Από τον Ρον Τεϊσέιρα
Κατά τη διάρκεια των δύο τελευταίων ετών, υπήρξαν αρκετές περιπτώσεις υψηλού προφίλ παραβιάσεων δεδομένων που αφορούσαν μεγάλες εταιρείες. Ενώ αυτό μπορεί να δώσει την αντίληψη ότι μόνο μεγάλες επιχειρήσεις απευθύνονται σε χάκερ και κλέφτες, η πραγματικότητα είναι ότι οι χάκερ στοχεύουν όλο και περισσότερο σε μικρές επιχειρήσεις επειδή συνήθως δεν διαθέτουν τους πόρους ή την τεχνογνωσία που κάνουν οι μεγάλες εταιρίες.
Ωστόσο, αυτό δεν σημαίνει ότι οι μικρές επιχειρήσεις πρέπει να δαπανήσουν ένα μεγάλο χρηματικό ποσό και πόρους για να προστατευθούν για τις τελευταίες απειλές. Στην πραγματικότητα, σύμφωνα με πρόσφατη έκθεση της Symantec Threat, το 82% των δεδομένων που είτε χάθηκαν είτε κλέφθηκαν θα μπορούσε να είχε αποφευχθεί εάν η επιχείρηση ακολούθησε ένα απλό σχέδιο ασφάλειας στον κυβερνοχώρο.
Προκειμένου να ξεκινήσετε την ανάπτυξη ενός σχεδίου ασφάλειας στον κυβερνοχώρο, πρέπει να κατανοήσετε τις απειλές του Διαδικτύου και πώς προστατεύετε την επιχείρησή σας από αυτές τις απειλές επηρεάζει άμεσα την κατώτατη γραμμή. Ως αποτέλεσμα, η Εθνική Συμμαχία για την Cyber Security, των οποίων οι συνεργάτες περιλαμβάνουν το Τμήμα Εσωτερικής Ασφάλειας, το Ομοσπονδιακό Γραφείο Ερευνών, τη Διοίκηση Μικρών Επιχειρήσεων, το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας, Symantec, Microsoft, CA, McAfee, AOL και RSA 5 απειλές που μπορεί να αντιμετωπίσει η μικρή επιχείρησή σας στο Διαδίκτυο, επιχειρηματικές περιπτώσεις σχετικά με τον τρόπο με τον οποίο μπορούν να σας βλάψουν αυτές οι απειλές και πρακτικά μέτρα που μπορείτε να λάβετε για να αποφύγετε αυτές τις απειλές.
Ακολουθεί μια περίληψη των πέντε πρώτων απειλών:
- # 1: κακόβουλο κώδικα. Μια βομβιστική επιχείρηση λογισμικού βορειοανατολικής κατασκευής κατέστρεψε όλα τα προγράμματα της εταιρείας και τις γεννήτριες κωδικών. Στη συνέχεια, η εταιρεία έχασε εκατομμύρια δολάρια, απομακρύνθηκε από τη θέση της στη βιομηχανία και τελικά έπρεπε να απολύσει 80 εργαζόμενους. Για να βεβαιωθείτε ότι αυτό δεν σας συμβεί, εγκαταστήστε και χρησιμοποιήστε προγράμματα προστασίας από ιούς, προγράμματα κατά του spyware και τείχη προστασίας σε όλους τους υπολογιστές της επιχείρησής σας. Επιπλέον, βεβαιωθείτε ότι όλα τα προγράμματα ηλεκτρονικών υπολογιστών είναι ενημερωμένα και περιέχουν τα πιο πρόσφατα patches (δηλαδή το λειτουργικό σύστημα, το λογισμικό προστασίας από ιούς, το λογισμικό προστασίας από spyware, το adware, το firewall και το λογισμικό αυτοματισμού γραφείου).
