Krebs: a legtöbb vállalkozás elmulasztja az egyszerű kiberbiztonsági intézkedéseket

A közismert biztonsági kutató, Brian Krebs, tegnap az Orlandóban a Gartner szimpózium megnyitása elõtt egy lenyûgöző, de ijesztõ beszédet tett a kiberbûnözés jelenlegi helyzetérõl.

A Krebs on Security weboldal és a Spam Nation című könyv szerzője a CIO-k és más informatikai vezetők egy csoportjával beszélt: nagy különbség van "PR-rés" a kiberbűnözés észlelése és valósága között. "Az alagút végén lévő fény nem jelent kiutat" - mondta. "Ez egy közeledő vonat."

Különösen azt mondta, hogy a rosszfiúk jobban teljesítettek információcserét, mint a CIO-k; a jelentések még a régebbi verziói, például a Verizon Data Breach Investigations Report, gyakran jó munkát adnak a rendszerek megsértésének magyarázatáról, és továbbra is relevánsak az információk. A közelmúltbeli csapások sokaságában, mondta, a biztonsági naplók egyszerű áttekintése riasztotta a vállalatokat a problémájukra.

Krebs ideje nagy részét a hitelkártya-információk elleni támadásokkal beszélt, elsősorban az eladási pontot (POS) célzó malware-re összpontosítva. Beszélt arról, hogy az elmúlt két évben a rossz fiúk nemcsak javították az ilyen rendszerek elleni támadásaikat, hanem kifinomultabbá és "ügyfélbarátabbá" tették a hitelkártya-információk vásárlására és eladására szolgáló földalatti piacokat.

Sok esetben az utcai bandák hitelkártya-csalásokhoz fordulnak, mint a 10–20 dolláros beruházás 800–1000 dollárra történő gyors átalakításának gyors módja. Azt mondta, nem csak ez jövedelmező, hanem természetéből fakadóan kevésbé veszélyes és kockázatos, mint a kábítószer-kereskedelem, és gyakran „áldozatlan” bűncselekménynek tekintik, mivel a számlatulajdonosok általában nem felelnek a díjakért.

Krebs rámutatott olyan problémákra, mint például a POS rendszerek száma a webböngészőkkel, és hogy ez egy nagyon gyakori támadásvektor. Azt mondta, hogy a chip-and-pin hitelkártyákra való áttérés nem oldja meg a problémát, utalva arra, hogy más országokban az átmenet az e-kereskedelemmel kapcsolatos csalások, az új számlacsalások és a számlaátvételek számának növekedéséhez vezetett.

Ennek nagy része az identitáshoz és a magánélethez kapcsolódik, és megjegyezte, hogy sok ember változatlan személyes adatai (például címek és társadalombiztosítási számok) állnak rendelkezésre. Azt mondta, hogy amikor a számítógépes rendszerekről van szó, ezek biztonságosak, gyorsak és könnyen kezelhetők: válasszon egyet. A legtöbb ember úgy döntött, hogy nem a biztonságra összpontosít, mondta. Ennek eredményeként rengeteg hely van az interneten az emberekkel kapcsolatos személyes információk megismerésére, és felszólította a kormányt, hogy fogadjon el szigorúbb adatvédelmi szabályokat, amilyeneket a legtöbb más országban alkalmaznak.

Végül Krebs öt olyan területet idézett elő, amelyben azt gondolta, hogy a vállalatok tehetik a legnagyobb előrelépést az internetes bűnözés elleni küzdelemben. Nagyon hisz a hálózati szegmentálásban, és azt mondja, hogy a legtöbb vállalat biztonsága olyan, mint egy cukorka: "kívülről kemény és ropogós, belül pedig puha és gubikus".

Ehelyett azt javasolta, hogy a hálózat legérzékenyebb részeit csak a szervezeten belüli személyek számára tegyék elérhetővé, akiknek speciális igényük van. A vállalatoknak külön eseményekre reagáló csoportot kell felállítaniuk, áttekinteniük a többi jogsértésről szóló híreket, hogy megtudhassák, milyen tanulságokat tanulhatnak, ismételt gyakorlatokat végezzenek a megszegés esetén, és bevonják partnereiket a biztonsági tervezésbe.

Ez jó tanács, de a dolgok, amelyekre gyakran figyelmen kívül hagyják a napi munkát, arra törekednek, hogy új projekteket készítsenek az informatika területén. Ezen prioritások kiegyensúlyozása kulcsfontosságú kérdés sok olyan informatikai vezetõ számára, akivel a konferencián beszéltem.