A 2013. évi fontos biztonsági történetek

Visszatekintve a 2013-ra hullámvasútnak érezhettük magunkat, amikor néhány héten át a jó hírről a rossz hírre vittünk át: adatsértések, adatvédelem, számítógépes kémkedés, kormányzati kémkedés, fejlett rosszindulatú programok, jelentős letartóztatások, javított biztonsági funkciók stb.

Az év legnagyobb története - vagy inkább történetsorozata - az Nemzetbiztonsági Ügynökség volt vállalkozója, Edward Snowden ellopta és a médiának kiadott dokumentumok köré fordul. Ez azonban nem volt az egyetlen fő történet 2013-ban. Egy biztonsági társaság először adott egy határozott esetet arról, hogy Kína hogyan kémkedik az amerikai vállalkozásokra, és az Egyesült Államok kormánya hivatalosan megvitatta a kérdést a kínai kormánygal. A bűnüldözés jelentős győzelmeket hozott: széthúzott egy nagy hitelkártya-lopási gyűrűt és letartóztatta a Blackhole Exploit Kit alkotóját. Az adatsértések továbbra is fennálltak, de a tapasztalati adatok megsértése rámutatott az adatközvetítők problémájára, amely a személyes információkat gyűjti. A szokásos felhasználók az online adatvédelemről kezdtek beszélni, amikor a Google Glass-felhasználók az utcára léptek. A vállalatok elkötelezték magukat a jobb biztonsági gyakorlatok mellett, mint például az adatok tranzitban történő titkosítása, kéttényezős hitelesítés végrehajtása és átláthatóbbá tétele arról, hogy milyen információkat nyújt a kormány számára.

A 2013. év elfoglalt volt a biztonsági szakemberek és az egyének számára egyaránt. Itt van egy áttekintés az év jelentős biztonsági történeteiről, külön sorrendben.

Titkos NSA felügyeleti programok

Egy egész oszlopot csak az NSA kinyilatkoztatásokkal tudtunk kitölteni. A telefonbeszélgetési programról szóló első cikkek elég sokkolóak voltak, de úgy érzi, hogy minden ezt követő kinyilatkoztatás robbanásszerűbb, mint korábban. Az ügynökség kémkedést folytatott a webes tevékenységek mellett, észlelte a Google és a Yahoo adatközpontokba érkező és onnan érkező forgalmat, elfogott szállítmányokat kémprogramokat és hátsó ajtókat telepített az elektronikai berendezésekbe, és állítólag meghallgatta más országok vezetőit és a játékosokat. Noha az NSA vezérigazgatója, Keith Alexander továbbra is ragaszkodik ahhoz, hogy az ügynökség a határain belül járjon el, és óvatosan óvja a polgári szabadságjogokat, addig a reformfelhívások egyre hangosabbak. A kongresszus megvitatja, hogy mit tegyen az NSA problémájával kapcsolatban. A konzervatív szövetségi bíró a Klayman kontra Obama ügyben hozott ítéletében úgy döntött, hogy az NSA telefonos nyilvántartási programja esetleg megsértette a negyedik módosítást, és a Fehér Ház által kiválasztott független testület ajánlotta az NSA-nak. a programokat korlátozni kell.

Technikai óriások egy csoportja, köztük az Apple Tim Cook, a Google Eric Schmidt és a Yahoo Marissa Mayer, Barack Obama elnökkel beszélt az NSA tevékenységeivel kapcsolatos aggodalmaikról. Az AOL, az Apple, a Facebook, a Google, a LinkedIn, a Twitter, a Yahoo és a Microsoft együttesen megkövetelték, hogy bár a kormányoknak lépéseket kell tenniük polgáraik biztonsága és védelme érdekében, "a jelenlegi törvényeket és gyakorlatokat meg kell reformálni".

Több vállalat átláthatósági jelentéseket bocsát ki annak érdekében, hogy közölje, milyen információkat adnak át a kormánynak, és egy titkosított e-mail szolgáltatást a Lavabit bezárt, hogy elkerülje a felhasználókkal kapcsolatos információk átadását. Az RSA, az EMC biztonsági osztálya, jelenleg védi hírnevét, miután egy Reuters jelentése szerint 10 millió dollárt igényelt az NSA-tól, hogy biztonsági termékeiben kompromittált kriptográfiai algoritmust toljon el.