- # 2: Κλεμμένος / χαμένος φορητός υπολογιστής ή φορητή συσκευή. Πέρυσι, κλέφθηκε από το σπίτι του ένας υπάλληλος του Υπουργείου Υποθέσεων Βετεράνων. Ο φορητός υπολογιστής περιείχε ιατρικό ιστορικό 26,5 εκατομμυρίων βετεράνων. Στο τέλος, ο φορητός υπολογιστής ανακτήθηκε και τα δεδομένα δεν χρησιμοποιήθηκαν. ωστόσο, η ΒΑ έπρεπε να ειδοποιήσει 26,5 εκατομμύρια βετεράνους του συμβάντος, με αποτέλεσμα ακροάσεις του Κογκρέσου και δημόσιο έλεγχο. Για να βεβαιωθείτε ότι αυτό δεν σας συμβεί, προστατέψτε τα δεδομένα των πελατών σας κατά τη μεταφορά τους οπουδήποτε σε μια φορητή συσκευή με κρυπτογράφηση όλων των δεδομένων που βρίσκονται σε αυτό. Τα προγράμματα κρυπτογράφησης κωδικοποιούν τα δεδομένα ή τα καθιστούν δυσανάγνωστα σε εξωτερικούς χρήστες, μέχρι να εισαγάγετε έναν κωδικό πρόσβασης ή ένα κλειδί κρυπτογράφησης.
- # 3: Φιλοσοφία τύπου Spear. Ένας κατασκευαστής ποδηλάτων μεσαίου μεγέθους βασιζόταν σε μεγάλο βαθμό στο ηλεκτρονικό ταχυδρομείο για να ασκεί τις δραστηριότητές του. Κατά την κανονική πορεία μιας εργάσιμης ημέρας, η εταιρεία έλαβε τουλάχιστον 50.000 μηνύματα spam και phishing. Σε μια περίπτωση ένας υπάλληλος λάμβανε ένα μήνυμα ηλεκτρονικού "phishing" που φαινόταν σαν να προήλθε από το Τμήμα Πληροφορικής και ζήτησε από τον υπάλληλο να επιβεβαιώσει τον κωδικό πρόσβασης διαχειριστή. Ευτυχώς για την εταιρεία, όταν ο υπάλληλος ρώτησε τον διευθυντή γραμμής για το " κωδικό πρόσβασης διαχειριστή "εξέτασε περαιτέρω και συνειδητοποίησε ότι το ηλεκτρονικό ταχυδρομείο ήταν απάτη. Για να βεβαιωθείτε ότι αυτό δεν σας συμβεί, δώστε εντολή σε όλους τους υπαλλήλους να επικοινωνήσουν με τον διαχειριστή τους ή απλά να πάρουν το τηλέφωνο και να επικοινωνήσουν με το άτομο που έστειλε το email απευθείας. Είναι σημαντικό να καταστήσετε τους υπαλλήλους σας ενήμερους για το τι είναι μια επίθεση δόλιου phishing και για να είστε προσεκτικοί για οτιδήποτε στο in-box που φαίνεται ύποπτο.
- # 4: Ασύρματα δίκτυα ασύρματου Internet. Σύμφωνα με δημοσιεύματα, οι χάκερ απέσυραν τη "μεγαλύτερη παραβίαση δεδομένων" ποτέ μέσω ασύρματου δικτύου. Μια παγκόσμια αλυσίδα λιανικής πώλησης είχε πάνω από 47 εκατομμύρια οικονομικές πληροφορίες κλεμμένων από χάκερ που διασκορπίστηκαν από ένα ασύρματο δίκτυο το οποίο ήταν εξασφαλισμένο από τη χαμηλότερη μορφή κρυπτογράφησης που διέθετε η εταιρεία. Επί του παρόντος, αυτή η παραβίαση ασφαλείας έχει κοστίσει την εταιρεία 17 εκατομμύρια δολάρια, και ειδικότερα 12 εκατομμύρια δολάρια σε ένα μόνο τρίμηνο, ή 3 σεντς ανά μετοχή. Για να βεβαιωθείτε ότι αυτό δεν σας συμβεί, όπως μπορείτε να ρυθμίσετε ένα ασύρματο δίκτυο, βεβαιωθείτε ότι ο προεπιλεγμένος κωδικός πρόσβασης έχει αλλάξει και βεβαιωθείτε ότι έχετε κρυπτογραφήσει το ασύρματο δίκτυό σας με WPA (Wi-Fi Protected Access).
