สารบัญ:
วีดีโอ: Faith Evans feat. Stevie J – "A Minute" [Official Music Video] (ธันวาคม 2024)
ปี 2559 ไม่ใช่ปีที่ยอดเยี่ยมสำหรับการรักษาความปลอดภัยอย่างน้อยก็ในกรณีที่มีการละเมิดช่องโหว่แฮ็คและการรั่วไหลของข้อมูล ในปีนี้ยังมีรายการซักรีดของ บริษัท ชื่อดังองค์กรและเว็บไซต์ที่ได้รับผลกระทบจากการโจมตีแบบปฏิเสธการให้บริการ (DDoS) แคชข้อมูลขนาดใหญ่ของลูกค้าและรหัสผ่านที่ส่งผลกระทบต่อตลาดมืดเพื่อขายให้กับผู้ประมูลสูงสุดและทั้งหมด ลักษณะของมัลแวร์และการบุกรุก ransomware
มีหลายสิ่งที่ธุรกิจสามารถทำได้เพื่อลดความเสี่ยงเหล่านี้ แน่นอนว่าคุณสามารถลงทุนในโซลูชันรักษาความปลอดภัยจุดปลายได้ แต่สิ่งสำคัญคือต้องปฏิบัติตามแนวทางปฏิบัติด้านความปลอดภัยข้อมูลที่ดีที่สุดและใช้ประโยชน์จากกรอบความปลอดภัยและทรัพยากรที่มีอยู่
อย่างไรก็ตาม 2016 เห็น LinkedIn, Yahoo, คณะกรรมการประชาธิปไตยแห่งชาติ (DNC) และ Internal Revenue Service (IRS) ผลักดันให้โดดเด่นหลังจากการโจมตีและการทำลายล้างอย่างรุนแรง เราได้พูดคุยกับ Morey Haber รองประธานฝ่ายเทคโนโลยีของช่องโหว่และผู้ให้บริการการจัดการข้อมูลส่วนบุคคล BeyondTrust เกี่ยวกับสิ่งที่ บริษัท พิจารณาห้าแฮ็คที่เลวร้ายที่สุดของปีและธุรกิจบทเรียนที่สำคัญสามารถเรียนรู้จากแต่ละ
1. Yahoo
ยักษ์ใหญ่อินเทอร์เน็ตที่ล่มสลายนั้นมีปีการรักษาความปลอดภัยที่ไม่ดีในอดีตเพื่อเสริมความแข็งแกร่งทางการเงินของพวกเขาคว้าความพ่ายแพ้จากเงื้อมมือแห่งชัยชนะหลังจากที่มีการเปิดเผยข้อมูลการละเมิดข้อมูลจำนวนมากและข้อมูลลูกค้ารั่วไหลออกจาก Verizon ฮาเบอร์กล่าวว่าการละเมิด Yahoo สามารถสอนธุรกิจให้บทเรียนที่มีค่าสามบทเรียน:
- เชื่อถือทีมรักษาความปลอดภัยของคุณและอย่าแยกพวกเขา
- อย่าใส่รัตนากรมงกุฎทั้งหมดของคุณในฐานข้อมูลเดียว
- ปฏิบัติตามกฎหมายและจรรยาบรรณสำหรับการเปิดเผยการละเมิดที่เหมาะสม
“ นี่เป็นครั้งแรกที่ บริษัท ยักษ์ใหญ่ขายถูกทำซ้ำสองครั้งในหนึ่งปีและถือกรรมสิทธิ์ในการละเมิดที่ใหญ่ที่สุดเท่าที่เคยมีมาสำหรับ บริษัท เดียว” ฮาเบอร์กล่าว "สิ่งที่ทำให้สิ่งนี้น่าสนใจยิ่งขึ้นเนื่องจากการละเมิดที่เลวร้ายที่สุดของปี 2559 คือการละเมิดเกิดขึ้นเมื่อสามปีก่อนที่จะมีการเปิดเผยต่อสาธารณชนและการละเมิดครั้งที่สองถูกค้นพบเนื่องจากการพิสูจน์หลักฐานของการละเมิดครั้งแรก บริษัท เกี่ยวกับวิธีที่จะไม่จัดการแนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดในธุรกิจของคุณ "
2. คณะกรรมการแห่งชาติประชาธิปไตย
