ஜீரோ-டேஸ் மற்றும் ஜீரோ ஓவர்சைட்: எ டேல் ஆஃப் டூ டெக் ரியாலிட்டி

ஜீரோ-டேஸ் மற்றும் ஜீரோ ஓவர்சைட்: எ டேல் ஆஃப் டூ டெக் ரியாலிட்டி

ஒளிரும் சிவப்பு விழிப்பூட்டலை வெறித்துப் பார்த்துக் கொண்டிருக்கும் உங்கள் SOC குழுவை கற்பனை செய்து பாருங்கள். அக்டோபர் 2023 இல் 3 AM, மற்றும் செய்தி நன்றாக இல்லை: உங்கள் Citrix NetScaler ADC மற்றும் Gateway இல் இரண்டு முக்கியமான பூஜ்ஜிய நாட்கள், சுறுசுறுப்பாகப் பயன்படுத்தப்பட்டு, ரிமோட் கோட் எக்ஸிகியூஷனை (RCE) செயல்படுத்தி, தனிப்பயன் மால்வேர் காடுகளில் காணப்பட்டது. CISA அறியப்பட்ட சுரண்டப்பட்ட பாதிப்புகள் (KEV) பட்டியல் அவற்றைச் சேர்த்தது [1, 2, 3, 4]. இது ஒரு தத்துவார்த்த அச்சுறுத்தல் அல்ல; இது வட அமெரிக்கா மற்றும் ஐரோப்பாவில் உள்ள அரசு, நிதி, கல்வி மற்றும் சட்டத் துறைகளில் முக்கியமான நிறுவன உள்கட்டமைப்பை பாதிக்கும் ஒரு குறிப்பிடத்தக்க, சர்வதேச சம்பவம் ஆகும். உங்கள் குழுக்கள் இரத்தப்போக்கு, ஆவேசமாக ஒட்டுதல் மற்றும் ஒரு பேரழிவு மீறலாக இருக்கக்கூடும் என்பதற்கான தடயவியல் விசாரணைகளைத் தொடங்குவதற்குத் துடிக்கும்போது, ​​​​மற்றொரு தலைப்பு குறைகிறது: ஜனாதிபதி டிரம்ப் AI மேம்பாட்டிற்காக உயர் தொழில்நுட்ப நிறுவனங்களுடன் "தன்னார்வ உடன்படிக்கையை" பெற்றுள்ளார், தொழில்துறை சுய-காவல்துறைக்கு உறுதியளிக்கிறார் [5].

சுருக்கம் முற்றிலும் பொருத்தமற்றது. ஒருபுறம், நமது தற்போதைய டிஜிட்டல் சூழலின் மிருகத்தனமான, மறுக்க முடியாத யதார்த்தத்தை நாங்கள் எதிர்கொள்கிறோம்: நமது நவீன உலகில் அடிப்படைக் கட்டமைப்பில் உள்ள அடிப்படை பலவீனங்களைச் சுரண்டும் அதிநவீன எதிரிகளுக்கு எதிரான நிலையான, உயர்-பங்கு போர். மறுபுறம், அடிப்படை பாதுகாப்பு மற்றும் நெறிமுறையான சுய-ஆட்சியுடன் தொடர்ந்து போராடும் அதே தொழில் நுட்பத்தின் எதிர்காலத்தை மிகவும் மாற்றியமைக்கும், ஆனால் ஆழ்ந்த நிச்சயமற்ற, தொழில்நுட்பத்தின் எதிர்காலத்தை பாதுகாப்பாக நிர்வகிக்க முடியும் என்று பரிந்துரைக்கும் ஒரு அரசியல் காட்சி.

சிட்ரிக்ஸ் பேரழிவு: ஆழமான அழுகலின் அறிகுறி

தெளிவாக இருக்கட்டும்: CVE-2023-4966 (Citrix Bleed என அறியப்படுகிறது) மற்றும் CVE-2023-3519 போன்ற சிட்ரிக்ஸ் பூஜ்ஜிய நாட்கள் "மற்றொரு பாதிப்பு" மட்டுமல்ல. அவை தரவு மையத்தில் ஒரு அவசர நெருக்கடியை பிரதிநிதித்துவப்படுத்துகின்றன, இது நேரடியான, நடந்துகொண்டிருக்கும் தாக்குதல் பிரச்சாரமாகும், இது உடனடியான, அனைத்து கைகளாலும்-டெக் பதிலைக் கோருகிறது [1, 2, 3, 4]. ஏடிசி அல்லது கேட்வேயில் ரிமோட் கோட் எக்ஸிகியூஷன் என்பது ஒரு முக்கியமான அணுகல் புள்ளியின் டிஜிட்டல் சமமானதாகும். இது ஒட்டுதல் பற்றியது மட்டுமல்ல; இது எங்கள் நிறுவன கட்டமைப்பின் அமைப்பு ரீதியான பலவீனம் பற்றியது.