- # 5: Απειλή Εμπιστευματοδόχων / Δυστυχώς Υπαλλήλων. Ένας πρώην υπάλληλος για μια εταιρία που χειρίζεται πτητικές λειτουργίες για μεγάλες εταιρείες αυτοκινήτων, διέγραψε τις κρίσιμες πληροφορίες για την απασχόληση δύο εβδομάδες μετά την παραίτηση από τη θέση του. Το περιστατικό προκάλεσε ζημιές ύψους περίπου 34.000 δολαρίων. Για να βεβαιωθείτε ότι αυτό δεν σας συμβεί, διαιρέστε τις κρίσιμες λειτουργίες και ευθύνες μεταξύ των εργαζομένων εντός του οργανισμού, περιορίζοντας το ενδεχόμενο ένα άτομο να διαπράξει δολιοφθορά ή απάτη χωρίς τη βοήθεια άλλων υπαλλήλων του οργανισμού.
Διαβάστε παρακάτω για περισσότερες πληροφορίες και λεπτομερείς συμβουλές για την προστασία των συστημάτων του υπολογιστή σας -
1. κακόβουλο κώδικα (Spyware / ιοί / δούρειος ίππος / σκουλήκια)
Σύμφωνα με μελέτη του FBI για το 2006, το κακόβουλο πρόγραμμα λογισμικού περιλάμβανε τον μεγαλύτερο αριθμό επιθέσεων στον κυβερνοχώρο, οι οποίες είχαν ως αποτέλεσμα μια μέση απώλεια $ 69,125 ανά περιστατικό. Το κακόβουλο λογισμικό είναι προγράμματα υπολογιστών που είναι κρυφά εγκατεστημένα στον υπολογιστή της επιχείρησής σας και μπορούν είτε να προκαλέσουν εσωτερική ζημιά σε ένα δίκτυο υπολογιστών όπως διαγραφή κρίσιμων αρχείων είτε να χρησιμοποιήσουν για να κλέψουν κωδικούς πρόσβασης ή να ξεκλειδώσουν το λογισμικό ασφαλείας, έτσι ώστε ένας χάκερ να μπορεί να κλέψει πληροφορίες πελατών ή εργαζομένων. Τις περισσότερες φορές, αυτοί οι τύποι προγραμμάτων χρησιμοποιούνται από εγκληματίες για οικονομικό όφελος είτε με εκβιασμούς είτε με κλοπή.
Μελέτη περίπτωσης:
Μια βορειοανατολική εταιρία παραγωγής κατέλαβε συμβάσεις αξίας αρκετών εκατομμυρίων δολαρίων για να κατασκευάσει συσκευές μέτρησης και οργάνων για τη NASA και το αμερικανικό ναυτικό. Ωστόσο, το πρωί οι εργαζόμενοι βρήκαν ότι δεν μπόρεσαν να συνδεθούν στο λειτουργικό σύστημα, αντί να πάρουν ένα μήνυμα ότι το σύστημα ήταν "υπό επισκευή". Λίγο αργότερα, ο διακομιστής της εταιρείας συνετρίβη, εξαλείφοντας όλα τα εργαλεία και τα προγράμματα παραγωγής της εγκατάστασης. Όταν ο διευθυντής πήγε για να πάρει πίσω ταινίες, διαπίστωσε ότι είχαν φύγει και οι επιμέρους σταθμοί εργασίας είχαν επίσης καταστραφεί. Ο οικονομικός διευθυντής της εταιρείας δήλωσε ότι η βόμβα λογισμικού είχε καταστρέψει όλα τα προγράμματα και τις γεννήτριες κωδικών που επέτρεψαν στην επιχείρηση να προσαρμόσει τα προϊόντα της και έτσι να μειώσει το κόστος. Η εταιρεία έχασε στη συνέχεια εκατομμύρια δολάρια, απομακρύνθηκε από τη θέση της στη βιομηχανία και τελικά χρειάστηκε να απολύσει 80 εργαζόμενους. Η εταιρεία μπορεί να πάρει λίγη παρηγοριά στο γεγονός ότι ο ένοχος τελικά συνελήφθη και καταδικάστηκε.
Συμβουλή:
- Εγκαταστήστε και χρησιμοποιήστε προγράμματα προστασίας από ιούς, προγράμματα προστασίας από spyware και τείχη προστασίας σε όλους τους υπολογιστές της επιχείρησής σας.
- Βεβαιωθείτε ότι οι υπολογιστές σας προστατεύονται από ένα τείχος προστασίας. τα τείχη προστασίας μπορούν να είναι ξεχωριστές συσκευές, ενσωματωμένες σε ασύρματα συστήματα ή ένα τείχος προστασίας λογισμικού που συνοδεύει πολλές εμπορικές σουίτες ασφαλείας.
