IT-rendszerek biztonsága, az „emberi tényező”

Az  elektronikus vagyonvédelmi rendszerek vezérlése informatikai alapokon, számítógépes platformok alkalmazása mellett működik. A zökkenőmentes üzemeltetés okán,  a mi szakmánkban is megkerülhetetlen  az IT biztonsági szempontoknak való megfelelés.  Oldalunk közismerten nem foglalkozik mélységben az IT biztonság területéhez tartozó technikai kérdésekkel, azonban megdöbbentően sok tényező múlik ebben a vonatkozásban is a felhasználói viselkedésen.
IT-rendszerek biztonsága, az „emberi tényező” Forrás: www.cybertech-security.com
Az informatikai rendszereket ért támadások immár több mint 50 százaléka a humán tényezőt, azaz a felhasználót célozza. Az egyre  eredményesebben alkalmazott módszer a social engineering. Feltétlen fontos , hogy erről a témáról beszéljünk és tudatosodjon bennünk, a védekezés nem döntően pénz kérdés, ismertek és elsajátíthatóak a megelőzés módszerei.

A fent említett felmérést  3000 IT-biztonsági szakértő bevonásával  az Information Systems Audit and Control Association (ISACA) végezte  2016 januárjában. A social engineeringhez kapcsolódó   legutóbbi mellbevágó hír, hogy hackerek meg tudták szerezni az amerikai nemzetbiztonsági szolgálat 9000, illetve az FBI 22 ezer alkalmazottjának elérhetőségi adatait.

A technika támadása nélkül hozzáférni az adatokhoz

A módszer lényege, a gyanútlan felhasználótól a hackerek különböző módszerekkel a jelszavakat, regisztrációs-bejelentkezési adatokat – csalnak ki, amelyek útján  képesek lesznek a technika direkt támadása nélkül  bejutni a számítógépekbe, ahol aztán tetszőleges műveleteket tudnak majd elvégezni.

A témáról Lengyel Csaba, a Hunguard Kft. szakmai igazgatója nyilatkozott. Hangsúlyozta, hogy sajnos nem evidencia,  hogy a cégeknél a  munkatársak kellő körültekintéssel védik a vállalati rendszerek jelszavait.  Szerinte sokan úgy gondolják, hogy csak a jelszó kevés ahhoz, hogy feltörjék felhasználói fiókjukat, azt azonban senki nem tudhatja, hogy a támadó milyen információk és adatok birtokába jutott korábban.

A támadási cél gyakran a külső kör

A támadások célpontjai gyakran olyan alkalmazottak, akik nem feltétlenül ismerik az információk értékét; például külsős munkatársak, gyártók, beszállítók, kiszolgáló területeken dolgozó munkatársak. “Ez esetben a probléma igazi forrása az, hogy a támadónak kezdetben elég egy alacsony szintű hozzáférés, amivel később bővíteni tudja saját felhasználói jogait, ami pedig még fontosabb, hogy akár hónapokon keresztül lophat vagy változtathat meg adatokat” – mutat rá Lengyel Csaba.

Rossz a jelszó választás

A  vállalati információk megszerzésének egy másik módja az alkalmazottak nem megfelelő jelszó-választási szokásainak kihasználása. A legbiztonságosabbnak számító, különleges karaktereket is tartalmazó jelszavakat a tapasztalatok szerint csak a felhasználók negyede használ. Egy csak számokból álló jelszó feltöréséhez, egy gyakorlott hackernek alig öt percre van szüksége, a csak betűkből álló jelszavak 5-6 nap alatt megfejthetőek, a betűk és számok kombinációjából álló jelszó kitalálása viszont már hónapokba telhet. A legjobb megoldás, ha számokat, kis- és nagybetűket, valamint speciális karaktereket is tartalmaz a jelszó; ugyanis ezek feltörési ideje akár száz években is mérhető.

IT-rendszerek biztonsága, az „emberi tényező” Forrás: goodwill communications

A lezáratlan számítógépek

Nem csak a kiadott jelszó, de a lezáratlan számítógépek is kockázatot rejtenek: nagy szervezetek esetében meglepően sikeres módszer az úgynevezett “piggybacking” technika, ahol a hackerek magukat munkatársnak, esetleg karbantartónak vagy takarítónak kiadva jutnak be a vállalat irodáiba. “Ez is egyfajta social engineering. A helyszínen már ellenőrzés nélkül, szabadon hozzáférhetnek a magukra hagyott, nem lezárt terminálokhoz, laptopokhoz. Ilyenkor a legnagyobb károkat nem a gépek és adathordozók ellopása okozza, hanem az azokon tárolt adatok és információk eltulajdonítása, megváltoztatása” – teszi hozzá a szakmai igazgató.
A támadásokat csak a felhasználók tudják elhárítani

Fontos, hogy a vállalatok tisztában legyenek azokkal a technikákkal, amelyekkel elkerülhetik, hogy a social engineering áldozataivá váljanak. Amíg a kifejezetten a technikát célzó kibertámadások ellen a biztonságot nyújtó eszközök, programok, valamint ezek megfelelő beállításával védekezni lehet, a felhasználót célzó támadásokat csak maguk a felhasználók tudják sikertelenné tenni. “Ehhez fontos a munkatársak oktatása, megismertetése a veszélyforrásokkal, a megfelelő belső eljárásrendek és szabályzatok megalkotása és betartatása. A kockázatokat csak így lehet a minimálisra csökkenteni” – hangsúlyozza Lengyel Csaba.

Eredeti forrás: Goodwill Communications

Kapcsolódó cikkek:

SOCIAL ENGINEERING TÁMADÁSI TECHNIKÁK. Avagy a végső megoldás: a felhasználó

Az adatvédelem 12+1 kérdése