เรื่องราวความปลอดภัยที่สำคัญของปี 2013

มองย้อนกลับไปปี 2013 รู้สึกเหมือนรถไฟเหาะในขณะที่เรารับข่าวจากข่าวร้ายไปสู่ข่าวร้ายทุกสองสามสัปดาห์: การรั่วไหลของข้อมูล, ความเป็นส่วนตัว, การจารกรรมทางไซเบอร์, การจารกรรมของรัฐบาล, มัลแวร์ขั้นสูง, การจับกุมที่สำคัญ

เรื่องราวที่ใหญ่ที่สุด - หรือมากกว่าเรื่องราวซีรีส์ - แห่งปีหมุนรอบเอกสารอดีตผู้รับเหมาของหน่วยงานความมั่นคงแห่งชาติเอ็ดเวิร์ดสโนว์เดนขโมยและปล่อยให้สื่อ อย่างไรก็ตามนี่ไม่ใช่เรื่องสำคัญเพียงอย่างเดียวของปี 2013 เป็นครั้งแรกที่ บริษัท รักษาความปลอดภัยได้ระบุกรณีที่ชัดเจนว่าจีนสอดแนมในธุรกิจอเมริกันอย่างไรและรัฐบาลสหรัฐฯได้หารืออย่างเป็นทางการกับรัฐบาลจีน การบังคับใช้กฎหมายมีชัยชนะที่สำคัญทำลายแหวนขโมยบัตรเครดิตขนาดใหญ่และจับกุมผู้สร้างชุด Blackhole Exploit การละเมิดข้อมูลยังคงดำเนินต่อไป แต่การฝ่าฝืน Experian ได้เน้นถึงปัญหาของโบรกเกอร์ข้อมูลที่รวบรวมข้อมูลส่วนบุคคล ผู้ใช้ทั่วไปเริ่มพูดคุยเกี่ยวกับความเป็นส่วนตัวออนไลน์ในขณะที่ผู้ใช้ Google Glass พุ่งชน บริษัท ที่มุ่งมั่นในการรักษาความปลอดภัยที่ดีขึ้นเช่นการเข้ารหัสข้อมูลในการขนส่งการใช้การรับรองความถูกต้องด้วยสองปัจจัยและมีความโปร่งใสมากขึ้นเกี่ยวกับข้อมูลที่รัฐบาลให้

2013 เป็นงานยุ่งสำหรับมืออาชีพด้านความปลอดภัยและบุคคลทั่วไป นี่คือการทบทวนเรื่องราวความปลอดภัยที่สำคัญของปีโดยไม่คำนึงถึงลำดับ

โปรแกรมเฝ้าระวังความลับของ NSA

เราสามารถเติมเต็มทั้งคอลัมน์โดยไม่มีอะไรเลยนอกจากการเปิดเผยของ NSA บทความเริ่มต้นเกี่ยวกับโปรแกรมการเก็บบันทึกทางโทรศัพท์นั้นน่าตกใจพอสมควร แต่มันก็รู้สึกว่าการเปิดเผยในแต่ละครั้งนั้นจะมีการระเบิดมากกว่าครั้งก่อน หน่วยงานสอดแนมในกิจกรรมบนเว็บสอดแนมการรับส่งข้อมูลไปยังและจากศูนย์ข้อมูล Google และ Yahoo ดักจับการจัดส่งเพื่อติดตั้งสปายแวร์และแบ็คดอร์ในอุปกรณ์อิเล็กทรอนิกส์และถูกกล่าวหาว่าดักฟังผู้นำของประเทศและนักเล่นเกมอื่น ๆ ในขณะที่หัวหน้าของ NSA พล.อ. คี ธ อเล็กซานเดอร์ยังคงยืนยันว่าหน่วยงานดำเนินการภายในขอบเขตของตนและระมัดระวังในการรักษาเสรีภาพของพลเมืองการเรียกร้องให้มีการปฏิรูปดังขึ้นเรื่อย ๆ สภาคองเกรสกำลังถกเถียงกันว่าจะทำอย่างไรเกี่ยวกับปัญหาของ NSA ซึ่งเป็นผู้พิพากษารัฐบาลกลางของพรรคอนุรักษ์นิยมใน Klayman โวลต์โอบามาว่าโปรแกรมบันทึกทางโทรศัพท์ของ NSA อาจละเมิดการแก้ไขข้อที่สี่ จำเป็นต้องลดโปรแกรม