- Επιπλέον, βεβαιωθείτε ότι όλα τα προγράμματα ηλεκτρονικών υπολογιστών είναι ενημερωμένα και περιέχουν τα πιο πρόσφατα patches (δηλαδή το λειτουργικό σύστημα, το λογισμικό προστασίας από ιούς, το λογισμικό προστασίας από spyware, το adware, το firewall και το λογισμικό αυτοματισμού γραφείου).
2. Κλεμμένος / χαμένος φορητός υπολογιστής ή φορητή συσκευή
Πιστέψτε το ή όχι, οι κλεμμένοι ή χαμένοι φορητοί υπολογιστές είναι ένας από τους πιο συνηθισμένους τρόπους με τους οποίους οι επιχειρήσεις χάνουν κρίσιμα δεδομένα. Σύμφωνα με μελέτη του 2006 για το έγκλημα του FBI (PDF), ένας κλεμμένος ή χαμένος φορητός υπολογιστής είχε συνήθως ως αποτέλεσμα μια μέση απώλεια $ 30.570.Ωστόσο, ένα περιστατικό υψηλού προφίλ ή ένα περιστατικό που απαιτεί από μια εταιρεία να επικοινωνήσει με όλους τους πελάτες, επειδή τα οικονομικά ή προσωπικά δεδομένα ενδέχεται να έχουν χαθεί ή κλαπεί, μπορεί να οδηγήσει σε πολύ μεγαλύτερες απώλειες λόγω απώλειας εμπιστοσύνης των καταναλωτών, νομική ευθύνη.
Μελέτη περίπτωσης:
Πέρυσι, ένας υπάλληλος του Τμήματος Βετεράνων πήρε ένα σπίτι στο laptop που περιείχε ιατρικό ιστορικό 26,5 εκατομμυρίων βετεράνων. Ενώ ο υπάλληλος δεν ήταν σπίτι, ένας εισβολέας έσπασε και έκλεψε το φορητό υπολογιστή που περιείχε τα δεδομένα των βετεράνων. Στο τέλος, ο φορητός υπολογιστής ανακτήθηκε και τα δεδομένα δεν χρησιμοποιήθηκαν. ωστόσο, η ΒΑ έπρεπε να ειδοποιήσει 26,5 εκατομμύρια βετεράνους του συμβάντος, με αποτέλεσμα ακροάσεις του Κογκρέσου και δημόσιο έλεγχο. Αυτό το φαινόμενο δεν περιορίζεται στην κυβέρνηση, το 2006 υπήρξαν ορισμένες εταιρικές υποθέσεις υψηλού προφίλ που αφορούσαν χαμένους ή κλεμμένους φορητούς υπολογιστές που είχαν ως αποτέλεσμα παραβιάσεις δεδομένων. Ένας φορητός υπολογιστής που περιέχει 250.000 πελάτες Ameriprise κλέφθηκε από ένα αυτοκίνητο. Το Προληπτικό Νοσοκομειακό Σύστημα Υγείας είχε κλαπεί φορητό υπολογιστή, το οποίο περιείχε χιλιάδες ιατρικά αρχεία ασθενών.
Συμβουλή:
- Προστατεύστε τα δεδομένα των πελατών σας όταν τα μεταφέρετε οπουδήποτε σε μια φορητή συσκευή κρυπτογραφώντας όλα τα δεδομένα που βρίσκονται σε αυτήν. Τα προγράμματα κρυπτογράφησης κωδικοποιούν τα δεδομένα ή τα καθιστούν δυσανάγνωστα σε εξωτερικούς χρήστες, μέχρι να εισαγάγετε έναν κωδικό πρόσβασης ή ένα κλειδί κρυπτογράφησης. Εάν ένα φορητό υπολογιστή με ευαίσθητα δεδομένα κλαπεί ή χαθεί, αλλά τα δεδομένα είναι κρυπτογραφημένα, είναι πολύ απίθανο ο καθένας να μπορεί να διαβάσει τα δεδομένα. Η κρυπτογράφηση είναι η τελευταία σας γραμμή άμυνας σε περίπτωση απώλειας ή κλοπής δεδομένων. Ορισμένα προγράμματα κρυπτογράφησης ενσωματώνονται σε δημοφιλή οικονομικά και λογισμικά βάσεων δεδομένων. Απλά ελέγξτε το εγχειρίδιο του ιδιοκτήτη του λογισμικού για να μάθετε αν είναι διαθέσιμη αυτή η λειτουργία και πώς να την ενεργοποιήσετε. Σε ορισμένες περιπτώσεις μπορεί να χρειαστείτε ένα πρόσθετο πρόγραμμα για την κατάλληλη κρυπτογράφηση των ευαίσθητων δεδομένων σας.
