ஜாவாஸ்கிரிப்ட் பாதுகாப்பு தணிக்கை: பாதிப்பு கண்டறிதல் மற்றும் குறியீடு பகுப்பாய்வு ஒப்பீடு

டிஜிட்டல் உலகம் தொடர்ந்து மாறிக்கொண்டே இருக்கிறது, அதனுடன் சைபர் அச்சுறுத்தல்களின் நுட்பமும் அதிகரித்து வருகிறது. இணையத்தின் எங்கும் நிறைந்த மொழியான ஜாவாஸ்கிரிப்ட், தீங்கிழைக்கும் நபர்களுக்கு ஒரு முக்கிய இலக்காக உள்ளது. எனவே, ஜாவாஸ்கிரிப்ட் அடிப்படையிலான பயன்பாடுகளைப் பாதுகாப்பது உலகெங்கிலும் உள்ள நிறுவனங்களுக்கும் டெவலப்பர்களுக்கும் ஒரு முக்கிய கவலையாகும். இந்த விரிவான வழிகாட்டி, ஜாவாஸ்கிரிப்ட் பாதுகாப்பு தணிக்கையின் அத்தியாவசிய நுட்பங்களை ஆராய்கிறது, பாதிப்பு கண்டறிதல் முறைகளை குறியீடு பகுப்பாய்வு அணுகுமுறைகளுடன் ஒப்பிடுகிறது. பாதுகாப்பான வலைப் பயன்பாடுகளை உருவாக்கி பராமரிப்பதற்கான அறிவை உங்களுக்கு வழங்குவதும், சாத்தியமான அபாயங்களைக் குறைத்து உலகளவில் பாதுகாப்பான பயனர் அனுபவத்தை உறுதி செய்வதும் எங்கள் நோக்கமாகும்.

ஜாவாஸ்கிரிப்ட் பாதுகாப்பின் முக்கியத்துவத்தைப் புரிந்துகொள்ளுதல்

Node.js-க்கு நன்றி, ஜாவாஸ்கிரிப்ட்டின் கிளையன்ட்-பக்கம் மற்றும் சர்வர்-பக்கம் இருப்பு, நவீன வலைப் பயன்பாடுகளின் ஒரு முக்கிய அங்கமாக அமைகிறது. இந்த பரவலான பயன்பாடு பல பாதுகாப்பு பாதிப்புகளை அறிமுகப்படுத்துகிறது. வெற்றிகரமான தாக்குதல்கள் தரவு மீறல்கள், நிதி இழப்புகள், நற்பெயருக்கு சேதம் மற்றும் சட்டரீதியான விளைவுகளுக்கு வழிவகுக்கும். எனவே, செயல்திட்ட பாதுகாப்பு நடவடிக்கைகள் ஒரு சிறந்த நடைமுறை மட்டுமல்ல, இருப்பிடத்தைப் பொருட்படுத்தாமல், அனைத்து அளவிலான நிறுவனங்களுக்கும் ஒரு வணிகத் தேவையாகும். இணையத்தின் உலகளாவிய தன்மை, பாதிப்புகள் உலகின் எந்தப் பகுதியிலிருந்தும் பயன்படுத்தப்படலாம் என்பதாகும், இது உலகெங்கிலும் உள்ள பயனர்களைப் பாதிக்கிறது. எனவே, நிறுவனங்கள் பாதுகாப்பில் உலகளாவிய கண்ணோட்டத்தை கடைப்பிடிக்க வேண்டும்.

பாதிப்பு கண்டறிதல்: இருக்கும் குறைபாடுகளை அடையாளம் காணுதல்

பாதிப்பு கண்டறிதல் என்பது ஒரு ஜாவாஸ்கிரிப்ட் பயன்பாட்டில் இருக்கும் பலவீனங்களை அடையாளம் காண்பதில் கவனம் செலுத்துகிறது. இந்த செயல்முறையானது, அறியப்பட்ட பாதிப்புகள் மற்றும் சாத்தியமான பாதுகாப்பு குறைபாடுகளுக்காக பயன்பாட்டை முறையாக ஸ்கேன் செய்வதை உள்ளடக்கியது. பாதிப்பு கண்டறிதலுக்கு பல முறைகள் பொதுவாகப் பயன்படுத்தப்படுகின்றன:

1. மாறும் பயன்பாட்டு பாதுகாப்பு சோதனை (DAST)

DAST என்பது ஒரு வலைப் பயன்பாட்டை இயக்கி, பாதிப்புகளை அடையாளம் காண தாக்குதல்களை உருவகப்படுத்துவதை உள்ளடக்கியது. இது பயன்பாட்டை ஒரு கருப்புப் பெட்டியாகக் கருதி, வெளிப்புறத்திலிருந்து செயல்படுகிறது. DAST கருவிகள் பயன்பாட்டிற்கு தீங்கிழைக்கும் பேலோடுகளை அனுப்பி, பாதிப்புகளைக் கண்டறிய பதில்களை பகுப்பாய்வு செய்கின்றன. கிராஸ்-சைட் ஸ்கிரிப்டிங் (XSS), SQL இன்ஜெக்ஷன் மற்றும் பிற இன்ஜெக்ஷன் தாக்குதல்கள் போன்ற இயக்க நேரத்தில் வெளிப்படும் பாதிப்புகளைக் கண்டறிவதில் DAST குறிப்பாக பயனுள்ளதாக இருக்கும். ஜப்பானைத் தளமாகக் கொண்ட ஒரு உலகளாவிய இ-காமர்ஸ் தளம், பயனர் தொடர்புக்கு ஜாவாஸ்கிரிப்டை விரிவாகப் பயன்படுத்தும் ஒரு சூழ்நிலையைக் கவனியுங்கள். ஒரு DAST ஸ்கேன், வாடிக்கையாளர் கிரெடிட் கார்டு தகவல்களைத் திருட தீங்கிழைக்கும் நபர்களை அனுமதிக்கும் பாதிப்புகளை அடையாளம் காண முடியும்.

DAST-ன் நன்மைகள்:

• மூலக் குறியீட்டிற்கான அணுகல் தேவையில்லை.
• நிலையான பகுப்பாய்வு மூலம் கண்டறிய கடினமாக இருக்கும் பாதிப்புகளை அடையாளம் காண முடியும்.
• நிஜ உலகத் தாக்குதல்களை உருவகப்படுத்துகிறது.

