Security Threats Part (2)

ဒီနေ့ Article မှာ Security Threats ရဲ့ နောက်တစ်ပိုင်း Part 2 ကို ဆက်လက်ရေးသားသွားမှာ ဖြစ်ပါတယ်။ စာဖတ်သူတို့ အနေနဲ့ Security Threats Part 1 မှာ End-User တွေ ကို အများဆုံး Infected ဖြစ်စေတဲ့ Threats တွေ အကြောင်းကို သွားရောက်လေ့လာနိုင်ပါတယ်။
‍‍‍‍‍‍
ဒီနေ့ ပြောပြသွားမဲ့ Security Threats 6 ခုမှာ 5 ခု က Web-Based Attack တွေပဲ ဖြစ်ပါတယ်။ ကျန်တဲ့ တစ်ခုက တော့ Mobile Application နဲ့ သက်ဆိုင်တဲ့ Attack တစ်ခု အကြောင်းကို ပြောပြ ပေးမှာ ဖြစ်ပါတယ်။
‍‍‍‍‍‍
➡ Social Engineering Attack
Social Engineering Attack ဆိုတာ လူတွေရဲ့ စိတ်ပိုင်း ဆိုင်ရာကို လှည့်စားပြီး Confidential Information တွေရယူခြင်းကိုဆိုလိုပါတယ်။ Social Network တွေခေတ်စားလာတာနဲ့အမျှ လူ တော်တော် များများပာာ သူတို့ရဲ့Information တွေကို Facebook, LinkedIn, Twitter , Google + စတဲ့ Social Network တွေပေါ် Sharing လုပ်လာကြပါတယ်။ ဒါက လူတစ်ယောက်ချင်း ဒါမှမပာုတ် organization တစ်ခု ကို Specific Target ထားနေတဲ့ attacker တွက် Spear Phishing Attack ကို ပြုလုပ်နိုင်အောင်အစပျိုးပေးရာ ရောက်ပါတယ်။ ဒါ့အ ပြင်Social Engineering Attack မှာ Pretexting ဆိုတဲ့ ကိုယ့်ရဲ့ Co-Worker ၊ Police Officer , Bank, Tax Office စသဖြင့် ပာန်ဆောင်ပြီး Victim ယုံကြည်အောင် ပြောဆိုကာ Sensitive Information ရယူ ခြင်း၊ လူတွေရဲ့ သိချင်စိတ်နဲ့ လောဘကိုအသုံး ချပြီး Baiting Attack လုပ် ခြင်း၊ Victim ရဲ့ System ပာာ Infected ဖြစ်နေပြီ ပာု Alert ပို့ကာ Software တစ် ခု Download လုပ် ခိုင်းခြင်း ( တကယ် တော့ ဒီ Software ပာာ Attacker ဖန်တီးထားတဲ့ Deception Software, Rogue Scanner Software နဲ့ Fraudware တွေပါ။ ဒီ Scareware အမျိုးအစားက Security Threats Part 1 Article က Malvertising နဲ့တူတူပါပဲ။) ၊ စတဲ့ ပုံစံ မျိုးတွေနဲ့ victim တွေကို လှည့်စားလေ့ ရှိပါတယ်။
‍‍‍‍‍‍
➡ Drive-by-Downloads
Drive-by-Download Attack က Users တွေ Website ကို သွားရောက်ရင်း သူတို့ ကိုယ်တိုင် Click Or Download ဆိုတဲ့ Button ကိုတောင် မနှိပ်မိဘဲ အလို အလျောက် Malware File Download လုပ်သွားခြင်း ပဲ ဖြစ်ပါတယ်။ Attackers တွေပာာ Website ရဲ့ Vulnerability ကို သိဖို့ Exploit Kits ဆိုတဲ့ Software တွေကိုအသုံး ပြုကြပါတယ်။ ဒီ Software ကို Web Server