3. Phishing με Spear
Το phishing των Spear περιγράφει κάθε επίθεση phishing με μεγάλη στόχευση. Οι phishers των Spear στέλνουν μηνύματα ηλεκτρονικού ταχυδρομείου που φαίνονται γνήσια σε όλους τους υπαλλήλους ή τα μέλη μιας συγκεκριμένης εταιρείας, κυβερνητικής υπηρεσίας, οργανισμού ή ομάδας. Το μήνυμα μπορεί να φαίνεται ότι προέρχεται από έναν εργοδότη ή από έναν συνάδελφο που μπορεί να στείλει ένα μήνυμα ηλεκτρονικού ταχυδρομείου σε όλους στην εταιρεία, όπως ο επικεφαλής των ανθρώπινων πόρων ή το άτομο που διαχειρίζεται τα συστήματα ηλεκτρονικών υπολογιστών και θα μπορούσε να περιλαμβάνει αιτήματα για τα ονόματα χρηστών ή τους κωδικούς πρόσβασης.
Η αλήθεια είναι ότι οι πληροφορίες για τους αποστολείς ηλεκτρονικού ταχυδρομείου έχουν παραποιηθεί ή έχουν «πλαστογραφηθεί». Ενώ οι παραδοσιακές απάτες phishing έχουν σχεδιαστεί για να κλέβουν πληροφορίες από ιδιώτες, οι απάτες κατά του phishing εργάζονται για να έχουν πρόσβαση σε ολόκληρο το σύστημα ηλεκτρονικών υπολογιστών μιας εταιρείας.
Εάν ένας υπάλληλος αποκρίνεται με όνομα χρήστη ή κωδικό πρόσβασης ή αν κάνετε κλικ σε συνδέσμους ή ανοίξετε συνημμένα σε ηλεκτρονικό ταχυδρομείο ηλεκτρονικού "ψαρέματος", αναδυόμενο παράθυρο ή τοποθεσία Web, ενδέχεται να θέσει σε κίνδυνο την επιχείρησή σας ή την οργάνωση.
Μελέτη περίπτωσης:
Ένας κατασκευαστής ποδηλάτων μεσαίου μεγέθους που παρήγαγε ποδήλατα που χρησιμοποιήθηκαν σε γνωστούς αγώνες, βασιζόταν σε μεγάλο βαθμό στο ηλεκτρονικό ταχυδρομείο για να διεξάγει επιχειρήσεις. Κατά την κανονική πορεία μιας εργάσιμης ημέρας, η εταιρεία έλαβε τουλάχιστον 50.000 μηνύματα spam και phishing. Ως αποτέλεσμα, η εταιρεία εγκατέστησε πολλά φίλτρα ανεπιθύμητης αλληλογραφίας σε μια προσπάθεια να προστατέψουν τους υπαλλήλους από ψευδή μηνύματα ηλεκτρονικού ταχυδρομείου. Ωστόσο, πολλά ψευδή μηνύματα ηλεκτρονικού ταχυδρομείου εξακολουθούν να διαβιβάζονται στους υπαλλήλους. Σε μια περίπτωση ένας υπάλληλος λάμβανε ένα μήνυμα ηλεκτρονικού "phishing" που φαινόταν σαν να προήλθε από το Τμήμα Πληροφορικής και ζήτησε από τον υπάλληλο να επιβεβαιώσει τον κωδικό πρόσβασης διαχειριστή. Ευτυχώς για την εταιρεία, όταν ο υπάλληλος ρώτησε τον διευθυντή γραμμής για το " κωδικό πρόσβασης διαχειριστή "εξέτασε περαιτέρω και συνειδητοποίησε ότι το ηλεκτρονικό ταχυδρομείο ήταν απάτη. Ενώ αυτό το παράδειγμα δεν είχε ως αποτέλεσμα οικονομικές απώλειες, θα μπορούσε εύκολα να γίνει και είναι κοινό πρόβλημα για όλες τις επιχειρήσεις.
