လုံခြုံရေး အသိ

 ရောမမြို့ က Colosseum လိုကွင်းပြင်တွေပေါ်မှာ သတ်ပုတ်ကြတဲ့ပွဲတွေကို ရိုက်ပြထားတဲ့ Gladiator လို ရုပ်ရှင်တွေ၊ ဒါမှ မဟုတ်ရင်လည်း ရှေးခတ်က စစ်ပွဲတွေ အကြောင်းရိုက်ပြထားတဲ့ ရုပ်ရှင်တွေ ကြည့်ဖူးကြ မှာပါ။ အဲဒီရုပ်ရှင်တွေမှာ ဘာကိုသထိထားမိသလဲဆိုရင် သတ်ကွင်းအတွင်းကို ဆင်းမဲ့သူတွေ၊ စစ်မြေပြင်ကို ဝင်ရောက်မဲ့ သူတွေဟာ သူတို့ ကို ကာကွယ်ဖို့အတွက် ချပ်ဝတ်တန်ဆာတွေ အပြည့်နဲ့ ဝင်ရောက်ကြပါတယ်။ တချို့ ဝတ်စုံတွေက တကိုယ်လုံး အပြည့်၊ တချို့ ကြတော့လည်း အပေါ် ပိုင်းကိုသာ ကာထားတာမျိုး၊ တချို့ ကလည်း ဦခေါင်း၊ မျက်နှာ အထိပါ အကာအကွယ်ပေးနိုင်တဲ့ ခေါင်းစွတ်တွေနဲ့ အမျိုးမျိုးပါ။ တချို့ ရုပ်ရှင် တွေ မှာတော့ ကျွန်အဖြစ် သရုပ်ဆောင်ကြတဲ့ သူတွေဝင်ရောက် သတ်ပုတ်တော့ မယ်ဆိုရင်တော့ ဘာအကာ အကွယ်မှ မပါပဲ ကိုယ်ဗလာကျင်းပြီး သတ်ခိုင်းတာကို တွေ့ရ ပါတယ်။

အဲဒီမြင်ကွင်းတွေကို မြင်ကြည့်လိုက်ရင် ကျွန်တွေ အနေနဲ့ မမျှတစွာ ယှဉ်ပြိုင်ရတယ်ဆိုတာကို ပေါ်လွင် သလို၊ တဖက်က အပြည့်အစုံ ဝတ်ထားတဲ့ ရောမစစ်သားတွေဖက်ကို ထိအောင် တိုက်ခိုက်ဖို့ခက်တယ် ဆိုတာလည်း မြင်နိုင်ပါတယ်။ ဒါကို အိုင်တီဖက်က အမြင်နဲ့ ကြည့်မယ်ဆိုရင် အားနဲချက်တွေများနေတဲ့ Vulnerabilities တွေရှိနေတဲ့ Device တခုနဲ့ Hardending သေချာလုပ်ထားတဲ့ Device တခုအနေနဲ့ ကွာခြား တာကို တွေ့မြင်နိုင်ပါတယ်။ IT Device တခုကို လုပ်ငန်းခွင်မှာ အသုံးပြုတော့မယ်၊ Network အတွင်းမှာ ချိတ်ဆက်အသုံးပြုမယ်ဆိုတာဟာ အပေါ်က ပြောခဲ့တဲ့ ရုပ်ရှင်တွေကလို သတ်ကွင်းတွေ၊ စစ်မြေပြင်တွေ အပေါ်ကို သွားရသလိုပါပဲ။ ဘယ်ကမှန်းမသိတဲ့ ရန်သူတွေ၊ သိရဲ့ သားနဲ့ လာတိုက်ခိုက်မဲ့သူတွေ အများ ကြီးပါ။ တိုက်ခိုက်တယ်ဆိုတာမှာလည်း အပြင်ကလာမှ တိုက်ခိုက်တာမဟုတ်ပါဘူး။ အတွင်းလူ ကိုယ့် ဝန်ထမ်း တွေ ကလည်း တိုက်ခိုက်တာ၊ အချက်အလက် ခိုးယူတာတွေ ရှိပါတယ်။ ဒီတော့ ကျယ်ပြန့်လှတဲ့ Internetworking သတ်ကွင်းအတွင်းကို ကိုယ်ဗလာကျင်းပြီး ဝင်သင့်လား၊ ချပ်ဝတ်တန်ဆာတွေ ဝတ်ဆင်ပြီး Harden လုပ်ပြီးမှ ဝင်သင့်သလားဆိုတာ စဉ်းစားနေစရာ မလိုပါဘူး။

