CISCO Network Academy Cyber security (Chapter 1.2)

CISCO Network Academy Cyber security (Chapter 1.2)

Post Date : 10/05/2020

හොදයි අපි ගිය පාර කතා කලා මොකද්ද Cybersecurity කියන්නේ සහ ඔබගේ තොරතුරු සම්බන්ධයෙන්. අද අපි එතැන ඉදලා ඉස්සරහට continue කරගෙන යමු..අද Chapter එක ටිකක් දිගයි ඈ 😉

පරණ පෝස්ට් එක කාට හරි බලන්න අවශ්‍ය නම් Link එක පහල ඇති.😎

හරි අපි පටන් ගමු..😎🙏

Types of Organizational Data

Traditional Data

ආයතනික දත්ත වලට පිරිස් තොරතුරු, බුද්ධිමය දේපල සහ මූල්‍ය දත්ත ඇතුළත් වේ. පිරිස් තොරතුරු සඳහා අයදුම්පත් ද්‍රව්‍ය, වැටුප් ලේඛනය, දීමනා ලිපි, සේවක ගිවිසුම් සහ රැකියා තීරණ ගැනීමේදී භාවිතා කරන තොරතුරු ඇතුළත් වේ. පේටන්ට් බලපත්‍ර, වෙළඳ ලකුණු සහ නව නිෂ්පාදන සැලසුම් වැනි බුද්ධිමය දේපල ව්‍යාපාරයකට තම තරඟකරුවන්ට වඩා ආර්ථික වාසි ලබා ගැනීමට ඉඩ සලසයි. මෙම බුද්ධිමය දේපල වෙළඳ රහසක් ලෙස සැලකිය හැකිය; මෙම තොරතුරු නැතිවීම සමාගමේ අනාගතයට විනාශකාරී විය හැකිය. ආදායම් ප්‍රකාශ, ශේෂ පත්‍ර, සහ සමාගමක මුදල් ප්‍රවාහ ප්‍රකාශ වැනි මූල්‍ය දත්ත සමාගමේ සෞඛ්‍යය පිළිබඳ අවබෝධයක් ලබා දෙයි.

internet of Things and Big Data

Internet of Things  (IOT) මතුවීමත් සමඟ කළමනාකරණය සහ සුරක්ෂිත කිරීම සඳහා තවත් බොහෝ දත්ත තිබේ. IoT යනු සාම්ප්‍රදායික පරිගණක ජාලයෙන් ඔබ්බට විහිදෙන සංවේදක සහ උපකරණ වැනි භෞතික වස්තු විශාල ජාලයකි. මෙම සියලු සම්බන්ධතා, Cloud  සහ Virtualization  හරහා අප Storage capacity සහ storage services පුළුල් කර තිබීම දත්තවල උන්නතිය හා වර්ධනයට හේතු වේ. මෙම දත්ත තාක්‍ෂණය හා ව්‍යාපාර කෙරෙහි නව උනන්දුවක් දක්වන ක්ෂේත්‍රයක් “Big Data” ලෙස නම් කර ඇත. IoT විසින් ජනනය කරන ලද දත්තවල ප්‍රවේගය, පරිමාව සහ විවිධත්වය (Velocity, volume and variety)සහ ව්‍යාපාරයේ දෛනික මෙහෙයුම් සමඟ මෙම දත්තවල රහස්‍යභාවය, අවංකභාවය සහ ලබා ගත හැකිය. මෙය සංවිධානයේ පැවැත්මට අත්‍යවශ්‍ය වේ.

Confidentiality, Integrity, and Availability

Confidentiality, Integrity සහ Availability  CIA ත්‍රිකෝණය ලෙස හැඳින්වේ, එය සංවිධානයක් සඳහා තොරතුරු සුරක්ෂිතතාව සඳහා වන මාර්ගෝපදේශයකි. සත්‍යාපන සංකේතනය (Authentication encryption) හරහා ප්‍රවේශය සීමා කිරීමෙන් රහස්‍යභාවය දත්තවල පෞද්ගලිකත්වය සහතික කරයි. තොරතුරු නිරවද්‍ය හා විශ්වාසදායක බව අඛණ්ඩතාව සහතික කරයි. බලයලත් පුද්ගලයින්ට තොරතුරු ලබා ගත හැකි බව සහතික කරයි.

Confidentiality

රහස්‍යභාවය සඳහා තවත් යෙදුමක් වන්නේ පුද්ගලිකත්වයයි. සමාගම් ප්‍රතිපත්ති මඟින් බලයලත් පුද්ගලයින්ට තොරතුරු ලබා ගැනීම සීමා කළ යුතු අතර බලයලත් පුද්ගලයින් පමණක් මෙම දත්ත දකින බවට සහතික විය යුතුය. තොරතුරු වල ආරක්‍ෂිත හෝ සංවේදීතා මට්ටම අනුව දත්ත ඛණ්ඩනය කළ හැකිය. උදාහරණයක් ලෙස, Java Developer කෙනෙකුට සියළුම සේවකයින්ගේ පුද්ගලික තොරතුරු වෙත ප්‍රවේශ වීමට අවශ්‍යතාවයක් නැත. තවද, සේවකයින්ට තමන් සහ සමාගම ප්‍රහාර වලින් ආරක්ෂා කර ගැනීම සඳහා සංවේදී තොරතුරු (Sensitive information - කලින් පොස්ට් එක මතක් කරන්න මොනවද කියලා😉) ආරක්ෂා කිරීමේ හොඳම භාවිතයන් අවබෝධ කර ගැනීම සඳහා පුහුණුව ලැබිය යුතුය. රහස්‍යභාවය සහතික කිරීම සඳහා භාවිතා කරන ක්‍රම අතර Data encryption, Username ID සහ මුරපදය (Password), Factor verification සහ සංවේදී තොරතුරු නිරාවරණය වීම අවම කිරීම ඇතුළත් වේ.