Συμβουλή:
- Οι υπάλληλοι δεν θα πρέπει ποτέ να απαντούν σε ανεπιθύμητα μηνύματα ή αναδυόμενα μηνύματα που ισχυρίζονται ότι προέρχονται από μια επιχείρηση ή έναν οργανισμό που ενδέχεται να αντιμετωπίσετε, για παράδειγμα, ένας πάροχος υπηρεσιών διαδικτύου (ISP), μια τράπεζα, μια υπηρεσία πληρωμών μέσω διαδικτύου ή ακόμη και μια κυβερνητική υπηρεσία. Οι νόμιμες εταιρείες δεν θα ζητήσουν ευαίσθητες πληροφορίες μέσω ηλεκτρονικού ταχυδρομείου ή συνδέσμου.
- Επιπλέον, εάν ένας υπάλληλος λάβει ένα μήνυμα ηλεκτρονικού ταχυδρομείου που μοιάζει να προέρχεται από άλλο υπάλληλο και ζητά κωδικό ή οποιοδήποτε τύπο λογαριασμού, δεν πρέπει να απαντήσει σε αυτό ή να παράσχει ευαίσθητες πληροφορίες μέσω ηλεκτρονικού ταχυδρομείου. Αντ 'αυτού, δώστε εντολή στον υπάλληλο να επικοινωνήσει με τον διευθυντή του ή απλά να πάρει το τηλέφωνο και να επικοινωνήσει με το άτομο που έστειλε το email απευθείας.
- Είναι σημαντικό να καταστήσετε τους υπαλλήλους σας ενήμερους για το τι είναι μια επίθεση δόλιου phishing και για να είστε προσεκτικοί για οτιδήποτε στο in-box που φαίνεται ύποπτο. Ο καλύτερος τρόπος να αποφύγετε να πέσετε θύμα μιας επίθεσης δόλιου phishing είναι να ενημερώσετε όλοι ότι συμβαίνει πριν κάποιος χάσει οποιαδήποτε προσωπικά στοιχεία.
4. Μη ασφαλισμένα δίκτυα ασύρματου Internet
Οι καταναλωτές και οι επιχειρήσεις υιοθετούν γρήγορα και υλοποιούν δίκτυα ασύρματου Internet. Σύμφωνα με μια μελέτη InfoTech, η διείσδυση των ασύρματων διαδικτυακών δικτύων θα φθάσει το 80% μέχρι το 2008. Ενώ τα δίκτυα ασύρματου Internet παρέχουν στις επιχειρήσεις τη δυνατότητα να εξομαλύνουν τα δίκτυά τους και να αναπτύξουν ένα δίκτυο με ελάχιστες υποδομές ή καλώδια, χρησιμοποιώντας ασύρματα δίκτυα Internet. Οι χάκερ και οι απατεώνες μπορούν να εισέλθουν στους υπολογιστές των επιχειρήσεων μέσω ενός ανοιχτού ασύρματου δικτύου Internet και ως εκ τούτου θα μπορούσαν ενδεχομένως να κλέψουν πληροφορίες για τους πελάτες και ακόμη και ιδιόκτητες πληροφορίες. Δυστυχώς, πολλές επιχειρήσεις δεν λαμβάνουν τα απαραίτητα μέτρα για να εξασφαλίσουν τα ασύρματα δίκτυά τους. Σύμφωνα με μια μελέτη της Symantec / Small Business Technology Institute του 2005, το 60% των μικρών επιχειρήσεων έχουν ανοικτά ασύρματα δίκτυα. Επιπλέον, πολλές άλλες μικρές επιχειρήσεις ενδέχεται να μην χρησιμοποιούν αρκετά ισχυρή ασύρματη ασφάλεια για την προστασία των συστημάτων τους. Η μη σωστή διασφάλιση ενός ασύρματου δικτύου είναι σαν να αφήνετε την πόρτα μιας επιχείρησης ανοικτή τη νύχτα.