பல ஆண்டுகளாக, நாங்கள் சிக்கலான, ஒன்றோடொன்று இணைக்கப்பட்ட அமைப்புகளை உருவாக்கி வருகிறோம், பெரும்பாலும் முக்கிய உள்கட்டமைப்பிற்காக ஒரு சில முக்கியமான விற்பனையாளர்களை நம்பியுள்ளோம். சிட்ரிக்ஸ், பலவற்றைப் போலவே, அத்தியாவசிய சேவைகளை வழங்குகிறது, ஆனால் அந்த மையத்துடன் மிகப்பெரிய ஆபத்து வருகிறது. NetScaler போன்ற ஒரு அடிப்படை கூறு பூஜ்ஜிய-நாள் மட்டத்தில் சமரசம் செய்யப்படும்போது, ​​சிற்றலை விளைவு பேரழிவை ஏற்படுத்துகிறது. தோல்வியின் ஒரு புள்ளியை நம்புவதில் உள்ள உள்ளார்ந்த குறைபாட்டை இது வெளிப்படுத்துகிறது, அது எவ்வளவு வலுவாக இருக்க வேண்டும். "உடனடியாக இணைக்கவும்" என்ற உத்தரவு, தேவையான போது, ​​முறையான சிக்கலுக்கு மேலோட்டமான தீர்வாக உணர்கிறது. இது அடிப்படைச் சிக்கல்களைத் தீர்க்காது: பாதிப்புகளை உருவாக்கும் சிக்கலான தன்மை, சில விற்பனையாளர்களிடமிருந்து பாதுகாப்பு புதுப்பிப்புகளின் மெதுவான வேகம் மற்றும் மிக முக்கியமான கட்டத்தில் சுற்றளவு மீறப்படும்போது தோல்வியடையும் பாதுகாப்பு-ஆழமான உத்திகள்.

இது ஒரு தொழில்நுட்ப பிரச்சனை மட்டுமல்ல; இது ஒரு வணிக தொடர்ச்சி கனவு. தரவு மீறல்கள், செயல்பாட்டு சீர்குலைவு, ஒழுங்குமுறை அபராதம், நற்பெயர் சேதம் - செலவுகள் வானியல். மற்றும் எதற்காக? நெட்வொர்க்கை திறமையாக இயக்க வேண்டுமா? வசதிக்காகவும் உணரப்பட்ட செயல்திறனுக்காகவும் செங்குத்தான விலையைச் செலுத்துகிறோம், CTOக்கள் மற்றும் பாதுகாப்புக் குழுக்களுக்கான தூக்கமில்லாத இரவுகளில் அளவிடப்படும் விலை, மற்றும் சாத்தியமான, பொதுமக்களின் நம்பிக்கையை சிதைக்கும். தனிப்பயன் மால்வேரை பயன்படுத்தி இவை சுறுசுறுப்பாகப் பயன்படுத்தப்படும் பூஜ்ய-நாட்கள், இவை ஸ்கிரிப்ட் கிட்டீஸ் அல்ல என்பதை நமக்குச் சொல்கிறது. இவர்கள் நன்கு வளம் பெற்ற, அதிக மதிப்புள்ள சொத்துக்களை குறிவைக்கும் நிலையான அச்சுறுத்தல் நடிகர்கள் [3]. தற்போதுள்ள டிஜிட்டல் உலகின் அடித்தள அடுக்குகளை நம்மால் பாதுகாக்க முடியாவிட்டால், அதிவேகமாக மிகவும் சிக்கலான எதிர்காலத்திற்கு என்ன நம்பிக்கை உள்ளது?