Integrity

අඛණ්ඩතාව යනු එහි සමස්ත ජීවන චක්‍රය තුළ දත්තවල නිරවද්‍යතාවය, අනුකූලතාව සහ විශ්වාසනීයත්වයයි. සංක්‍රමණයේදී (During the migration) දත්ත වෙනස් නොකළ යුතු අතර අනවසර ආයතන විසින් වෙනස් නොකළ යුතුය. File permissions and user access පාලනය මඟින් අනවසර ප්‍රවේශය වළක්වා ගත හැකිය. බලයලත් පරිශීලකයින් විසින් අහම්බෙන් සිදුවන වෙනස්කම් වලක්වා ගැනීම සඳහා Version control භාවිතා කළ හැකිය. ඕනෑම Corrupt data එකක් යථා තත්වයට පත් කිරීම සඳහා Surveying Backup තිබිය යුතු අතර, මාරු කිරීමේදී දත්තවල අඛණ්ඩතාව(Integrity of data)තහවුරු කිරීම සඳහා Checksum hashing භාවිතා කළ හැකිය.

දැන් බලමුකෝ මොකද්ද මේ Checksum කියලා🤔🤔

ඔබේ Local network හෝ Internet  හරහා එක් උපාංගයකින් තවත් උපාංගයකට මාරු කිරීමෙන් පසුව ලිපිගොනු වල Integrity හෝ String verification of characters සඳහා Checksum භාවිතා කරයි. Checksum ගණනය කරනු ලබන්නේ Hash functions සමඟ ය. MD5, SHA-1, SHA-256, සහ SHA-512 යන පොදු Checksum සමහරක් වේ. *රූප සටහන 2* හි පෙන්වා ඇති පරිදි, Hash functions මඟින් දත්ත නිරූපණය කරන ස්ථාවර-දිග අගයක් බවට පරිවර්තනය කිරීම සඳහා ගණිතමය Algorithm එකක් භාවිතා කරයි. Hash කළ අගයෙන්, මුල් දත්ත කෙලින්ම ලබා ගත නොහැක. උදාහරණයක් ලෙස, ඔබට ඔබගේ මුරපදය අමතක වී ඇත්නම්, ඔබගේ මුරපදය හැෂ් අගයෙන් ලබා ගත නොහැක. මුරපදය නැවත සැකසිය යුතුය.

ගොනුවක් බාගත කිරීමෙන් පසුව, ඕනෑම hash calculater එකක් ​​භාවිතයෙන් ඔබ Generation කළ  hash values එක Verify ​​කලයුතුයි source එකෙන් source ට. එවිට  ඔබට එහි අඛණ්ඩතාව (Integrity) Verify කළ හැකිය. Hash අගයන් සංසන්දනය කිරීමෙන්, මාරු කිරීමේදී ගොනුව mess වී හෝ Corrupt වී නොමැති බව ඔබට සහතික කළ හැකිය.

Availability

උපකරණ නඩත්තු කිරීම, දෘඩාංග අළුත්වැඩියා කිරීම, මෙහෙයුම් පද්ධති සහ මෘදුකාංග යාවත්කාලීනව තබා ගැනීම සහ Backup design කිරීම බලයලත් පරිශීලකයින්ට network and data ලබා ගත හැකි බව සහතික කරයි. ස්වාභාවික හෝ මිනිසා විසින් ඇති කරන ලද ව්‍යසනයන්ගෙන් ඉක්මනින් යථා තත්ත්වයට පත්වීමට සැලසුම් සකස් කළ යුතුය.(මේ කාලේ සිද්ධවෙන ⁣Covid19 කේස් එක හොද උදාහරණයක්)  Firewall වැනි ආරක්ෂක උපකරණ හෝ මෘදුකාංග, Denial of service (DoS) වැනි ප්‍රහාර හේතුවෙන් පද්ධති අක්‍රීය වීමෙන් ආරක්ෂා වේ. Refuse service කිරීමෙන් සිදුවන්නේ ප්‍රහාරකයෙකු Resources underfunded කිරීමට උත්සාහ කරන විට එම සේවාවන් පරිශීලකයින්ට ලබා ගත නොහැක.

රූප සටහන 1: CIA Triad 

රූප සටහන 2 හි hash එකක් නිර්මාණය කිරීම සාමාන්‍ය පණිවිඩයක් නිරූපණය කරයි (E 8 8 3 aa 0 b 2 4 c 0 9 f Data on arbitrary length through a hash function to create a fixed length hash value.)

The Consequences of a Security Breach

හේතු කිහිපයක් නිසා organization එකක් සෑම සයිබර් ප්‍රහාරයකින්ම ආරක්ෂා කර ගැනීම කළ නොහැක්කකි. Security network සැකසීමට හා නඩත්තු කිරීමට අවශ්‍ය Specialist knowledge මිල අධිකය.(ඒක තමයි Cybersecurity IT වල හොදම Income එක කියලා අපි කියන්නේ) ප්‍රහාරකයන් සැමවිටම network ඉලක්ක කර ගැනීම සඳහා නව ක්‍රම සොයා ගනී. අවසානයේදී, Advance හා Advanced සහ Targeted Cyber ප්‍රහාරයක් අතිසාර්ථක වනවා. ප්‍රමුඛතාවය වනුයේ data, down time  සහ Loss of income අවම කිරීම සඳහා ප්‍රහාරයට ඔබේ security team කෙතරම් ඉක්මනින් ප්‍රතිචාර දැක්විය හැකිද යන්නයි.

