Az esetek 52 százalékában a humánfaktoron bukik az IT-rendszerek biztonsága

forrás: Prím Online, 2016. március 1. 10:11

Az ISACA friss felmérése szerint az információtechnológiai rendszereket ért támadások 52 százaléka nem a technikát, hanem a felhasználót veszi célba – Az eredményesség tekintetében a social engineering alapú támadás ma már a leghatékonyabb módszer az IT-rendszerek kompromittálására.

Az Information Systems Audit and Control Association (ISACA) 2016 januárjában végzett, mintegy 3000 IT-biztonsági szakértő bevonásával készített felmérése alapján a megkérdezettek 52 százaléka szerint jelenleg a legnagyobb veszélyt a rendszerek biztonságára a felhasználót támadó social engineering módszer jelenti, amelynek hatékonyságát bizonyítja, hogy ezzel a módszerrel sikerült az elmúlt hetekben hackereknek megszerezni az amerikai nemzetbiztonsági szolgálat 9000, illetve az FBI 22 ezer alkalmazottjának elérhetőségi adatait. Jó hírt jelent a szervezeteknek, hogy megfelelő belső szabályozással és a munkatársak oktatásával a social engineering megközelítésre épülő támadások jelentős része kivédhető.

 

A social engineering lényege, hogy a hackerek különböző módszerekkel a felhasználótól olyan információkat – jellemzően jelszavak, regisztrációs-bejelentkezési adatok – csalnak ki, illetve szereznek hozzáférést az információtechnológiai rendszerekhez, amelyek mentén képesek lesznek a technika direkt támadása nélkül eljutni a kívánt adatokhoz, azokat megszerezni, illetve módosítani.

 

Habár sok nagyvállalati biztonsági szakértő és vezető számára evidenicának tűnik, hogy a munkatársak védik a vállalati rendszerek jelszavait, ez meglehetősen csalóka biztonságérzetet kelt. „Az egyik információtechnológiai biztonsággal foglalkozó vállalat csokoládét kínált fel egy elismert pénzügyi negyedben dolgozóknak a céges informatikai rendszerbe való belépési jelszavukért cserébe. Szinte hihetetlen, de a megkérdezettek 70 százaléka kiadta a céges jelszavát egy szelet édességért” – hívja fel a figyelmet a social engineering sikerességére Lengyel Csaba, a Hunguard Kft. szakmai igazgatója. Szerinte sokan úgy gondolják, hogy csak a jelszó kevés ahhoz, hogy feltörjék felhasználói fiókjukat, azt azonban senki nem tudhatja, hogy a támadó milyen információk és adatok birtokába jutott korábban.

 

A social engineer technikával próbálkozó hackerek célja a lehető legtávolabb maradni az IT-rendszerektől, nem a technikát, hanem az információkhoz és adatbázisokhoz hozzáférő munkavállalót célozza meg. A célszemélyek gyakran olyan alkalmazottak, akik nem feltétlenül ismerik az információk értékét; például külsős munkatársak, gyártók, beszállítók, kiszolgáló területeken dolgozó munkatársak. „Ez esetben a probléma igazi forrása az, hogy a támadónak kezdetben elég egy alacsony szintű hozzáférés, amivel később bővíteni tudja saját felhasználói jogait, ami pedig még fontosabb, hogy akár hónapokon keresztül lophat vagy változtathat meg adatokat” – mutat rá Lengyel Csaba.

 

 

A Hunguard Kft. munkatársának szakmai tapasztalata szerint a vállalati információk megszerzésének egy másik módja az alkalmazottak nem megfelelő jelszó-választási szokásainak kihasználásából ered. Jellemzően mindössze a felhasználók negyede használ valamilyen, a legbiztonságosabbnak számító, különleges karaktereket is tartalmazó jelszavakat. Egy csak számokból álló jelszó feltöréséhez, egy gyakorlott hackernek alig öt percre van szüksége, a csak betűkből álló jelszavak 5-6 nap alatt megfejthetőek, a betűk és számok kombinációjából álló jelszó kitalálása viszont már hónapokba telhet. A legjobb megoldás, ha számokat, kis- és nagybetűket, valamint speciális karaktereket is tartalmaz a jelszó; ugyanis ezek feltörési ideje akár száz években is mérhető. 

