Video: RSAC - Твоя Россия (Nobyembre 2024)
Sa makapal na dingding nito, napakalaking mga vault, at detalye ng seguridad sa bahay, ang isang luma na gusali ng bangko ay ang tunay na larawan ng solidong. Ang mga online na bangko at institusyong pampinansyal ay hindi nagbabahagi ng antas ng pisikal na seguridad. Sa katunayan, sa pamamagitan ng mga koneksyon sa mga kasosyo sa ikatlong partido ang mga gilid ng naturang institusyon ay maaaring maging mapang-api talaga. Sa RSA Conference sa San Francisco, pinakawalan ng Lookingglass Cyber Solutions ang isang pag-aaral na nagpapakita ng isang nakakagulat na kawalan ng seguridad sa mga nagbebenta ng third-party.
Ang ganitong uri ng problema ay sa balita kamakailan. Ang napakalaking paglabag sa data ng Black Friday sa Target, na orihinal na naisip na isang "loob ng trabaho, " ay naging orihinal na pinagmulan ng ikatlong partido. Partikular, ang pag-atake ay dumating sa pamamagitan ng tagapagbigay ng Target ng mga serbisyo ng HVAC. Inilarawan ito ng may-ari ng kumpanya bilang "isang sopistikadong operasyon ng pag-atake sa cyber, " ngunit ang data mula sa Lookingglass ay nagmumungkahi na ang pagiging sopistikado ay hindi palaging kinakailangan.
100 porsyento na peligro
Upang makuha ang data para sa pag-aaral na ito, sinubaybayan ni Lookingglass ang "mga processors sa pagbabayad, auditors at iba pang mga serbisyo sa pananalapi sa loob ng chain ng supply ng pinansya." Ang pag-aaral ay naganap sa loob ng 35-araw na panahon sa ika-apat na quarter ng 2013, at natagpuan na 100 porsyento ng mga third-party network ay "nagpakita ng alinman sa mga palatandaan ng kompromiso o nadagdagan ang panganib."
Nakita ng mga mananaliksik ng Lookingglass na lumalabas ang trapiko ng botnet at malisyosong pag-uugali sa network sa ganap na 75 porsyento ng mga network ng third-party. Ang nakakagulat talaga. Mas masahol pa, 25 porsiyento ng kabuuang nagpakita ng mga palatandaan ng impeksyon ng Zeus banking Trojan. At ang ilan sa mga ikatlong partido na ito mismo ay umaasa sa iba pang mga ikatlong partido, pinatataas ang pagkakataon ng isang paglabag.
Masyadong Maraming Mga Pintuan
"Ang pag-aaral na ito ay nagtatampok ng isang kahinaan na ang industriya ay nag-aatubili upang pag-usapan sa publiko - ang katotohanan na ang pinagkakatiwalaang mga third party ay hindi dapat at hindi tunay na mapagkakatiwalaan, " sabi ni Chris Coleman, CEO ng Lookingglass. "Ang mga pandaigdigang samahan … dapat tumingin sa labas ng kanilang sariling mga nagtatanggol na perimeter at isaalang-alang ang pagsubaybay sa kanilang pampublikong presensya sa Internet upang mas maunawaan ang kanilang pag-atake sa ibabaw."
Ang magandang lumang gusali ng bangko na ito ay may ilang mga pintuan hangga't maaari, at ang bawat matibay na pinto ay nilagyan ng isang alarm system at security camera. Para sa isang online na institusyong pinansyal, ang bawat koneksyon sa third-party ay isang pintuan na maaaring hayaan lamang na ang mga cyber-criminal ay pumapasok. Masasama, maaari itong maging mahirap na mapagtanto kahit na mayroong tulad ng isang portal. Sino ang mag-iisip na ang mga umaatake ng Target ay maaaring pumasok sa pamamagitan ng kontratista ng HVAC? Ang buong ulat ay napupunta sa mas detalyado, para sa mga interesado.
Malinaw ang aralin. Ang iyong online na institusyon ay ligtas lamang bilang mga nagbibigay ng third-party na ito, kaya gusto mong lubusan nang ma-vet ang mga tagapagbigay ng serbisyo. Tumawag para sa isang pag-audit, o gumamit ng isang serbisyo tulad ng Lookingglass na sinusuri ang seguridad ng "buong enterprise cyber ecosystem ng isang kliyente kasama ang pinalawak na negosyo, at iba pang mga network na lampas sa kanilang kontrol." Ang mga website na tumpak na nagpapalawak ng seguridad sa pinakadulo ng kanilang saklaw ng impluwensya ay nakaupo nang maayos habang ang kanilang mga kakumpitensya ay nagdurusa pagkatapos ng paglabag.
