Az esetek 52 százalékában a humánfaktoron bukik az IT-rendszerek biztonsága

forrás: Prím Online, 2016. március 1. 10:11

Az ISACA friss felmérése szerint az információtechnológiai rendszereket ért támadások 52 százaléka nem a technikát, hanem a felhasználót veszi célba – Az eredményesség tekintetében a social engineering alapú támadás ma már a leghatékonyabb módszer az IT-rendszerek kompromittálására.

Az Information Systems Audit and Control Association (ISACA) 2016 januárjában végzett, mintegy 3000 IT-biztonsági szakértő bevonásával készített felmérése alapján a megkérdezettek 52 százaléka szerint jelenleg a legnagyobb veszélyt a rendszerek biztonságára a felhasználót támadó social engineering módszer jelenti, amelynek hatékonyságát bizonyítja, hogy ezzel a módszerrel sikerült az elmúlt hetekben hackereknek megszerezni az amerikai nemzetbiztonsági szolgálat 9000, illetve az FBI 22 ezer alkalmazottjának elérhetőségi adatait. Jó hírt jelent a szervezeteknek, hogy megfelelő belső szabályozással és a munkatársak oktatásával a social engineering megközelítésre épülő támadások jelentős része kivédhető.

 

A social engineering lényege, hogy a hackerek különböző módszerekkel a felhasználótól olyan információkat – jellemzően jelszavak, regisztrációs-bejelentkezési adatok – csalnak ki, illetve szereznek hozzáférést az információtechnológiai rendszerekhez, amelyek mentén képesek lesznek a technika direkt támadása nélkül eljutni a kívánt adatokhoz, azokat megszerezni, illetve módosítani.

 

Habár sok nagyvállalati biztonsági szakértő és vezető számára evidenicának tűnik, hogy a munkatársak védik a vállalati rendszerek jelszavait, ez meglehetősen csalóka biztonságérzetet kelt. „Az egyik információtechnológiai biztonsággal foglalkozó vállalat csokoládét kínált fel egy elismert pénzügyi negyedben dolgozóknak a céges informatikai rendszerbe való belépési jelszavukért cserébe. Szinte hihetetlen, de a megkérdezettek 70 százaléka kiadta a céges jelszavát egy szelet édességért” – hívja fel a figyelmet a social engineering sikerességére Lengyel Csaba, a Hunguard Kft. szakmai igazgatója. Szerinte sokan úgy gondolják, hogy csak a jelszó kevés ahhoz, hogy feltörjék felhasználói fiókjukat, azt azonban senki nem tudhatja, hogy a támadó milyen információk és adatok birtokába jutott korábban.

 

A social engineer technikával próbálkozó hackerek célja a lehető legtávolabb maradni az IT-rendszerektől, nem a technikát, hanem az információkhoz és adatbázisokhoz hozzáférő munkavállalót célozza meg. A célszemélyek gyakran olyan alkalmazottak, akik nem feltétlenül ismerik az információk értékét; például külsős munkatársak, gyártók, beszállítók, kiszolgáló területeken dolgozó munkatársak. „Ez esetben a probléma igazi forrása az, hogy a támadónak kezdetben elég egy alacsony szintű hozzáférés, amivel később bővíteni tudja saját felhasználói jogait, ami pedig még fontosabb, hogy akár hónapokon keresztül lophat vagy változtathat meg adatokat” – mutat rá Lengyel Csaba.

 

 

A Hunguard Kft. munkatársának szakmai tapasztalata szerint a vállalati információk megszerzésének egy másik módja az alkalmazottak nem megfelelő jelszó-választási szokásainak kihasználásából ered. Jellemzően mindössze a felhasználók negyede használ valamilyen, a legbiztonságosabbnak számító, különleges karaktereket is tartalmazó jelszavakat. Egy csak számokból álló jelszó feltöréséhez, egy gyakorlott hackernek alig öt percre van szüksége, a csak betűkből álló jelszavak 5-6 nap alatt megfejthetőek, a betűk és számok kombinációjából álló jelszó kitalálása viszont már hónapokba telhet. A legjobb megoldás, ha számokat, kis- és nagybetűket, valamint speciális karaktereket is tartalmaz a jelszó; ugyanis ezek feltörési ideje akár száz években is mérhető. 