ในการละเมิดความปลอดภัยที่น่าอับอายที่สุดของฤดูกาลเลือกตั้งคณะกรรมการประชาธิปไตยแห่งชาติ (DNC) ถูกแฮกมากกว่าหนึ่งครั้งส่งผลให้อีเมลจากเจ้าหน้าที่ (รวมถึงเก้าอี้ DNC เด๊บบี้ Wasserman Schultz และผู้จัดการแคมเปญจอห์น Podesta คลินตัน) รั่วไหลผ่าน WikiLeaks ในกรณีที่เจ้าหน้าที่สหรัฐฯได้ติดตามกลับไปที่รัฐบาลรัสเซียฮาเบอร์ชี้ไปที่แนวทางและคำแนะนำจากสำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) กระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) และสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ว่า สามารถลดช่องโหว่ความปลอดภัยของ DNC ได้:
- แนวทางสำหรับการใช้สิทธิ์การประเมินช่องโหว่การแพตช์และการทดสอบปากกามีอยู่ในกรอบงานที่กำหนดเช่น NIST 800-53v4
- หน่วยงานจำเป็นต้องทำงานที่ดีขึ้นในการใช้กรอบงานที่กำหนดไว้ (เช่น NIST Cybersecurity Framework) และการวัดความสำเร็จ
“ FBI และ DHS ได้เผยแพร่เอกสารที่ระบุว่าภัยคุกคามขั้นสูงแบบต่อเนื่องสองรูปแบบใช้ฟิชชิงหอกและมัลแวร์เพื่อแทรกซึมเข้าไปในระบบการเมืองของสหรัฐอเมริกาและดำเนินการลับๆเพื่อแก้ไขกระบวนการเลือกตั้งสหรัฐ” ฮาเบอร์กล่าว "ความผิดนั้นมุ่งเป้าไปที่การโจมตีระดับชาติอย่างเต็มที่และแนะนำขั้นตอนต่าง ๆ ที่รัฐบาลและหน่วยงานทางการเมืองควรดำเนินการเพื่อหยุดยั้งการบุกรุกประเภทนี้ปัญหาคือคำแนะนำเหล่านี้ไม่มีอะไรใหม่และเป็นพื้นฐานสำหรับแนวทางความมั่นคงที่จัดตั้งขึ้นแล้ว NIST."
3. มิไร
ปี 2559 เป็นปีที่เราได้เห็นความสำคัญของการโจมตีทางไซเบอร์ที่บอตเน็ตระดับโลกมีความสามารถ อุปกรณ์ Internet of Things (IoT) ที่ไม่ปลอดภัยหลายล้านตัวถูกกวาดเข้าไปในบ็อตเน็ตของ Mirai และใช้ในการโอเวอร์โหลดอย่างมากกับผู้ให้บริการระบบชื่อโดเมน (DNS) ของ Dyn ด้วยการโจมตี DDoS การโจมตีดังกล่าวทำให้ Etsy, GitHub, Netflix, Shopify, SoundCloud, Spotify, Twitter และเว็บไซต์สำคัญอื่น ๆ ฮาเบอร์ชี้ไปที่บทเรียนการรักษาความปลอดภัยของ loT ที่เรียบง่ายสี่ข้อที่ธุรกิจสามารถรับได้จากเหตุการณ์:
- อุปกรณ์ที่ไม่สามารถมีซอฟต์แวร์รหัสผ่านหรืออัปเดตเฟิร์มแวร์ไม่ควรนำมาใช้
- ขอแนะนำให้เปลี่ยนชื่อผู้ใช้และรหัสผ่านเริ่มต้นสำหรับการติดตั้งอุปกรณ์ใด ๆ บนอินเทอร์เน็ต
- รหัสผ่านสำหรับอุปกรณ์ IoT ควรไม่ซ้ำกันสำหรับแต่ละอุปกรณ์โดยเฉพาะเมื่อเชื่อมต่อกับอินเทอร์เน็ต
- แก้ไขอุปกรณ์ IoT ด้วยซอฟต์แวร์และเฟิร์มแวร์ล่าสุดเสมอเพื่อลดช่องโหว่
“ อินเทอร์เน็ตของสิ่งต่าง ๆ ได้เข้ายึดครองเครือข่ายภายในบ้านและองค์กรของเราอย่างแท้จริง” ฮาเบอร์กล่าว "ด้วยการเปิดตัวซอร์สโค้ดมัลแวร์ Mirai สาธารณะผู้โจมตีสร้างบ็อตเน็ตซึ่งรหัสผ่านเริ่มต้นและช่องโหว่ที่ไม่สามารถหาช่องโหว่เพื่อสร้างบอตเน็ตทั่วโลกที่มีความซับซ้อนซึ่งสามารถก่อให้เกิดการโจมตี DDoS ขนาดใหญ่ได้ ผ่าน DDoS เทียบกับบริการ DNS ของ Dyn ให้กับโทรคมนาคมในฝรั่งเศสและธนาคารในรัสเซีย "
4. LinkedIn