In computing, hardening is usually the process of securing a system by reducing its surface of vulnerability

Hardening ဆိုတာကို ကြည့်လိုက်ရင် ကိုယ့်ကိုကိုယ် ကာကွယ်ဖို့ အတွက် ချပ်ဝတ်တန်ဆာတွေ ဝတ်စားထား ခြင်းလို့မြင်လိုရပါတယ်။ Server တွေဖက်မှာဆိုရင်လည်း hardend လုပ်၊ Patch တွေမှန်မှန်လုပ်ရသလို၊ Network device တွေမှာလည်း harden လုပ်ဖို့ လိုအပ်ပါတယ်။ Harden မလုပ်ထားတဲ့ Network Device တွေဟာ ကိုယ်ဗလာနဲ့ သတ်ကွင်းကို ဆင်းရတဲ့ ကျွန်တွေလိုပါပဲ။ အခုနောက်ပိုင်းမှာ ထွက်ပေါ်လာတဲ့ IoT Device တွေကို အဲဒါကို လစ်လျူခဲ့လို့ Network အတွင်းမှာ ပြဿနာတွေ တက်လာတွေကိုတွေ့ရပါတယ်။ ပြီးခဲ့တဲ့ လအနည်းက စင်ကာပူမှာ IoT က စတင်တဲ့ DNS attack ကြောင့် တပတ်လောက်တိတိ Network တော်တော်များများ ပြတ်တောက်ခဲ့ရတာ တွေ့ နိုင်ပါတယ်။ IoT Device တွေဟာ အိမ်သုံးပစ္စည်းတွေများတဲ့ အတွက် ကိုယ်အိမ်မှာ ဝယ်သုံးမဲ့ ပစ္စည်းတွေကို သေသေချာချာ လေ့လာပြီးမှာ အသုံးပြုသင့်ပါတယ်။

လုပ်ငန်းခွင်မှာတော့ အဲဒီလိုမျိုးအဖြစ်တွေနဲပါးအောင်၊ အသုံးပြုတဲ့ Server တွေ၊ Network Device တွေရဲ့ လုံခြူံမှုကို ပုံမှန်စစ်ဆေးသင့်ပါတယ်။ အဖွဲ့အစည်း အကြီးတွေမှာတွေ Security Audit Process တွေရှိပါ တယ်။ အတွင်းက Audit က အရင်စစ်ဆေး၊ ပြီးရင် အပြင်က 3rd Party Security Audit firm တွေခေါ်ပြီး ထပ်မံ စစ်ဆေးရပါတယ်။ စလုံး Financial sector က အဖွဲ့အစည်းတွေဆိုရင် ဒီကိစ္စကို မဖြစ်မနေ လုပ်ဆောင် ရပါတယ်။ အဲဒီ Financial sector ကို Support ပေးရတဲ့ အိုင်တီ အဖွဲ့အစည်းတွေ၊ SI Company အနေနဲ့ လည်း မိမိတို့အဖွဲ့ရဲ့ လုပ်ငန်းခွင် လုံခြုံမှု ရှိကြောင်း Audit စစ်ဆေး အောင်မြင်ထားကြောင်း စတဲ့ အချက် အလက်တွေ ပေးရပါတယ်။

Network Device တွေကို Harden လုပ်တော့မယ်ဆိုရင်တော့ Management Plane, Control Plane, Data Plane စတဲ့ အဓိက Functional Planes တွေကို လုံခြုံအောင်လုပ်ထားသင့်ပါတယ်။ အခြေခံ ဥပမာအချို့ အနေနဲ့ပြောရရင်

