SecuriForum MAGAZIN 2019

kérő
dve
ssze
pítő
rek,
ztó,
ód.
mén
a
net
e” a
ített,
ltak
ől a
nek
dott
szat
mos
gyül
nek
gét,
ló. A
egy
mint
rást
ező
zám
egy
egy
.eu) 68
élettársa személy telefonszámának nevének) ismeretében, (és egyéb némi azonosítói, gyermeksírást valamint
élettársa háttérként SecuriForum nevének) felhasználva, Magazin ismeretében, miként zárja némi ki az gyermeksírást őt kérdező
riportert háttérként saját felhasználva, számlájáról. miként Természetesen, zárja ki az a telefonszám őt kérdező
„klónozása” riportert saját már számlájáról. igényel némi Természetesen, eszközismeretet, a telefonszám viszont egy
weboldal „klónozása” design, már igényel pláne egy némi email eszközismeretet, sablon lemásolása, viszont egy
megtévesztő weboldal design, URL pláne létrehozása egy email (pl.: otpbank.hu sablon lemásolása, / otqbank.eu) egy
alig megtévesztő igényel mélyebb URL létrehozása ismereteket. (pl.: Nagyon otpbank.hu észnél / otqbank.eu) kell lennie
egy alig igényel profibb mélyebb támadás ismereteket. célpontjának, Nagyon hogy észnél még kell időben lennie
felismerje egy profibb a próbálkozást. támadás célpontjának, Az adathalászattal hogy az még a probléma, időben
hogy felismerje az a egyszerűbb próbálkozást. verziói Az adathalászattal viszonylag az egyszerűen
a probléma,
hogy felismerhetők. az egyszerűbb Viszont a gondosan verziói viszonylag előkészített akciók, egyszerűen pláne
felismerhetők. a pszichológiai Viszont manipulációval a gondosan vegyítettek előkészített már akciók, okozhatnak pláne
a gondot. pszichológiai Vállalkozások manipulációval szemszögéből vegyítettek a már leghatékonyabb okozhatnak
megelőző gondot. Vállalkozások taktika a munkatársak szemszögéből folyamatos a leghatékonyabb oktatása,
felkészítése megelőző taktika ezekre a szituációkra, munkatársak beleértve folyamatos a szimulációs oktatása,
támadásokat. felkészítése ezekre Úgy a szervezeteknél, szituációkra, beleértve mint a magánszemélyeknél
támadásokat. segítség Úgy szervezeteknél, lehet egy hatékony mint spamszűrő
magánsze-
szimulációs
alkalmazása, mélyeknél segítség továbbá a lehet kétlépcsős egy hatékony azonosítási spamszűrő eljárások
alkalmazása.
alkalmazása, továbbá a kétlépcsős azonosítási eljárások
alkalmazása.
4. Klónok
A
4. Klónok
fogalom alatt (formjacking) pontosan a fentebb már
említett A fogalom metódus alatt értendő, (formjacking) amikor pontosan egy email, illetve a fentebb weboldal, már
főként említett webáruházak metódus értendő, formavilágát amikor egy alakítják email, ki illetve a bűnözők weboldal, egy
többé-kevésbé főként webáruházak hasonló formavilágát URL-en. Sok alakítják esetben ki a bűnözők nem a teljes egy
weboldalt, többé-kevésbé csak hasonló pl. a fizetési URL-en. felületet Sok esetben alakítják nem ki, a és teljes az
eredeti weboldalt, weboldal csak pl. sérülékenységét a fizetési felületet kihasználva, alakítják ki, pl. és saját az
JavaScriptek eredeti weboldal beinjektálásával sérülékenységét „dobják kihasználva, át” a vásárlót pl. saját
felületükre. JavaScriptek Leginkább beinjektálásával webáruházak „dobják és át” vásárlóik a vásárlót esnek saját
áldozatul felületükre. ennek Leginkább a bűncselekménynek, webáruházak hiszen és vásárlóik a megrendelt esnek
termék áldozatul soha ennek nem a fog bűncselekménynek, megérkezni. Különösen hiszen az a ún. megrendelt „Fekete
Péntek” termék soha kiváló nem vadászidény fog megérkezni. a formjackereknek, Különösen az ún. „Fekete hiszen
ilyenkor Péntek” kevésbő kiváló vadászidény feltűnő, hogy a egy formjackereknek, adott termék irreálisan hiszen
alacsony ilyenkor kevésbő áron jelenik feltűnő, hogy meg egy az adott „ismert” termék webáruház irreálisan
kínálatában. alacsony áron Természetesen, jelenik meg nem az csak „ismert” pénzhez webáruház jutnak így a
bűnözők, kínálatában. hanem Természetesen, személyes és nem bankkártya csak pénzhez adatokhoz jutnak így is. A a
bűnözők, hanem személyes és bankkártya adatokhoz is. A
közelmúlt legismertebb példáját a British Airways példája
szolgáltatta, amikor is 380 000 bankkártya adatait
szerezték meg az elkövetők, 17M USD-nyi veszteséget
okozva. Persze ez a szám eltörpül az adatvédelmi bírság
kb. 200M USD összege mellett, melyet a BA lesz kénytelen
kifizetni.
