අද සමාජයේ අපේ ජිවිත සම්පුර්ණයෙන්ම දුවන්නේ ඩිජිටල් තාක්ෂණය මත. උදේ ඇහැරුණ වේලාවේ ඉදන් රෑට නිදාගන්නකම්ම ස්මාර්ට් දුරකථන, සමාජ මාධ්ය, මාර්ගගත බැංකු ගනුදෙනු වගේ හැම දේකටම අපි අන්තර්ජාලය භාවිත කරනවා. හැබැයි මේ හැම පහසුකමක් පිටුපසම අපිට නොපෙනෙන විශාල අවදානමකුත් තියෙනවා. වැඩේ කියන්නනේ ඒ අවදානම ඒන්න ඒන්නම බරපතල තත්වයකට ටිකෙන් ටික පත් වෙනවා.
අන්න ඒ අවදානමෙන් අපේ ඩිජිටල් ජිවිතය ආරක්ෂා කරගන්න ආකාරය පිළිබදව තමයි මේ පාඩම් මලාවෙන් අපි ඉතාමත් සවිස්තරාත්මකව කතා කරන්නේ. කෙටියෙන් කිව්වොත් සයිබර් ආරක්ෂාව ගැනයි කතා කරන්නේ.
ඉතින් සයිබර් ආරක්ෂාව කියන විෂය පථය ගැන කතා කරන විට බොහෝ අයට පැටලෙන තැන් දෙකක් තමයි තොරතුරු ආරක්ෂාව සහ සයිබර් ආරක්ෂාව කියන්නේ. ඒ නිසා මුලින්ම මේ දෙකේ වෙනස සරලවම හදුනාගෙන ඉමු.
තොරතුරු ආරක්ෂාව (infoSec) සහ සයිබර් ආරක්ෂාව (Cyber Security) අතර වෙනස
ගොඩක් දෙනෙක් සිතනවා මේ දෙකම ඒකක් කියලා. හැබැයි තාක්ෂණික විද්යාවෙිදි මේ දෙක අතර පැහැදලි වෙනසක් තියෙනවා.
තොරතුරු ආරක්ෂාව (information Security/InfoSec) යනු කුමක්ද?
තොරතුර ආරක්ෂාව කියන්නේ ඉතාමත් ගැඹුරු මතෘකාවක්. මෙතෙන් දී වෙන්නේ මොකද්ද ? කිසියම් පුද්ගලයෙකුට ඒහෙම නැත්තම් ආයතනයකට අයිති ඔීනෑම ආකාරයක තොරතුරක් අනවසරයෙන් පිටතට යාම, වෙනස් වීම හෝ විනාශ විම වළක්වා ගැනීම.*මෙතෙන් දී තොරතුරු තිබෙන්නේ කුමන මාධ්යයක ද කියල අදාල වෙන්නෙ නැහැ.
උදා: ආයතනයක සෙප්පුවක හරි පරිඝණක ගොනුවක /දත්ත ගබඩාවක දාල තියෙනව ඉතා වැදගත් රහසිගත ලිපි ලේඛන, පොත්පත් කිහිපයක් ඒතන ඉන්න ආරක්ෂක නිළධාරියටවත් ඒය කියවන්න බැරි වන විදියට සුරක්ෂිත කරල තැබීම “තොරතුරු අරක්ෂාව” කියල කියන්න පුළුවන්.
මේ උදාහරණයට අනුව,
- ඩිජිටල් දත්ත වෙන්නේ පරිගණක ගොනු, දත්ත ගබඩා(database)
- භෞතික දත්ත වෙන්නේ කඩදාසි ලිපිගොනු, ගිවිසුම්, පුද්ගලික සටහන් පොත් වගේ දේවල්.
- බුද්ධිමය දේපළ ලෙස ආයතනයේ රහස් ක්රමවේද, වැදගත් නිර්මාණ සැලසුම්. වට්ටෝරු
සයිබර් ආරක්ෂාව (Cyber Security) යනු කුමක්ද?
සයිබර් ආරක්ෂාව කියන්නේ මුලින් කතා කරපු InfoSec ඒකෙම ඒක කොටසක්. නැත්තම් උප කුලකයක්. විශේෂත්වය වන්නේ ආරක්ෂා කරන්නේ ඩිජිටල් අවකාශයේ තිබෙන දත්ත, පරිඝණක, ස්මාර්ට් දුරකථන, සේවදායක, පද්ධති, ජාල සහ උපාංග විතරයි.