- Use MD5 password
- Use SSH instead of Telnet
- Timeout setting on lines/ Console
- Disabled Unused services
- Disable http
- Use Authentication in protocols
- Use ACL to limit network access
- Use AAA
- Limit access on SNMP, Secure String, V3
- Using Log
- ICMP Controls, Rate limiting
- Ports security

အသေးစိတ်ကို ဒီလင့်မှာကြည့်ပါ။
http://www.cisco.com/c/en/us/support/docs/ip/access-lists/13608-21.html

အခုလောက်ဆိုရင် Network Device တွေကို ကာကွယ်ဖို့ အနဲဆုံး ချပ်ဝတ်တန်ဆာတွေကို ဝတ်ဆင်ပေးဖို့  အတွက် လုံခြုံရေးအသိ ကို သတိထားမိလောက်ပြီလို့ ထင်ပါတယ်။ ဘယ်ကလာမှန်းမသိတဲ့ ရန်သူကို ရင်ဆိုင်ဖို့ Internetworking Colosseum Arena အတွင်းကို ဘယ်လို ဝင်သွားမယ်ဆိုတာကတော့ Network Admin ဖြစ်တဲ့ သင့်ရဲ့ သဘောပါ။

ကိုဖြိုး

လက်ပြလိုက်ပါ။

လွန်ခဲ့တဲ့ ၂ နှစ်လောက်ကထင်တယ်။ အင်္ဂလန်က ပရီးမီးယား ဘောလုံးပွဲတစ်ပွဲပီးတဲ့အချိန်မှာ နည်းပြ တစ်ယောက်က အသင်းသားတစ်ယောက်ကို ပရော်ဖက်ရှယ်နယ် မဆန်ဘူးဆိုပြီး အပြစ်တင်ပြောကြား ခဲ့တာကို ဖတ်ခဲ့ဘူးတယ်။ ဘာကြောင့်လဲဆိုတော့ သူရဲ့ပေါင် အတွင်းကြောက နာနေတာကို မပြောပဲ ဆက်ကစားခဲ့လို့ပါ။ အဲဒီလိုဆက်ကစားခဲ့အတွက် သူရဲ့ဒဏ်ရာကလဲ ပိုဆိုးသွားခဲ့သလို ပွဲအတွင်းမှာ သူရဲ့ ကစားပုံကလဲ မကောင်းခဲ့ဘူး။ သူ့ကြောင့် ဟာနေတဲ့ နေရာတွေကို အသင်းဖော်တွေက ဖြည့်ပီး ကစားပေးခဲ့ ရတဲ့ အတွက်လဲ နောက်တပွဲအတွက် ပွဲပန်းသွားစေခဲ့သလို အဲဒီပွဲရဲ့ ရလာဒ်ကလဲ မကောင်းခဲ့ဘူး။ ပြောရမယ် ဆိုရင်တော့ ဘယ်သူ့အတွက်မှ မကောင်းခဲ့ဘူး။ ဒါကြောင့် မန်နေဂျာက သူ့ကိုအပြစ်တင်ခဲ့ပါတာဖြစ်ပါတယ်။ ဘာကြောင့်မန်နေဂျာက မြန်မြန်လူစားမလဲခဲ့တာလဲဆိုတာ မေးစရာဖြစ်ပေမဲ့ ကစားသမားက သူရဲ့အခြေနေ ကို ဖုံးကွယ်ထားကာ သူကိုပေးထားတဲ့ တာဝန်ကို ထမ်းဆောင်နိုင်ခြင်းမရှိခဲ့တာက ပိုပီးတော့ ပြောစရာ ဖြစ်သွားခဲ့ပါတယ်။