DAST-ன் தீமைகள்:

• தவறான நேர்மறைகளை உருவாக்கக்கூடும்.
• பெரிய பயன்பாடுகளுக்கு நேரம் ತೆಗೆದುಕೊಳ್ಳலாம்.
• பாதிப்புகளின் மூல காரணத்தைப் பற்றிய வரையறுக்கப்பட்ட பார்வை.

2. ஊடுருவல் சோதனை

ஊடுருவல் சோதனை, அல்லது பென்டெஸ்டிங் என்பது, நெறிமுறை ஹேக்கர்களால் நடத்தப்படும் ஒரு நேரடி பாதுகாப்பு மதிப்பீடு ஆகும். இந்த சோதனையாளர்கள் பாதிப்புகளை அடையாளம் காண பயன்பாட்டிற்கு எதிராக தாக்குதல்களை உருவகப்படுத்துகிறார்கள். ஊடுருவல் சோதனை தானியங்கி ஸ்கேன்களைத் தாண்டி, சிக்கலான தாக்குதல் காட்சிகளை ஆராய மனித நுண்ணறிவு மற்றும் நிபுணத்துவத்தைப் பயன்படுத்துகிறது. உதாரணமாக, ஒரு பென்டெஸ்டர், பிரபலமான பயண முன்பதிவு வலைத்தளத்தால் பயன்படுத்தப்படும் ஒரு API-ல் உள்ள பாதிப்பைப் பயன்படுத்தி பயனர் கணக்குகளுக்கு அங்கீகரிக்கப்படாத அணுகலைப் பெற முயற்சிக்கலாம். பிரேசிலில் உள்ள ஒரு சிறிய ஸ்டார்ட்அப் முதல் ஜெர்மனியில் தலைமையிடமாக உள்ள ஒரு பன்னாட்டு நிறுவனம் வரை, உலகெங்கிலும் உள்ள நிறுவனங்கள் தங்கள் பாதுகாப்பு நிலையை மதிப்பிடுவதற்கு ஊடுருவல் சோதனையை பொதுவாகப் பயன்படுத்துகின்றன.

ஊடுருவல் சோதனையின் நன்மைகள்:

• பாதிப்புகளைப் பற்றிய ஆழமான புரிதலை வழங்குகிறது.
• தானியங்கி கருவிகள் தவறவிடக்கூடிய பாதிப்புகளை அடையாளம் காண்கிறது.
• சரிசெய்வதற்கான பிரத்யேக பரிந்துரைகளை வழங்குகிறது.

ஊடுருவல் சோதனையின் தீமைகள்:

• செலவு அதிகமாக இருக்கலாம்.
• பென்டெஸ்டர்களின் திறன் மற்றும் அனுபவத்தைச் சார்ந்துள்ளது.
• பயன்பாட்டின் அனைத்து அம்சங்களையும் உள்ளடக்காமல் இருக்கலாம்.

3. மென்பொருள் கலவை பகுப்பாய்வு (SCA)

SCA ஒரு ஜாவாஸ்கிரிப்ட் பயன்பாட்டிற்குள் பயன்படுத்தப்படும் மூன்றாம் தரப்பு நூலகங்கள் மற்றும் சார்புகளில் உள்ள பாதிப்புகளை அடையாளம் காண்பதில் கவனம் செலுத்துகிறது. இது இந்த கூறுகளை அடையாளம் காண பயன்பாட்டின் குறியீட்டுத் தளத்தை தானாக ஸ்கேன் செய்து, அவற்றை பாதிப்பு தரவுத்தளங்களுடன் ஒப்பிடுகிறது. SCA கருவிகள் திறந்த மூல கூறுகளுடன் தொடர்புடைய சாத்தியமான அபாயங்களைப் பற்றிய மதிப்புமிக்க நுண்ணறிவுகளை வழங்குகின்றன. உதாரணமாக, ஒரு சர்வதேச நிதி நிறுவனம் அதன் ஆன்லைன் வங்கி தளத்தில் பயன்படுத்தப்படும் ஒரு ஜாவாஸ்கிரிப்ட் நூலகத்தின் பாதுகாப்பை மதிப்பிடுவதற்கு ஒரு SCA கருவியைப் பயன்படுத்தலாம், அறியப்பட்ட பாதிப்புகளை அடையாளம் கண்டு, அனைத்து சார்புகளும் புதுப்பித்த நிலையில் இருப்பதை உறுதிசெய்யலாம். ஜாவாஸ்கிரிப்ட் திட்டங்கள் திறந்த மூல தொகுப்புகளை பெரிதும் நம்பியிருப்பதால் இது மிகவும் முக்கியமானது.

SCA-வின் நன்மைகள்:

• மூன்றாம் தரப்பு கூறுகளில் உள்ள பாதிப்புகளை அடையாளம் காண்கிறது.
• சார்புகளின் மேலோட்டத்தை வழங்குகிறது.
• மென்பொருள் உரிமத் தேவைகளுடன் இணங்குவதை உறுதிசெய்ய உதவுகிறது.

SCA-வின் தீமைகள்:

• அதிக எண்ணிக்கையிலான எச்சரிக்கைகளை உருவாக்கலாம்.
• பாதிப்புகளை எவ்வாறு சரிசெய்வது என்பது குறித்த விரிவான தகவல்களை எப்போதும் வழங்காது.
• பாதிப்பு தரவுத்தளங்களின் விரிவான தன்மையால் வரையறுக்கப்படலாம்.

குறியீடு பகுப்பாய்வு: குறியீடு மதிப்பாய்வு மூலம் பாதிப்புகளைக் கண்டறிதல்

குறியீடு பகுப்பாய்வு என்பது பயன்பாட்டின் மூலக் குறியீட்டை ஆய்வு செய்து சாத்தியமான பாதுகாப்பு குறைபாடுகளை அடையாளம் காண்பதை உள்ளடக்கியது. இது பாதுகாப்பிற்கான ஒரு செயல்திட்ட அணுகுமுறையை வழங்குகிறது, மென்பொருள் மேம்பாட்டு வாழ்க்கைச் சுழற்சியில் (SDLC) ஆரம்பத்திலேயே பாதிப்புகளைக் கண்டறிய டெவலப்பர்களுக்கு உதவுகிறது. குறியீடு பகுப்பாய்வு முறைகளில் நிலையான பகுப்பாய்வு மற்றும் கைமுறை குறியீடு மதிப்பாய்வு ஆகியவை அடங்கும்.

