Dilettantizmus ellen nincs orvosság

forrás: Prím Online, 2016. február 11. 12:53

Egy magányos hekker az amerikai Nemzetbiztonsági Minisztérium (Department of Home Security) kilencezer alkalmazottjának adatait szerezte meg a Super Bowl alatt, miután meghekkelt egy e-mail fiókot, aztán új felhasználóként kért és kapott hozzáférést a rendszerhez. „A világ legjobb eszközei sem védenek meg, ha az alkalmazottak dilettánsak” – mondja Sallai György, a KPMG információbiztonsági szakértője.

Kilencezer nemzetbiztonsági alkalmazott nevét, telefonszámát és más személyes adatát töltötte fel a netre egy amerikai hekker, miután a Super Bowl ideje alatt a social engeneering legegyszerűbb módszerével szerzett hozzáférést a drága szoftver- és hardvereszközökkel védett amerikai hivatalok rendszereihez. A hekker azt állítja, további 20 ezer FBI-alkalmazott adatait is megszerezte, és azokat is hamarosan közzéteszi. Erről szóló posztjában az is szerepel, hogy 200 gigabájtnyi nemzetbiztonsági adatot töltött le, pedig az akció alatt 1 terabájthoz volt hozzáférése. 

 

A hekker előbb feltört egy e-mail fiókot, azután betelefonált a hivatalba azzal, hogy új felhasználóként elakadt és nem tud továbblépni a rendszerben. A megkeresett alkalmazott ekkor megkérdezte, van-e kódja, a nemleges választ követően pedig megadta a sajátját. A hekker ezután belépett a rendszerbe, és a már meghekkelt e-mail fiókon keresztül hozzáférést szerzett egy hálózatra kötött működő géphez, ahonnan belépett az intranetre.

 

„Ez egészen egyszerűen hihetetlen, ám a jelek szerint mégis igaz – mondja Sallai György, a KPMG információbiztonsági tanácsadásért felelős igazgatója, majd így fogalmaz: – A világ legdrágább védelmi rendszere sem sebezhetetlen, ha az alkalmazottak egyszerűen dilettánsak. Nagyon kíváncsi lennék, hogy az illető megadta volna-e a saját bankjától a tokenjére érkező jelszót, ha valaki felhívja. Talán igen, de nagyobb a valószínűsége annak, hogy nem: ez pedig kiválóan mutatja, hogy alkalmazottként milyen felelőtlenek tudnak lenni az emberek.” 

 

 

Sallai szerint minden informatikai rendszer annyit ér, amennyit a hozzá kapcsolódó szabályzatból az emberek betartanak. Ehhez folyamatos képzés és az egész intézményrendszer minden szintjét átható fenyegetettségtudat szükséges. A szakértő arra figyelmeztet, hogy a social engeneering módszerekkel szemben a legjobb szoftveres és hardveres védelem is kevés, sőt minél drágább és ismertebb a védelmi rendszer, annál könnyelműbbé teheti az alkalmazottakat. „Ráadásul olyan ez, mint a kiemelt személyek biztonsági védelme vagy a tűzriadók: ha nem tesztelik olykor a működésüket, egy idő után sokkal támadhatóbb lesz a célszemély, vagy nagyobb az emberveszteség” – teszi hozzá  a szakértő. 

 

Sallai György szerint az információbiztonság érdekében a különböző hardveres és szoftveres megoldások mellett öt további intézkedés megkerülhetetlen:

 

1. A fenyegetettségek hierarchikus kezelése

Nem elegendő, ha az IT-szakemberek technikai eszközökkel harcolnak a rendszer sérülékenységei ellen. Egy biztonsági szabály figyelmen kívül hagyása, egy olcsó beszállító bevonása vagy egy belső ellenőrzési jelentés alulértékelése mind gyors üzleti eredménnyel kecsegteti az adott szintű vezetőt, aki éppen ezért nem maradhat ki a kockázatkezelés látóköréből. A szervezeti hierarchia helyes megválasztása fontos szempont, éppen úgy, mint az, hogy a védelmi intézkedések áthassák a szervezetet egészét.

 

2. Munkavállalók képzése

Az adatvesztések második leggyakoribb oka humán kockázatra vezethető vissza. Ezeket akár egy olyan költségkímélő biztonsági tréninggel is meg lehet akadályozni, amelyik nyomatékosan felhívja a dolgozók figyelmét a „Password1234” jelszó használatának veszélyeire vagy a post-it cédulákra írt jelszavak kockázatára. Ha a szervezet nem látja az előtte álló kockázatok erdejét, social engineering vizsgálattal feltárhatja a neuralgikus pontokat.