ඔබ සතුව ඇති සියලුම පිටපත් මකා දැමීමට ඔබට හැකි වුවද, Online පළ කරන ඕනෑම දෙයකට සදහටම online ජීවත් විය හැකි බව ඔබ දැන් දන්නවා.(කලින් ලිපිය මතක් කරන්න ඇයි කියලා එහෙම කිව්වේ🤔) ඔබගේ clients ලා hack කර ඇත්නම්, Confidential Person Information ප්‍රසිද්ධ කළ හැකිය. අසත්‍ය තොරතුරු පළ කිරීමෙන් හැකර්වරයකු (හෝ හැකින් කණ්ඩායමක්) සමාගමේ වෙබ් අඩවිය විනාශ කළ හැකි අතර ගොඩනැගීමට වසර ගණනාවක් ගත වූ සමාගමේ කීර්තිනාමය එක් තත්පරයකදී සඳහටම විනාශ කළ හැකිය. හැකර්වරුන්ට සමාගමේ වෙබ් අඩවිය ඉවත් කර සමාගමට ආදායම අහිමි විය හැකිය. වෙබ් අඩවිය දිගු කාලයක් අක්‍රිය නම්, සමාගම විශ්වාසනීය නොවන බවක් පෙනෙන්නට ඇති අතර විශ්වසනීයත්වය නැති විය හැකිය. සමාගමේ වෙබ් අඩවිය හෝ ජාලය උල්ලංඝණය වී ඇත්නම්, මෙය රහස්‍ය ලියකියවිලි කාන්දු වීම, වෙළඳ රහස් හෙළි කිරීම සහ බුද්ධිමය දේපළ සොරකම් කිරීම සඳහා හේතු විය හැකිය. මෙම සියලු තොරතුරු නැතිවීම සමාගමේ වර්ධනයට හා ව්‍යාප්තියට බාධාවක් විය හැකිය.

නැතිවූ හෝ සොරකම් කරන ලද උපාංග ආදේශ කිරීම, පවත්නා ආරක්ෂාව සඳහා ආයෝජනය කිරීම සහ ගොඩනැගිල්ලේ භෞතික ආරක්ෂාව ශක්තිමත් කිරීමට වඩා security breach එකක  මූල්‍ය පිරිවැය බොහෝ ඉහළ ය. breach කිරීමෙන් බලපෑමට ලක්වූ සියලුම ගනුදෙනුකරුවන් සම්බන්ධ කර ගැනීම සඳහා සමාගම වගකිව යුතු අතර නඩු පැවරීමට සූදානම් විය යුතුය. මේ සියලු කැලඹීම් සමඟ, සේවකයන් සමාගමෙන් ඉවත් වීමට තෝරා ගත හැකිය. සමාගමට එහි කීර්තිය අළුත්වැඩියා කිරීම කෙරෙහි වැඩි අවධානයක් යොමු කිරීමට අවශ්‍ය විය හැකිය.

Security breach කිරීමේ ප්‍රතිවිපාක කිහිපයක් බලමු: විනාශ වූ කීර්තිය, විනාශකාරී ක්‍රියාව, සොරකම, ආදායම අහිමිවීම සහ බුද්ධිමය දේපල වලට හානි වීම.

Security breach Example 1

---පහත පරිජේදයේ උදව්වට මතක තබා ගන්න---

#Security breach යනු අවිශ්වාස පාර්ශවයකට හිතාමතා හෝ නොදැනුවත්ව ආරක්ෂිත හෝ පුද්ගලික , රහස්‍ය තොරතුරු මුදා හැරීමයි.

Lastpass (ඔබගේ මුරපද Manage කීරීමට මෘදුකාංගයක් සාදන LogMeIn ආයතනයේ මෘදුකාංගයක්), 2015 ජූලි මාසයේදී එහි ජාලයේ අසාමාන්‍ය ක්‍රියාකාරකම් අනාවරණය කර ගත්තේය. හැකර්වරුන් විසින් පරිශීලක ඊමේල් ලිපින, Password Reminders සහ Authentication hash සොරකම් කර ඇති බව පෙනී ගියේය. වාසනාවකට මෙන්, පරිශීලකයින්ගේ Encrypted password booths ලබා ගැනීමට හැකර්වරුන්ට නොහැකි විය.

Security breach සිදුවුවද, LastPass හට පරිශීලකයින්ගේ ගිණුම් තොරතුරු ආරක්ෂා කළ හැකිවුනි. LastPass හට නාඳුනන උපාංගයකින් හෝ IP ලිපිනයෙන් නව පිවිසුමක් ඇති විට Email authentication හෝ Multi-factor authentication අවශ්‍ය වේ. ගිණුමට ප්‍රවේශ වීම සඳහා හැකර්වරුන්ට ප්‍රධාන මුරපදය අවශ්‍ය වේ.

LastPass භාවිතා කරන්නන්ට තමන්ගේ ගිණුම් ආරක්ෂා කර ගැනීමේදී යම් වගකීමක් ඇත. පරිශීලකයින් සෑම විටම සංකීර්ණ ප්‍රධාන මුරපද භාවිතා කළ යුතු අතර වරින් වර ප්‍රධාන මුරපද වෙනස් කළ යුතුය. පරිශීලකයින් සෑම විටම Phishing attacks වලින් පරිස්සම් විය යුතුය. Phishing attacks උදාහරණයක් වනුයේ ප්‍රහාරකයෙකු ලාස්ට්පාස් වෙතින් යැයි කියමින් ව්‍යාජ ඊමේල් එවන්නේ නම්. Embedded link එකක් කර මුරපදය වෙනස් කරන ලෙස ඊමේල් මඟින් පරිශීලකයින්ගෙන් ඉල්ලා සිටී. Email හි ඇති Link එක ප්‍රධාන මුරපදය සොරකම් කිරීමට භාවිතා කරන වෙබ් අඩවියේ fraudulent version එකකට යයි. පරිශීලකයින් කිසි විටෙක email මගින් පැමිණෙන Embedded link ක්ලික් නොකළ යුතුය. පරිශීලකයින් ඔවුන්ගේ මුරපද මතක් කිරීම ගැනද සැලකිලිමත් විය යුතුය. Password Reminder ලබා නොදිය යුතුය. වැදගත්ම දෙය නම්, එය ලබා දෙන ඕනෑම වෙබ් අඩවියක් සඳහා පරිශීලකයින් Multi-factor authentication සක්‍රීය කළ යුතුය.