အဲဒီလိုကိစ္စမျိုးတွေဟာ ကျွန်တော်တို့ရဲ့ အလုပ်တွေမှာလဲ တွေ့ရလေ့ရှိပါတယ်။ အလုပ်တွေ လုပ်ရတဲ့နေရာ မှာ ကိုယ့်ရဲ့ အခြေအနေ၊ ကိုယ်ရဲ့ကျွမ်းကျင်မှု၊ အတွေ့အကြုံတွေအပြင် ကိုယ့်ရဲ့ အလုပ်လုပ်နိင်အား Capacity ကို သုံးသပ်တတ်ဖို့လိုပါတယ်။ တကယ်လို့ ကိုယ့်ရဲ့ အလုပ်လုပ်နိုင်အားဟာ ပြည့်နေပြီ၊ ကျော်နေပြီ ဆိုရင်တော့ မြန်မြန်လက်ပြဖို့တော့ လိုပါတယ်။ အဲဒီလိုမှ မဟုတ်ရင်တော့ အထက်ကပြောသွားခဲ့တဲ့ ကစားသမား လို အပြစ်တင် ခံရဖို့သေချာပါသလို ကိုယ့်အတွက်ရော အဖွဲ့အစည်းအတွက်ရော၊ ကိုယ်တာဝန် ယူပေးထားတဲ့ ကိုယ့်ရဲ့ Customer အတွက်လဲ မကောင်းပါဘူး။ ကိုယ်ပြောရဲ့သား လက်ပြထားရဲ့သားနဲ့ ရွေးချယ် စရာ မရှိတဲ့ အနေထားမျိုးမှာ ဆက်လုပ်ရတာကတော့ တမျိုးပေါ့။ ဒါလိုဆိုရင်တော့ ကိုယ့်ကို ခိုင်းတဲ့ အထက်က သူက ဖြစ်လာနိင်ခြေတွေကို ကြိုပြီးတော့ နားလည်ထားရပါလိမ့်မယ်။ တကယ်ပြဿနာ ဖြစ်လာခဲ့ရင် သူ့ မှာတာဝန်ရှိပါတယ်။ အဲလိုမှ မဟုတ်ပဲ ကိုယ့်က ဘာလာလာ အိုကေဆိုပြီးတော့ သေချာ မသုံးသပ်ပဲ ဆက်လုပ်မယ်၊ လုပ်နိုင်တဲ့ အရည်အသွေးတွေနိမ့်ပြီး ပြဿနာတွေ ဖြစ်လာခဲ့လာရင်တော့ ကိုယ့်တာဝန်ပါ။ အဲဒီအချိန်မှာ အပေါ်က အပြစ်တင်လာရင် ငါကလုပ်လဲ လုပ်ရသေး၊ အပြောလဲခံရသေး၊ ထွက်တော့မယ် ဘာမယ်ဆိုပြီး ဖြစ်လာတဲ့ ကိစ္စတွေ ဒုနဲ့ဒေးပေါ့။

ဒီကိစ္စနဲ့ ပက်သက်လို့ ISC2 ရဲ့ ဆောင်းပါးတခုမှာ ရေးထားတာကို ဖတ်လိုက်ရပါသေးတယ်။ တချို့ တွေဟာ အကြောင်းအမျိုးမျိုးကြောင့် ကိုယ်မလုပ်နိုင်တော့ဘူး ဆိုတာကို ငြင်းပယ်ဖို့ ဝန်လေးကြပါတယ်။ ကိုယ့်ကို အထင်သေးသွားမလား၊ ညံ့တယ်လို့ထင်သွားမလား၊ ကိုယ့်ရဲ့ ရာထူးတက်ဖို့၊ လစာတိုးဖို့ကို ထိခိုက်သွားမလား၊ လုပ်ဖော်ကိုင်ဖက်တွေရဲ့ အပြစ်တင်တာကိုခံရမလား စသဖြင့်ပေါ့။ ဒါပေမဲ့ အဲဒီလို ဖုံးကွယ်ခြင်း ဟာ သူအပါဝင် အကုန်လုံးကိုထိခိုက်စေတယ်ဆိုတာကို သူ့အနေနဲ့ သိထားသင့်တယ်၊ လက်ပြသင့်တယ်ဆိုပြီး ဆွေးနွေးထားတာပါ။ ဒီအကြောင်းကို ဖတ်မိတဲ့သူအများစုဟာ မန်နေဂျာအရေအတွက်ထက်စာရင် ကစားသမား ဖြစ်တဲ့ ကျွန်တော်တို့ နည်းပညာဖက်က ပရော်ဖက်ရှယ်နယ် အရေအတွက်က ပိုများပါတယ်။ ဒီတော့ အများစုက မတတ်နိုင်ဘူး ရွေးချယ်လို့မရဘူး လုပ်ရမှာပဲဆိုပြီး ဖြေကြမှာ များပါတယ်။ ဒါပေမဲ့ ကျွန်တော်တို့ တကယ်ရော သေချာပြန်သုံးသပ်ခဲ့သလားဆိုတာ စဉ်းစားကြည့်ဖို့လိုပါတယ်။ တချို့ ကိစ္စ တွေမှာ ရွေးချယ်စရာကြောင့်မဟုတ်ပဲ ကိုယ့်ကိုအထင်သေးမှာကြောက်လို့၊ ကိုယ်ဘယ်လောက်လုပ်နိုင်သလဲ ဆိုတာကို ပြချင်လို့ ဆက်လုပ်ခဲ့တဲ့ အရေအတွက်ကလည်း မသေးပါဘူး။ ပြန်တွေးကြည့်ပါ။