Kína, Kína, Kína

Annyira elbűvöltünk az NSA tevékenységeiről felmerülő információs hullámok, hogy könnyű elfelejteni, hogy 2013-ban egy robbanásveszélyes jelentéssel kezdtük, amely felvázolja Kína szerepét az internetes kémkedésben. A Mandiant APT1 jelentése volt az első végleges nyilatkozat, amely egyértelműen meghatározta, hogy a kínai kibertámadók mit csináltak behatolni az amerikai üzleti és kormányzati hálózatokba. A jelentés felvázolta, hogy ezek a támadók ellopták a szellemi tulajdont, beépítették a hátsó ajtót és megsérített rendszereket.

Nem sokkal a jelentés közzététele után számos kormányzati tisztviselő beszélt Kína tevékenységeiről. Májusban a Pentagon Kínáról szóló éves jelentése közvetlenül az ország kormányát vádolta az USA elleni kormányzati és katonai támadások miatt. Obama elnök még a vádakat is feltette Xi Jinping, Kína elnökével folytatott találkozó során. A kínai kormány azt is azzal vádolta az Egyesült Államokat, hogy lényegében ugyanazt csinálták. (Kicsit előre láttam Snowdenet?)

Támadások a médiakereskedések ellen

A médiát ebben az évben támadás érte, a The New York Times, a Washington Post és a Wall Street Journal közzétette, hogy kifinomult rosszindulatú programokkal fertőzöttek. A gyanú ujja rámutatott - hol máshol? - Kína. A szíriai elektronikus hadsereg megrázta a The Onion, a Guardian és más üzletek Twitter-fiókjait. Az AP Twitter-fiókjában szereplő hamis üzenet: "Breaking: Két robbanás a Fehér Házban és Barack Obama megsérült" még egy kis hullámot okozott a tőzsdén, amikor Dow Jones ideiglenesen 140 pontot mártott be.

A New York Times webhely elleni támadás, ahol a SEA-nak sikerült megváltoztatnia a webhely domain névrendszer-beállításait, rámutatott arra, hogy a támadók milyen egyszerűen zavarhatják meg a webes műveleteket. A SEA ebben a támadásban még csak nem is behatolt a hálózatba - a csoport ezt a támadást lándzsás adathalász segítségével hajtotta végre.

Összpontosítson az alkalmazások biztonságára

A megfizethető ápolási törvény és az egészségügyi csere webhelyének bevezetése előtérbe helyezte a biztonsági tesztelés fontosságát. A biztonsági szakemberek tudják, mennyire kritikus az, hogy az alkalmazásokat életbe léptetés előtt kipróbálják a biztonsági kérdésekkel kapcsolatban, de amikor az óra ketyeg, és lejár az idő, hogy a terméket időben eljuttassák, a biztonság szétrúg. A HealthCare.gov felfutott bevezetése után azonosított néhány probléma felvetette annak a lehetőségét, hogy a támadók megcélozzák a webhelyet. Azt jelentették, hogy az egyének érzékeny információkat láttak a webhely más felhasználóinak tulajdonában.

Azok a vezetők, akik követik az egész szagot, valószínűleg nem lesznek olyan gyorsak a biztonsági tesztelés kihagyására, ha legközelebb nagy jelentőségű alkalmazást vezetnek be. Vagy reméljük.

Elosztott szolgáltatásmegtagadási támadások

A DDoS nem új, de ebben az évben két fő fejlesztés történt. A DDoS-t gyakran használták pénzügyi helyek ellen, különösen az Ababil művelet részeként, de a támadók kibővítették célpontjaikat, hogy más iparágakba is bevonják. Az év egyik legnagyobb támadása márciusban a Spamhaus ellen volt, a csúcsok elérték a 300 gbps-ot.