පරිශීලකයින්ගේ තොරතුරු ආරක්ෂා කිරීම සඳහා පරිශීලකයින් සහ සේවා සපයන්නන් නිසි මෙවලම් සහ ක්‍රියා පටිපාටි භාවිතා කරන්නේ නම්, Security breach කිරීම් වලදී පවා පරිශීලකයින්ගේ දත්ත ආරක්ෂා කළ හැකිය.

Security breach Example 2

ළමුන් සඳහා High-tech toys නිෂ්පාදකයා වන Vtech විසින් 2015 නොවැම්බරයේදී එහි දත්ත ගබඩාවට Security breach කිරීමක් සිදුවිය. මෙම breach කිරීම ළමයින් ඇතුළු ලොව පුරා මිලියන සංඛ්‍යාත ගනුදෙනුකරුවන්ට බලපායි. දත්ත breach මගින් ගනුදෙනුකරුවන්ගේ නම්, ඊමේල් ලිපින, මුරපද, පින්තූර සහ චැට් ලොග් ඇතුළු Sensitive information අනාවරණය විය.

සෙල්ලම් tab එකක් හැකර්වරුන්ගේ නව ඉලක්කයක් බවට පත්ව තිබුණි. ගනුදෙනුකරුවන් ඡායාරූප බෙදාගෙන ඇති අතර සෙල්ලම් ටැබ්ලට් හරහා චැට් විශේෂාංග භාවිතා කර ඇත. තොරතුරු නිසියාකාරව සුරක්ෂිත නොවූ අතර සමාගමේ නිල වෙබ් අඩවිය Secure SSL communication (SSL - Secure Soket Layer / පරිගණක ජාලයක සන්නිවේදන ආරක්ශාව සදහා නිර්මාණය කර ඇති Cryptographic(ගුප්තකේතනය) protocol ල යකි.) සහාය නොදක්වයි. breach කිරීම කිසිදු ක්‍රෙඩිට් කාඩ් තොරතුරු සහ පුද්ගලික හැඳුනුම් දත්ත හෙළි නොකළද, සමාගම විසින් කොටස් හුවමාරුව අත්හිටුවන ලද්දේ අනවසරයෙන් ඇතුළුවීම පිළිබඳ සැලකිලිමත් වීම එතරම් විශාල බැවිනි.

Vtech ගනුදෙනුකරුවන්ගේ තොරතුරු නිසියාකාරව ආරක්ෂා නොකළ අතර එය breach අධ්‍යනය කිරීමේදී අනාවරණය විය. ඔවුන්ගේ මුරපද hash කර ඇති බව සමාගම සිය ගනුදෙනුකරුවන්ට දැනුම් දුන්නද, හැකර්වරුන්ට ඒවා තේරුම් ගැනීමට තවමත් හැකි විය. MD5 hash function භාවිතයෙන් දත්ත සමුදායේ Passwords  scratched කිරීමකට ලක් කළ නමුත් Security issues සහ Answers සාමාන්‍ය ලෙස ගබඩා කර ඇත. අවාසනාවකට මෙන්, MD5 hash function දන්නා risk ද ඇත. කලින් ගණනය කළ hash අගයන් මිලියන ගණනක් සංසන්දනය කිරීමෙන් හැකර්වරුන්ට මුල් මුරපද තීරණය කළ හැකිය.

මෙම data breach කිරීම්වල තොරතුරු හෙළි වීමත් සමඟ, සයිබර් අපරාධකරුවන්ට එය භාවිතා කරමින් ඊමේල් ගිණුම් නිර්මාණය කිරීමට, බැර සඳහා ඉල්ලුම් කිරීමට සහ ළමයින්ට පාසැල් යාමට තරම් වත් උස මහත් වී නොමැති අවධියේදී ම අපරාධ කරැවෙක් කිරීමට හැකි බව ඔබට තේරැම් ගන්න පුලුවන් ඇති. මෙම දරුවන්ගේ දෙමව්පියන්ගේ online account වලට සයිබර් අපරාධකරුවන්ට පිවිසීමට හැකි වී ඇත්තේ බොහෝ අය විවිධ වෙබ් අඩවි සහ ගිණුම් වල මුරපද නැවත භාවිතා කරන බැවිනි.එලෙසම එම සෙල්ලම් බඩු වලටද ඔවුන් යොදාගෙන ඇත්තේ එකම මුරපදකි.

එම Security breach එක ගනුදෙනුකරුවන්ගේ පෞද්ගලිකත්වයට බලපෑවා පමණක් නොව, සමාගමේ කීර්තිනාමයද විනාශ කර දැම්මේය.

දෙමව්පියන් සඳහා, අන්තර්ජාලය හරහා තම දරුවන්ගේ පෞද්ගලිකත්වය පිළිබඳව වඩාත් විමසිල්ලෙන් සිටීම සහ දරුවන්ගේ නිෂ්පාදන සඳහා වඩා හොඳ ආරක්ෂාවක් ඉල්ලා සිටීම කලයුතුව ඇත. Network  සම්බන්ධිත නිෂ්පාදන නිෂ්පාදකයින් සඳහා, Cyber ​​attack landscape පරිණාමය වන විට, දැන් සහ අනාගතයේදී පාරිභෝගික data සහ පෞද්ගලිකත්වය ආරක්ෂා කිරීමේදී ඔවුන් වඩාත් aggressive විය යුතුය.