1. நிலையான பயன்பாட்டு பாதுகாப்பு சோதனை (SAST)

SAST, நிலையான குறியீடு பகுப்பாய்வு என்றும் அழைக்கப்படுகிறது, இது பயன்பாட்டை இயக்காமல் மூலக் குறியீட்டை பகுப்பாய்வு செய்கிறது. SAST கருவிகள் சாத்தியமான பாதுகாப்பு பாதிப்புகள், குறியீட்டு பிழைகள் மற்றும் குறியீட்டு தரங்களுடன் இணங்குதல் ஆகியவற்றை சரிபார்க்கின்றன. இந்த கருவிகள் பொதுவாக பொதுவான பாதுகாப்பு குறைபாடுகளை அடையாளம் காண விதிகள் மற்றும் வடிவங்களைப் பயன்படுத்துகின்றன. அமெரிக்கா மற்றும் இந்தியாவில் அணிகளைக் கொண்ட ஒரு உலகளாவிய மென்பொருள் மேம்பாட்டு நிறுவனத்தை கற்பனை செய்து பாருங்கள். SAST கருவிகளை CI/CD பைப்லைனில் ஒருங்கிணைத்து, வரிசைப்படுத்தலுக்கு முன் பாதுகாப்பு பாதிப்புகளுக்காக குறியீட்டை தானாக சரிபார்க்கலாம். SAST மூலக் குறியீட்டிற்குள் ஒரு பாதிப்பின் சரியான இடத்தைக் கண்டறிய உதவுகிறது.

SAST-ன் நன்மைகள்:

• SDLC-யின் ஆரம்பத்தில் பாதிப்புகளை அடையாளம் காண்கிறது.
• பாதிப்புகள் பற்றிய விரிவான தகவல்களை வழங்குகிறது.
• CI/CD பைப்லைன்களில் ஒருங்கிணைக்கப்படலாம்.

SAST-ன் தீமைகள்:

• தவறான நேர்மறைகளை உருவாக்கக்கூடும்.
• மூலக் குறியீட்டிற்கான அணுகல் தேவைப்படுகிறது.
• உள்ளமைப்பதற்கும் முடிவுகளை விளக்குவதற்கும் நேரம் எடுக்கலாம்.

2. கைமுறை குறியீடு மதிப்பாய்வு

கைமுறை குறியீடு மதிப்பாய்வு என்பது மனித டெவலப்பர்கள் அல்லது பாதுகாப்பு வல்லுநர்கள் பயன்பாட்டின் மூலக் குறியீட்டை மதிப்பாய்வு செய்து பாதிப்புகளை அடையாளம் காண்பதை உள்ளடக்கியது. இது குறியீட்டைப் பற்றிய விரிவான புரிதலை வழங்குகிறது மற்றும் தானியங்கி கருவிகள் தவறவிடக்கூடிய சிக்கலான அல்லது நுணுக்கமான பாதுகாப்பு குறைபாடுகளைக் கண்டறிய அனுமதிக்கிறது. குறியீடு மதிப்பாய்வு பாதுகாப்பான மென்பொருள் மேம்பாட்டின் ஒரு மூலக்கல்லாகும். உதாரணமாக, கனடாவைத் தளமாகக் கொண்ட ஒரு தொலைத்தொடர்பு நிறுவனத்தில் உள்ள டெவலப்பர்கள், முக்கியமான வாடிக்கையாளர் தரவைக் கையாளும் ஜாவாஸ்கிரிப்ட் குறியீட்டின் பாதுகாப்பை சரிபார்க்க கைமுறை குறியீடு மதிப்பாய்வுகளைச் செய்யலாம். கைமுறை குறியீடு மதிப்பாய்வுகள் அறிவுப் பகிர்வு மற்றும் பாதுகாப்பான குறியீட்டு நடைமுறைகளை ஏற்றுக்கொள்வதை ஊக்குவிக்கின்றன.

கைமுறை குறியீடு மதிப்பாய்வின் நன்மைகள்:

• சிக்கலான பாதிப்புகளை அடையாளம் காண்கிறது.
• குறியீட்டின் தரம் மற்றும் பராமரிப்பை மேம்படுத்துகிறது.
• அறிவுப் பகிர்வை ஊக்குவிக்கிறது.

கைமுறை குறியீடு மதிப்பாய்வின் தீமைகள்:

• நேரம் எடுக்கும் மற்றும் செலவு அதிகமாக இருக்கலாம்.
• மதிப்பாய்வாளர்களின் திறன் மற்றும் அனுபவத்தைச் சார்ந்துள்ளது.
• பெரிய குறியீட்டுத் தளங்களுக்கு சாத்தியமில்லாமல் இருக்கலாம்.

ஜாவாஸ்கிரிப்ட் பயன்பாடுகளில் உள்ள முக்கிய பாதிப்புகள்

ஜாவாஸ்கிரிப்ட் பயன்பாடுகளை பாதிக்கக்கூடிய பாதிப்புகளின் வகைகளைப் புரிந்துகொள்வது பயனுள்ள தணிக்கைக்கு முக்கியமானது. சில பொதுவான பாதிப்புகள் பின்வருமாறு:

1. கிராஸ்-சைட் ஸ்கிரிப்டிங் (XSS)

XSS தாக்குதல்கள் மற்ற பயனர்களால் பார்க்கப்படும் வலைத்தளங்களில் தீங்கிழைக்கும் ஸ்கிரிப்ட்களைச் செருகுகின்றன. இந்த ஸ்கிரிப்ட்கள் குக்கீகள் மற்றும் அமர்வு டோக்கன்கள் போன்ற முக்கியமான தரவைத் திருடலாம். XSS-ஐத் தடுக்க பயனர் உள்ளீட்டை கவனமாகக் கையாளுதல், வெளியீட்டு குறியாக்கம் மற்றும் உள்ளடக்க பாதுகாப்பு கொள்கை (CSP) ஆகியவற்றின் பயன்பாடு தேவைப்படுகிறது. உதாரணமாக, உலகளவில் பயன்படுத்தப்படும் ஒரு பிரபலமான சமூக ஊடக தளத்தைக் கவனியுங்கள். தாக்குபவர்கள் கருத்துப் பிரிவுகளில் தீங்கிழைக்கும் ஸ்கிரிப்ட்களைச் செருகலாம், இது பரவலான கணக்கு சமரசத்திற்கு வழிவகுக்கும். சரியான உள்ளீட்டு சரிபார்ப்பு மற்றும் வெளியீட்டு குறியாக்கம் XSS பாதிப்புகளைத் தடுக்க அவசியமாக இருக்கும்.