5.) Kezeletlen „sebek”
Valahogy ez is részben visszavezethető az első ponthoz.
Kevés szoftver akad hiba nélkül. Ezeket előbb-utóbb
felfedezik a fejlesztők és ún. patcheket bocsátanak ki,
melyek orvosolják a problémát. Az emberi természet már
csak olyan, amilyen. Ha túl sokszor kell „foltozni” (patch)
egy IT rendszer összetevőit, belép a hozzászokás effektus
és egy-egy fontos „tapasz” telepítése kimarad. Nem olyan
nagy baj, igaz?! Azt kell, mondanom, hogy hatalmas
probléma. Ezek a hiányosságok a zsarolóvírusok (pl.
WannaCry) boldog vadászmezői. Favágó munka,
unalmas, de kötelező, ha nem szeretne valaki igen sokat
fizetni. Természetesen nem a zsarolóknak, hanem az új
informatikai eszközei beszállítójának.
6. Elavult hardver és szoftver
Minden patch frissítés, de nem minden frissítés patch.
Amennyiben átfogóbb, strukturális átalakítások kerülnek
kibocsátásra, az már több, mint egy kis foltozás, inkább
„ráncfelvarrásnak” nevezhetjük. A szoftverek esetében
remélem egyértelmű, miért fontosak a frissítések. Az átlag
felhasználó 68 még ezzel akár tisztában is lehet, de azt már
nem tudja, hogy a hardver elemek is rendelkezhetnek
Minden
6. Elavult
patch
hardver
frissítés,
és szoftver
de nem minden frissítés patch.
Amennyiben Minden patch átfogóbb, frissítés, strukturális de nem minden átalakítások frissítés kerülnek patch.
Amennyiben átfogóbb, strukturális átalakítások kerülnek IT
kibocsátásra, az már több, mint egy kis foltozás, inkább
„ráncfelvarrásnak” kibocsátásra, az már nevezhetjük. több, mint egy A szoftverek kis foltozás, esetében inkább
remélem „ráncfelvarrásnak” egyértelmű, nevezhetjük. miért fontosak A a szoftverek frissítések. esetében Az átlag
felhasználó remélem egyértelmű, még ezzel miért akár fontosak tisztában a is frissítések. lehet, de Az azt átlag már
nem felhasználó tudja, még hogy ezzel a hardver akár tisztában elemek is lehet, rendelkezhetnek
azt már
frissítésre nem tudja, szoruló hogy a hardver „szoftverrel”, elemek igen is rendelkezhetnek
a firmwarekről
beszélek. frissítésre A szoruló biztonságtechnikában „szoftverrel”, igen főként a firmwarekről
ez utóbbiak
rendszeres beszélek. A frissítése biztonságtechnikában kellene, hogy főként a végfelhasználók
ez utóbbiak
figyelmét rendszeres felkeltse. frissítése Ám, kellene, mint hogy említettem, a végfelhasználók emberek
vagyunk. figyelmét felkeltse. Nem várhatjuk Ám, mint el, említettem, hogy azok, emberek akik az
alapértelmezett vagyunk. Nem várhatjuk felhasználónév/jelszó el, hogy azok, párost akik sem az
módosítják, alapértelmezett a firmware felhasználónév/jelszó frissítés részleteivel párost bajlódjanak. sem
Vagy módosítják, mégis…? a firmware frissítés részleteivel bajlódjanak.