กลุ่มยักษ์ใหญ่ด้านเทคโนโลยีรวมถึง Tim Cook ของ Apple, Eric Schmidt ของ Google และ Marissa Mayer ของ Yahoo พูดกับประธานาธิบดี Barack Obama เกี่ยวกับข้อกังวลของพวกเขาเกี่ยวกับกิจกรรมของ NSA AOL, Apple, Facebook, Google, LinkedIn, Twitter, Yahoo และ Microsoft รวมตัวกันเพื่อเรียกร้องว่าในขณะที่รัฐบาลจำเป็นต้องดำเนินการเพื่อปกป้องความปลอดภัยและความปลอดภัยของประชาชน "กฎหมายและแนวทางปฏิบัติในปัจจุบันจำเป็นต้องได้รับการปฏิรูป"

บริษัท จำนวนมากกำลังปล่อยรายงานความโปร่งใสเพื่อเปิดเผยข้อมูลประเภทใดที่พวกเขาส่งมอบให้กับรัฐบาลและบริการอีเมลที่เข้ารหัส Lavabit ปิดตัวลงเพื่อหลีกเลี่ยงการส่งมอบข้อมูลเกี่ยวกับผู้ใช้ RSA ซึ่งเป็นหน่วยงานด้านความปลอดภัยของ EMC กำลังปกป้องชื่อเสียงของตนตามรายงานของสำนักข่าวรอยเตอร์ว่าใช้เงิน 10 ล้านดอลลาร์จาก NSA เพื่อผลักดันอัลกอริธึมการเข้ารหัสที่เป็นอันตรายในผลิตภัณฑ์ด้านความปลอดภัย

จีนจีนจีน

เราได้รับความประทับใจจากคลื่นของข้อมูลที่ออกมาเกี่ยวกับกิจกรรมของ NSA ซึ่งมันง่ายที่จะลืมว่าเราเริ่มต้นปี 2556 ด้วยรายงานระเบิดที่สรุปบทบาทของจีนในการจารกรรมทางไซเบอร์ รายงาน APT1 จาก Mandiant เป็นคำแถลงขั้นแรกที่ชัดเจนว่าผู้โจมตีทางไซเบอร์จากจีนกำลังทำอะไรเพื่อบุกเข้าไปในธุรกิจและเครือข่ายของรัฐบาลสหรัฐฯ รายงานระบุว่าผู้โจมตีเหล่านี้ขโมยทรัพย์สินทางปัญญาติดตั้งนอกบ้านและระบบที่เสียหายได้อย่างไร

หลังจากรายงานไม่นานเจ้าหน้าที่ของรัฐหลายคนก็พูดเกี่ยวกับกิจกรรมของจีน ในเดือนพฤษภาคมรายงานประจำปีของเพนตากอนในประเทศจีนกล่าวโทษโดยตรงว่ารัฐบาลของประเทศสำหรับรัฐบาลและการโจมตีทางทหารต่อสหรัฐฯ ประธานาธิบดีโอบามานำข้อกล่าวหาขึ้นมาในระหว่างการพบปะกับจินผิงประธานของจีน รัฐบาลจีนยังกล่าวหาว่าสหรัฐฯทำสิ่งเดียวกัน (การคาดการณ์เล็กน้อยสำหรับ Snowden?)

โจมตีต่อต้านสื่อเอาต์เล็ต

สื่อถูกโจมตีในปีนี้โดย The New York Times, Washington Post และ Wall Street Journal เปิดเผยว่าพวกเขาติดมัลแวร์ที่ซับซ้อน นิ้วของความสงสัยชี้ไปที่อื่น - จีน กองทัพอิเล็กทรอนิคส์แห่งซีเรียได้สร้างความสนุกสนานให้กับบัญชี Twitter ของ The Onion, Guardian และร้านค้าอื่น ๆ โพสต์ปลอมในบัญชี Twitter ของ AP "Breaking: Two Explosions ในทำเนียบขาวและ Barack Obama ได้รับบาดเจ็บ" แม้แต่ทำให้เกิดความสับสนเล็กน้อยในตลาดหุ้นตลาดหุ้น Dow Jones พุ่ง 140 คะแนนชั่วคราว

การโจมตีเว็บไซต์ New York Times ที่ SEA จัดการเพื่อเปลี่ยนการตั้งค่าระบบชื่อโดเมนของไซต์เน้นว่าผู้โจมตีสามารถแทรกแซงการดำเนินการทางเว็บได้ง่ายเพียงใด SEA ในการโจมตีครั้งนี้ไม่ได้แฮ็คเข้าสู่เครือข่าย - กลุ่มประสบความสำเร็จในการโจมตีด้วยฟิชชิ่งหอก