2. SQL இன்ஜெக்ஷன்

SQL இன்ஜெக்ஷன் தாக்குதல்கள் தரவுத்தள வினவல்களில் தீங்கிழைக்கும் SQL குறியீட்டைச் செருகுவதை உள்ளடக்கியது. இது முக்கியமான தரவுகளுக்கு அங்கீகரிக்கப்படாத அணுகல், தரவு கையாளுதல் மற்றும் தரவு மீறல்களுக்கு வழிவகுக்கும். SQL இன்ஜெக்ஷனைத் தடுக்க வினவல்களின் அளவுருவாக்கம் மற்றும் உள்ளீட்டு சரிபார்ப்பு தேவைப்படுகிறது. பயனர் கணக்குகளுடன் கூடிய உலகளாவிய இ-காமர்ஸ் தளத்தைக் கவனியுங்கள். ஜாவாஸ்கிரிப்ட் குறியீடு SQL வினவல்களை உருவாக்கும்போது பயனர் உள்ளீட்டை சரியாக சுத்தப்படுத்தத் தவறினால், ஒரு தாக்குபவர் அனைத்து வாடிக்கையாளர் தரவுகளுக்கும் அணுகலைப் பெற முடியும்.

3. கிராஸ்-சைட் கோரிக்கை மோசடி (CSRF)

CSRF தாக்குதல்கள் பயனர்கள் தற்போது அங்கீகரிக்கப்பட்ட ஒரு வலைப் பயன்பாட்டில் விரும்பத்தகாத செயல்களைச் செய்ய அவர்களை ஏமாற்றுகின்றன. CSRF-ஐத் தடுக்க CSRF-எதிர்ப்பு டோக்கன்களின் பயன்பாடு தேவைப்படுகிறது. ஒரு சர்வதேச வங்கி பயன்பாட்டை கற்பனை செய்து பாருங்கள். ஒரு தாக்குபவர் ஒரு தீங்கிழைக்கும் கோரிக்கையை உருவாக்கலாம், அது வெற்றியடைந்தால், பாதிக்கப்பட்டவரின் கணக்கிலிருந்து தாக்குபவரின் கணக்கிற்கு பாதிக்கப்பட்டவருக்குத் தெரியாமல் பணத்தை மாற்றும். CSRF டோக்கன்களை திறம்பட பயன்படுத்துவது முக்கியம்.

4. பாதுகாப்பற்ற நேரடி பொருள் குறிப்புகள் (IDOR)

IDOR பாதிப்புகள் தாக்குபவர்கள் தாங்கள் அணுக அங்கீகாரம் இல்லாத ஆதாரங்களை அணுக அனுமதிக்கின்றன. ஒரு பயன்பாடு சரியான அங்கீகார சோதனைகள் இல்லாமல் பயனர் வழங்கிய ஐடி மூலம் ஒரு பொருளை நேரடியாகக் குறிப்பிடும்போது இது நிகழ்கிறது. உதாரணமாக, ஒரு உலகளாவிய திட்ட மேலாண்மை பயன்பாட்டில், சரியான அணுகல் கட்டுப்பாட்டு வழிமுறைகள் இல்லாதிருந்தால், ஒரு பயனர் URL-ல் திட்ட ஐடியை மாற்றுவதன் மூலம் மற்ற திட்டங்களின் விவரங்களை மாற்ற முடியும். நிலையான மற்றும் கவனமான அணுகல் கட்டுப்பாட்டு சோதனைகள் அவசியம்.

5. பாதுகாப்பு தவறான உள்ளமைவு

பாதுகாப்பு தவறான உள்ளமைவுகள் தவறாக உள்ளமைக்கப்பட்ட அமைப்புகள் அல்லது பயன்பாடுகளை உள்ளடக்கியது. இது வெளிப்படுத்தப்பட்ட API விசைகள், இயல்புநிலை கடவுச்சொற்கள் மற்றும் பாதுகாப்பற்ற நெறிமுறைகள் போன்ற பாதிப்புகளுக்கு வழிவகுக்கும். சரியான பாதுகாப்பு உள்ளமைவுகள் ஒரு பாதுகாப்பான சூழலுக்கு அடிப்படையாகும். உதாரணமாக, ஆஸ்திரேலியாவில் ஹோஸ்ட் செய்யப்பட்ட ஒரு தவறாக உள்ளமைக்கப்பட்ட சர்வர், தற்செயலாக முக்கியமான தரவுகளை அங்கீகரிக்கப்படாத அணுகலுக்கு வெளிப்படுத்தலாம், இது உலகெங்கிலும் உள்ள பயனர்களை பாதிக்கக்கூடும். உள்ளமைவுகளை தவறாமல் தணிக்கை செய்வது மிக முக்கியம்.

6. சார்பு பாதிப்புகள்

காலாவதியான அல்லது பாதிக்கப்படக்கூடிய மூன்றாம் தரப்பு நூலகங்கள் மற்றும் சார்புகளைப் பயன்படுத்துவது பாதிப்புகளின் ஒரு பொதுவான மூலமாகும். சார்புகளை தவறாமல் புதுப்பித்தல் மற்றும் SCA கருவிகளைப் பயன்படுத்துவது இந்த அபாயத்தைக் குறைக்க உதவும். பல ஜாவாஸ்கிரிப்ட் திட்டங்கள் திறந்த மூல நூலகங்களை நம்பியுள்ளன, எனவே இந்த சார்புகளை தவறாமல் புதுப்பித்து மதிப்பிடுவது அவசியம். உலகளவில் பரந்த அளவிலான வாடிக்கையாளர்களுக்கு சேவை செய்யும் ஒரு செயலி மேம்பாட்டு நிறுவனம், மூன்றாம் தரப்பு தொகுப்புகளில் அறியப்பட்ட பாதிப்புகளுக்கு பலியாகாமல் இருக்க புதுப்பிக்கப்பட்ட சார்புகளை பராமரிக்க வேண்டும்.

