Nowa jakość w bezpieczeństwie danych :)

Spotkaliście się wcześniej ze steampunkiem? Za pl.wikipedia.org:

Steampunk – odmiana fantastyki naukowej, specyficzna, boczna gałąź cyberpunku. W przeciwieństwie do cyberpunku, technologia otaczająca bohaterów nie jest oparta na elektronice lecz na mechanice (np. odpowiednikiem komputera jest maszyna różnicowa). Akcja utworów steampunkowych przeważnie rozgrywa się w epoce wiktoriańskiej – erze rewolucji technicznej, wieku pary (stąd nazwa gatunku: steam, ang. – para), w której historia potoczyła się inaczej niż w naszych dziejach. Dzięki temu steampunk zalicza się także do nurtu tzw. historii alternatywnej.

Zastanawiacie się jak wyglądało by bezpieczeństwo IT w epoce pary? Dzięki steampunker.ru możemy zobaczyć to na własne oczy. Po ustawieniu

właściwej kombinacji liczb, możemy używać pamięci flash wewnątrz. Mi Przypomina on Cryptex – narzędzie do przechowywania wrażliwych informacji z książek Dana Browna. Jedyna różnica jest taka, że w tym przypadku pendrive nie zostanie zniszczony, jeżeli spróbujemy go otworzyć siłą. Na razie powstał tylko jedno takie urządzenie, ale myślę, że część firm czegoś takiego może poszukiwać – zamiast blokować dostęp do portów USB dla pracowników, mogą pozwolić na przenoszenie wrażliwych danych na tak zabezpieczonych pamięciach.

Ewentualnie zawsze pozostaje szyfrowanie pamięci USB np. dzięki Easy Lock lub o krok dalej, kontrolowanie przenoszonych plików – np. dzięki Endpoint Protector. Zasada jest prawie ta sama – nie da się otworzyć zawartości bez odpowiedniego hasła. A i szyfrowanie może być tańsze od produkcji takich cudeniek z mosiądzu.

 

Po co kradnie się dane? Dla okupu!

Serio - technologie.gazeta.pl opisuje przypadek, gdzie haker włamał się na serwer firmy telekomunikacyjnej, żeby wykraść wrażliwe dane. Dysponował zaawansowanym sprzętem i dokładnie wiedział, co chce osiągnąć.

W zamian za zwrot danych przestępcy zażądali od poszkodowanej spółki pieniędzy w kwocie około 100 tys. zł. Okup miał być przekazany w Krakowie, pod Wawelem. Miał go odebrać 19-letni wspólnik hakera

przekazał PAP nadkomisarz Janusz Jończyk w imieniu śląskiej policji. Współpracując z departamentem bezpieczeństwa, śledczy byli w stanie powstrzymać przestępców.

Szczerze mówiąc, pierwszy raz spotkałem się z taką sytuacją, gdzie zamiast sprzedać dane dalej, przestępca zażądał ich zwrotu. Ciekaw jestem, o ile za mało wycenił to co wykradł – podobno znajdowały się tam nawet informacje o klientach.

You hit the jackpot

Jakiś czas temu, całkiem głośno było o danych wykradzionych z Citybanku. Jak myślicie, jakich umiejętności potrzebowali hakerzy, którzy tego dokonali? Sporo tego jest, nie tylko muszą się orientowac jakie zabezpieczenia działaja w bankach, ale także znać się chociaż trochę na programowaniu, a do tego wykazać się cierpliwością i kreatywną postawą.

Jak myślicie? Czy w takim razie kradzież pieniędzy z banku jest trudniejsza? Czy żeby ukraść fundusze klientów banku potrzeba więcej pracy? No w tym jest cały problem – wcale nie.  Adres WWW w serwisie banku zawierał numer konta. Podmieniając go, nie wzbudzaliśmy żadnych podejrzeń, bo konto nie musiało należeć do użytkownika, które zautoryzował swoje konto, logując się do systemu.

W ten sposób kreatywni włamywacze, w mniejszym stopniu polegając na wiedzy o zabezpieczeniach, otrzymali dostęp do ponad 300 000 kont. Z części z nich przetransferowali 2 700 000 dolarów – ofiarą padli właściciele około 1000 kont.