හිතන්න අපේ රටේ තියෙන බැංකුවක රන් බාර්, සල්ලි නෝට්ටු සහ ලිපිගොනු ආරක්ෂා කරන්න දාන ආරක්ෂා ක්රමවේදය InfoSec වගේ නම්, ඒ බැංකුවේ වෙබ් අඩවිය සහ ඔන්ලයින් ඇප් ඒක හැකර්වරුන්ගේ ආරක්ෂා කරන්න ගන්නා පියවර සයිබර් ආරක්ෂාව වෙනවා.
ඒහෙම නම් සයිබර් ආරක්ෂාවේ අරමුණ මොකද්ද?
හැකර්වරුන්ගෙන්, වෛරස් වලින් සහ අනවසර පිවිසුම් වලින් ඔබේ පරිගණක පද්ධතිය බේරා ගැනීම.
InfoSec සහ Cyber Security අතර වෙනස කුමක්ද?
InfoSec: කඩදාසියක ලියපු රහස්ය තොරතුරක් සොරකම් නොවන විදියට බලා ගැනීම මෙයට අයත් වෙනවා.
Cyber Security: ඒ රහස් තොරතුරු පරිගණකයක තියෙනවා නම්, ඒය අන්තර්ජාලය හරහා සොරකම් නොවන විදියට බලා ගැනීම මෙයට අයත් වෙනවා.
සයිබර් ආරක්ෂාවේ ත්රිවිධ පදනම (The CIA Triad)
සයිබර් ආරක්ෂණ විෂය පථයේ හැදෙන ඔනෑම Antivirus ඒකක, Firewall ඒකක, ඒහෙමත් නැත්තම් ආරක්ෂක නීති මාලාවක පදනම වැටෙන්නේ CIA Triad ඒක මත. මෙය ආරක්ෂාවේ මූලික ආකෘතිය(fundamental Model) ලෙස හදුන්වනවා. මෙහි තියෙන ප්රධාන කරුණු තුනෙන් ඒකක් හරි බිද වැටුණොත්, ඒ පද්ධතිය අනාරක්ෂිතය කියලා තීරණය කරන්න පුළුවන්.
දැන්, මේ කරුණු තුන ගැන වෙන වෙනම පැහැදිලි කරගමු.
1. Confidentiality (රහස්යභාවය)
රහස්යභාවය කියල කියන්නේ යම්කිසි දත්තයක් ඒහෙම නැත්තම් තොරතුරක් බැලීමට අවසර තියෙන්නේ කාටද, ඔහුට හෝ ඇයට පමණක් ඒය බලන්න අවසර දීම සහ අනවසර පුද්ගලයන්ට ඒය සම්පූර්ණයෙන්ම වසා දැමීම.
ඒතකොටම මෙය අවදානමකට ලක් වෙන්නේ කොහොම ද?
හැකර් කෙනෙක් ඔයාගේ Password ඒක සොරකම් කරලා ඔයාගෛ් පෞද්ගලික ඊමෙල් ගිණුමකට හරි බැංකු ගිණුමකට ඇතුළු වුනොත් ඒතැනදී Confidentiality ඒක බිද වැටෙනවා. ඒ කියන්නෙ රහස්යභාවය නැති වෙලා යනවා.
හරි, ඒහෙම නම් කොහොම ද අවදානමකට ලක් වෙන්නේ නැතු ව ආරක්ෂා කර ගන්නේ?
මෙකට දැනට තියෙන තාක්ෂණයක් වන Encryption(කේතයනය) භාවිත කරන්න පුලුවන්. ඒතෙන් දි වෙන්නේ සාමාන්ය කෙනෙකුට කියවන්න බැරි විදියට රහස් කේත බවට පත් කරන ඒක. උදාහරණය WhatsApp Messages.