சரியான அணுகுமுறையைத் தேர்ந்தெடுப்பது: பாதிப்பு கண்டறிதல் மற்றும் குறியீடு பகுப்பாய்வு

பாதிப்பு கண்டறிதல் மற்றும் குறியீடு பகுப்பாய்வு இரண்டும் ஜாவாஸ்கிரிப்ட் பாதுகாப்பை உறுதி செய்வதற்கு மதிப்புமிக்கவை. அணுகுமுறையின் தேர்வு பயன்பாட்டின் அளவு, சிக்கலான தன்மை மற்றும் மேம்பாட்டு செயல்முறை போன்ற காரணிகளைப் பொறுத்தது. ஒரு சிறந்த உலகில், நிறுவனங்கள் இரண்டு அணுகுமுறைகளின் கலவையைப் பயன்படுத்த வேண்டும், ஒரு பல அடுக்கு பாதுகாப்பு மூலோபாயத்தை தழுவ வேண்டும். இங்கே ஒரு ஒப்பீட்டு மேலோட்டம்:

அம்சம்	பாதிப்பு கண்டறிதல்	குறியீடு பகுப்பாய்வு
நோக்கம்	இருக்கும் பாதிப்புகளைக் கண்டறிதல்	சாத்தியமான பாதிப்புகளைக் கண்டறிதல்
வழிமுறை	இயங்கும் பயன்பாட்டை சோதித்தல்	மூலக் குறியீட்டை மதிப்பாய்வு செய்தல்
எடுத்துக்காட்டுகள்	DAST, ஊடுருவல் சோதனை, SCA	SAST, கைமுறை குறியீடு மதிப்பாய்வு
நேரம்	வரிசைப்படுத்தப்பட்ட பயன்பாட்டை சோதித்தல்	மேம்பாட்டு வாழ்க்கைச் சுழற்சியின் போது
நன்மைகள்	இயக்க நேரத்தில் பாதிப்புகளை அடையாளம் காண்கிறது, நிஜ உலகத் தாக்குதல்களை உருவகப்படுத்துகிறது	ஆரம்பத்தில் பாதிப்புகளை அடையாளம் காண்கிறது, விரிவான தகவல், குறியீட்டின் தரத்தை மேம்படுத்துகிறது
தீமைகள்	பாதிப்புகளைத் தவறவிடலாம், நேரம் எடுக்கலாம், தவறான நேர்மறைகளை உருவாக்கலாம்	தவறான நேர்மறைகளை உருவாக்கலாம், மூலக் குறியீட்டிற்கான அணுகல் தேவை, நேரம் எடுக்கலாம்

நிறுவனங்கள் DAST மற்றும் SAST இரண்டையும் தங்கள் பாதுகாப்பு நடைமுறைகளில் இணைக்க வேண்டும். பென்டெஸ்டிங் இந்த கருவிகளை பூர்த்தி செய்கிறது, தானியங்கி கருவிகள் தவறவிடக்கூடிய பாதிப்புகளைக் கண்டறிகிறது. உருவாக்க செயல்முறையில் SCA-வை ஒருங்கிணைப்பதும் ஒரு சிறந்த நடைமுறையாகும். மேலும், குறியீடு மதிப்பாய்வுகளை இணைப்பது குறியீட்டின் தரத்தை உறுதி செய்வதில் ஒரு முக்கிய அங்கமாகும். இது ஒரு விரிவான மற்றும் வலுவான பாதுகாப்பு நிலையை உருவாக்கும்.

பாதுகாப்பான ஜாவாஸ்கிரிப்ட் மேம்பாட்டிற்கான சிறந்த நடைமுறைகள்

ஜாவாஸ்கிரிப்ட் பயன்பாடுகளில் பாதிப்புகளைத் தடுக்க பாதுகாப்பான குறியீட்டு நடைமுறைகளை செயல்படுத்துவது அவசியம். பின்பற்ற வேண்டிய சில சிறந்த நடைமுறைகள் இங்கே:

1. உள்ளீட்டு சரிபார்ப்பு மற்றும் சுத்திகரிப்பு

XSS, SQL இன்ஜெக்ஷன் மற்றும் பிற இன்ஜெக்ஷன் தாக்குதல்களைத் தடுக்க அனைத்து பயனர் உள்ளீட்டையும் எப்போதும் சரிபார்த்து சுத்திகரிக்கவும். இது உள்ளீட்டின் தரவு வகை, வடிவம் மற்றும் நீளத்தை சரிபார்ப்பது மற்றும் சாத்தியமான தீங்கிழைக்கும் எழுத்துக்களை அகற்றுவது அல்லது குறியாக்கம் செய்வதை உள்ளடக்கியது. இந்த சிறந்த நடைமுறை பயனர்களின் இருப்பிடத்தைப் பொருட்படுத்தாமல், உலகளவில் அமல்படுத்தப்பட வேண்டும். உதாரணமாக, ஒரு உலகளாவிய ஆன்லைன் பயண நிறுவனத்தைக் கவனியுங்கள். தேடல் வினவல்கள், முன்பதிவு விவரங்கள் மற்றும் கட்டணப் படிவங்களில் உள்ள பயனர் உள்ளீடு பரந்த அளவிலான தாக்குதல்களுக்கு எதிராக பாதுகாக்க கடுமையாக சரிபார்க்கப்பட்டு சுத்திகரிக்கப்பட வேண்டும்.

2. வெளியீட்டு குறியாக்கம்

XSS தாக்குதல்களைத் தடுக்க வெளியீட்டைக் குறியாக்கம் செய்யவும். இது வெளியீட்டில் உள்ள சிறப்பு எழுத்துக்களைத் தவிர்ப்பதை உள்ளடக்கியது, வெளியீடு காட்டப்படும் சூழலைப் பொறுத்து. இது யுனைடெட் கிங்டமில் உள்ள பயனர்களுக்கு சேவை செய்யும் ஒரு வலைத்தளத்தை இயக்கும் ஒரு நிறுவனத்திற்கு எவ்வளவு முக்கியமோ, அவ்வளவு சிங்கப்பூரில் செயல்படும் ஒரு நிறுவனத்திற்கும் முக்கியம். தீங்கிழைக்கும் ஸ்கிரிப்ட்கள் பாதிப்பில்லாமல் செய்யப்படுவதை உறுதி செய்வதற்கான திறவுகோல் குறியாக்கம் ஆகும்.