Security breach Example 3

Equifax Inc. යනු USA හි රටපුරා ඇති පාරිභෝගික ණය වාර්තාකරණ ආයතනයකි. මෙම සමාගම ලොව පුරා මිලියන ගණනක් තනි ගනුදෙනුකරුවන් සහ ව්‍යාපාර පිළිබඳ තොරතුරු රැස් කරයි. එකතු කරන ලද තොරතුරු මත පදනම්ව, ගනුදෙනුකරුවන් පිළිබඳ ණය ලකුණු සහ ණය වාර්තා නිර්මාණය වේ. මෙම තොරතුරු ගනුදෙනුකරුවන් ණය සඳහා ඉල්ලුම් කරන විට සහ ඔවුන් රැකියාවක් සොයන විට බලපායි.

2017 සැප්තැම්බර් මාසයේදී Equifax විසින් data breach කිරීමේ සිද්ධියක් ප්‍රසිද්ධියේ ප්‍රකාශයට පත් කරන ලදී. Apache Struts web application software එකෙහි ඇති අනාරක්ෂිත බව ප්‍රහාරකයින් විසින් ප්‍රයෝජනයට ගෙන ඇත. 2017 මැයි සිට ජූලි දක්වා කාලය තුළ USA හි පාරිභෝගිකයින්ගේ මිලියන ගණනක Sensitive personal data සයිබර් අපරාධකරුවන් විසින් ලබා ගත් බව සමාගම විශ්වාස කරයි. පුද්ගලික දත්ත වලට ගනුදෙනුකරුවන්ගේ සම්පූර්ණ නම්, Social Security no, උපන්දින, ලිපිනයන් සහ පුද්ගලිකව හඳුනාගත හැකි තොරතුරු ඇතුළත් වේ. මෙම breach එක USA  සහ කැනඩාවේ ගනුදෙනුකරුවන්ට බලපා ඇති බවට සාක්ෂි තිබේ.

Equifax විසින් පාරිභෝගිකයින්ට ඔවුන්ගේ තොරතුරු සම්පාදනය වී ඇත්දැයි තීරණය කිරීමට සහ ණය අධීක්ෂණය සහ අනන්‍යතා සොරකම් ආරක්ෂාව සඳහා ලියාපදිංචි වීමට ඉඩ සලසන විශේෂිත වෙබ් අඩවියක් ස්ථාපනය කරන ලදී. නව ඩොමේන් නාමයක් භාවිතා කිරීම, equifax.com හි උප ඩොමේනයක් භාවිතා කරනවා වෙනුවට, අනවශ්‍ය පාර්ශවයන්ට සමාන නම් සහිත Unauthorized Websites නිර්මාණය කිරීමට ඉඩ ලබා දුන්නේය. පුද්ගලික තොරතුරු සැපයීමට ඔබව රැවටීමට Phishing ක්‍රමයක කොටසක් ලෙස මෙම වෙබ් අඩවි භාවිතා කළ හැකිය. තවද, Equifax හි සේවකයෙකු කනස්සල්ලට පත්වන ගනුදෙනුකරුවන් සඳහා සමාජ මාධ්‍යවල වැරදි web link එකක් ලබා දුන්නේය. වාසනාවකට මෙන්, මෙම වෙබ් අඩවිය පැය 24 ක් ඇතුළත ඉවත් කරන ලදී. එය නිර්මාණය කරන ලද්දේ Equifax හි response page එකේහි ඇති අනාරක්‍ෂිතතා හෙළි කිරීම  අධ්‍යාපන අවස්ථාවක් ලෙස භාවිතා කරන පුද්ගලයෙකු විසිනි.

සැලකිලිමත් පාරිභෝගිකයෙකු ලෙස, ඔබේ තොරතුරු අඩපණ වී ඇත්දැයි ඉක්මනින් තහවුරු කර ගැනීමට ඔබට අවශ්‍ය විය හැකිය, එවිට ඔබට බලපෑම අවම කළ හැකිය. අර්බුදකාරී කාලයකදී, අනවසර වෙබ් අඩවි භාවිතා කිරීමට ඔබ රැවටිය හැකිය. ඔබ නැවත ගොදුරක් නොවීමට පුද්ගලික තොරතුරු සැපයීම ගැන සැලකිලිමත් විය යුතුය. තවද, අපගේ තොරතුරු අනවසරයෙන් ප්‍රවේශමෙන් ආරක්ෂා කර ගැනීම සමාගම්වල වගකීම වේ. Exploiting known risks අවම කිරීම සඳහා සමාගම් නිරන්තරයෙන් තම මෘදුකාංගය update කළ යුතුය. තොරතුරු ආරක්ෂා කිරීම සඳහා වන ක්‍රියා පටිපාටි සහ breach වීමකදී කුමක් කළ යුතුද යන්න පිළිබඳව ඔවුන්ගේ සේවකයින් දැනුවත් කළ යුතුය.

අවාසනාවකට මෙන්, මෙම breach කිරීමේ සැබෑ ගොදුරු වන්නේ දත්ත Compilation කර ඇති පුද්ගලයන් ය. මෙම අවස්ථාවේ දී, Equifax විසින් සපයනු ලබන සේවාවන් භාවිතා කිරීමට පාරිභෝගිකයින් තෝරා නොගත් නිසා ණය චෙක්පත් සිදුකරන අතරතුර එකතු කරන ලද පාරිභෝගික දත්ත ආරක්ෂා කිරීමේ වගකීම Equifax සතුව ඇත. එකතු කරන ලද තොරතුරු ආරක්ෂා කිරීම සඳහා පාරිභෝගිකයා සමාගම කෙරෙහි විශ්වාසය තැබිය යුතුය. තවද, ඔබේ අනන්‍යතාවය උපකල්පනය කිරීමට ප්‍රහාරකයන්ට මෙම දත්ත භාවිතා කළ හැකි අතර, වෙනත් ආකාරයකින් ඔප්පු කිරීම ඉතා අපහසු වන්නේ Attacker සහ victim යන දෙදෙනාම එකම තොරතුරු දන්නා බැවිනි. මෙම අවස්ථා වලදී, ඔබට කළ හැකි බොහෝ දේ ඔබ අන්තර්ජාලය හරහා පුද්ගලිකව හඳුනාගත හැකි තොරතුරු සපයන විට සුපරීක්ෂාකාරී වීමයි. ඔබේ ණය වාර්තා නිතිපතා පරීක්ෂා කරන්න (මසකට වරක් හෝ quarter එකකට වරක්). කිසියම් වැරදි තොරතුරක් වහාම ඔබේ මූල්‍ය ආයතනයට එය වාර්තා කරන්න,