ඊලගට අපිට පුළුවන් Multi-Factor Authentication(MFA) වගේ ක්රම භාවිත කරන්න. දැනට දාල තියෙන මුරපදයට අමතරව දුරකථනයේ SIM අංකය ඇතුලත් කරලා දෙවන සත්යාපන පියවරක් විදියට OTP කේතයක් ගැනීම. ගුගුල වගේ අයතන මේ සදහා තවත් අරක්ෂණ ක්රම ගණනාවක් හදුන්වා දිලා තියෙනවා. ඔයාගේ google settings වලට ගිහින් security & privacy යටතේ ඒ ක්රම බලාගන්න පුලුවන්.
Confidentiality අදාල ප්රයෝගික පරික්ෂණය
🔐 Confidentiality (රහස්යභාවය) - Sandbox Simulator
ඇලිස් (Alice) විසින් බොබ් (Bob) වෙත යවන පණිවිඩය, අතරමැද සිටින හැකර් (Hacker) කෙනෙකුට පෙනෙන ආකාරය සජීවීව අත්හදා බලන්න.
👩💻 ඇලිස්ගේ පරිගණකය (Sender)
🥷 හැකර්ගේ තිරය (Network Intercepter)
ජාලය හරහා ගමන් කරන දත්ත හැකර් විසින් හසුකරගත් විට පෙනෙන ආකාරය:
2. Integrity (අඛණ්ඩතාවය/ සමග්රතාවය)
දත්තයන් ඒක් තැනක ඉදල තවත් තැනකට ගමන් කරන විට හෝ කොහේ හරි ගබඩා කර තිබෙන විටදී, කිසිම අනවසර අයෙකුට ඒවා වෙනස් කරන්න, මකන්න, අලුතින් ඇතුළත් කරන්න ඉඩ නොදීමය. ඒ කියන්නේ දත්තවල නිරවද්යතාවය සහ විශ්වාසවන්තභාවය 100% රැක ගැනීම.
මෙය අවදානමකට ලක් වෙන්නෙ කොහොම ද?
හිතන්න, ඔයා ඔන්ලයින් බෑංකු හරහා රුපියල් 10,000ක මුදලක් යාලුවෙකුට යවද්දී, මැදින් පනින හැකර් කෙනෙක් ඒ මුදල රුපියල් 100,000 ලෙස වෙනස් කරල බැංකු පද්ධතියට යැව්වොත් එතනදි වෙන්නේ Integrity ඒක අවදානමකට ලක් වීම.
කොහොමද ආරක්ෂා කරගන්නේ
Hashing(හැෂිං) වගේ ක්රමයක් භාවිත කරන්න පුළුවන්. දත්තයකට අවේණික වූණු ඩිජිටල් ඇගිලි සලකුනක් (Hash value) නිර්මාණය කර ගැනීම. මෙතෙන් දි දත්තයෙ ඒක අකුරක් හරි වෙනස් වුනොත්, මේ Hash අගය සම්පුර්ණයෙන්ම වෙනස් වෙනවා. ඒ හින්ද දත්තය වෙනස් කර බව හදුනාගන්න පහසුයි.
තව ප්රධාන ක්රමයක් තමයි Digital Signatures භාවිත කිරිම. යවන කෙනාගේ අනන්යතාවය ඒ වගේම දත්ත වෙනස් වෙලා නැති බව තහවුරු කරගන්න ඩිජිටල් අත්සනක් භාවිත කරන්න පුළුවන්.
Interity අදාල ප්රයෝගික පරික්ෂණය
🔄 Integrity (සමග්රතාවය) - Sandbox Simulator
ඔයාම හැකර් කෙනෙක් වී ජාලය හරහා ගමන් කරන දත්ත වෙනස් කර (Data Tampering), Hashing මඟින් එය අසුකර ගන්නා ආකාරය ප්රායෝගිකව බලන්න.
Step 1: ඇලිස් විසින් බැංකු නියෝගය නිකුත් කිරීම 👩💻
3. Availability (පවතින බව / ලබා ගත හැකි බව)
අවශ්යය හැම වෙලාවකදිම අදාල පද්ධති, වෙබ් අඩවි හෝ දත්ත නිසි විදියට ක්රියාත්මක වෙමින්, ඒවා පාවිච්චි කරන්න අවසර තියෙන අයට කිසිම බාධාවකින් තොරව දත්ත/තොරතුරු ලබා ගැනීමට පුලුවන් විම.
මෙය අවදානමකට ලක් වෙන්නෙ කොහොම ද?