A számítógépes bűnözés fő letartóztatása

Májusban a New York-i keleti kerületi amerikai ügyvéd májusban bejelentette, hogy 45 millió dolláros bankrésznél ellopják a lopott számlainformációkat. A banda állítólag becsapódott a pénzügyi intézményekbe, hogy ellopja a számlainformációkat, majd millió dollárt vonzott vissza az ATM-ekből.

Júliusban a New Jersey-i amerikai ügyvéd újabb számítógépes bűnözési gyűrűt vádolt fel legalább 17 fő kiskereskedő, pénzügyi intézmény és fizetési szolgáltató számítógépes hálózatának megsértéséért, hogy több mint 160 millió hitel- és betéti kártyaszámot lopjanak el. A célzott hálózatok között szerepelt többek között a Nasdaq, a 7-Eleven, a Visa és a JC Penney.

Az orosz hatóságok azt állították, hogy letartóztatta Paunchot, a Blackhole Exploit Kit készítőjét. A biztonsági szakértők úgy vélik, hogy az őrizetbe vételével egy pillanat alatt kiürülnek a számítógépes bűnözők. "Mivel a Blackhole nem lesz egyértelmű utódja, a számítógépes bűnöző bandák más helyeken fektethetnek be a rosszindulatú szoftverek kevésbé kifinomult szállítási mechanizmusainak elveszített jövedelmének pótlására" - mondta Alex Watson, a Websense biztonsági kutatási igazgatója.

Öntözési lyuk támadások

Az öntözési lyukkal kapcsolatos támadások ebben az évben meglehetősen kiemelkedőek voltak, és a webhelyeket feltörik, hogy veszélyeztessék a nagyobb technológiai cégek, például a Facebook, az Apple, a Microsoft és a Twitter alkalmazottait, valamint a védelmi vállalkozók és az állami alkalmazottak ellen. Ezek az öntözőlyuk-támadások kihasználták az Internet Explorer, a Java és más általánosan használt technológiák null napos biztonsági réseit.

Vízlyuk-támadásokat fedeztek fel a tibeti támogató aktivisták ellen is, mivel a támadók kínai nyelvű embereket céloztak meg a Tibeti Központi Közigazgatás és a Tibeti Homes Alapítvány, valamint az ujgur weboldal mellett, amelyet a Kelet-Türkisztán Iszlám Szövetsége tart fenn.

Experian adat megsértése

Hajlamosak vagyunk emlékezni az utolsó nagy adatsértésre, és elfelejteni az összes többi, ami korábban jött. Míg a Target által a közelmúltban bekövetkezett adatsértés, amelyben az ünnepi vásárlási szezon alatt közel 40 millió betéti és hitelkártya számot veszélyeztettek, meglehetősen jelentős, a felhasználói információkkal kapcsolatos legfélelmetesebb adatok a Experian adatsértése.

Az Experian a személyes adatok - társadalombiztosítási számok, címek, bankszámlaadatok - vételével és eladásával foglalkozó egyik szervezet. Brian Krebs biztonsági író nyomozása szerint ezeket az információkat egy tengerentúli bűncselekménynek adták el. A jogsértés rávilágított arra a tényre is, hogy sok tudásalapú hitelesítési rendszer, ahol az embereket arra kérik, hogy igazolják személyazonosságukat azzal, hogy megmondják, hogy melyik autójuk volt, vagy ahol laktak, régebben még veszélyeztetettek.

Az emberek felébrednek az online adatvédelemre

Amikor a Google a Google Glass első felfedezőjének első hullámával lezárta a hordható technológia jövőjét, az emberek kiborultak. Az emberek végül megismerték az arcfelismerés és az online közzététel képességének magánéletére gyakorolt ​​hatását. A technika jövője olyan, ahol nincs adatvédelem, vagy ahol az embereket el lehet indítani éttermekből és más létesítményekből a magánélet veszélyeztetése miatt?

Már előretekintünk 2014-t, új támadásokkal, nemzeti internettel, online fizetésekkel, mobilbiztonsággal és a tárgyak internetével kapcsolatos előrejelzéseinkkel. Üdvözöljük 2014-ben. Bizonytalanság vagy győzelmek éve lesz? Ragaszkodjon a Security Watch-hoz az új évben, amikor követjük a biztonság hullámvölgyét.