Types of Attackers

Attackers යනු පුද්ගලික හෝ මූල්‍යමය වාසි සඳහා exploit the risk ගෙන තොරතුරු වෙත පිවිසීමට උත්සාහ කරන පුද්ගලයින් හෝ කණ්ඩායම් ය. ක්‍රෙඩිට් කාඩ්පත්වල සිට නිෂ්පාදන සැලසුම් දක්වා සහ වටිනාකමක් ඇති ඕනෑම දෙයක් ගැන ප්‍රහාරකයින් උනන්දු වෙති.

Apprentices - 

මෙම පුද්ගලයින් සමහර විට Script Kiddie ලෙස හැඳින්වේ. ඔවුන් සාමාන්‍යයෙන් සුළු හෝ කුසලතා නොමැති ප්‍රහාරකයින් වන අතර බොහෝ විට ප්‍රහාර දියත් කිරීම සඳහා අන්තර්ජාලයේ ඇති මෙවලම් හෝ උපදෙස් භාවිතා කරයි. ඔවුන්ගෙන් සමහරක් හුදෙක් කුතුහලය දනවන අතර තවත් සමහරු ඔවුන්ගේ හැකියාවන් ප්‍රදර්ශනය සඳහා හානියක් කිරීමට උත්සාහ කරති. ඔවුන් මූලික මෙවලම් භාවිතා කරන නමුත් ප්‍රථිපල  විනාශකාරී විය හැකිය.

Hackers- 

මෙම ප්‍රහාරකයන් කණ්ඩායම ප්‍රවේශය ලබා ගැනීම සඳහා පරිගණක හෝ ජාල වලට කඩා වැදී ඇත. In the case of breakage මෙම ප්‍රහාරකයන් White, Gray හෝ black Hat ලෙස වර්ගීකරණය කර ඇත. White hat ප්‍රහාරකයින් ජාල හෝ පරිගණක පද්ධති වලට කඩා දුර්වලතා සොයා ගැනීම සඳහා මෙම පද්ධතිවල ආරක්ෂාව වැඩි දියුණු කළ හැකිය.(Google/facebook වගේ සමාගම් මෙම හැකර් වරැන්ගේ සහය ලබාගනී. මොවුන්ගේ දල මාසික ආදායම USD 80,000 ත් USD 100,000 අතර වේ. ලංකා මුදලින් කෝටී 1.24ත් 1.89 පමණ වේ😎)   මෙම බිඳවැටීම් පූර්ව අවසරයකින් සිදු කෙරෙන අතර ඕනෑම ප්‍රථිපලයක් අයිතිකරු වෙත වාර්තා කරනු ලැබේ. අනෙක් අතට, black hat ප්‍රහාරකයින් නීති විරෝධී පුද්ගලික, මූල්‍ය හෝ දේශපාලන වාසි සඳහා වන ඕනෑම අවදානමකින් ප්‍රයෝජන ගනී. Gray hat ප්‍රහාරකයින් White සහ black hat ප්‍රහාරකයන් අතර කොතැනක හෝ සිටී. Gray hat ප්‍රහාරකයන්ට පද්ධතියක අවදානමක් ඇති බව සොයාගත හැකිය. Gray hat හැකර්වරු එම ක්‍රියාව ඔවුන්ගේ න්‍යාය පත්‍රයට සමපාත වන්නේ නම් පද්ධතියේ හිමිකරුවන්ට ඇති අවදානම වාර්තා කළ හැකිය.

Organized hackers -

මෙම හැකර්වරුන්ට සයිබර් අපරාධකරුවන්, හැකර්වාදීන්, ත්‍රස්තවාදීන් සහ රාජ්‍ය අනුග්‍රහය දක්වන හැකර්වරුන්ගේ සංවිධාන ඇතුළත් වේ. සයිබර් අපරාධකරුවන් සාමාන්‍යයෙන් පාලනය, බලය සහ ධනය කෙරෙහි අවධානය යොමු කරන වෘත්තීය අපරාධකරුවන්ගේ කණ්ඩායම් වේ. අපරාධකරුවන් ඉතා නවීන හා සංවිධානාත්මක වන අතර ඔවුන් වෙනත් අපරාධකරුවන්ට සේවාවක් ලෙස සයිබර් අපරාධ පවා ලබා දිය හැකිය. (ඩීල් එකක් වගේ) Hacktivists තමන්ට වැදගත් වන කරුණු පිළිබඳව දැනුවත් කිරීම සඳහා දේශපාලන ප්‍රකාශ සිදු කරයි. රාජ්‍ය අනුග්‍රහය දක්වන ප්‍රහාරකයින් තම රජය වෙනුවෙන් බුද්ධි තොරතුරු රැස් කිරීම හෝ කඩාකප්පල් කිරීම සිදු කරයි. මෙම ප්‍රහාරකයින් සාමාන්‍යයෙන් ඉහළ පුහුණුව ලත් සහ හොඳින් අරමුදල් සපයන අය වන අතර ඔවුන්ගේ ප්‍රහාර ඔවුන්ගේ රජයට ප්‍රයෝජනවත් වන නිශ්චිත ඉලක්ක වෙත යොමු වී ඇත.

