ከጊዜ ወደ ጊዜ እየተሻሻለ ባለው የሳይበር ደህንነት ገጽታ፣ የዲጂታል መሠረተ ልማት መሠረቶችን የሚፈታተኑ አዳዲስ ሥጋቶች ብቅ አሉ። ከእነዚህ አደጋዎች አንዱ፣ ShadowRay ተብሎ የሚጠራው፣ በ Ray open-source AI ማዕቀፍ ላይ በሚተማመኑ ድርጅቶች ላይ ጥቁር ጥላ ጥሏል። ይህ መሰሪ ዘመቻ በ Ray ውስጥ ያለውን ወሳኝ ተጋላጭነት (CVE-2023-48022) ያነጣጠረ ሲሆን ይህም በተለያዩ ዘርፎች በሺዎች ለሚቆጠሩ ኩባንያዎች ከፍተኛ አደጋን ይፈጥራል። ላለፉት ሰባት ወራት ብዝበዛ እየተካሄደ ቢሆንም፣ ከሬይ ጀርባ ያሉ ገንቢዎች እስካሁን ምንም ነገር አላቀረቡም፣ ይህም የንግድ ድርጅቶችን ለብዝበዛ እና የውሂብ ጥሰት ተጋላጭ አድርጓቸዋል።
የ ShadowRay ዘመቻ፡ ብዝበዛ እና መዘዞች
የ ShadowRay ዘመቻ CVE-2023-48022ን በመበዝበዝ ላይ ያተኮረ ነው፣ ይህም ወሳኝ ተጋላጭነት ከ ሲቪኤስኤስ 9.8 ነጥብ፣ የርቀት አጥቂዎች በዘፈቀደ ኮድ በስራ ማስረከቢያ ኤፒአይ በኩል እንዲፈጽሙ ያስችላቸዋል። ይህ ጉድለት በ Ray's Dashboard እና Client ክፍሎች ውስጥ ያሉ የማረጋገጫ ቁጥጥሮችን ያዳክማል፣ ይህም ያልተፈቀደ የማስረከብ፣ የመሰረዝ እና ስራዎችን ሰርስሮ ለማውጣት እንዲሁም የርቀት ትዕዛዞችን ያስፈጽማል።
የዚህ ብዝበዛ መዘዝ አስከፊ ነው። ሰርጎ ገቦች ብዙ የሬይ ጂፒዩ ስብስቦችን በተሳካ ሁኔታ ጥሰዋል፣ እንደ የምርት ዳታቤዝ የይለፍ ቃሎች፣ ኤስኤስኤች ቁልፎች፣ የመዳረሻ ቶከኖች እና የ AI ሞዴሎችን የመቆጣጠር ችሎታን ጨምሮ። ተጠቂ ሰርቨሮች የክሪፕቶፕ ማዕድን አውጪዎች እና የማያቋርጥ የርቀት መዳረሻን የሚያመቻቹ መሳሪያዎች የመራቢያ ስፍራ ሆነዋል፣ ይህም የአደጋውን ገጽታ የበለጠ አባብሷል።
የማወቅ እና የማስወገድ ስልቶች
ShadowRayን መፈለግ እና ማስወገድ በድብቅ ተፈጥሮው እና በተራቀቁ የማምለጫ ዘዴዎች ምክንያት ከባድ ፈተናን ያመጣል። ተለምዷዊ የጸረ-ቫይረስ መፍትሄዎች ስጋቱን ለመለየት ሊታገሉ ቢችሉም, አደጋውን ለመቀነስ ድርጅቶች ሊወስዷቸው የሚችሏቸው በርካታ እርምጃዎች አሉ.
