Mashambulizi ya Kujaza Hati Yamefafanuliwa (na Jinsi ya Kuzuia)

Ilisasishwa: 2022-04-25 / Kifungu na: Gene Fay
Jinsi Mashambulizi ya Uwekaji Kitambulisho Hufanya Kazi

Ufunguo wa kujua jinsi ya kuzuia shambulio la ujanibishaji wa sifa ni kuelewa ni nini, jinsi ya kufanywa, na jinsi wanaweza. kuathiri biashara na data yako.

Kwa ufupi, shambulio la kujaza kitambulisho ni ulinganishaji wa kiotomatiki wa majina ya watumiaji na nywila zilizoibwa ambazo wahalifu wanaweza kutumia kupata michanganyiko halali ya vitambulisho vya kuingia. Mbinu hii huchochea mashambulizi ya uchukuaji akaunti, na kwa kawaida huwa ya kuyatangulia. Wahalifu wanahitaji kufikia akaunti kwanza kabla ya kuzichukua na kuzitumia kwa madhumuni yao wenyewe.

Mashambulizi ya kuweka hati miliki hufanya asilimia kubwa ya aina zote za mashambulizi ya mtandaoni, Kwa kweli, karibu 5% ya trafiki yote ya kidijitali inahusiana na mashambulizi haya.

Ongezeko la hivi majuzi la mashambulio ya upakiaji stakabadhi kunatokana na wizi unaoendelea, na katika baadhi ya matukio yenye faida kubwa, wa taarifa za kibinafsi za watumiaji kupitia ukiukaji wa data wa mara kwa mara. Wateja wanaotumia tena na kuchakata manenosiri kwenye akaunti zao za mtandaoni wako hatarini.

Kimsingi, hii inamaanisha kwamba ikiwa mvamizi anaweza kufikia mseto wa jina moja sahihi la mtumiaji na nenosiri linalotumiwa na mtu mmoja kwenye akaunti nyingi za mtandaoni, akaunti hizi zote zinaweza kuathiriwa kwa urahisi na ndani ya muda mfupi.

Je, Mashambulizi ya Uwekaji Hati Hufanyaje Kazi?

Kuna awamu tatu za msingi katika shambulio lolote la kujaza sifa:

  1. Ukusanyaji wa data
  2. Ulinganishaji wa kitambulisho
  3. Uchumaji wa mapato ya shambulio

Wavamizi mara nyingi hutumia roboti kubinafsisha mchakato wa uthibitishaji wa kitambulisho na kupata michanganyiko halali ya majina ya watumiaji na nywila. roboti hizi zenye nguvu zinaweza kulinganisha maelfu ya nenosiri kwa majina ya watumiaji ili kupata michanganyiko halali ambayo inaweza kutumika kupata ufikiaji usiotakikana wa akaunti za kidijitali. Mbinu hii inaruhusu washambuliaji kuongeza juhudi zao na kuongeza ROI yao huku wakifanya uharibifu mkubwa kwa biashara na watu binafsi sawa.

Je, Mashambulizi ya Uwekaji Sifa ni ya Kawaida kwa kiasi gani?

Mashambulizi haya ya kidijitali ni ya kawaida sana na yameenea katika anuwai ya tasnia na vikoa vya mtandaoni. Wakati mwingine hata hufanywa na roboti za kiotomatiki badala ya wanadamu. roboti za hali ya juu zilizo na uwezo wa kijasusi bandia zinapatikana kwa urahisi na kwa urahisi kwa washambuliaji, ambao wanaweza kufikia huduma za usaidizi ili kuwasaidia katika mashambulizi yao. Teknolojia hii hurahisisha washambuliaji kutekeleza mashambulizi makubwa kwa kutumia roboti kwa gharama ndogo kwao wenyewe.

Wavamizi wengi pia wanajua kuhusu mbinu za msingi za kulinda ulaghai, na wanaweza kutumia maarifa haya kuzunguka na kutumia mifumo ya kiteknolojia kwa manufaa yao. Pindi tu wanapokiuka mtandao, wanaweza kutumia roboti kuchunguza ndani, kuiba data ya kibinafsi na kutatiza shughuli za biashara na mifumo ya usalama.