3. பாதுகாப்பான நூலகங்கள் மற்றும் கட்டமைப்புகளின் பயன்பாடு

நிறுவப்பட்ட மற்றும் பாதுகாப்பான ஜாவாஸ்கிரிப்ட் நூலகங்கள் மற்றும் கட்டமைப்புகளைப் பயன்படுத்தவும். பாதுகாப்பு பாதிப்புகளை சரிசெய்ய இந்த நூலகங்கள் மற்றும் கட்டமைப்புகளைப் புதுப்பித்து வைக்கவும். கட்டமைப்பு பாதுகாப்பை அதன் முன்னுரிமையாகக் கொண்டிருக்க வேண்டும். ஒரு உலகளாவிய வங்கி அமைப்பு மூன்றாம் தரப்பு ஜாவாஸ்கிரிப்ட் நூலகங்களை பெரிதும் சார்ந்துள்ளது. வலுவான பாதுகாப்பு பதிவுகளைக் கொண்ட நூலகங்களைத் தேர்ந்தெடுப்பதும், ஏதேனும் பாதிப்புகளை சரிசெய்ய அவற்றை தவறாமல் புதுப்பிப்பதும் முக்கியம்.

4. உள்ளடக்க பாதுகாப்பு கொள்கை (CSP)

ஒரு குறிப்பிட்ட வலைப்பக்கத்திற்கு உலாவி ஏற்றுவதற்கு அனுமதிக்கப்பட்ட ஆதாரங்களைக் கட்டுப்படுத்த CSP-ஐ செயல்படுத்தவும். இது XSS தாக்குதல்களைத் தடுக்க உதவும். CSP ஒரு முக்கியமான பாதுகாப்பு வரிசையாகும். ஒரு உலகளாவிய செய்தி நிறுவனம், ஸ்கிரிப்ட்கள் ஏற்றப்படக்கூடிய ஆதாரங்களைக் கட்டுப்படுத்த CSP-ஐப் பயன்படுத்துகிறது, இது XSS தாக்குதல்களின் அபாயத்தை கணிசமாகக் குறைக்கிறது மற்றும் பல நாடுகளில் உள்ள அதன் வாசகர்களுக்குக் காட்டப்படும் உள்ளடக்கத்தின் நேர்மையை உறுதி செய்கிறது.

5. பாதுகாப்பான அங்கீகாரம் மற்றும் அங்கீகரிப்பு

பயனர் கணக்குகள் மற்றும் தரவைப் பாதுகாக்க பாதுகாப்பான அங்கீகாரம் மற்றும் அங்கீகரிப்பு வழிமுறைகளை செயல்படுத்தவும். வலுவான கடவுச்சொற்கள், பல காரணி அங்கீகாரம் மற்றும் பங்கு அடிப்படையிலான அணுகல் கட்டுப்பாடு ஆகியவற்றைப் பயன்படுத்தவும். ரகசிய வாடிக்கையாளர் தரவைக் கையாளும் உலகளாவிய நிறுவனங்களுக்கு, பாதுகாப்பான அங்கீகாரம் பேச்சுவார்த்தைக்குட்பட்டதல்ல. அங்கீகாரத்தில் ஏதேனும் பலவீனம் உலகளாவிய பயனர்களை பாதிக்கும் தரவு மீறலுக்கு வழிவகுக்கும்.

6. வழக்கமான பாதுகாப்பு தணிக்கைகள் மற்றும் சோதனை

பாதிப்பு கண்டறிதல் மற்றும் குறியீடு பகுப்பாய்வு உட்பட, வழக்கமான பாதுகாப்பு தணிக்கைகள் மற்றும் சோதனைகளை நடத்தவும். இது பயன்பாடு காலப்போக்கில் பாதுகாப்பாக இருப்பதை உறுதி செய்கிறது. இந்த சோதனை மற்றும் தணிக்கையை ஒரு அட்டவணையின்படி அல்லது புதிய அம்சங்கள் சேர்க்கப்படும்போது செய்யவும். ஒரு உலகளாவிய அளவில் விநியோகிக்கப்பட்ட இ-காமர்ஸ் தளம், புதிய கட்டண முறைகள் அல்லது புதிய பிராந்தியங்கள் போன்ற சாத்தியமான பாதிப்புகளை அடையாளம் கண்டு சரிசெய்ய அடிக்கடி ஊடுருவல் சோதனைகள் மற்றும் குறியீடு மதிப்பாய்வுகளைச் செய்ய வேண்டும்.

7. சார்புகளைக் குறைத்தல்

பயன்பாட்டில் பயன்படுத்தப்படும் மூன்றாம் தரப்பு சார்புகளின் எண்ணிக்கையைக் குறைக்கவும். இது தாக்குதல் பரப்பளவையும் பாதிப்புகளின் அபாயத்தையும் குறைக்கிறது. ஒரு பயன்பாடு குறைவான வெளிப்புற நூலகங்கள் மற்றும் சார்புகளைப் பயன்படுத்தும்போது, அந்த நூலகங்களில் பாதிப்புகள் இருப்பதற்கான வாய்ப்பு குறைவு. சார்புகளை கவனமாகத் தேர்ந்தெடுத்து அவற்றின் பாதுகாப்பை தவறாமல் மதிப்பிடுவது அவசியம்.

8. பாதுகாப்பான தரவு சேமிப்பு

கடவுச்சொற்கள் மற்றும் API விசைகள் போன்ற முக்கியமான தரவை பாதுகாப்பாக சேமிக்கவும். இந்தத் தரவைப் பாதுகாக்க குறியாக்கம் மற்றும் ஹாஷிங் வழிமுறைகளைப் பயன்படுத்தவும். ஒரு உலகளாவிய சுகாதாரத் தளம் முக்கியமான நோயாளி பதிவுகளைப் பாதுகாக்க வலுவான குறியாக்க நெறிமுறைகளைப் பயன்படுத்த வேண்டும். தரவு மேகக்கணியில் இருந்தாலும் சரி, உள்ளூர் சேவையகங்களில் இருந்தாலும் சரி பாதுகாப்பாக சேமிக்கப்பட வேண்டும்.

9. பிழை கையாளுதல் மற்றும் பதிவு செய்தல்

பாதுகாப்பு சிக்கல்களைக் கண்டறிந்து கண்டறிய சரியான பிழை கையாளுதல் மற்றும் பதிவுசெய்தலை செயல்படுத்தவும். பிழை செய்திகளில் முக்கியமான தகவல்களை வெளிப்படுத்துவதைத் தவிர்க்கவும். அனைத்து பிழை செய்திகளும் தகவலறிந்தவையாக இருக்க வேண்டும், ஆனால் பாதுகாப்பு பாதிப்புகளை வெளிப்படுத்தக்கூடிய தகவல்கள் இல்லாமல் இருக்க வேண்டும். சரியான பதிவுசெய்தல் அச்சுறுத்தல்களைக் கண்காணிப்பதற்கும் செயல்திட்டமாக சரிசெய்வதற்கும் அனுமதிக்கிறது.