AI's Wild West: பாதுகாப்பைக் கட்டளையிட சுயநலத்தை நம்புதல்

அந்த எதிர்காலத்தைப் பற்றி பேசுகையில், AI "சுய-காவல்துறை" உடன்படிக்கைக்கு திரும்புவோம். ஜனாதிபதி ட்ரம்பின் அறிவிப்பு, அரசியல் முக்கியத்துவம் வாய்ந்ததாக இருந்தாலும், பொறுப்புக்கூறலை புறக்கணிப்பதற்கான ஒரு பாடநூல் உதாரணம் [5]. "தன்னார்வ" மற்றும் "சுய-காவல்துறை" என்பது கடந்த இரண்டு தசாப்தங்களாக தொழில்நுட்பத் துறையில் செயல்படுவதைப் பார்க்கும் எவருக்கும் அச்சத்தைத் தூண்டும் சொற்கள். இந்த முறையை நாம் முன்பே கவனித்திருக்கிறோம், இல்லையா? சமூக ஊடக நிறுவனங்கள் "தன்னிச்சையாக" வெறுப்பூட்டும் பேச்சைக் கட்டுப்படுத்துகின்றன, தேடுபொறிகள் தரவு தனியுரிமையை "சுய-ஒழுங்குபடுத்தும்" மற்றும் பயன்பாட்டுக் கடைகள் "சுயாதீனமாக" நியாயமான போட்டியை உறுதி செய்கின்றன. ட்ராக் ரெக்கார்டு, லேசாகச் சொல்வதானால், பரிதாபம்.

சக்தி வாய்ந்த AI அமைப்புகளை உருவாக்கவும் பயன்படுத்தவும் துடிக்கும் நிறுவனங்களே - பொருளாதாரத்தை மறுவடிவமைக்கும் திறன், தேர்தல்களில் செல்வாக்கு மற்றும் சமூக அபாயத்தின் புதிய வடிவங்களை உருவாக்கும் திறன் கொண்ட அமைப்புகள் - தங்கள் சொந்த நெறிமுறை மற்றும் பாதுகாப்பு வழிகாட்டுதல்களை அமைத்து செயல்படுத்துவதற்கு நம்பலாம். இவை லாபம் மற்றும் சந்தை ஆதிக்கத்தால் இயக்கப்படும் நிறுவனங்கள். அவர்களின் முதன்மையான நம்பகக் கடமை பங்குதாரர்களுக்கானது, பொது நன்மை அல்லது நெறிமுறை AI பற்றிய சுருக்கமான கருத்து அல்ல.

இந்த "ஒப்பந்தம்" நிர்வாகத்திற்கு கிடைத்த அரசியல் வெற்றியாகும், இது உண்மையான சட்டம் அல்லது ஒழுங்குமுறை மேற்பார்வையின் குழப்பமான வணிகம் இல்லாமல் AI மீது நடவடிக்கை எடுக்க அனுமதிக்கிறது. பிக் டெக்கிற்கு இது ஒரு பெரிய வெற்றியாகும், இது அவர்களின் கண்டுபிடிப்புகளை மெதுவாக்கும் அல்லது அவர்களின் அடிமட்டத்தை பாதிக்கக்கூடிய கடினமான கட்டுப்பாடுகளிலிருந்து நேரத்தையும் சுதந்திரத்தையும் வாங்குகிறது. ஆனால் நம்மில் எஞ்சியவர்களுக்கு - இந்த அமைப்புகளை உருவாக்கும் தொழில்நுட்ப வல்லுநர்கள், அவற்றை நம்பியிருக்கும் வணிகங்கள் மற்றும் ஒட்டுமொத்த சமூகத்திற்கும் - இது ஒரு ஆபத்தான முன்னுதாரணமாகும். பொது பாதுகாப்பு மற்றும் பொறுப்புக்கூறலின் மீது கார்ப்பரேட் சுயாட்சிக்கு முன்னுரிமை அளிக்கும் AI நிர்வாகத்திற்கான விருப்பமான அணுகுமுறையை இது குறிக்கிறது.

துண்டிப்பு: நிலையற்ற அடித்தளங்களை உருவாக்குதல்

சங்கடமான உண்மை இதுதான்: ஒரே நேரத்தில் நமது நிகழ்காலத்தைப் பாதுகாக்கத் தவறி வருகிறோம், மேலும் நமது எதிர்காலத்தை ஆபத்தான முறையில் தவறாக நிர்வகிக்கிறோம். டிஜிட்டல் ஸ்திரமின்மையின் அடித்தளத்தில் நாங்கள் இன்னும் அதிநவீன AI அமைப்புகளை உருவாக்கி வருகிறோம், அங்கு சிக்கலான உள்கட்டமைப்புகள் அதிநவீன எதிரிகளால் வழக்கமாக சமரசம் செய்யப்படுகின்றன. தங்கள் தயாரிப்புகள் உலகளாவிய தாக்குதல் திசையன்களாக மாறுவதைத் தடுக்க முடியாத அதே தொழில்துறை தலைவர்கள் இப்போது பொது செயற்கை நுண்ணறிவின் நெறிமுறை மற்றும் பாதுகாப்பு தாக்கங்களை "சுய-காவல்துறைக்கு" கேட்கப்படுகிறார்கள்.