Kuelewa Takwimu

Jukwaa la arifa za uvunjaji data bila malipo HaveIBeenPwnd.com hufuatilia zaidi ya vitambulisho bilioni 8.5 vilivyoathiriwa kutoka kwa zaidi ya matukio 400 ya ukiukaji wa data. Huduma hufuatilia pekee vitambulisho kutoka kwa seti za data ambazo zimefunguliwa kwa umma au zilisambazwa kwa wingi kwa kutumia mifumo ya chinichini. Utupaji wa hifadhidata nyingi ni za kibinafsi, na ni vikundi vidogo tu vya udukuzi vinaweza kuzifikia.

Mashambulizi ya kujaza hati miliki yanaungwa mkono na uchumi kamili wa chinichini unaozingatia uuzaji wa hati tambulishi zilizoibwa na zana maalum za usaidizi ili kuwasaidia washambuliaji katika juhudi zao. Zana hizi hutumia 'orodha za mchanganyiko' ambazo hukusanywa kutoka kwa seti tofauti za data baada ya manenosiri ya haraka yanayopatikana katika seti za data zilizovuja kupasuka. Kimsingi, kuzindua mashambulizi ya uwekaji cheti hakuhitaji ujuzi au ujuzi wowote maalum. Mtu yeyote ambaye ana pesa za kutosha kununua data na zana anazohitaji anaweza kutekeleza shambulizi.

Mashambulizi ya kuweka hati hati yamekuwa ya gharama nafuu - kwa chini kama $200 kwa kila akaunti 100,000 zinazochukuliwa (chanzo).

Kampuni ya usalama na uwasilishaji bidhaa Akamai iligundua mashambulio bilioni 193 ya wizi wa cheti ulimwenguni kote mnamo 2020 pekee. Nambari hii ilikuja kama 360% kuongezeka zaidi ya takwimu za 2019. Ingawa baadhi ya ongezeko hili linaweza kuhusishwa na ufuatiliaji wa kina wa wateja zaidi. Baadhi ya tasnia, kama vile tasnia ya huduma za kifedha, zililengwa haswa mara nyingi. Ripoti ya Akamai ya Mei 2021 ilitaja ongezeko kadhaa katika idadi ya mashambulizi haya, ikiwa ni pamoja na siku moja mwishoni mwa 2020 ambayo ilishuhudia mashambulizi zaidi ya bilioni moja yakianzishwa.

Jinsi ya Kugundua Mashambulizi

Mashambulizi ya kuweka hati miliki huzinduliwa kupitia zana na boti otomatiki zinazoruhusu matumizi ya seva mbadala zinazosambaza maombi ya uhuni kwenye idadi ya anwani tofauti za IP. Wavamizi pia mara nyingi husanidi zana zao za chaguo ili kuiga mawakala halisi wa watumiaji - vichwa vinavyotambua mifumo ya uendeshaji na vivinjari ambavyo maombi ya wavuti yanajumuisha.

Haya yote hufanya iwe changamoto kutofautisha kati ya mashambulizi na majaribio ya kweli ya kuingia. Hasa kwenye tovuti zilizo na viwango vya juu vya trafiki ambapo wimbi la ghafla la maombi ya kuingia halionekani kutokana na tabia ya kawaida ya kuingia. Kwa kusema haya, ongezeko la viwango vya kutofaulu kwa kuingia kwa muda mfupi linaweza kuonyesha kuwa shambulio la upakiaji wa sifa limezinduliwa dhidi ya tovuti.

Kuna ngome nyingi za programu za wavuti na huduma zinazofanana ambazo hutumia uchunguzi wa hali ya juu wa kitabia kugundua tabia zinazoshukiwa za kuingia. Pamoja, wamiliki wa tovuti wanaweza kuchukua hatua zao wenyewe kuzuia mashambulizi ya baadaye.

Soma zaidi

Jinsi ya Kuzuia Mashambulizi ya Kujaza Hati

Je! Wewe ni roboti?