Internal and External Threats

Internal Security Threats

පහත දැක්වෙන පරිදි පහරදීම් සංවිධානයක් තුළ හෝ සංවිධානයෙන් පිටත සිට ආරම්භ කළ හැකිය. සේවකයෙකු හෝ කොන්ත්‍රාත් හවුල්කරුවෙකු වැනි අභ්‍යන්තර පරිශීලකයෙකුට අහම්බෙන් හෝ හිතාමතාම කළ හැකිය. පහත ඒවායින් කිහිපයක් දැක්වේ..

1. රහස්‍ය දත්ත වැරදි ලෙස හැසුරුවීමට
2. අභ්‍යන්තර සේවාදායකයන්ගේ හෝ ජාල යටිතල පහසුකම් උපාංගවල ක්‍රියාකාරිත්වයට තර්ජනය කිරීමට
3. ආසාදිත USB මාධ්‍ය ආයතනික පරිගණක පද්ධතියට සම්බන්ධ කිරීමෙන් බාහිර ප්‍රහාරයන්ට පහසුකම් සැපයීමට
4. අනිෂ්ට ඊමේල් හෝ වෙබ් අඩවි හරහා අහම්බෙන් ජාලයට අනිෂ්ට මෘදුකාංග ආරාධනා කිරීමට

අභ්‍යන්තර තර්ජන වලට බාහිර තර්ජනයන්ට වඩා විශාල හානියක් සිදුවිය හැකි බැවින් අභ්‍යන්තර පරිශීලකයින්ට ගොඩනැගිල්ලට සහ එහි යටිතල පහසුකම් උපාංගවලට සෘජු ප්‍රවේශයක් ඇත. ආයතනික ජාලය, එහි සම්පත් සහ එහි රහස්‍ය දත්ත මෙන්ම විවිධ මට්ටමේ පරිශීලක හෝ පරිපාලන වරප්‍රසාද පිළිබඳ සේවකයින්ට දැනුමක් ඇත.

External Security Threats

ආධුනිකයන්ගෙන් හෝ දක්ෂ ප්‍රහාරකයන්ගෙන් බාහිර තර්ජන මගින් ජාල හෝ පරිගණක උපාංගවල ඇති අවදානම් මෙයට උපයෝගී කර ගත හැකිය, නැතහොත් ප්‍රවේශය ලබා ගැනීම සඳහා Social engineering භාවිතා කළ හැකිය.

පහත ප්‍රස්ථාරයේ (රූප සටහන 3)  විවිධ වර්ගයේ සයිබර් ප්‍රහාරකයන් වර්ගීකරණය කරයි පිටත ප්‍රහාරකයන්ට සයිබර් අපරාධකරුවන්, Hacktivists, ත්‍රස්තවාදීන් සහ රාජ්‍ය අනුග්‍රහය දක්වන Black hat, Gray hats සහ White hat, ආධුනිකයන් වැනි සංවිධානාත්මක ප්‍රහාරකයින් ඇතුළත් වේ. අභ්‍යන්තරිකයන් වන්නේ සේවකයින්, හිටපු සේවකයින්, කොන්ත්‍රාත් කාර්ය මණ්ඩලය සහ විශ්වාසවන්ත හවුල්කරුවන් ය

What is Cyberwarfare?

සාම්ප්‍රදායික හමුදා සහ යන්ත්‍රවල ගැටුම්වලින් තොරව ජාතීන්ට ගැටුම් සිදු කළ හැකි සයිබර් අවකාශය යුද්ධයේ තවත් වැදගත් මානයක් බවට පත්ව ඇත. අවම මිලිටරි පැවැත්මක් ඇති රටවලට සයිබර් අවකාශයේ අනෙකුත් ජාතීන් මෙන් ශක්තිමත් වීමට මෙය ඉඩ දෙයි. Cyberwarfare යනු අන්තර්ජාලය පදනම් කරගත් ගැටුමක් වන අතර එය පරිගණක පද්ධති සහ වෙනත් ජාතීන්ගේ network Penetration වේ. විදුලිබල ජාලයක් වසා දැමීම වැනි සේවාවන් හානි කිරීමට හෝ කඩාකප්පල් කිරීමට වෙනත් ජාතීන්ට එරෙහිව දැවැන්ත අන්තර්ජාල පාදක ප්‍රහාර දියත් කිරීමට මෙම ප්‍රහාරකයන්ට සම්පත් හා විශේෂ ප්‍රවීණවේදී  දැනුම ඇත.

රජය විසින් අනුග්‍රහය දක්වන ලද ප්‍රහාරයකට උදාහරණයක් ලෙස ඉරානයේ න්‍යෂ්ටික  කම්හලට හානි කිරීම සඳහා නිර්මාණය කරන ලද Stuxnet Malicious software එක සම්බන්ධ විය. තොරතුරු සොරකම් කිරීම සඳහා Stuxnet Malicious software  ඉලක්කගත පරිගණක පැහැර නොගත්තේය. පරිගණක මගින් පාලනය කරන ලද භෞතික උපකරණවලට හානි කිරීම සඳහා එය නිර්මාණය කර ඇත. Malicious software තුළ නිශ්චිත කාර්යයක් ඉටු කිරීම සඳහා programming කරන ලද Modular coding භාවිතා කළේය. එය සොරකම් කළ Digital certificates භාවිතා කළ නිසා ප්‍රහාරය පද්ධතියට නීත්‍යානුකූල බවක් පෙනෙන්නට තිබුණි.

Stuxnet ගැන වැඩිදුර දැන ගැනීමට මේ Video එකත් බලන්න.

Cyber Warfare හි අරමුණ

සයිබර් යුද්ධයේ ප්‍රධාන අරමුණ වන්නේ ජාතීන් වේවා තරඟකරුවන් වේවා විරුද්ධවාදීන්ට වඩා වාසි ලබා ගැනීමයි.