Μελέτη περίπτωσης:
Σύμφωνα με δημοσιεύματα, οι χάκερ απέσυραν τη "μεγαλύτερη παραβίαση δεδομένων" ποτέ μέσω ασύρματου δικτύου. Μια παγκόσμια αλυσίδα λιανικής πώλησης είχε πάνω από 47 εκατομμύρια οικονομικές πληροφορίες κλεμμένων από χάκερ που διασκορπίστηκαν από ένα ασύρματο δίκτυο το οποίο ήταν εξασφαλισμένο από τη χαμηλότερη μορφή κρυπτογράφησης που διέθετε η εταιρεία. Το 2005, δύο χάκερ φέρεται να σταθμεύουν έξω από ένα κατάστημα και χρησιμοποίησαν ασύρματη κεραία για την αποκωδικοποίηση δεδομένων μεταξύ χειροκίνητων σαρωτών πληρωμών, επιτρέποντάς τους να εισέλθουν στη βάση δεδομένων των μητρικών εταιρειών και να καταργήσουν τα αρχεία πιστωτικών και χρεωστικών καρτών σχεδόν 47 εκατομμυρίων πελατών. Πιστεύεται ότι οι χάκερ είχαν πρόσβαση στη βάση δεδομένων πιστωτικών καρτών για περισσότερα από δύο χρόνια χωρίς να εντοπιστούν. Αντί να χρησιμοποιεί το πιο ενημερωμένο λογισμικό κρυπτογράφησης για να ασφαλίσει το ασύρματο δίκτυο - Wi-Fi Protected Access (WPA), η αλυσίδα λιανικής πώλησης χρησιμοποίησε μια παλιά μορφή κρυπτογράφησης που ονομάζεται Wireless Equivalent Privacy (WEP), η οποία, σύμφωνα με ορισμένους ειδικούς, hacked σε μόλις 60 δευτερόλεπτα. Επί του παρόντος, αυτή η παραβίαση ασφαλείας έχει κοστίσει την εταιρεία 17 εκατομμύρια δολάρια, και ειδικότερα 12 εκατομμύρια δολάρια σε ένα μόνο τρίμηνο, ή 3 σεντς ανά μετοχή.
Συμβουλή:
- Κατά τη ρύθμιση ενός ασύρματου δικτύου, βεβαιωθείτε ότι ο προεπιλεγμένος κωδικός πρόσβασης έχει αλλάξει. Οι περισσότερες συσκευές δικτύου, συμπεριλαμβανομένων των ασύρματων σημείων πρόσβασης, έχουν προκαθοριστεί με προεπιλεγμένους κωδικούς πρόσβασης διαχειριστή για απλοποίηση της ρύθμισης. Αυτοί οι προεπιλεγμένοι κωδικοί πρόσβασης βρίσκονται εύκολα στο διαδίκτυο, επομένως δεν παρέχουν προστασία. Η αλλαγή των προεπιλεγμένων κωδικών πρόσβασης καθιστά πιο δύσκολο για τους εισβολείς να πάρουν τον έλεγχο της συσκευής.
- Επιπλέον, βεβαιωθείτε ότι έχετε κρυπτογραφήσει το ασύρματο δίκτυό σας με κρυπτογράφηση WPA. Το WEP (Wired Equivalent Privacy) και το WPA (Wi-Fi Protected Access) κρυπτογραφούν τις πληροφορίες για ασύρματες συσκευές. Ωστόσο, το WEP έχει πολλά προβλήματα ασφάλειας που το καθιστούν λιγότερο αποτελεσματικό από το WPA, επομένως θα πρέπει να αναζητήσετε συγκεκριμένα εργαλεία που υποστηρίζουν κρυπτογράφηση μέσω WPA. Η κρυπτογράφηση των δεδομένων θα αποτρέψει οποιονδήποτε μπορεί να παρακολουθεί την ασύρματη επισκεψιμότητα του δικτύου σας από την προβολή των δεδομένων σας.
5. Απειλή Εμπιστευματοδόχου / Δυστυχούς Υπαλλήλου
Ένας δυσαρεστημένος υπάλληλος ή ένας εμπιστευμένος μπορεί να είναι πιο επικίνδυνος από τον πιο εξειδικευμένο χάκερ στο Διαδίκτυο. Ανάλογα με τις πολιτικές ασφαλείας και τη διαχείριση του κωδικού πρόσβασης της επιχείρησής σας, οι εμπιστευόμενοι μπορεί να έχουν άμεση πρόσβαση στα κρίσιμα δεδομένα σας και ως αποτέλεσμα μπορούν εύκολα να τα κλέψουν και να τα πουλήσουν στον ανταγωνιστή σας ή ακόμη και να διαγράψουν όλα αυτά, προκαλώντας ανεπανόρθωτες ζημιές. Υπάρχουν βήματα και μέτρα που μπορείτε να λάβετε για να εμποδίσετε έναν εμπιστευτικό ή δυσαρεστημένο υπάλληλο να αποκτήσει πρόσβαση σε βασικές πληροφορίες και να καταστρέψει τα δίκτυα υπολογιστών σας.