 

 

3. Beszállítók monitorozása

A tapasztalatok azt mutatják, hogy az egyik legnagyobb biztonsági kockázat olyan harmadik személy – azaz a legtöbb esetben valamelyik beszállító –, amellyel számítógépen kommunikálunk. Az üzleti racionalitás érdekében beszállítók egész sora fér hozzá felhasználói vagy üzletileg érzékeny adatokhoz. Éppen ezért vizsgálni kell, hogy a beszállítók milyen rendszereket, adatokat és munkafolyamatokat érnek el, és az adott hozzáférés valóban szükséges-e a munkavégzéshez. 

 

4. Biztonsági szabályok alkalmazása 

Itt lényegesen többről van szó, mint a szabályok kialakításáról. A gyakorlati alkalmazáson, betartatáson van a hangsúly, mert minden szabály annyit ér, amennyire komolyan veszik. A legkisebb változtatás kockázatait is mérlegelni kell, és a szabályok alkalmazását minden esetben kockázatarányos módon kell kikényszeríteni.

 

5. Sérülékenységek rendszeres ellenőrzése

A rendszeres ellenőrzés a leghatékonyabb módja a külső támadások megakadályozásának. Nem elég azonban egy rendszer gyenge pontjait a bevezetés pillanatában vizsgálni, sőt még az éves felülvizsgálat is kevésnek bizonyulhat, ha a struktúrákban sűrűn történik változás. A vizsgálatok tervezésénél fontos szempont a proaktivitás. Minden változás alkalmával érdemes a vele járó kockázatokat előre számba venni, és felkészülni a kezelésükre. A sérülékenységek túlnyomó többsége már a tervezési-fejlesztési szakaszban látszik. Helyes szabályok, rutinok és kockázatelemzés alkalmazásával még a rendszer elkészülte előtt láthatóvá válnak a gyenge pontok.

 

E-világ ROVAT TOVÁBBI HÍREI

Fényes jövő vár idén az adatközponti szektorra

Saját átalakulási folyamaton megy keresztül az adatközpontok piaca, amely magába foglalja a legmodernebb technológiák használatát a műveletek és az erőforrások elosztásának optimalizálása, valamint a biztonsági protokollok javítása érdekében. 

2024. március 28. 19:05

A Philips Monitors E1 terméksorozat három új, többcélú modellel bővül

A Philips Monitors E1 sorozata ebben a hónapban három új modellel bővül. Az irodai felhasználók és távmunkában dolgozók számára szükséges összes alapvető funkcióval ellátott új modellek segítenek a felhasználóknak a kapcsolattartásban és növelik a termelékenységüket, mindezt versenyképes áron. 

2024. március 28. 13:27

Országszerte elérhetővé válik a Netrevalók program

A Netrevalók program sikeres tavalyi indulása után idén az Informatikai és Könyvtári Szövetséggel kötött megállapodással országos szintűvé válik a kezdeményezés, és 27 fővárosi könyvtár mellett 48 vidéki intézmény is csatlakozik a programhoz. Így összesen már 45 településen lesz elérhető a generációk digitális edukálását célzó program. A digitális infrastruktúra fejlesztése érdekében a Magyar Telekom a Fővárosi Szabó Ervin Könyvtár és az Informatikai és Könyvtári Szövetség részére 100- 100 darab monitort adományoz a programban résztvevő könyvtárak számára.

2024. március 28. 11:50

Tabudöntögető témákat feszegetnek a diákok a Megoldások a holnapért programban

Kiválasztották a Samsung és az EdisonKids által meghirdetett Megoldások a holnapért kihívás legjobb 50 diákcsapatát. A fenntarthatóság, a jövő oktatása és a közösség hívószavára összesen 120 jövőformáló és kreatív pályázat érkezett az ország számos pontjáról. A továbbjutók új készségekkel és ismeretekkel gazdagodhatnak a Megoldások a holnapért speciális tanulási platformján, hogy újszerű megoldást dolgozhassanak ki az általuk felvetett problémára. Az oktatási anyagok összeállításában, a diákok tervezői gondolkodásának elmélyítésében idén ismét kulcspartner a Cellux Csoport. A csapatokat támogató tanárok mentorálásában a Hősök Tere Alapítvány ad szakmai segítséget.

2024. március 28. 10:01

Kövess minket a Facebookon!

Cikkgyűjtő

További fontos híreink

Megvannak az IAB 2023-as Legjobb szakdolgozat pályázatának nyertesei

2024. március 25. 15:50

A 2024-es év fordulópont lehet az IT munkaerőpiacon?

2024. március 20. 10:09

Nők az informatikában – Számít a nemek aránya a munkahelyen?

2024. március 12. 20:53

Szemünk előtt zajlik az e-kereskedelem mohácsi csatája

2024. március 6. 13:05