစ်ဆင့် system admin ကို SE သုံးမယ်ဆိုရင်တော့ Result က ကွာခြားသွားမှာပါ။

ပြီးတော့ နောက်ထပ် သတိ ⚠️ ထားသင့်တာတစ်ခုက login credentials တွေပါ။ မှတ်စရာတွေများလွန်းတဲ့အတွက် လူအများစုသည် password ကို တစ်ပုံစံတည်း ထားတတ်ကြပါသေးတယ်။

နောက်တစ်ချက်ကတော့ mail တွေထဲမှာလည်း URL မပေါ်အောင်ဖြစ်စေ (ဥပမာ - URL Shortener)၊ လှည့်စားပြီးဖြစ်စေ (ဥပမာ - Fake URL + Hyperlink) ပေးပို့လို့ရပါတယ်။

နားလည်လွယ်အောင်ပြောရရင် <a> ဆိုတဲ့ HTML Tag ကို သုံးပြီး URL ကို လှည့်စားတာပါ။

<a href="https://attacker.com/fakeLogin.php">https://company.com/Login.php</a>

အထက်ပါအတိုင်း သုံးထားတာမျိုးပါ။

System admin တွေအနေနဲ့ကတော့ ကိုယ့်အလုပ်ထဲမှာ အချင်းချင်းပို့တဲ့ mail ထဲက link ဖြစ်လို့ တန်းနှိပ်မိချင်စရာ ဖြစ်သွားနိုင်တာပေါ့။ ဒီလိုမဖြစ်အောင် Link (URL) address ကို copy ကူးယူပြီး note 📝 မှာ paste လုပ်စစ်ကြည့်တာမျိုးဖြစ်စေ၊ ကိုယ်ဘာမှမသုံးတဲ့ other browser မှာ ဦးစွာဖွင့်ကြည့်တာမျိုး ဖြစ်စေ အလွယ်ကူဆုံး စစ်ဆေးနိုင်ပါတယ်။

ခေါင်းစဉ်အတိုင်း နိဂုံးပြန်ချုပ်ရရင်တော့ System admin 👨‍💼 မှာလည်းပဲ တာဝန်ရှိသလို အဲသည် private mail server ကို အတူတူသုံးတဲ့ အခြားသော user 👩‍💼 👨‍💼 🧑‍💼 တွေမှာလည်းပဲ တာဝန်ရှိပါတယ်။

ဒီလိုအရာတွေအတွက် sector တိုင်းက ဝန်ထမ်းတိုင်းဆီမှာ security knowledge ရှိနေဖို့ လိုအပ်မှာဖြစ်ပါတယ်။ လိုအပ်ရင် knowledge အတွက် workshop တွေ လုပ်တာမျိုး နဲ့ security alarm 🚨 လုပ်ထားနိုင်ပါတယ်။

ဖုန်းလေးနဲ့ ရေးလိုက်ရတာမို့ ဒီလောက်နဲ့ပဲ ကျေနပ်ပေးပါဗျ။

အဆင်မပြေတာလေးတွေရှိရင် comment မှာ ရေးခဲ့နိုင်ပါတယ်။

ဆက်လက်ရှိနေပေးကြသူ အားလုံး ကျေးဇူးပါ