 

Nem csak a kiadott jelszó, de a lezáratlan számítógépek is kockázatot rejtenek: nagy szervezetek esetében meglepően sikeres módszer az úgynevezett „piggybacking” technika, ahol a hackerek magukat munkatársnak, esetleg karbantartónak vagy takarítónak kiadva jutnak be a vállalat irodáiba. „Ez is egyfajta social engineering. A helyszínen már ellenőrzés nélkül, szabadon hozzáférhetnek a magukra hagyott, nem lezárt terminálokhoz, laptopokhoz. Ilyenkor a legnagyobb károkat nem a gépek és adathordozók ellopása okozza, hanem az azokon tárolt adatok és információk eltulajdonítása, megváltoztatása.” – teszi hozzá a szakmai igazgató.

 

Fontos, hogy a vállalatok tisztában legyenek azokkal a technikákkal, amelyekkel elkerülhetik, hogy a social engineering áldozataivá váljanak. Amíg a kifejezetten a technikát célzó kibertámadások ellen a biztonságot nyújtó eszközök, programok, valamint ezek megfelelő beállításával védekezni lehet, a felhasználót célzó támadásokat csak maguk a felhasználók tudják sikertelenné tenni. „Ehhez fontos a munkatársak edukálása, megismertetése a veszélyforrásokkal, a megfelelő belső eljárásrendek és szabályzatok megalkotása és betarttatása. A kockázatokat csak így lehet a minimálisra csökkenteni” – hangsúlyozza Lengyel Csaba.

 

 

Színes ROVAT TOVÁBBI HÍREI

Így óvja a szemét, ha sokat ül kijelző előtt

Tudta, hogy a nyugati emberek naponta átlagosan 6 órát töltenek különböző képernyők előtt? Ha belegondol, egy kicsit furcsa is, hogy a telefonunk kijelzőjére védőfóliát teszünk, a laptop kijelzőjét folyamatosan törölgetjük, portalanítjuk, szóval óvjuk az eszközeinket, miközben a szemünk védelmére nem is gondolunk. Íme pár tipp, ami segíthet megtartani a szeme egészségét, ha sok időt tölt kijelző előtt.

2022. június 13. 17:17

Esztétikus magas teljesítményű asztali számítógép - igenis létezik!

Ebben a cikkben azt szeretnénk hangsúlyozni, hogy igenis reális elképzelésnek számíthat egy olyan asztali számítógép beszerzése, amelyik nemcsak teljesítményben, hanem az esztétikumot tekintve is elsőrendű vételnek számít. Következzenek tehát a részletek!

2022. február 15. 18:06

Hogyan ne válj a hackerek áldozatává másodpercek alatt?

Elképzelhetetlen ma már az élet internet nélkül. Munkához, tanuláshoz, de sokan még a heti bevásárlást is a világhálóra fellépve oldják meg.

2022. január 31. 09:19

Mit kell tudni az okosotthonokban megtalálható szenzorokról és érzékelőkről?

Amikor egy okosotthon kialakítása mellett döntünk, érdemes végiggondolni annak koncepcióját. Mindezt annak érdekében, hogy élhessünk az okosotthon egyik legnagyobb előnyével, a bővíthetőséggel.

2022. január 25. 09:45

6 tipp, hogy ne kelljen idő előtt cserélni a mobiltelefon akkumulátorát

A mobiltelefon akkumulátora egy olyan alkatrész, amin a legtöbbet tudnak aggódni az emberek. Amint kézbe veszik az újonnan vásárolt készüléküket, sokan máris azon kezdenek el agyalni, hogy vajon meddig bírja majd az akksija? 

2021. december 17. 11:12

Kövess minket a Facebookon!

Cikkgyűjtő

További fontos híreink

Új vezető a Microsoft Magyarország élén

2022. július 1. 11:16

A hatás mechanizmusát keresik az IVSZ MENTA 2022 előadói

2022. június 30. 12:40

Az ESET új, hálózati szintű megoldást kínál a távközlési és internetszolgáltatók számára

2022. június 23. 11:24

A raktár nélküli webshopoké a jövő

2022. június 19. 13:24