ပေါ်မှာ Run ပြီး Machine တွေ၊ Web Browser တွေရဲ့ Vulnerability တွေကို ရှာဖွေပြီး Malicious Site ဖြစ်အောင် ပြု လုပ်လိုက်တာ ဖြစ်ပါတယ်။ Users တွေပာာ ဒီ Exploited Site ကို ဝင်ရောက် ရုံနဲ့ တင် သူတို့ ကိုယ်တိုင် မသိလိုက်တဲ့အချိန်မှာ Mobile Device, Computer System ထဲကို Malware File Download လုပ် သွားမှာ ဖြစ်ပါတယ်။
‍‍‍‍‍‍
➡ Watering Hole Attacks
Watering Hole Attack ရဲ့ ပုံစံက ခြင်္သေ့တစ်ကောင် ပာာ သူ့ရဲ့ သားကောင်တွေ ရေလာသောက်တတ်တဲ့ ရေကန် နားမှာ စိတ်ရှည် ရှည် နဲ့ စောင့်ပြီး အခွင့်အရေးရတာနဲ့ သားကောင်ကို တိုက်ခိုက် တဲ့ ပုံစံ နဲ့တူညီပါတယ်။ Predator ( Attacker ) တွေပာာ သူတို့ရဲ့ Victim တွေ သွားလေ့ရှိတဲ့ Legitimate Websites တွေကို Vulnerability Exploit လုပ်ပြီး Victim ရဲ့ အလာ ကို စောင့် ဆိုင်းနေတတ်ပါတယ်။ Victim က ဒီ Legitimate Site က Attacker ရဲ့ Trap တစ်ခုခုကို နှိပ်မိပြီ ဆိုရင် သူရဲ့ Malware File ရှိတဲ့ Fake Website ထဲ ကို redirect လုပ် သွားမှာပါ။ ဒီအချိန်မှာ Drive-by-Download Attack လဲ ထပ်ဆင့် ဖြစ်ပွားနိုင်ပါတယ်။
‍‍‍‍‍‍
➡ Clickjacking
Clickjacking ဆိုတာ Website တွေထဲ မှာ User တွေမ မြင်နိုင်ဘဲ နောက်ကွယ်က Run နေတဲ့ Malicious Element တွေကို Click နှိပ်မိ အောင် Attacker တွေက Trick လုပ်ထားခြင်းကို ခေါ်ပါတယ်။ Clickjacking ပာာ User ရဲ့ Interaction လိုအပ်ပါတယ်။ Clickjacking ကို ဥပမာ တစ်ခု နဲ့ လေ့လာကြည့်ရအောင်။
‍‍‍‍‍‍
Clickjacking မှာ Attacker က User ကို စိတ်ဝင်စားအောင် သူ့ရဲ့ Page ထဲမှာ ” A free Trip to US” လို့ ရေးထားပါလိမ့်မယ်။Background Process အနေနဲ့ Attacker က User ပာာ သူ့ရဲ့ Banking Site ကို Log In ဝင်ထားလား စစ်နေပါလိမ့်မယ်။ User ကသာ သူ့ရဲ့ Bank Account ထဲ Login ဝင်ထားတယ်ဆိုရင် Attacker သည် Malicious Query တွေ Run ပြီး လိုအပ်တဲ့ Transaction Parameter တွေကို သူ့ ရဲ့ Form ထဲ ဖြည့် ဖို့ကြိုးစားပါလိမ့်မယ်။ ဒီ Form ကို User မ မြင်နိုင်တဲ့ Invisible Frame လို့ခေါ်တဲ့ iFRAME ထဲမှာ Run နေတာ ဖြစ်ပါတယ်။ ဒီ Form ကို ဖြည့်ပြီး သွားရင် Attacker ပာာ User ဆီက Confirmation ကို တောင်းပါလိမ့်မယ် ။ အထက်မှာ ပြောခဲ့သလို Free Trip သွားချင်လား ၊ User အနေနဲ့သာ Book My Free Trip ဆိုတာ ကို Click လိုက်ရင် Attacker ဆွဲ ယူထားတဲ့ Transaction Parameters ပာာ သူ့ဆီ ရောက် သွားပါပြီ။ ဒါက Clickjacking ရဲ့ အလုပ်လုပ်ပုံ သာဓက တစ်ခုပါ။