හැකවරුන් විසින් වෙබ් අඩවියකට ඒකවර විශාල බොරු තදබදයක් (traffic) ඇති කරල සේවදායක(server) crash කරහොත් සමාන්යය පරිශිලකයන්ට වෙබ් අඩවියට පිවෙසෙන්න බැරව යනවා (DDos Attack). ඒතෙන්දි තමයි Availability ඒක අවදානමකට ලක් වෙන්නේ.
කොහොමද ආරක්ෂා කර ගන්නේ
දත්ත හැමතිස්සෙම වෙනත් තැනක උපස්තයක් (backup) ලෙස පිටපත් කර තැබීම තුලින් හදිසියේ පද්ධතියම අවදානමකට ලක් වුනොත් උපස්තය ප්රයෝජනයට අරගෙන පද්ධතිය යළි යථා තත්වයට පත් කිරිම.
තව අපිට ඒකම සේවදායකයක් වෙනුවට සේවදායක කිහිපයක් ඒකම කාර්යය කරන්න පුලුවන් වන විදියට ස්ථාපනය කර ගන්න පුලුවන්. ඒතෙන්දිත් වෙන්නේ ඒක සේවදායකයක් ක්රියාවිරිහිත හෝ අවදානමකට ලක් වුනොත්, අනික ස්වයංක්රියාව ක්රියාත්මක වෙලා පද්ධතිය ස්ථාවර කිරිම.
Availability අදාල ප්රයෝගික පරික්ෂණය
⚡ Availability (ලබා ගත හැකි බව) - Sandbox Simulator
වෙබ් අඩවියක සර්වර් එකකට DDoS ප්රහාරයක් එල්ල වන විට සිදුවන දේ සහ Redundancy මඟින් Availability එක රැකගන්නා ආකාරය සජීවීව බලන්න.
සර්වර් සැකසුම් (Server Configuration)
📊 සර්වර් තත්ත්ව නිරීක්ෂණය (Live Monitor)
ප්රායෝගික උදාහරණයක් ඇසුරින් CIA Triad තේරුම් ගනිමු
- සිතන්න ඔයා විශ්වවිද්යාලයක හෝ පාසලක සිසුන්ගේ විභාග ලකුණු ඇතුළත් කරන ඔන්ලයින් පද්ධතියක (Exam Portal) ආරක්ෂාව භාරව ඉන්නවා කියලා.
- ඔයා සිසුන්ට තමන්ගේ ලකුණු විතරක් බලන්න දීලා, අනෙක් සිසුන්ගේ ලකුණු බැලීම වැළැක්වීම Confidentiality රැකීමයි.
- කිසිම ශිෂ්යයෙකුට පද්ධතියට ඇතුළු වී තමන්ගේ ලකුණු "A" ශ්රේණියක් ලෙස වෙනස් කිරීමට ඉඩ නොදී තැබීම Integrity රැකීමයි.
- විභාග ප්රතිඵල නිකුත් කරන දවසේදී දහස් ගණනක් සිසුන් එකවර වෙබ් අඩවියට ආවත්, වෙබ් අඩවිය Crash නොවී හැමෝටම ප්රතිඵල පෙන්වීම Availability රැකීමයි.
වර්තමාන ලෝකයට සයිබර් ආරක්ෂාව අත්යවශ්ය ඇයි?
මූල්යමය හානි සහ Ransomware (කප්පම් මෘදුකාංග)
පෞද්ගලික දත්ත සොරකම් කිරීම සහ Identity Theft (අනන්යතාවය කොල්ලකෑම)
ජාතික ආරක්ෂාවට එල්ල වන තර්ජන
ඉතින් අද පාඩම අධ්යයනය කරල මේ ප්රශ්න වලට පිළිතුරු ලබා දෙන්න. තමන්ගෙ දැනුම තමන්ටම පරික්ෂා කරගන්න පුලුවන්.(අපි ඔයාව track කරන්නෙවත්. කිසිම දෙයක් මෙතෙන්දි කරන්නෙ නැ. නිදහසේ පිළිතුරු ලබා දෙන්න)
💡 Lesson 1: Knowledge Check
මෙම පාඩමේ උගත් කරුණු සහ තර්කානුකූල බුද්ධිය යොදාගෙන පහත ප්රශ්නවලට නිවැරදි පිළිතුරු සපයන්න.