Ang pananaw sa industriya: ang mga tool sa pakikipagtulungan ay maaaring ang susunod na malaking panganib sa seguridad

Ang mga kasangkapan sa pakikipagtulungan ay naging napakapopular sa lahat ng mga uri ng mga negosyo dahil pinapagana nila ang mga estratehiya tulad ng mga virtual na koponan at pinapanatili ang mga empleyado nang mahigpit na magkasama kahit gaano pa kalayo ang kanilang pisikal. Ngunit kung ito ay isang utility na nakabase sa workflow tulad ng Asana o isang app na naka-orient sa chat tulad ng Slack, ang mga tool na ito ay lumikha din ng mga bagong pagkakataon para sa mga cybercriminals na naghahanap upang ma-access ang pinakamahalagang impormasyon ng iyong kumpanya. Ang mga masasamang aktor ay maaaring ma-infiltrate ang iyong software sa pakikipagtulungan sa pamamagitan ng mga interface ng application programming (APIs) o sa pamamagitan ng hindi sinasadyang mga pahintulot na tumagas sa pribadong impormasyon sa labas ng iyong samahan. Sa madaling salita, kahit na naka-host sila sa ibang lugar, maaaring ang paglalagay ng iyong mga tool sa pakikipagtulungan ay naglalagay ng isang malaking butas ng seguridad sa iyong network.

Si Greg Arnette ay ang Direktor ng Diskarte sa Proteksyon ng Data Protection sa Campbell, Barracuda Networks na nakabase sa Calif, isang seguridad, network, at tagapagbigay ng mga produkto ng imbakan. Kamakailan lamang ay nakaupo kami kasama si Arnette upang talakayin ang uri ng mga pag-atake na maaaring mangyari sa pamamagitan ng mga serbisyo sa pakikipagtulungan at kung paano maprotektahan ng mga negosyo ang kanilang sarili.

PCMag (PCM): Ang mga tool sa pakikipagtulungan ng lahat ng uri ay pinagtibay sa isang medyo mabilis na bilis ng lahat ng mga uri ng kumpanya. Ano ang ilan sa mga problema na may kaugnayan sa seguridad na maaaring lumabas mula rito?

Greg Arnette (GA): Kaya, bago tayo pumunta sa uri ng mga kahinaan na kasangkot, sa palagay ko mahalaga na magbigay ng isang pangkalahatang-ideya ng kung ano ang nangyayari ngayon. Mayroong isang bilang ng mga iba't ibang mga uso na nangyayari sa paligid pakikipagtulungan at kung paano ito nauugnay sa kung ano ang nakikita natin ngayon, na may mga system na mahina laban sa mga pag-atake na pagkatapos ay ikompromiso ang mga tao.

Ang isa sa mga uso ay ang napakalaking paglilipat ng mga serbisyo sa pakikipagtulungan sa mga nasasakupang lumipat sa mga alternatibong ulap. Sa paglilipat na iyon, mayroon kang isang mas mataas na paggamit ng mga email at real-time na mga sistema ng pagmemensahe, tulad ng Slack at Facebook Workplace at isang dosenang o kaya iba't ibang mga platform na tumataas sa katanyagan kasabay. ng email. Sa paglipat na ito, ang mga kumpanya ay nagtitipid ng pera at pinadali ang kanilang panloob na imprastrukturang IT. Ang Microsoft Office 365 at Google G Suite at Slack ay nagiging sistema ng record sa maraming mga samahan. Iyon ay marahil ay magpapatuloy na maglaro para sa susunod na limang taon hanggang sa palagay ko ay magkakaroon ng isang malaking paglipat sa mga tao na kadalasang gumagawa ng mga bagay sa ulap kumpara sa anumang bagay sa lugar.

Ngayon, ang ilang mga kalakaran sa pagtaas ng mga API at artipisyal na katalinuhan. Iyon ay lumilikha ng maraming magagandang bagay ngunit mayroon ding pantay na bilang ng mga masasamang bagay. Tulad ng paglilipat ng mga kumpanya ng kanilang mga sistema ng pakikipagtulungan mula sa mga nasasakupang lugar ulap , ginagamit nila ang mga bagong uri ng mga system. Ang pagsasama ay maaaring pagsasama ng isang serbisyo sa pamamahala ng pagkakakilanlan sa Microsoft Office 365 upang makakuha ka ng solong pag-sign-on. O maaari mong isama ang isang serbisyo ng telepono sa email system upang ang kalendaryo ay maaaring magdagdag ng isang numero ng tulay sa susunod na paanyaya ng pulong.

PCM: Ito ang lahat ng magagandang bagay, syempre. Kaya saan nagsisimula ang mga problema?

GA: Ang parehong teknolohiyang ito ay nagpapahintulot sa mga taong nais makagawa ng pinsala sa iba na samantalahin ang mga bukas na API at ang mga bagong sistema ng tala. Ang masasamang aktor ng mundo ay nagsasamantala din sa mga pagbabago sa ulap at gamit ang AI, pag-aaral ng makina (ML), at murang cloud computing upang isponsor ang mga pag-atake sa mga API. Naghahanap sila ng mga kahinaan at ginagaya ang pag-uugali ng gumagamit upang makarating sila sa mga kilalang mga panlaban at pag-infiltrate ng mga organisasyon gamit ang inisip na medyo ligtas na panlaban at itago ang masamang bagay.