‍‍‍‍‍‍
Web-based Attacks ပိုင်းကို ဆွေးနွေးပြီးသွားပါပြီ။ နောက် ဆုံး Threat တစ်ခု ဖြစ်တဲ့ Mobile Application Threat အကြောင်းကို ဆက်လေ့လာကြည့်ရပါမယ်။
‍‍‍‍‍‍
➡ Mobile Application Threats
User တွေ Download လုပ်နေတဲ့ Applications တချို့ မှာလဲ Security Issues တွေရှိပါတယ်။ Enterprise တွေမှာပါ အသုံး ပြုနေတဲ့ WhatsApp ပာာ ဆိုရင် Hackers တွေ Spyware ကို Remote ကနေ Install လုပ် လို့ ရတာ ကို မကြာသေးခင်က ရှာဖွေ တွေ့ ရှိထားတာပါ။ WhatsApp က ဒီ Vulnerability ကို ပိတ် ဖို့ Patch ထုတ်လုပ်ပြီး Updated လုပ်လိုက်ပါပြီ။ ဒီတော့ နေ့စဉ် သုံးနေတဲ့ Official App တွေကို Vendor တွေဘက် က Update ထွက်တာနဲ့ User တွေဘက်ကလဲ Update အလျင်မီ လုပ်သင့်ပါတယ်။ ဒါ့အပြင် App တစ်ခုကို Download လုပ်တော့မယ်ဆိုရင် ဒီ App ပာာ Malicious ဖြစ်နေလား မဖြစ်ဘူးလားဆိုတာ သိနိုင် ဖို့ Google Play Protect ကို On ထားဖို့အကြံ ပြု လိုပါတယ်။
‍‍‍‍‍‍
➡ Suggestion
ဒီ Suggestion ကတော့ Web-Based Attacks တွေအတွက် ရည်ရွယ်ပါတယ်။ End-Users တွေအနေနဲ့ Antivirus Software ကိုအမြဲ Up-to-Date ဖြစ်အောင် လုပ်သင့်တဲ့ အ ပြင်ကိုယ့်ရဲ့ Browser ကို Patch File သုံးကာ အမြဲ Update လုပ်ထားသင့်ပါတယ်။ Organization တွေအနေနဲ့ ကိုယ့်ရဲ့ Security Solution က Malware File, Rootkit တွေ Download လုပ်တဲ့ Traffic တွေကို Drop လုပ်နိုင်ပြီလားဆိုတာ စစ်ဆေးသင့်ပါတယ်။ User တွေကို သူတို့ ပုံမှန် ဝင်ရောက်လေ့ ရှိတဲ့ Website တွေပေါ်က Pop-Ups တွေ မနှိပ်မိအောင် Awareness လုပ် ပေးထားသင့်ပါတယ်။‍‍‍‍‍‍
‍‍‍‍‍‍
➡ Summary
Security Threats တွေပာာ Users တွေ ရဲ့ Emotions တွေ ၊ Security Awareness Education လုံလောက်စွာ မရှိ သေးမုှ စတာတွေအပေါ် အခြေခံပြီး Trick လုပ်ကြတာ များပါတယ်။ ဒါ့ကြောင့် Organization တွေအနေနဲ့ Users တွေ Security Awareness ရှိအောင် Train ပေး ခြင်းက ကိုယ့် Organization ကို Data Breaches မဖြစ်ပွားအောင် ကြိုတင်ကာကွယ်ရာ ရောက်ပါတယ်။
‍‍‍‍‍‍
NEX4 SI အနေနဲ့ Users တွေ Admin တွေအတွက် Security Awareness ပိုင်းကို ပိုပြီး Educated ဖြစ်အောင် Security Awareness Trainings တွေကို NEX4 ရဲ့ Security Consultant နဲ့အတူပူးပေါင်းဆောင်ရွက်ပေးနေပါတယ်။

Don’t forget to share this post!