 

Nem csak a kiadott jelszó, de a lezáratlan számítógépek is kockázatot rejtenek: nagy szervezetek esetében meglepően sikeres módszer az úgynevezett „piggybacking” technika, ahol a hackerek magukat munkatársnak, esetleg karbantartónak vagy takarítónak kiadva jutnak be a vállalat irodáiba. „Ez is egyfajta social engineering. A helyszínen már ellenőrzés nélkül, szabadon hozzáférhetnek a magukra hagyott, nem lezárt terminálokhoz, laptopokhoz. Ilyenkor a legnagyobb károkat nem a gépek és adathordozók ellopása okozza, hanem az azokon tárolt adatok és információk eltulajdonítása, megváltoztatása.” – teszi hozzá a szakmai igazgató.

 

Fontos, hogy a vállalatok tisztában legyenek azokkal a technikákkal, amelyekkel elkerülhetik, hogy a social engineering áldozataivá váljanak. Amíg a kifejezetten a technikát célzó kibertámadások ellen a biztonságot nyújtó eszközök, programok, valamint ezek megfelelő beállításával védekezni lehet, a felhasználót célzó támadásokat csak maguk a felhasználók tudják sikertelenné tenni. „Ehhez fontos a munkatársak edukálása, megismertetése a veszélyforrásokkal, a megfelelő belső eljárásrendek és szabályzatok megalkotása és betarttatása. A kockázatokat csak így lehet a minimálisra csökkenteni” – hangsúlyozza Lengyel Csaba.

 

 

Színes ROVAT TOVÁBBI HÍREI

Jótékonysági akciók a STRAND Fesztiválon

Augusztus 20-24. között több száz programot vonultat fel Zamárdiban az idei STRAND Fesztivál. A szervező VOLT Produkció fontosnak tartja a közönség érzékenyítését, ennek érdekében az idei évben két ügyet is a zászlajukra tűztek: a hazai- és világsztárok bevonásával segítik a rászoruló gyerekek iskolakezdését, illetve a tanári pálya megbecsülése érdekében a MédiaUnióval közös kampányt is szerveznek. Az idei STRAND Fesztiválra százezernél is több vendéget várnak.

2019. augusztus 19. 11:57

Új vígjáték sorozat indul az HBO GO-n

A Danny McBride, John Goodman, Edi Patterson és Adam Devine főszereplésével készült Az erényes Gemston-ék című sorozat kilencrészes évadja augusztus 19-én indul az HBO GO-n és az HBO-n egy egyórás epizóddal, melyet aztán hetente újabb félórás epizód követ.

2019. augusztus 18. 12:23

A nők sokkal kritikusabbak a másik kinézetét illetően

Több ezren próbálkoztak már bejutni a Szépvagy.hu társkereső oldalra annak júliusi indulása óta, de ez egyelőre csak keveseknek sikerült. Az említett oldal egy zárt társkereső szolgáltatás, ahová csak az kerülhet be, akit a már bent lévők beszavaznak. Mivel a szavazás a feltöltött fotó alapján történik, így az első benyomás, a szimpátia, a másik kinézete fog dönteni arról, hogy a többiek beengedik-e az oldalra.

2019. augusztus 18. 10:01

Fesztivál maratonnal vár a hosszúhétvégén a PLÁZS

A PLÁZS augusztus 16. és 20. között egy fesztiválnak is beillő programsorozattal várja a felüdülésre vágyókat. A nappali balatoni és medence parti lazulást éjszaka feneketlen bulizás váltja, az öt nap alatt itt is hőhullámként csap le a Balatoni Retro Láz, Fritz Kalkbrennerrel jön a Gold Beach Electric Fest, a We Love Balaton pedig Don Diabloval erősít.

2019. augusztus 16. 08:57

Majka duplázik a PLÁZSon augusztus 10-én!

Nincs is jobb hely most a kánikula ellen, mint a Balaton partja. Pláne, ha a pancsolás és hűsölés mellett éjszaka belevethetjük magunkat az önfeledt szórakozásba. A siófoki PLÁZSon természetesen ezen a hétvégén sem lesz hiány buliból: pénteken PoolParty, Bailando - Latin Nights és Metzker Viki várnak, míg szombaton Majka tér vissza a nyáron másodjára egy masszív koncerttel a Hősök társaságában.

2019. augusztus 9. 15:03

Kövess minket a Facebookon!

Cikkgyűjtő

További fontos híreink

Mit mér és mire panaszkodik a magyar netező?

2019. augusztus 19. 09:35

A Magyar Telekom 2019. második negyedéves eredményei

2019. augusztus 8. 11:32

Új tulajdonosa van a UPC-nek

2019. augusztus 1. 12:20

A Bosch és a Daimler megvalósítja a vezető nélküli, automatizált parkolást

2019. július 31. 16:53
online sportfogadás