Kaya iyon ang uri ng isang perpektong bagyo ng mga negosyo na nagnanais ng higit na kaginhawaan sa kakayahan para sa masasamang aktor na magamit ang mga API at makapasok sa mga sistemang iyon. Ito ay isang lahi ng isang kapwa panatag na pagkawasak, talaga.

PCM: Bigyan kami ng isang halimbawa ng isang tiyak na uri ng pag-atake. Makakaapekto ba ang isang malisyosong aktor na lumikha ng isang tila hindi nakakapinsalang app para sa isang programa tulad ng Slack na ang isang empleyado ay masindak sa pag-install?

GA: Isang halimbawa ng isang nakakahamak na paggamit ng Slack API ay maaari kang bumuo ng isang third-party na Slack app na maaaring tulay ang iyong Slack account sa isang platform ng pakikipag-ugnay sa customer (CRM) na platform tulad ng Salesforce. Ang isang tao sa isang kumpanya ay maaaring mag-download at mai-install ang app, at pagkatapos ang trak na ito na Slack app - na lumilitaw sa ibabaw upang maging isang simpleng konektor - ay madaling mapahintulutan ng isang indibidwal sa kumpanya. Bigla, ngayon mayroon kang maliit na bot na nakaupo sa workstation ng isang tao na maaaring makipag-usap sa parehong Slack at Salesforce at tumagas data nang walang kaalaman ng kumpanya. At isa lang ito sa maliit na halimbawa. Maaari mong ilapat ito sa halos anumang platform na may bukas na API.

Sa kaso ng AI, ang mga tao sa labas ng mundo na nais gumawa ng mga nakakapinsalang bagay ay gumagamit ng AI upang malaman kung paano pagsasamantala ang mga system, tipunin ang data, at ilantad ito sa mga mamamahayag at iba pa. Ito ay upang maging sanhi ng mga problema at nakakaapekto sa halalan, nakakaapekto sa mga ekonomiya, nakakaapekto sa katatagan ng negosyo, at iba pa. Maaaring mangyari ito sa maraming paraan. Maaari itong maging isang modelo ng ML na sinanay upang maghanap ng mga tukoy na impormasyon o isang bot na tila isang tunay na tao na maaaring humingi ng impormasyon mula sa mga empleyado. Mayroong lahat ng mga uri ng kahinaan na binubuksan ng mga tool sa pakikipagtulungan para sa mga organisasyon.

Ang isa pang kalakaran na nakikita natin ay ang mga departamento at mga koponan na bumili o pagpapatupad ng mga solusyon na hindi sinasadya na kumonekta sa mga pampublikong bagay sa pribadong network na nasa labas ng paningin ng departamento ng IT. Dahil ang mga tool sa pakikipagtulungan na ito ay pinagtibay, nahihirapan ang mga kagawaran ng IT na subukang isara kung sino ang tunay na mai-install at magpatakbo ng mga bagay sa network ng kumpanya upang pagbawalan ang mga ganitong uri ng koneksyon na nangyayari. Kung pinahihintulutang magdagdag ang sinumang empleyado, isang app sa koponan ng Asana, maaari itong mapahamak.

PCM: Nakakatakot ang mga pag-atake na ito, sigurado, ngunit ang mga ito ay lubos na kapaki-pakinabang na tool. Mahirap isipin ang karamihan sa mga negosyo na sumusuko sa mga app na ito sa sandaling nagkaroon sila ng access sa ganitong uri ng kaginhawaan. Paano dapat panatilihing ligtas ang mga negosyo?

GA: Tunay na totoo; narito ang mga app na ito upang manatili. Itinatag nila na makakatulong sila upang mapabuti ang buhay sa isang setting ng trabaho.

Mayroong ilang mga bagay na maaaring gawin ng mga kumpanya upang manatiling ligtas. Ang una ay tinitiyak na ang departamento ng IT ay may kamalayan sa lahat ng mga app na naka-install at lahat ng mga third-party na konektor na na-install sa mga app na ito. Siguraduhin na nasuri o na-vetted sila sa pamamagitan ng pagsusuri ng mga mata upang matiyak na hindi talaga sila ang mga pag-atake na tulad ng Trojan na nilikha upang masaksihan ang isang tao sa pag-install ng mga ito.

Ang pangalawang bagay na dapat gawin ng mga customer ay ang pag-vetting ng seguridad ng kanilang tagapagtustos at pagsunod sa mga pamantayan sa kasanayan sa pagsasanay. Mayroong isang mahusay na website ng third-party na tumutulong sa mga departamento ng IT na gawin ang vetting na tinatawag na Enterpriseready.io. Maaari kang pumunta doon at maaari mong suriin at makita kung mayroon itong lahat ng tamang mga kontrol sa lugar upang matiyak ang isang lubos na ligtas na operating environment. Kaya lahat ito ay tungkol sa pagkapribado, tinitiyak na mayroong isang sapat na kakayahan upang i-lock ang mga kontrol, na ang mga API ay may access sa pag-audit, at ganoong uri bagay, upang maaari tayong maging mas mapagbantay.

Sa tuktok ng iyon, nararapat na tandaan na ang maraming mga solusyon sa pakikipagtulungan na ito ay may mga pahintulot na mga kontrol upang labanan laban sa eksaktong uri ng bagay na ito. Maaari mong higpitan ang mga pahintulot sa kung ano ang maaaring pagsama ng mga pagsasama sa mga app na ito at kung sino ang kumokontrol sa kanila. Kung na-configure mo ang mga pahintulot na ito, ini-imbak nito ang IT ng maraming gawain ng pagkakaroon upang subaybayan kung ano ang naka-install na mga app.