10. புதுப்பித்த நிலையில் இருங்கள்

சமீபத்திய பாதுகாப்பு அச்சுறுத்தல்கள் மற்றும் சிறந்த நடைமுறைகளுடன் புதுப்பித்த நிலையில் இருங்கள். பாதுகாப்பு செய்திமடல்களுக்கு குழுசேரவும், தொழில் வலைப்பதிவுகளைப் பின்பற்றவும் மற்றும் தகவல் அறிய பாதுகாப்பு மாநாடுகளில் கலந்து கொள்ளவும். உலகளாவிய நிறுவனங்களுக்கு, இது பல்வேறு உலகளாவிய மூலங்களிலிருந்து வெளிவரும் அச்சுறுத்தல்கள் மற்றும் சிறந்த நடைமுறைகள் குறித்து தகவல் அறிந்திருப்பதை அர்த்தப்படுத்துகிறது. இது வெவ்வேறு பிராந்தியங்களில் நடைபெறும் பாதுகாப்பு மாநாடுகளில் பங்கேற்பது அல்லது பல்வேறு மொழிகளில் அச்சுறுத்தல்களை உள்ளடக்கிய பாதுகாப்பு புல்லட்டின்களுக்கு குழுசேருவதை உள்ளடக்கியிருக்கலாம்.

ஜாவாஸ்கிரிப்ட் பாதுகாப்பு தணிக்கைக்கான கருவிகள் மற்றும் தொழில்நுட்பங்கள்

ஜாவாஸ்கிரிப்ட் பாதுகாப்பு தணிக்கைக்கு உதவ பல கருவிகள் மற்றும் தொழில்நுட்பங்கள் உள்ளன:

• SAST கருவிகள்: SonarQube, பாதுகாப்பு செருகுநிரல்களுடன் ESLint, Semgrep
• DAST கருவிகள்: OWASP ZAP, Burp Suite, Netsparker
• SCA கருவிகள்: Snyk, WhiteSource, Mend (முன்னர் WhiteSource)
• ஊடுருவல் சோதனை கருவிகள்: Metasploit, Nmap, Wireshark
• ஜாவாஸ்கிரிப்ட் பாதுகாப்பு கட்டமைப்புகள்: Helmet.js (Express.js-க்கு), CSP நூலகங்கள்

பொருத்தமான கருவிகளின் தேர்வு நிறுவனத்தின் குறிப்பிட்ட தேவைகள் மற்றும் பட்ஜெட்டைப் பொறுத்தது. குறிப்பிட்ட திட்டத்தின் தேவைகளைக் கருத்தில் கொள்ளுங்கள். கருவிகளை மதிப்பிடும்போது, எப்போதும் அம்சங்களையும் செலவையும் எடைபோடுங்கள்.

மென்பொருள் மேம்பாட்டு வாழ்க்கைச் சுழற்சியில் (SDLC) பாதுகாப்பை ஒருங்கிணைத்தல்

பாதுகாப்பான பயன்பாடுகளை உருவாக்க SDLC-ல் பாதுகாப்பை ஒருங்கிணைப்பது முக்கியம். இது ஆரம்ப வடிவமைப்பு கட்டத்திலிருந்து வரிசைப்படுத்தல் மற்றும் பராமரிப்பு வரை, மேம்பாட்டு செயல்முறை முழுவதும் பாதுகாப்பு நடைமுறைகளை இணைப்பதை உள்ளடக்கியது.

1. தேவைகளை சேகரித்தல்

தேவைகளை சேகரிக்கும் கட்டத்தில், பயன்பாட்டிற்கான பாதுகாப்பு தேவைகளை அடையாளம் காணவும். இது தரவு உணர்திறன், அச்சுறுத்தல் மாதிரிகள் மற்றும் பாதுகாப்பு கொள்கைகளை வரையறுப்பதை உள்ளடக்கியது. சாத்தியமான அச்சுறுத்தல்கள் மற்றும் பாதிப்புகளை அடையாளம் காண ஒரு அச்சுறுத்தல் மாடலிங் அமர்வை நடத்தவும். உதாரணமாக, ஒரு உலகளாவிய கட்டணச் செயலாக்க தளம், தேவைகளை சேகரிக்கும்போது பல்வேறு பிராந்தியங்களில் உள்ள தரவு தனியுரிமை விதிமுறைகளைக் கருத்தில் கொள்ள வேண்டும்.

2. வடிவமைப்பு கட்டம்

வடிவமைப்பு கட்டத்தில், பாதுகாப்பை மனதில் கொண்டு பயன்பாட்டை வடிவமைக்கவும். இது பாதுகாப்பான குறியீட்டு முறைகளைப் பயன்படுத்துதல், அங்கீகாரம் மற்றும் அங்கீகரிப்பு வழிமுறைகளை செயல்படுத்துதல் மற்றும் பாதுகாப்பான API-களை வடிவமைத்தல் ஆகியவற்றை உள்ளடக்கியது. வடிவமைப்பு சீராக இருப்பதை உறுதி செய்ய பாதுகாப்பான மேம்பாட்டுக் கொள்கைகளைப் பயன்படுத்தவும். உலகளவில் பயன்படுத்தப்படும் ஒரு சமூக ஊடக தளம், பயனர் அங்கீகாரம் மற்றும் அங்கீகரிப்பு அமைப்பை பாதுகாப்பை மனதில் கொண்டு வடிவமைக்க வேண்டும்.