இது ஒரு துண்டிப்பு மட்டுமல்ல; அது ஒரு ஆழமான இடைவெளி. CTOக்கள் மற்றும் பொறியியல் முன்னணியில், நாங்கள் நடுவில் சிக்கியுள்ளோம். Citrix zero-days போன்ற உடனடி, இருத்தலியல் அச்சுறுத்தல்களைத் தடுப்பதில் நாங்கள் பணிபுரிகிறோம், அதே நேரத்தில் AI- உந்துதல் எதிர்காலத்திற்குத் தயாராகுமாறு நாங்கள் கூறப்படுகிறோம், அங்கு நாம் செல்லும்போது விதிகள் பெரும்பாலும் வீரர்களால் உருவாக்கப்படுகின்றன.

தன்னார்வ AI ஒப்பந்தம் ஒரு தீர்வு அல்ல; இது ஒரு தாமத தந்திரம். இது பொறுப்புக்கூறலை ஒத்திவைக்கிறது, தவிர்க்க முடியாத நெறிமுறை மீறல்கள், சார்புகள் அல்லது AI இன் பேரழிவுகரமான தோல்விகள் கூட நிகழும்போது, ​​ஆரம்பத்தில் இருந்தே வலுவான, சுயாதீனமான மேற்பார்வை ஏன் இல்லை என்று பொதுமக்கள் ஆச்சரியப்படுவார்கள். அந்த தோல்விகள் நிகழும்போது, ​​அவை கோட்பாட்டு ரீதியாக இருக்காது. அவை உங்கள் NetScaler இல் உள்ள RCE போன்று உண்மையானதாகவும், பாதிப்பை ஏற்படுத்தக்கூடியதாகவும் இருக்கும்.

நாம் மேலும் கோர வேண்டும். எங்களின் விற்பனையாளர்களிடமிருந்து வலுவான, செயலூக்கமான பாதுகாப்பு எங்களுக்குத் தேவை, உண்மைக்குப் பிறகு எதிர்வினை இணைப்புகள் மட்டும் அல்ல. AI க்கு உண்மையான, சுயாதீனமான ஒழுங்குமுறை எங்களுக்குத் தேவை, அரசியல்வாதிகள் மற்றும் நிறுவனங்களுக்கு இடையிலான கைகுலுக்கல் ஒப்பந்தம் மட்டுமல்ல. ஏனென்றால், நமது முக்கிய உள்கட்டமைப்பைக் கூட நம்மால் பாதுகாக்க முடியாவிட்டால், அடுத்த தலைமுறை நாகரிகத்தை பொறுப்புடன் உருவாக்க கட்டிடக் கலைஞர்களை எப்படி நம்புவது? இப்போதைக்கு நம்மால் முடியாது என்பதே பதில்.

ஆதாரங்கள்

[1] CISA சிட்ரிக்ஸ் நெட்ஸ்கேலர் ADC மற்றும் கேட்வே பாதிப்பு (CVE-2023-4966) ஆகியவற்றை அறியப்பட்ட சுரண்டப்பட்ட பாதிப்புகள் பட்டியலில் சேர்க்கிறது — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] CVE-2023-4966 மற்றும் CVE-2023-4967 க்கான சிட்ரிக்ஸ் பாதுகாப்பு புல்லட்டின் — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] மாண்டியன்ட்: UNC4841 சிட்ரிக்ஸ் நெட்ஸ்கேலர் ஏடிசி மற்றும் கேட்வே ஜீரோ-டே (CVE-2023-4966) ஆகியவற்றைப் பயன்படுத்துகிறது - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA சிட்ரிக்ஸ் நெட்ஸ்கேலர் ADC மற்றும் கேட்வே பாதிப்பு (CVE-2023-3519) ஆகியவற்றை அறியப்பட்ட சுரண்டப்பட்ட பாதிப்புகள் பட்டியலில் சேர்க்கிறது — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] நேரலை அறிவிப்புகள்: டிரம்ப் தொழில்நுட்பத்திற்கான AI தலைவர்களுடன் தன்னார்வ ஒப்பந்தத்தில் கையெழுத்திட்டார் ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026