Mashambulizi ya kuweka hati hati ni mojawapo ya vitisho muhimu zaidi kwa akaunti za kidijitali za watumiaji wa mtandao leo, na hii inatumika pia kwa biashara. Mashirika, biashara ndogo ndogo, na kila mtu aliye kati yao anapaswa kuchukua hatua za ulinzi dhidi ya matishio haya ili kuhakikisha kwamba data yao ya kibinafsi na ya shirika ni salama.

Baadhi ya maarufu zaidi kuzuia stuffing sifa mbinu ni pamoja na:

  • CAPTCHA
    CAPTCHA ni aina ya roboti ya kawaida inayotumiwa kuzuia mashambulizi yanayoendeshwa na roboti zingine. Wanahitaji watumiaji wa mtandao kutatua mafumbo wanapoingia ili kuhakikisha kuwa wao ni binadamu. CAPTCHA zinapatikana katika matoleo mbalimbali, ikiwa ni pamoja na picha, maandishi, sauti, jumla ya hisabati na zaidi.
  • Ingia za kibayometriki za tabia
    Biashara zingine zimeamua kuchanganua tabia ya kawaida ya watumiaji na mifumo ya trafiki ya wavuti ili kugundua vitisho. Wanaweza kutumia data hii kugundua tabia zisizo za kawaida na unyonyaji unaowezekana wa mifumo yao.
  • Anwani ya IP inazuia
    Biashara nyingi zimezuia anwani za IP kwa sababu ya shughuli za kutiliwa shaka, na zingine huchagua kuweka karantini maombi yanayotiliwa shaka hadi yatakapokaguliwa na kuthibitishwa.
  • Uthibitishaji wa vipengele viwili na vipengele vingi
    2FA na MFA hutoa safu za ziada za usalama na uthibitishaji kwa kutumia maelezo ya ziada ambayo mtumiaji pekee anapaswa kujua au kupata ufikiaji. Uthibitishaji huu unaweza kuja kwa njia ya PIN za mara moja, SMS, maswali ya usalama au usomaji wa kibayometriki kama vile alama ya vidole au skanaji usoni.
  • Ujuzi wa kifaa na alama za vidole
    Ufahamu wa kifaa unajumuisha data kama vile mifumo ya uendeshaji, anwani za IP, aina za kivinjari na zaidi. Data hii husaidia kuunda utambulisho wa kipekee ambao unaweza kuunganishwa kwenye kifaa mahususi. Kupotoka kutoka kwa data hii ya kawaida kunaweza kuripoti tabia zinazotiliwa shaka na kuruhusu biashara na watu kuchukua hatua kwa makini na kuanzisha hatua zaidi za uthibitishaji.
  • Nenosiri na usafi wa usalama
    Usafi wa nenosiri unapaswa kuwa sehemu ya mafunzo ya uhamasishaji wa usalama wa kila biashara kwa wafanyikazi. Kutumia tena nenosiri ndicho kiwezeshaji kikuu cha uvamizi wa cheti, kwa hivyo biashara zinahitaji kukatisha tamaa tabia hii na kuhakikisha kwamba wafanyakazi wao wanajua umuhimu wa kutumia manenosiri thabiti na ya kipekee, kazini na katika uwezo wao binafsi.
    Watumiaji wa wavuti wanaweza kutumia salama wasimamizi wa nenosiri kutengeneza nywila ngumu na zisizotabirika kwa kila akaunti ya mtandaoni waliyo nayo. Wasimamizi wa nenosiri watahifadhi manenosiri haya kiotomatiki, na wanaweza pia kuwaarifu watumiaji ikiwa anwani zao za barua pepe zitaonekana katika utupaji wa data ya umma.

Baadhi ya makampuni makubwa yameanza kuchukua hatua madhubuti kwa kuchanganua na kufuatilia utupaji wa data ya umma ili kuona kama anwani za barua pepe zilizoathiriwa zipo katika mifumo yao pia. Kwa akaunti zinazopatikana kwenye seva zao, zinahitaji uwekaji upya wa nenosiri na kupendekeza kuwezesha uthibitishaji wa vipengele vingi ili kulinda watumiaji ambao data yao tayari inaweza kuwa imeathirika.

