Статьи по теме
  •  

     

    Phishing: Интересное Завихрение На Общем Жульничестве

    После Двух Оценок Безопасности я Должен Быть Безопасным, правильно?
    ---------------------------------------
    Предположите, что Вы - Конгресс производственных профсоюзов США национального финансового учреждения, и Вы недавно развернули государство художественного операционного обслуживания онлайн для Ваших клиентов. Чтобы удостовериться периметр сети Вашей компании безопасен, Вы выполняли две внешних оценки безопасности и тесты проникновения. Когда заключительное сообщение вошло, Вашей компании дали законопроект с поправками здоровья. Сначала, Вы чувствовали себя освобожденными, и уверенными в Ваших мерах по безопасности. Коротко после того, Ваше облегчение, превращенное, чтобы коснуться. "Действительно возможно, что мы полностью безопасны?" Учитывая Вы - скептицизм, Вы решаете получить еще одно мнение.

    День испытательной поставки сообщения о проникновении теперь под рукой. Основанный на предыдущих оценках, Вы ожидаете получать только положительную информацию......

    Результаты Менее Чем Нравились
    -----------------------------------
    Во время этого теста проникновения было несколько интересных результатов, но мы собираемся сосредоточиться на том, который пробил бы ветер из любого ответственного за безопасность систем онлайн. Особенно, если Вы находитесь в бизнесе денег.

    Большинство людей знакомо с термином "Phishing". Словарь. com определяет слово Phishing как "практика соблазнения не подозревающих интернет-пользователей к поддельному Вебсайту при использовании подлинно-выглядящей электронной почты с эмблемой реальной организации, в попытке украсть пароли, финансовую или личную информацию, или ввести вирусное нападение; создание точной копии Вебсайта для того, чтобы дурачить не подозревающих интернет-пользователей в передачу личной или финансовой информации или паролей". Хотя СПАМ / и прямой компромисс сервера сети незапрашиваемой электронной почты является большинством общепринятых методик Phishing. Есть другие способы достигнуть этой мошеннической деятельности.

    Интернет-Компромисс Маршрутизатора Делает В течение Плохого Дня
    ----------------------------------------------
    В этом случае, интернет-маршрутизатор поставился под угрозу при использовании известной уязвимости СИГА. Как только это было достигнуто, небо было пределом до того, что могло быть сделано, чтобы воздействовать на организацию. Даже при том, что сервер сети компании был безопасен, и Брандмауэр, который защищал сервер сети, формировался соответственно, что имело место, затем сделал эти системы защиты несоответствующими.

    Вместо того, чтобы настроить двойной участок логина на внешней системе, затем отсылая СПАМ, чтобы соблазнить клиента бросать их пользовательское удостоверение личности, пароль, и номера счета, другой подход, был проявлен намного более низкий подход.

    Phishing Для Личной Или Финансовой Информации
    ----------------------------------------------
    Вы помните, что маршрутизатор, который поставился под угрозу? Для доказательства целей понятия конфигурация маршрутизатора была изменена, чтобы отправить все интернет-движение, направляющееся в законный сервер сети, к другому серверу сети, где пользовательское удостоверение личности, пароль, и информация счета могли быть собраны. В первый раз, когда эта информация была введена, клиент получит неоднозначную ошибку. Во второй раз загруженная страница, поддельный сервер сети переадресовывала клиента к реальному участку. Когда пользователь повторно ввел требуемую информацию, все работало только прекрасное.

    Никто, не у клиента, ни компании не было идеи, что кое-что низкое продолжалось. Никакие звонки или свист не ушли, никто не подверг сомнению ошибку. Почему был бы они, они, возможно, вставили неправильный пароль, или это было вероятно типичная ошибка на веб-странице, с которой все имеют дело время от времени.

    В этом пункте Вы можете позволить своему воображению вступать во владение. Нападавший, возможно, не продвигается и использует информацию, собранную сразу же. Это могли быть дни или за недели до того, как это будет использоваться. Любой след того, что фактически имело место, чтобы собрать информацию, наиболее вероятно будет историей.

    Что Делает Вас, Действительно Выходят из Оценок Безопасности
    --------------------------------------------------
    Я не могу сказать Вам, сколько времен мне подарили сообщения об оценке безопасности, которые являются в значительной степени информационной продукцией от автоматизированной безопасности стандартного или открытого источника анализатор. Хотя нападавший может использовать те же самые или подобные инструменты во время нападения, они исключительно не полагаются на эту информацию, чтобы достигнуть их цели. Эффективный тест проникновения или оценка безопасности должны быть выполнены кем-то, кто понимает не только "уязвимость безопасности" и как управлять стандартными инструментами. Человек, выполняющий оценку, должен сделать настолько вооруженный инструментами и опытом, который встречает или превышает те, потенциальный нападавший имел бы.

    Заключение
    ----------
    Являетесь ли Вы маленьким, средний, большая компания, Вы должны быть очень осторожными относительно того, кого Вы решаете, больше всего квалифицирован, чтобы выполнить обзор систем защиты безопасности Вашей компании, или профиль безопасности. Только, потому что организация дарит Вам верительные грамоты, такие как консультанты с их CISSP....., это не означает, что у этих людей есть любой опыт реального мира. Все свидетельства в мире не могут уверить Вас результаты, которые Вы получаете от привлечения в оценку безопасности, полны / полный. Получение второго мнения соответствующее данный, что может быть под угрозой. Если бы Вы не чувствовали хорошо, и знали, что кое-что было неправильным с Вами, то Вы согласились бы только на мнение одного Доктора?

    Весьма искренне, я никогда не встречал хакера (я знаю, что мной хлопнуть для того, чтобы использовать этот термин, я всегда делаю), у которого есть свидетельство, заявляя, что они знают то, что они делают. Они знают то, что они делают, потому что они сделали это, много раз, и имеют полное понимание систем сети и программного обеспечения. Вдобавок ко всему, одна вещь, у них нет того никакого класса или свидетельства, может преподавать Вам, воображение.

    Об Авторе
    ----------------



     
    Меню