3. மேம்பாட்டு கட்டம்

மேம்பாட்டு கட்டத்தில், பாதுகாப்பான குறியீட்டு நடைமுறைகளை செயல்படுத்தவும், SAST கருவிகளைப் பயன்படுத்தவும் மற்றும் குறியீடு மதிப்பாய்வுகளைச் செய்யவும். பாதுகாப்பான குறியீட்டுக் கொள்கைகளில் டெவலப்பர்களுக்கு பயிற்சி அளிக்கவும். பாதுகாப்பான குறியீட்டுத் தரங்களின் பயன்பாட்டை அமல்படுத்தவும் மற்றும் SAST கருவிகளை CI/CD பைப்லைனில் ஒருங்கிணைக்கவும். இந்த கட்டம் பெரும்பாலும் பாதுகாப்பு குறைபாடுகளைக் கண்டறிய சரிபார்ப்புப் பட்டியல்கள் மற்றும் கருவிகளின் பயன்பாட்டிலிருந்து பயனடைகிறது. பல நாடுகளில் உள்ள மேம்பாட்டுக் குழுக்கள் அனைத்தும் ஒரு பாதுகாப்பு வழிகாட்டியுடன் பணியாற்ற வேண்டிய ஒரு நிறுவனத்தைக் கருத்தில் கொள்ளுங்கள்.

4. சோதனை கட்டம்

சோதனை கட்டத்தில், DAST, ஊடுருவல் சோதனை மற்றும் SCA-வை நடத்தவும். தானியங்கி மற்றும் கைமுறை பாதுகாப்பு சோதனைகள் இரண்டையும் செய்யவும். இது ஒரு முக்கியமான படியாகும். சோதனை செயல்முறையில் பாதுகாப்பு சோதனையை இணைக்கவும். சோதனையானது தாக்குதல்களின் உருவகப்படுத்துதலை உள்ளடக்கியிருக்க வேண்டும். எந்தவொரு வரிசைப்படுத்தலுக்கும் முன் வழக்கமான பாதுகாப்பு சோதனை செய்யப்படுவதை உறுதிசெய்யவும். ஒரு சர்வதேச செய்தி வலைத்தளம் XSS அபாயத்தைக் குறைக்க அனைத்து ஜாவாஸ்கிரிப்ட் குறியீட்டையும் விரிவாக சோதிக்கும்.

5. வரிசைப்படுத்தல் கட்டம்

வரிசைப்படுத்தல் கட்டத்தில், பயன்பாடு பாதுகாப்பாக வரிசைப்படுத்தப்படுவதை உறுதிசெய்யவும். இது வலை சேவையகத்தை பாதுகாப்பாக உள்ளமைத்தல், HTTPS-ஐ இயக்குதல் மற்றும் பொருத்தமான பாதுகாப்பு தலைப்புகளைப் பயன்படுத்துதல் ஆகியவற்றை உள்ளடக்கியது. பயனர்கள் பாதுகாக்கப்படுவதை உறுதிசெய்ய வரிசைப்படுத்தல் பாதுகாப்பானதாகவும் பத்திரமானதாகவும் இருக்க வேண்டும். புதுப்பிப்புகளை வரிசைப்படுத்தும்போது, பாதுகாப்பான நடைமுறைகளைப் பின்பற்றுவது முக்கியம், குறிப்பாக உலகளவில் பயன்படுத்தப்படும் அமைப்புகளுக்கு.

6. பராமரிப்பு கட்டம்

பராமரிப்பு கட்டத்தில், பாதுகாப்பு பாதிப்புகளுக்காக பயன்பாட்டைக் கண்காணிக்கவும், பாதுகாப்பு இணைப்புகளைப் பயன்படுத்தவும் மற்றும் வழக்கமான பாதுகாப்பு தணிக்கைகளை நடத்தவும். அமைப்பின் தொடர்ச்சியான கண்காணிப்பு பாதுகாப்பின் திறவுகோலாகும். புதிதாகக் கண்டறியப்பட்ட அச்சுறுத்தல்களைக் கண்டறிய பாதிப்பு ஸ்கேன்களை தவறாமல் திட்டமிடவும். வெளிவரும் அச்சுறுத்தல்களுக்கு எதிராக பயன்பாட்டைப் பாதுகாக்க வழக்கமான கண்காணிப்பு மற்றும் புதுப்பிப்புகள் முக்கியம். வெளியீட்டிற்குப் பிறகும், ஒரு பயன்பாடு பாதிப்புகளுக்காக கண்காணிக்கப்பட்டு தணிக்கை செய்யப்பட வேண்டும்.

முடிவு: ஜாவாஸ்கிரிப்ட் பயன்பாடுகளுக்கு ஒரு பாதுகாப்பான எதிர்காலத்தை உருவாக்குதல்

ஜாவாஸ்கிரிப்ட் பாதுகாப்பு தணிக்கை என்பது வலைப் பயன்பாடுகளை சைபர் அச்சுறுத்தல்களிலிருந்து பாதுகாக்க ஒரு முக்கியமான செயல்முறையாகும். பாதிப்பு கண்டறிதல் மற்றும் குறியீடு பகுப்பாய்வு ஆகியவற்றுக்கு இடையேயான வேறுபாடுகளைப் புரிந்துகொள்வதன் மூலமும், பாதுகாப்பான குறியீட்டு நடைமுறைகளை செயல்படுத்துவதன் மூலமும், மற்றும் பொருத்தமான கருவிகளைப் பயன்படுத்துவதன் மூலமும், உலகெங்கிலும் உள்ள டெவலப்பர்கள் மற்றும் நிறுவனங்கள் மிகவும் பாதுகாப்பான மற்றும் நெகிழ்வான பயன்பாடுகளை உருவாக்க முடியும். இந்த வழிகாட்டி ஜாவாஸ்கிரிப்ட் பாதுகாப்பு செயல்முறைகளைப் புரிந்துகொள்வதற்கான ஒரு அடித்தளத்தை வழங்குகிறது. SDLC-யின் ஒவ்வொரு கட்டத்திலும் பாதுகாப்பை ஒருங்கிணைப்பதன் மூலம், வணிகங்கள் தங்கள் பயனர்கள், அவர்களின் தரவு மற்றும் அவர்களின் நற்பெயரை மாறிவரும் பாதுகாப்பு அச்சுறுத்தல்களுக்கு முகங்கொடுத்து பாதுகாக்க முடியும், மேலும் தங்கள் உலகளாவிய பயனர் தளத்துடன் நம்பிக்கையை வளர்க்க முடியும். உங்கள் ஜாவாஸ்கிரிப்ட் பயன்பாடுகளைப் பாதுகாப்பதற்கும் அனைவருக்கும் பாதுகாப்பான டிஜிட்டல் எதிர்காலத்தை உறுதி செய்வதற்கும் செயல்திட்டமான, தொடர்ச்சியான பாதுகாப்பு முயற்சிகள் மிக முக்கியம்.