Ak nemôžete zakázať java, čo môžete urobiť?

Java je pod útokom.

Nielen čierne klobúky, ktoré vytvárajú súbory na prevzatie, škodlivé prílohy a ďalšie útoky, ktoré zneužívajú zraniteľné miesta v technológii, ale aj biele klobúky, ktoré tvrdia, že používatelia by ho nemali vôbec používať. Dokonca aj potom, čo spoločnosť Oracle opravila najnovšiu sériu chýb zabezpečenia typu zero-day v Jave, používatelia Team of Homeland Security Computer Emergency Readiness Team (US-CERT) odporúčali používateľom vypnúť Java.

Rovnako ako Adobe Flash, Java je populárny cieľ, pretože jeho nesmierne veľká nainštalovaná základňa. Ak naozaj nepoužívate webové stránky, ktoré vyžadujú Javu, choďte do toho a vypustite ho. Máme dokonca peknú sadu pokynov, ako zakázať Javu vo vašom prehliadači.

Ale ja používam Java!

Potom sme my ostatní, ktorí skutočne Java pravidelne používajú.

„Pochybujem, že každý, kto venuje pozornosť bezpečnostným radám, používa Java, IE 6/7/8 a kol., Pretože chcú - tieto veci prevádzkujeme, pretože musíme, a rozhodnutie je mimo našu kontrolu, “ bezpečnostný guru Jack Daniel napísal na stránke Uncommon Sense Security.

Keď som sa rozhliadol, aby som zistil, ktoré aplikácie používajú jazyk Java, uvedomil som si, že účet vyhovuje mnohým obľúbeným desktopovým aplikáciám, vrátane alternatív Office, ThinkFree Office, LibreOffice a OpenOffice, ako aj obľúbených hier, ako je Minecraft. Niektoré aplikácie Adobe tiež vyžadujú, aby Java spúšťala určité komponenty. Nemusíte sa obávať, pretože ide o samostatné Java aplikácie, a nie o tie, ktoré sú spustené vo webovom prehliadači., Ak ste postupovali podľa našich podrobných pokynov, zakázali ste Javu iba v prehliadači. Lokálne aplikácie budú naďalej fungovať dobre.

Ukázalo sa však, že existuje veľa herných webov a firiem, ktoré stále používajú Javu. Príkladom sú špecializované bankové služby, ako je Citi Private Bank, ktorá kombinuje investovanie a tradičné bankovníctvo na jeden účet. Cloudové služby, ako sú nástroje na hromadné nahrávanie veľkých súborov Box.net s Java. Citrix a Cisco ponúkajú produkty SSL VPN bez klientov, ktoré umožňujú používateľom vytvoriť bezpečný tunel VPN so vzdialeným prístupom pomocou webového prehľadávača s podporou Java.

Si študent? Šanca je, že vaša škola používa tabuľu, ktorá vyžaduje na ukladanie súborov a príloh najnovšiu verziu doplnku Java, používanie funkcie chatu v reálnom čase virtuálnej učebne a povolenie určitých interaktívnych funkcií na platforme.

Pogo.com a KidsPlayPark.com ponúkajú online hry Java. Zdá sa, že veľa používateľov Pogo, ktorí sa obávajú najnovších hrozieb, nahradili Java 7 jazykom Java 6 (ktorý Oracle už nebude podporovať po februári), podľa príspevkov na užívateľských fórach. Len aby ste vedeli, to je skutočne zlý nápad. Existuje veľa útokov, ktoré sa zameriavajú na zastaralý softvér; Nie je potrebné riskovať celý rad útokov, aby sa zabránilo najnovšej úrode.

Aké sú alternatívy pre IT?

„Ak máte nejaké podnikovo dôležité aplikácie, ktoré vyžadujú Javu: skúste nájsť náhradu, “ napísal minulý týždeň na blogu Internet Storm Center Johannes Ullrich z inštitútu SANS Institute.

Platformy webových konferencií sa javia ako najväčšie prekážky. Cisco WebEx a Citrix GoToMeeting vyžadovali Java, ale obe platformy nedávno upravili svoje aplikácie tak, aby používali inú verziu, ak nedokáže nájsť Java. Citrix uviedol, že sa úplne vyraďuje Java. Iné v priestore, napríklad MeetingBurner a Brother OmniJoin, však stále používajú Javu. Join.me, ClickMeeting a ReadyTalk sú založené na Flashi.

Aj keď nástroje pre vzdialený prístup boli väčšinou založené na jazyku Java, stále rastie zoznam alternatív, ktoré je možné použiť na technickú podporu, povedal SecurityWatch Chet Wisniewski, bezpečnostný poradca pre spoločnosť Sophos. Klienti vzdialenej pracovnej plochy sú zabudovaní aj do Mac OS X a Windows.

„Na podporu svojej mamy a otca používam bezplatnú verziu LogMeIn, “ povedal. LogMeIn Free využíva ActiveX.

Čo keď nemôžem prepnúť?

Pre mnoho firiem „neexistuje iná alternatíva, “ povedal Thomas Kristensen, CSO zo Secunie, spoločnosti SecurityWatch . Aj keď je možné nahradiť niektoré aplikácie, správcovia budú musieť prísť s inými spôsobmi ochrany svojich zamestnancov. Jedným zo spôsobov, ako zmenšiť povrch útoku, je povoliť Java iba pre tých, ktorí ju skutočne potrebujú, a zakázať ju pre všetkých ostatných, uviedla Kristensen.

Namiesto toho, aby zamestnancom povedali, aby prestali používať Javu, by sa organizácie mali zamerať na „bublinkovú fóliu“ na ochranu používateľov, uviedla spoločnosť Anvin Ghosh spoločnosti Invincea pre agentúru SecurityWatch . Používatelia môžu surfovať po webe pomocou virtualizovaného prehľadávača, a ak narazia na škodlivé stránky, omylom otvoria súbor v pasci alebo sa pokúsia stiahnuť malvér, virtuálne prostredie by útoku zablokovalo na skutočnom počítači. Druhý virtuálny prehliadač je zatvorený, útok je odstránený. A čo je najlepšie, virtuálny prehliadač by vás ochránil pred širšou škálou hrozieb, nielen hrozieb založených na Java.

Užívatelia si môžu osvojiť systém dvoch prehliadačov. Ak napríklad bežne prehliadate web pomocou prehliadača Firefox, zvážte vypnutie doplnku Java vo Firefoxe. Potom povoľte Javu v alternatívnom prehliadači, ako je Chrome, IE9, Safari atď., A vyhľadajte iba stránky, ktoré potrebujú Javu a nikdy na všeobecné surfovanie po webe.

„Najlepšie je povoliť Java v jednom prehliadači a používať tento prehliadač iba pre webové stránky, ktoré bez neho nebudú fungovať, “ uviedol Wisniewski.

Útočníci radi menia ciele - Flash, Internet Explorer, Adobe Reader. „Každý má nultý deň v rovnakom čase, “ napísal Rob VandenBrink z Metafore v Internet Storm Center.

Zakázanie jazyka Java je iba jedným zo spôsobov ochrany pred webovými hrozbami, ale nie univerzálnym riešením. Organizácie môžu obmedziť svoju expozíciu a prijať bezpečnostné praktiky, ako je napríklad filtrovanie webu a nechať používateľov spúšťať s obmedzenými oprávneniami, aby blokovali útoky.

„Prestaňte ukazovať prstom a vydávajte všeobecné odporúčania, ktoré nemožno dodržať, “ napísal VandenBrink.

Ak chcete získať viac informácií od spoločnosti Fahmida, sledujte ju na Twitteri @zdFYRashid.