- የአውታረ መረብ ክትትል: የምርት አካባቢዎችን እና AI ክላስተርን ለተዛማች ሁኔታዎች፣ በተለይም በሬይ ማዕቀፍ ውስጥ በየጊዜው ይቆጣጠሩ።
- የፋየርዎል ደንቦች እና የደህንነት ቡድኖችያልተፈቀደ የሬይ ክላስተር መዳረሻን ለመከላከል ጥብቅ የፋየርዎል ህጎችን ወይም የደህንነት ቡድኖችን ይተግብሩ።
- የፈቃድ ንብርብርመዳረሻን ለመገደብ እና ያልተፈቀዱ ግቤቶችን ለመከላከል የፈቀዳ ንብርብርን በ Ray Dashboard ወደብ ላይ ይተግብሩ (ነባሪ፡ 8265)።
- የአይፒ ማሰሪያ: ለቀላልነት ሬይን ከ 0.0.0.0 ጋር ማያያዝን ያስወግዱ; በምትኩ፣ ከታመኑ አውታረ መረቦች ወይም የግል ቪፒሲዎች/ቪፒኤንዎች የአይፒ አድራሻዎችን ተጠቀም።
- ከነባሪዎች ጋር ንቁ መሆንቅንጅቶችን በደንብ ያረጋግጡ እና በነባሪ ውቅሮች ላይ ብቻ ከመተማመን ይቆጠቡ፣ ይህም ሳይታሰብ ተጋላጭነቶችን ሊያጋልጥ ይችላል።
- መደበኛ ዝመናዎች እና ጥገናዎችበ Anyscale for the Ray framework የተለቀቁ የደህንነት ዝመናዎችን እና ጥገናዎችን በተመለከተ መረጃ ያግኙ። የCVE-2023-48022 ፕላስተር ግልጽ ባይሆንም፣ ወደፊት የሚለቀቁት ነገሮች ይህን ወሳኝ ተጋላጭነት ሊፈቱ ይችላሉ።
- ሰዎችን ያስተምሩአጠራጣሪ እንቅስቃሴዎችን መለየት እና የደህንነት ስጋቶችን በፍጥነት ሪፖርት ማድረግን ጨምሮ ሰራተኞችን በሳይበር ደህንነት ምርጥ ልምዶች ላይ ማሰልጠን።
የመከላከያ እርምጃዎች እና ምርጥ ልምዶች
ከአፋጣኝ ቅነሳ ስልቶች በተጨማሪ ድርጅቶች የ AI መሠረተ ልማትን ከወደፊት ስጋቶች ለመጠበቅ ንቁ እርምጃዎችን መውሰድ ይችላሉ፡
- የደህንነት ግንዛቤ ስልጠናየማስገር ግንዛቤን ፣የይለፍ ቃል ንፅህናን እና አጠራጣሪ ተግባራትን ማወቅን ጨምሮ በሳይበር ደህንነት ምርጥ ልምዶች ላይ ሰራተኞቹን ማስተማር።
- መደበኛ ኦዲት እና ግምገማዎችተጋላጭነቶችን ለመለየት እና በፍጥነት ለመፍታት የ AI መሠረተ ልማት መደበኛ የፀጥታ ኦዲቶችን እና ግምገማዎችን ያካሂዱ።
- የመዳረሻ መብቶችን ይገድቡወሳኝ የሆኑ ስርዓቶችን እና መረጃዎችን መድረስን ለመገደብ አነስተኛ መብት የሚለውን መርህ ተግባራዊ ማድረግ፣ ይህም ሊደርሱ የሚችሉ ጥሰቶችን ተጽእኖ በመቀነስ።
- ደህንነቱ የተጠበቀ የልማት ልምዶችበ AI መተግበሪያዎች ውስጥ ተጋላጭነቶችን የማስተዋወቅ አደጋን ለመቀነስ ደህንነቱ የተጠበቀ የኮድ አሰራርን ይቀበሉ እና ጥልቅ የኮድ ግምገማዎችን ያካሂዱ።
- የአቅራቢ ስጋት አስተዳደርጠንካራ የደህንነት መስፈርቶችን መከበራቸውን በማረጋገጥ የሶስተኛ ወገን አቅራቢዎችን እና እንደ ሬይ ያሉ ክፍት ምንጭ ማዕቀፎችን የደህንነት አቋም ይገምግሙ።
መደምደሚያ
የ ShadowRay የሳይበር ስጋት የ AI መሠረተ ልማትን ከአደጋ ስጋት መጠበቅ ያለውን ወሳኝ ጠቀሜታ አጉልቶ ያሳያል። ጥብቅ የቅናሽ ስልቶችን በመተግበር፣ የስምምነት ምልክቶችን በንቃት በመከታተል እና የደህንነት እርምጃዎችን በመተግበር ድርጅቶች መከላከያቸውን ማጠናከር እና በሻዶሬይ እና መሰል የሳይበር አደጋዎች ሊደርሱ የሚችሉትን አደጋዎች መቀነስ ይችላሉ። የሳይበር ሴኪዩሪቲ መልከአምድር እየተሻሻለ ሲሄድ፣ ንቁ የመከላከያ እርምጃዎች ውጤታማ የሳይበር ደህንነት አቀማመጥ የማዕዘን ድንጋይ ሆነው ይቆያሉ።