Krebs: väčšina firiem neprijíma jednoduché opatrenia týkajúce sa kybernetickej bezpečnosti

Známy výskumný pracovník v oblasti bezpečnosti Brian Krebs predniesol fascinujúci, ale strašidelný prejav o súčasnom stave počítačovej kriminality, v prezentácii včera pred otvorením sympózia Gartnera v Orlande.

Autor Krebsovej na webe Security a knihy Spam Nation v rozhovore so skupinou CIO a inými vedúcimi pracovníkmi v oblasti IT povedal, že medzi vnímaním a realitou počítačovej kriminality existuje veľká „medzera v PR“. „Svetlo na konci tunela nie je cestou von, “ povedal. "Je to prichádzajúci vlak."

Konkrétne uviedol, že zlodeji odviedli lepšiu prácu pri zdieľaní informácií ako vedúci pracovníci; dokonca aj staršie verzie správ, ako napríklad správa o vyšetrovaní porušenia údajov spoločnosti Verizon, často dokážu vysvetliť, ako boli systémy porušené, a informácie, ktoré zostávajú relevantné. V mnohých nedávnych hackoch povedal, že jednoduché prečítanie bezpečnostných denníkov by spoločnosti upozornilo, že majú problém.

Krebs trávil väčšinu času rozprávaním o útokoch na informácie o kreditných kartách, väčšinou sa sústredil na malware zameraný na systémy predaja (POS). Hovoril o tom, ako zbabelci za posledné dva roky nielen zlepšili svoje útoky na takéto systémy, ale urobili podzemné trhy pre nákup a predaj informácií o kreditných kartách sofistikovanejšími a „priateľskejšími k zákazníkom“.

V mnohých prípadoch sa pouličné gangy obracajú na podvody s kreditnými kartami ako rýchly spôsob premeny investície 10 až 20 dolárov na 800 až 1 000 dolárov. Povedal, že je nielen výnosný, ale je vo svojej podstate menej nebezpečný a riskantnejší ako obchodovanie s drogami a je často považovaný za zločin bez obetí, pretože majitelia účtu zvyčajne nie sú zodpovední za obvinenia.

Krebs zaznamenal problémy, ako napríklad počet POS systémov s webovými prehliadačmi a ako sa jedná o veľmi častý vektor útoku. Uviedol, že prechod na kreditné karty typu „čip a pin“ nevedie k vyriešeniu problému. Cituje, ako tento prechod v iných krajinách vedie k nárastu podvodov v elektronickom obchode, podvodov s novými účtami a prevzatia účtov.

Veľa z toho sa týka identity a súkromia a poznamenal, že v súčasnosti je k dispozícii veľa nemenných osobných údajov ľudí (napríklad adresy a čísla sociálneho zabezpečenia). Povedal, že pokiaľ ide o počítačové systémy, môžu byť bezpečné, rýchle alebo ľahko použiteľné: vyberte dva. Väčšina ľudí sa rozhodla nesústrediť sa na bezpečnosť. Výsledkom je, že na webe je veľa miest, kde sa nachádzajú osobné informácie o ľuďoch, a vyzval vládu, aby prijala prísnejšie pravidlá ochrany osobných údajov, aké sa používajú vo väčšine iných krajín.

Nakoniec Krebs uviedol päť oblastí, v ktorých si myslel, že spoločnosti by mohli urobiť najväčší pokrok v boji proti počítačovej kriminalite. Je veľkým veriacim v segmentácii sietí a tvrdí, že bezpečnosť vo väčšine spoločností je ako kandizovaný bar: „zvonku tvrdý a chrumkavý, z vnútornej strany mäkký a bledý“.

Namiesto toho navrhol sprístupniť najcitlivejšie časti vašej siete iba tým v rámci organizácie, ktorí majú osobitnú potrebu. Spoločnosti by mali zriadiť špecializovaný tím pre reakciu na incidenty, prehodnotiť správy o ďalších porušeniach, aby zistili, aké skúsenosti sa môžu poučiť, robiť opakované cvičenia o tom, čo robiť v prípade porušenia, a zapojiť svojich partnerov do bezpečnostného plánovania.

Je to dobrá rada, ale veci, ktoré sa často prehliadajú v každodennom tlaku na nové projekty v oblasti IT. Vyváženie týchto priorít je kľúčovou otázkou pre mnohých vedúcich pracovníkov v oblasti informačných technológií, s ktorými som na konferencii hovoril.