Vagy mégis…?
7. Internet of (biztonságtalan)
Things
7. Internet
Jövőre
of (biztonságtalan)
több mint 20Mrd IoT eszközzel leszünk
„gazdagabbak” Things Jövőre több úgy, mint hogy 20Mrd ezen IoT termékek eszközzel biztonsági leszünk
kihívásaival „gazdagabbak” alig törődnek. úgy, hogy Egy ezen Brit bankot termékek saját biztonsági IP CCTV
kamerán kihívásaival keresztül alig törődnek. támadtak Egy be, Brit IoT bankot eszközök saját hatalmas IP CCTV
botnet kamerán hálózatokat keresztül támadtak alakítanak be, ki, IoT melyek eszközök segítségével hatalmas
egyre botnet maszszívabb hálózatokat DDoS alakítanak támadásokat ki, melyek generálnak. segítségével Akkor
még egyre nem maszszívabb is beszéltem DDoS a támadásokat közelgő 5G generálnak. korszak kérdésre Akkor
gyakorolt még nem hatásáról. is beszéltem Értsd: a közelgő minőségileg 5G korszak több IoT kérdésre eszköz
kapcsolódhat gyakorolt hatásáról. egyetlen Értsd: adótoronyhoz. minőségileg Nincs több IoT kábelezés, eszköz
így kapcsolódhat a telepítés egyetlen is könnyebb, adótoronyhoz. a felhasználásuk Nincs kábelezés, is
egyszerűbb, így a telepítés valószínűsíthető is könnyebb, az IoT a eszközök felhasználásuk számának is
robbanásszerű egyszerűbb, valószínűsíthető növekedése. az Mindezt IoT eszközök úgy, hogy számának még
mindig robbanásszerű alig foglalkozunk növekedése. a biztonságuk Mindezt úgy, kérdésével. hogy még A
probléma mindig alig megoldása foglalkozunk rendszerszintű a biztonságuk gondolkodást kérdésével. kíván. A
Nem probléma csak megoldása egyetlen rendszerszintű eszközt, de gondolkodást a teljes érintett kíván.
infrastruktúra Nem csak egyetlen sérülékenységét eszközt, meg de kell a teljes vizsgálni érintett és a
gyenge infrastruktúra pontokat sérülékenységét meg kell erősíteni. meg kell Külön vizsgálni figyelmet és a
fordítva gyenge a pontokat adatforgalmazásuk meg kell hitelesítésére.
erősíteni. Külön figyelmet
fordítva a adatforgalmazásuk hitelesítésére.
8. Közbeékelődéses támadás
A szakemberek kiemelten erre hivatkozva óvnak a
publikus WiFi hálózatok használatától. Tudniillik, kiválóan
alkalmasak arra, hogy nem kívánatos harmadik
fél megcsapolja adatkommunikációnkat és hozzájusson
személyes adatainkhoz. A publikus hálózatok
mellett, már komolyabb tudást igénylően, egyes bűnözők
komplett WiFi hálózatok jellemzőit másolják le
és terelik át a forgalmat saját hálózataikra, töméntelen
mennyiségű információhoz jutva ez által.
Zárszó: Elcsépelt közhely, hogy az Internet korát éljük.
Ennek ellenére még mindig úgy viselkedünk, mintha a
boldog 90-es évek elején járnánk. Sajnos, avagy sem,
a világ nem lett egyszerűbb, különösen, ha a biztonság
kerül vizsgálódásaink fókuszába. Mindazonáltal érdemes
felfigyelni arra, hogy a még a kibertérből érkező
fenyegetések zöme is megelőzhető lenne a jó öreg
emberi józan ész, jószándék és odafigyelés hármasának
leporolásával.
Szerző: O.V.SZ.
Forrás: https://edition.cnn.com/2019/07/29/business/
capital-one-data-breach/index.html
https://www.riskiq.com/Fusion.net