เน้นความปลอดภัยของแอพพลิเคชั่น

พระราชบัญญัติการดูแลราคาไม่แพงและการเปิดตัวเว็บไซต์แลกเปลี่ยนการดูแลสุขภาพนำความสำคัญของการทดสอบความปลอดภัยมาสู่แถวหน้า ผู้เชี่ยวชาญด้านความปลอดภัยทราบดีว่าแอปพลิเคชันต้องได้รับการทดสอบเกี่ยวกับปัญหาด้านความปลอดภัยก่อนที่จะเผยแพร่อย่างไร แต่เมื่อนาฬิกาถูกฟ้องและหมดเวลาในการจัดส่งผลิตภัณฑ์ตามกำหนดเวลาความปลอดภัยจะตกหล่น ปัญหาบางอย่างที่ระบุใน HealthCare.gov หลังจากเปิดตัวไม่เรียบร้อยทำให้เกิดความเป็นไปได้ที่ผู้โจมตีจะกำหนดเป้าหมายไซต์ มีรายงานว่าบุคคลทั่วไปเห็นข้อมูลที่ละเอียดอ่อนที่เป็นของผู้ใช้รายอื่นบนเว็บไซต์

ผู้บริหารที่ติดตามเรื่องราวทั้งหมดอาจจะไม่รวดเร็วในการข้ามการทดสอบความปลอดภัยในครั้งต่อไปที่พวกเขามีแอพพลิเคชั่นที่สำคัญ หรืออย่างนั้นเราก็หวังว่า

การปฏิเสธการโจมตีแบบกระจายบริการ

DDoS ไม่ใช่เรื่องใหม่ แต่ปีนี้เราเห็นพัฒนาการที่สำคัญสองประการ DDoS มักถูกใช้กับเว็บไซต์ทางการเงินโดยเฉพาะอย่างยิ่งในส่วนของ Operation Ababil แต่ผู้โจมตีได้ขยายเป้าหมายเพื่อรวมอุตสาหกรรมอื่น ๆ หนึ่งในการโจมตีที่ใหญ่ที่สุดของปีคือการต่อต้าน Spamhaus ในเดือนมีนาคมโดยมียอดถึง 300 gbps

การจับกุมอาชญากรรมไซเบอร์ครั้งใหญ่

ในเดือนพฤษภาคมอัยการสหรัฐฯประจำเขตตะวันออกของนิวยอร์กในเดือนพฤษภาคมประกาศค่าใช้จ่ายในการปล้นธนาคารจำนวน 45 ล้านดอลลาร์ที่เกี่ยวข้องกับข้อมูลบัญชีที่ถูกขโมย แก๊งคนนั้นถูกแฮ็กเข้าไปในสถาบันการเงินเพื่อขโมยข้อมูลบัญชีและถอนเงินออกจากเครื่องเอทีเอ็มเป็นล้าน ๆ ดอลลาร์

ในเดือนกรกฎาคมทนายความของสหรัฐอเมริกาสำหรับรัฐนิวเจอร์ซีย์ได้เรียกเก็บแหวนอาชญากรรมไซเบอร์อีกอันสำหรับการละเมิดเครือข่ายคอมพิวเตอร์ของผู้ค้าปลีกรายใหญ่สถาบันการเงินและผู้ประมวลผลการชำระเงินอย่างน้อย 17 รายเพื่อขโมยหมายเลขบัตรเครดิตและบัตรเดบิตมากกว่า 160 ล้าน เครือข่ายเป้าหมาย ได้แก่ Nasdaq, 7-Eleven, Visa และ JC Penney และอื่น ๆ

ทางการรัสเซียอ้างว่าได้จับกุม Paunch ซึ่งเป็นผู้สร้างชุด Blackhole Exploit ผู้เชี่ยวชาญด้านความปลอดภัยเชื่อว่าการจับกุมมีอาชญากรไซเบอร์เป็นโมฆะกำลัง scrambling เพื่อเติม Alex Watson ผู้อำนวยการวิจัยความปลอดภัยที่ Websense กล่าวว่าหากไม่มีผู้สืบทอดที่ชัดเจนต่อ Blackhole แก๊งอาชญากรไซเบอร์อาจลงทุนในที่อื่นเพื่อชดเชยรายได้ที่สูญเสียไปเนื่องจากกลไกการส่งมัลแวร์ที่ซับซ้อนน้อยลง