ခက်တာက ဒီကိစ္စတွေဟာ နှစ်ဦးနှစ်ဖက်နဲ့ဆိုင်တဲ့ ကိစ္စဆိုတော့ မန်နေဂျာဖက်ကရော၊ အောက်ကသူကရော မှန်မှန်ကန်ကန်ရှိပြီး တဖက်နဲ့တဖက် အပြန်အလှန် လေးစာမှုရှိဖို့လိုပါတယ်။ မန်နေဂျာကလဲ ကိုယ်ပေးထား တဲ့ အလုပ်နဲ့ ကိုယ့်လူရဲ့အခြေအနေကို သုံးသပ်နိင်ဖို့လိုသလို၊ ပိုပြီးခိုင်းတော့မယ်ဆိုရင်လဲ ဖြစ်လာမဲ့ ပြဿနာ တွေကို ကိုယ့်တာဝန်ရှိကြောင်း လက်ခံထားသင့်ပါတယ်။ ပြီးရင် ကိုယ်တာဝန်ပေးမဲ့သူရဲ့ စကားသံကိုလဲ နားထောင်သင့်ပါတယ်။ တာဝန်ယူပြီး လုပ်ရမဲ့ သူကလဲ ပျင်းလို့၊ မလုပ်ချင်လို့၊ ခေါင်းရှောင်ချင်လို့ ငြင်းပယ် တာ မဟုတ်ပဲ ကိုယ်ရဲ့ အလုပ်လုပ်နိုင်တဲ့ ပမာဏ ကျော်လွန်သွားလို့၊ နည်းပညာပိုင်းအရ အခက်အခဲရှိလို့၊ မလိုက်နိုင်လို့ စသဖြင့် သေချာဆွေးနွေးသင့်ပါတယ်။ အလာကားနေ၊ အားမစိုက်ပဲ ငြင်းတာပဲလုပ်နေရင်တော့ ရေရှည်ရပ်တည်ဖို့ မလွယ်ပါဘူး။ ဒီအကြောင်းအရာဟာ နည်းပညာနဲ့ မဆိုင်ပေမဲ့ ကျွန်တော်တို့ အခုလုပ် နေကြ ရတဲ့ လုပ်ငန်းခွင်တွေမှာ တွေ့ရများတဲ့ ကိစ္စဖြစ်ပါတယ်။ ပရော်ဖက်ရှင်နယ် တယောက်အနေနဲ့ ကိုယ်ရဲ့ လုပ်ဆောင်နိင်စွမ်းကို များနိုင်သလောက် ကြိုးစားနေဖို့လိုသလို၊ တဖက်ကလဲ ကိုယ့်ရဲ့ Capacity ကို ကိုယ်သိပြီး ဘယ်အချိန်မှာတော့ လက်ပြသင့်တယ်၊ သေချာသုံးသပ်ဖို့လိုအပ်တယ်ဆိုတာ သိထားသင့်ပါတယ်။ မာနတွေ၊ ကြွားဝါချင်တာတွေ ကိုလျော့ချပြီး လက်ပြလိုက်ပါ။

Get Your Ego Out of the Way and Ask for Help When You Need It.


ကိုဖြိုး