Μελέτη περίπτωσης:
Ένας πρώην υπάλληλος για μια εταιρία που χειρίζεται πτητικές λειτουργίες για μεγάλες εταιρείες αυτοκινήτων, διέγραψε τις κρίσιμες πληροφορίες για την απασχόληση δύο εβδομάδες μετά την παραίτηση από τη θέση του. Το περιστατικό προκάλεσε ζημιές ύψους περίπου 34.000 δολαρίων. Σύμφωνα με αναφορές, ο εργαζόμενος ήταν αναστατωμένος για να απελευθερωθεί από την εταιρεία νωρίτερα από ό, τι περίμενε. Προφανώς, το τείχος προστασίας της εταιρείας διακυβεύθηκε και ο δράστης εισήλθε στη βάση δεδομένων των εργαζομένων και διέγραψε όλα τα αρχεία. Οι δηλώσεις της εταιρείας δείχνουν ότι ο δυσαρεστημένος πρώην υπάλληλος ήταν ένας από τους τρεις μόνο ανθρώπους που γνώριζαν τις πληροφορίες σύνδεσης και κωδικού πρόσβασης για το τείχος προστασίας που προστατεύει τη βάση δεδομένων των εργαζομένων.
Συμβουλή:
Υπάρχουν διάφοροι τρόποι με τους οποίους η εταιρεία σας μπορεί να προστατευθεί από εμπιστευτικές ή δυσαρεστημένες απειλές των εργαζομένων:
- Διαχωρίστε τις κρίσιμες λειτουργίες και ευθύνες μεταξύ των εργαζομένων μέσα στον οργανισμό, περιορίζοντας την πιθανότητα ένα άτομο να διαπράξει δολιοφθορά ή απάτη χωρίς τη βοήθεια άλλων υπαλλήλων του οργανισμού.
- Εφαρμόστε αυστηρούς κανόνες κωδικού πρόσβασης και ελέγχου ταυτότητας. Βεβαιωθείτε ότι κάθε εργαζόμενος χρησιμοποιεί κωδικούς πρόσβασης που περιέχουν γράμματα και αριθμούς και μην χρησιμοποιείτε ονόματα ή λέξεις.
- Επιπλέον, φροντίστε να αλλάζετε κωδικούς πρόσβασης κάθε 90 ημέρες και, το σημαντικότερο, να διαγράψετε έναν λογαριασμό υπαλλήλου ή να αλλάξετε τους κωδικούς πρόσβασης σε κρίσιμα συστήματα, αφού ο εργαζόμενος εγκαταλείψει την επιχείρησή σας. Αυτό καθιστά δυσκολότερο για τους δυσαρεστημένους υπαλλήλους να βλάψουν τα συστήματά σας αφού έχουν φύγει.
- Πραγματοποιήστε τη δέουσα επιμέλεια πριν να προσλάβετε κάποιον. Κάνετε ελέγχους στο παρασκήνιο, εκπαιδευτικούς ελέγχους κ.λπ. για να διασφαλίσετε ότι προσλαμβάνετε καλούς ανθρώπους.
Σχετικά με τον Συγγραφέα: Ως εκτελεστικός διευθυντής της Εθνικής Συμμαχίας για την Ασφάλεια στον Κυβερνοχώρο (NCSA), ο Ron Teixeira είναι υπεύθυνος για τη γενική διαχείριση προγραμμάτων ευαισθητοποίησης στον κυβερνοχώρο και για εθνικές εκπαιδευτικές προσπάθειες. Η Teixeira συνεργάζεται στενά με διάφορους κυβερνητικούς οργανισμούς, εταιρείες και μη κερδοσκοπικούς οργανισμούς για να αυξήσει την ευαισθητοποίηση σε ζητήματα ασφάλειας του Διαδικτύου και να ενδυναμώσει τους οικιακούς χρήστες, τις μικρές επιχειρήσεις και την εκπαιδευτική κοινότητα με εργαλεία και βέλτιστες πρακτικές που αποσκοπούν στην εξασφάλιση ασφαλούς και ουσιαστικής εμπειρίας στο Διαδίκτυο.
9 Σχόλια ▼