Ciekawe jest to, że bank zgodził się pokryć wydatki związane z odszkodowaniami dla klientów, a wcześniej „oszczędzał” na naprawie dziurawego systemu. Płynie z tego jeden wniosek:  nawet wcześniejsze straty mogą nie być nauczką dla instytucji, jeżeli chodzi o bezpieczeństwo danych jej klientów.

 

Nowa, ponadnarodowa agencja.

Ostatnie miesiące przyniosły dość sporo zmian, jeżeli chodzi o zaufanie do niektórych dostawców usług w internecie (PlayStation Network), ataki na pewne instytucje rządowe etc. Anonymous i LulzSec to dwie grupy, które bardzo mocno naraziły się administratorom bezpieczeństwa i sprawiły, że zupełnie inaczej patrzymy na to, co może się stać z naszymi danymi.

Stąd pomysł zawiązania międzynarodowej grupy, właściwie to organizacji pozarządowej, która połączy działania różnych instytucji – śledczych np. EuroPolu, rządów, a także firm specjalizujących się w dziedzinie bezpieczeństwa. Jej rola to przede wszystkim wymiana informacji między zaangażowanymi podmiotami.

Z dniem 5 lipca organizacja International Cyber Security Protection Alliance została oficjalnie założona w Londynie. Teraz czekamy na rezultaty.

Z jednej strony mamy romantyczny obraz hakera, który sprzeciwia się establishmentowi, z drugiej strony konglomerat korporacji, rządów zachodnich Państw i ponadnarodowych służb bezpieczeństwa. LulzSec na facebook.com ma ponad 11 000 fanów, EuroPol – niewiele ponad 300.

Ważne tylko, żeby nasze własne dane były bezpieczne.

PICNIC – czyli przed idiotyzmem nic nas nie obroni

Słyszeliście kiedyś ten akronim – „problem in chair, not in computer”?

Chodzi po prostu o to, że nie ważne jak dobrze zabezpieczymy swoje pliki, nie ważne ile wydamy na zakup rozwiązań bezpieczeństwa, zawsze znajdzie się jeden użytkownik, który sprawi, że nasze dane mogą trafić w niepowołane ręce.

bloomberg.com opisuje pewną kampanię, stworzoną przez instytucję rządową – departament bezpieczeństwa wewnętrznego. Mechanizm był bardzo prosty – personel „rozrzucił” twarde dyski, płyty CD, pamięci flash na parkingach instytucji rządowych i prywatnych firm, dostarczających im rozwiązania. Jaki był tego cel? Przede wszystkim sprawdzenie czy hakerzy mogą tym kanałem dotrzeć do poufnych informacji.

Wynik przerósł najśmielsze oczekiwania. Właściwie to udowodnił jak bardzo bezmyślni mogą  być pracownicy – do komputerów podłączone zostało 60% procent urządzeń pozostawionych na parkingach. Jeśli chodzi o te urządzenia, które miały oficjalne logo, było to 90% urządzeń. Pełen raport badania ujrzy światło dzienne w drugiej połowie roku, ale już teraz wyniki skłaniają do myślenia.

„Wkładając” nie autoryzowane urządzenie, użytkownik naraża całą siec na niebezpieczeństwo utraty, bądź zniszczenia danych. Mała i prosta rzecz, a tak wiele osób o tym zapomina.

Dlatego właśnie największe zagrożenie dla bezpieczeństwa siedzi przed komputerem na krześle.

Co z tym można zrobić? Jest sporo sposobów. Jeżeli chodzi o urządzenia przenośne – to przede wszystkim ich kontrola. W prosty sposób można zablokować wszystkie porty USB w firmowych komputerach. Bardziej sprytny administrator będzie wiedział, że to doprowadzi do małego chaosu w firmie – dlatego dobrym rozwiązaniem jest odpowiednie rozwiązanie do kontroli, np. Endpoint Protector, produkowany przez CoSoSys. Wprowadza nam 2 różnice – nie blokujemy a autoryzujemy odpowiednie urządzenia, odpowiednim użytkownikom i z drugiej strony monitorujemy to co się dzieje, łącznie z przenoszonymi plikami, żeby wiedzieć, kiedy reagować.