การเปลี่ยนรหัสผ่านของคุณบ่อยครั้งเป็นแนวคิดที่ชาญฉลาดและเหมาะสำหรับธุรกิจและบัญชีส่วนตัวของคุณ LinkedIn เป็นเหยื่อของการแฮ็คที่สำคัญในปี 2555 ที่รั่วไหลออกสู่สาธารณะเมื่อปลายปีที่ผ่านมารวมถึงการแฮ็คเว็บไซต์การเรียนรู้ออนไลน์ล่าสุดของ Lynda.com ที่ส่งผลกระทบต่อผู้ใช้ 55, 000 ราย สำหรับผู้จัดการฝ่าย IT ที่ตั้งนโยบายความปลอดภัยทางธุรกิจและรหัสผ่าน Haber กล่าวว่าการแฮ็ค LinkedIn นั้นมีความสำคัญมาก:
- เปลี่ยนรหัสผ่านของคุณบ่อยๆ รหัสผ่านอายุสี่ปีอาจเป็นเพียงการถามถึงปัญหา
- อย่าใช้รหัสผ่านของคุณซ้ำบนเว็บไซต์อื่น ๆ การละเมิดอายุสี่ปีนั้นสามารถนำไปสู่คนที่พยายามใช้รหัสผ่านเดียวกันบนเว็บไซต์โซเชียลมีเดียหรือบัญชีอีเมลอื่นได้อย่างง่ายดายและสามารถประนีประนอมบัญชีอื่น ๆ เพียงเพราะใช้รหัสผ่านเดียวกันในหลาย ๆ ที่
“ การโจมตีเมื่อสี่ปีที่ผ่านมาถูกเปิดเผยต่อสาธารณะในต้นปี 2559” ฮาเบอร์กล่าว "ผู้ใช้ที่ไม่ได้เปลี่ยนรหัสผ่านของพวกเขาตั้งแต่นั้นพบชื่อผู้ใช้ที่อยู่อีเมลและรหัสผ่านที่เปิดเผยต่อสาธารณชนบนเว็บที่มืดการเลือกแฮ็กเกอร์เป็นเรื่องง่าย"
5. บริการสรรพากร (IRS)
สุดท้ายฮาเบอร์กล่าวว่าเราไม่สามารถลืมเรื่องแฮ็ก IRS ได้ สิ่งเหล่านี้เกิดขึ้นสองครั้งในปี 2558 และอีกครั้งในต้นปี 2559 และได้รับผลกระทบข้อมูลสำคัญรวมถึงการคืนภาษีและหมายเลขประกันสังคม
"เวกเตอร์การโจมตีนั้นขัดกับบริการ 'รับการถอดเสียง' ซึ่งใช้สำหรับทุกอย่างตั้งแต่เงินกู้ยืมจากวิทยาลัยไปจนถึงการแบ่งปันการคืนภาษีของคุณกับบุคคลที่สามที่ได้รับอนุญาตเนื่องจากความเรียบง่ายของระบบจึงสามารถใช้หมายเลขประกันสังคมเพื่อดึงข้อมูล การคืนภาษีปลอมซึ่งเป็นจำนวนเงินคืนและทางอิเล็กทรอนิกส์ไปยังบัญชีธนาคารที่หลอกลวง "ฮาเบอร์อธิบาย "สิ่งนี้เป็นสิ่งสำคัญเนื่องจากระบบเช่น Yahoo ถูกละเมิดสองครั้งคงที่ แต่ก็ยังมีข้อบกพร่องร้ายแรงที่อนุญาตให้มีการละเมิดอีกครั้งนอกจากนี้ขอบเขตของการละเมิดนั้นถูกประเมินอย่างไม่มีการลดหย่อนจากบัญชีแรก ๆ ที่มีผู้ใช้ 100, 000 คนขึ้นไป ในตอนท้าย 700, 000 ไม่ทราบว่าสิ่งนี้จะปรากฏอีกครั้งในปี 2559
ฮาเบอร์ชี้ให้เห็นถึงสองบทเรียนหลักที่ธุรกิจสามารถเรียนรู้จาก IRS แฮ็ก:
- การแก้ไขการทดสอบการเจาะมีความสำคัญ เพียงเพราะคุณแก้ไขข้อบกพร่องอย่างใดอย่างหนึ่งไม่ได้หมายความว่าบริการมีความปลอดภัย
- นิติเวชมีความสำคัญอย่างยิ่งหลังจากเหตุการณ์หรือการฝ่าฝืน หากต้องการให้มีลำดับความสำคัญเจ็ดเท่าของจำนวนบัญชีที่ได้รับผลกระทบบ่งชี้ว่าไม่มีใครเข้าใจขอบเขตของปัญหาอย่างแท้จริง
“ สำหรับปี 2560 ฉันคิดว่าเราจะคาดหวังมากกว่านี้เหมือนกัน Nation-state อุปกรณ์ IoT และ บริษัท ที่มีชื่อเสียงจะเป็นจุดสนใจของการรายงานการละเมิด” ฮาเบอร์กล่าว "ฉันเชื่อว่าจะมีการรายงานข่าวเกี่ยวกับกฎหมายความเป็นส่วนตัวที่ควบคุมอุปกรณ์ IoT และการแบ่งปันข้อมูลที่มีอยู่ภายในซึ่งจะครอบคลุมทุกอย่างตั้งแต่อุปกรณ์เช่น Amazon Echo ไปจนถึงข้อมูลที่ไหลจาก EMEA สหรัฐอเมริกาและเอเชียแปซิฟิกภายใน บริษัท "