Je, Hatua Hizi za Kuzuia Zina Ufanisi Gani?

Biashara nyingi hutumia mbinu moja au kadhaa za ulinzi zilizotajwa hapo juu ili kujilinda na data zao kutokana na mashambulizi ya kujaza hati miliki. Walakini, njia hizi hazifanyi kazi kwa 100%. Wanawasilisha mapungufu ambayo yanathibitisha kuwa yanafaa kwa kiasi katika kutoa ulinzi unaoendelea dhidi ya mashambulizi yanayoendelea.

Hatua hizi za uzuiaji huleta changamoto za ujumuishaji na kuongeza gharama za kiufundi, huku zote zikitatiza uamuzi wa hatari, ambao unaweza kuzuia zaidi juhudi za kuzuia ulaghai. Kwa mfano, uthibitishaji wa vipengele vingi ni wa gharama kubwa kutekeleza na huathiriwa na SMS na OTP zilizochelewa au kupotea.

Vile vile, kuzuia anwani za IP kulingana na mabadiliko ya tabia kunaweza kusababisha biashara kuzuia wateja halali na viongozi bila kujua. Upelelezi wa kifaa hauwezi kutumika kama suluhu la usalama la pekee, kwa kuwa watumiaji wengi leo wamesakinisha vifaa na vivinjari vingi. CAPTCHA zimesalia nyuma ya teknolojia ya roboti zinazobadilika kila mara. Zinatumika kwa haraka kwani mara nyingi huwazuia watumiaji wa mtandao bila sababu bila kusimamisha mashambulizi.

Njia ya Kuchukua: Kuzuia ni Ufunguo

Katika enzi hii ambapo tatizo la uvamizi wa cheti ni tishio linaloongezeka, biashara za kila aina zitapambana kusawazisha upanuzi wa gharama za urekebishaji na hatua madhubuti za usalama zinazozalisha ROI inayoweza kutumika. Mashambulizi haya yana bei nafuu kwa washambuliaji. Lakini wanaweza kuacha biashara ikiwa na ulemavu chini ya upotezaji wa kifedha na uharibifu wa sifa.

Kwa kifupi, upunguzaji wa mashambulio ya uwekaji cheti kunaweza kuwa hautoshi kulinda biashara dhidi ya madhara. Ni lazima badala yake wazingatie kuzuia wahalifu ili kuweka data zao salama. Mbinu bunifu ya kuzuia ulaghai inahitajika ili kuyapa mashirika ulinzi wa kudumu kadri mbinu za uvamizi zinavyoendelea kubadilika.

Kulingana na ripoti iliyotajwa hapo juu ya Jimbo la Akamai la Mtandao, mashambulio ya uwekaji hati miliki hayaendi popote. Kwa kuwa haziwezi kusimamishwa kabisa, biashara zinapaswa kulenga kufanya mchakato wa kupata majina ya watumiaji na nywila zinazolingana kuwa changamoto iwezekanavyo. Kupunguza utumiaji upya wa nenosiri na kuhimiza uundaji wa manenosiri thabiti ni baadhi ya vizuizi bora na vya bei nafuu vinavyopatikana kwa biashara katika sekta zote.

Soma zaidi

Kuhusu Gene Fay

Gene Fay ni mtendaji mwenye uzoefu wa hali ya juu na historia iliyoonyeshwa ya mafanikio ya kufanya kazi katika teknolojia ya habari. Ujuzi katika Usalama wa Mtandao, Mtandao wa Eneo la Hifadhi (SAN), Mauzo, Huduma za Kitaalamu, na Kituo cha Data. Mtaalamu dhabiti wa teknolojia ya habari aliye na MBA iliyoangazia Teknolojia ya Juu kutoka Chuo Kikuu cha Kaskazini-Mashariki - Shule ya Wahitimu ya Utawala wa Biashara. Yeye pia ndiye mtangazaji wa Executive Security Podcast, podikasti inayoangazia mazungumzo na CISOs na viongozi wengine wa usalama kuhusu jinsi watu binafsi wanaweza kuingia na kukuza taaluma katika usalama.