එක් ජාතියකට අඛණ්ඩව වෙනත් ජාතියේ යටිතල පහසුකම් ආක්‍රමණය කිරීමට, ආරක්ෂක රහස් සොරකම් කිරීමට සහ එහි කර්මාන්තවල සහ හමුදාවේ හිඩැස් අඩු කිරීමට තාක්ෂණය පිළිබඳ තොරතුරු රැස් කිරීමට හැකිය. කාර්මික හා මිලිටරි ඔත්තු බැලීමට අමතරව, සයිබර් යුද්ධයට වෙනත් ජාතීන්ගේ යටිතල පහසුකම් කඩාකප්පල් කිරීමටත්, ඉලක්කගත රටවල ජීවිත අහිමි කිරීමටත් හැකිය. උදාහරණයක් ලෙස, ප්‍රහාරයකින් ප්‍රධාන නගරයක විදුලිබල පද්ධතිය කඩාකප්පල් විය හැකිය. ගමනාගමනය අඩාල වනු ඇත. භාණ්ඩ හා සේවා හුවමාරුව නතර කර ඇත. හදිසි අවස්ථා වලදී අවශ්‍ය ප්‍රතිකාර ලබා ගැනීමට රෝගීන්ට නොහැකිය. අන්තර්ජාලයට පිවිසීම ද කඩාකප්පල් විය හැකිය. විදුලිබල පද්ධතියට බලපෑම් කිරීමෙන් ප්‍රහාරය සාමාන්‍ය පුරවැසියන්ගේ එදිනෙදා ජීවිතයට බලපායි.

තවද, සම්මුති විරහිත සංවේදී දත්ත (Consensus sensitive data) මගින් ප්‍රහාරකයින්ට රජය තුළ සිටින පිරිස් බ්ලැක්මේල් කිරීමේ හැකියාව ලබා දිය හැකිය. Sensitive information හෝ උපකරණ වෙත ප්‍රවේශ වීමට බලයලත් පරිශීලකයෙකු ලෙස පෙනී සිටීමට ප්‍රහාරකයාට හැකිය.

සයිබර් ප්‍රහාරවලින් ආරක්ෂා වීමට රජයට නොහැකි නම්, පුරවැසියන් හට රජය මගින් ඒවා ආරක්ෂා කිරීමට ඇති හැකියාව පිළිබඳ විශ්වාසය නැති වී යා හැකිය. Cyber ​​Warfare මගින් ජාතියක් අස්ථාවර කිරීමට, වාණිජ්‍යය කඩාකප්පල් කිරීමට සහ ඉලක්කගත ජාතියට භෞතිකව ආක්‍රමණය නොකර පුරවැසියන්ට ඔවුන්ගේ රජය කෙරෙහි ඇති විශ්වාසයට බලපෑම් කළ හැකිය.

හරි අපි බලමු අපි මොනාද මෙච්ච දවසක් ඉගන ගත්තේ කියලා..

1 වන පරිච්ඡේදය: 

සයිබර් ආරක්ෂණ අවශ්‍යතාවය

මෙම පරිච්ඡේදය සයිබර් ආරක්ෂණයේ ලක්ෂණ සහ ලක්ෂණ පැහැදිලි කළේය. සයිබර් ආරක්ෂණ වෘත්තිකයින් සඳහා වන ඉල්ලුම දිගින් දිගටම ඉහළ යන්නේ මන්දැයි එය පැහැදිලි කළේය. ඔබගේ පුද්ගලික සබැඳි අනන්‍යතාවය සහ දත්ත සයිබර් අපරාධකරුවන්ට ගොදුරු විය හැක්කේ මන්දැයි අන්තර්ගතය පැහැදිලි කරන ලදී. එය ඔබගේ පුද්ගලික සබැඳි අනන්‍යතාවය සහ දත්ත ආරක්ෂා කරන්නේ කෙසේද යන්න පිළිබඳ උපදෙස් කිහිපයක් ලබා දෙන ලදී.

මෙම පරිච්ඡේදයේ ආයතනික දත්ත පිළිබඳව ද සාකච්ඡා කෙරිණි: එය කුමක්ද, එය කොහේද, සහ එය ආරක්ෂා කළ යුත්තේ ඇයි. සයිබර් ප්‍රහාරකයින් කවුරුන්ද යන්න සහ ඔවුන්ට අවශ්‍ය දේ එහි විස්තර කලා. සයිබර් ආරක්ෂණ වෘත්තිකයින්ට සයිබර් ප්‍රහාරකයන්ගේ කුසලතා තිබිය යුතුය. සයිබර් ආරක්ෂණ වෘත්තිකයන් දේශීය, ජාතික සහ ජාත්‍යන්තර නීතියේ සීමාවන් තුළ කටයුතු කළ යුතුය. සයිබර් ආරක්ෂණ වෘත්තිකයන් ද ඔවුන්ගේ කුසලතා සදාචාරාත්මකව භාවිතා කළ යුතුය.

අවසාන වශයෙන්, මෙම පරිච්ඡේදය කෙටියෙන් පැහැදිලි කළේ සයිබර් යුද්ධ සහ ජාතීන්ට සහ රජයන්ට ඔවුන්ගේ පුරවැසියන් හා යටිතල පහසුකම් ආරක්ෂා කිරීමට සයිබර් ආරක්ෂණ වෘත්තිකයන් අවශ්‍ය වන්නේ මන්ද යන්නයි.

End Chapter  : 1 

Start date : 09/05/2020

End date : 10/05/2020 

Time : 2 Days 

Next Chapter : 2.1 Attack, concept and Techniques

Chapter 1.1 Old post Link : https://itpapi.blogspot.com/2020/05/cisco-network-academy-cyber-security.html

මෙම Cybersecurity 1 වෙනි පරිච්ඡේදය ඔන්න ඔය විදිහට ඉවර වෙනවා. ඉතාම ඉක්මනින් අපි ඊලග කොටසට යන බලාපොරොත්තුවෙන් නැවත හමුවෙනකම් අදට සමු ගන්නවා. ❤️❤️❤️