การโจมตีของหลุมน้ำ

การโจมตีของ Watering Hole นั้นค่อนข้างโดดเด่นในปีนี้เนื่องจากเว็บไซต์ถูกแฮ็กเพื่อประนีประนอมพนักงานใน บริษัท เทคโนโลยีชั้นนำเช่น Facebook, Apple, Microsoft และ Twitter รวมถึงการต่อต้านผู้รับเหมาและพนักงานรัฐบาล การโจมตีช่องโหว่เหล่านี้ใช้ประโยชน์จากช่องโหว่แบบ zero-day ใน Internet Explorer, Java และเทคโนโลยีที่ใช้กันทั่วไป

นอกจากนี้ยังพบการโจมตีของนักกิจกรรมชาวทิเบตในขณะที่ผู้โจมตีเล็งเป้าหมายไปที่คนที่พูดภาษาจีนเยี่ยมชมหน่วยงานกลางของทิเบตและมูลนิธิบ้านชาวทิเบตเช่นเดียวกับเว็บไซต์ Uyghur ที่ดูแลโดยสมาคมอิสลามแห่งเติร์กเมนิสถานตะวันออก

Experian Data Breach

เรามักจะจดจำการละเมิดข้อมูลที่สำคัญครั้งสุดท้ายและลืมสิ่งอื่น ๆ ที่เกิดขึ้นก่อนหน้านี้ ในขณะที่การละเมิดข้อมูลล่าสุดได้รับความเดือดร้อนโดย Target ซึ่งมีจำนวนบัตรเดบิตและบัตรเครดิตเกือบ 40 ล้านใบถูกบุกรุกในช่วงเทศกาลช้อปปิ้งวันหยุดเป็นช่วงเวลาสำคัญการละเมิดข้อมูลที่น่ากลัวที่สุดที่เกี่ยวข้องกับข้อมูลผู้ใช้คือการละเมิดข้อมูล Experian

เอ็กซ์พีเรียนเป็นหนึ่งในองค์กรในธุรกิจการซื้อและขายข้อมูลส่วนบุคคล - หมายเลขประกันสังคมที่อยู่รายละเอียดบัญชีธนาคาร ข้อมูลนี้ถูกขายให้กับวงอาชญากรรมต่างประเทศตามการสืบสวนของนักเขียนความปลอดภัย Brian Krebs การละเมิดดังกล่าวยังเน้นถึงความจริงที่ว่าระบบตรวจสอบความถูกต้องตามฐานความรู้หลาย ๆ แห่งที่ผู้คนถูกขอให้ยืนยันตัวตนของพวกเขาด้วยการบอกว่าพวกเขาเป็นเจ้าของรถหรือสถานที่ที่พวกเขาเคยอาศัยอยู่

ผู้คนตื่นขึ้นมาเพื่อความเป็นส่วนตัวออนไลน์

เมื่อ Google เปิดโปงอนาคตของเทคโนโลยีที่สวมใส่ได้ด้วยคลื่นลูกแรกของ "นักสำรวจ" ของ Google Glass ผู้คนต่างก็ประหลาดใจ ในที่สุดผู้คนก็ตระหนักถึงผลกระทบต่อการจดจำใบหน้าและความสามารถในการโพสต์สิ่งใดทางออนไลน์ที่อาจมีต่อความเป็นส่วนตัวของพวกเขา อนาคตของเทคโนโลยีหนึ่งที่ไม่มีความเป็นส่วนตัวหรือที่ผู้คนสามารถบูทจากร้านอาหารและสถานประกอบการอื่น ๆ เพื่อเป็นภัยคุกคามต่อความเป็นส่วนตัวได้หรือไม่?

เราคาดการณ์ล่วงหน้าแล้วถึงปี 2014 ด้วยการคาดการณ์ของเราสำหรับการโจมตีใหม่อินเทอร์เน็ตระดับชาติการชำระเงินออนไลน์การรักษาความปลอดภัยมือถือและอินเทอร์เน็ตของทุกสิ่ง ยินดีต้อนรับสู่ปี 2014 มันจะเป็นปีแห่งความไม่แน่นอนหรือชัยชนะหรือไม่? ยึดกับ Security Watch ในปีใหม่ขณะที่เราติดตามความปลอดภัยขึ้นและลง