Téma Čo je dnes jednoduchšie z pohľadu útočníka, ak chce získať (citlivé) dáta alebo informácie z organizácie?
Téma Skúsiť sa nabúrať do systémov spoločnosti a prebíjať sa cez technologické bezpečnostné prvky, ktoré sú postavené v niekoľkých radách za sebou?
Téma Alebo zahrať hru a spýtať sa priamo človeka z vnútra organizácie?
Ako sú chránené aktíva informácie? Firewall Antivírus PC IDS, IPS Autentizácia
Ako sú chránené aktíva informácie? Firewall Antivírus Človek IDS, IPS Autentizácia
Ako sú chránené aktíva informácie? Organizujete programy pre zvýšenie bezpečnostného povedomia zamestnancov a školenia o informačnej bezpečnosti? Len pri prijatí nového zamestnanca 25% 14% 27% 34% Nie, neorganizujeme školenia o informačnej bezpečnosti Áno, systematicky vzdelávame zamestnancov Len v prípade výskytu bezpečnostného incidentu
Prečo absolvovať vzdelávanie?
Sociálne inžinierstvo Čo je sociálne inžinierstvo? Prečo by ma to malo zaujímať? Prečo to funguje? Ako to funguje v praxi - príklady...a čo s tým môžeme urobiť? Služby ESET
Čo je sociálne inžinierstvo? Ovplyvňovanie ľudí tak, aby vykonali kroky, ktoré môžu alebo nemusia byť v ich záujme. V kontexte informačnej bezpečnosti: Netechnický typ útoku, založený hlavne na interakcii s človekom, zahŕňa manipuláciu človeka tak, aby porušil bezpečné postupy, vykonal požadovanú akciu, vyzradil citlivé informácie a pod., pričom cieľom je získanie informácií, alebo prístupu do informačného systému.
Prečo by nás to malo zaujímať? Aký bol podľa Vášho názoru dôvod, ktorý spôsobil výskyt bezpečnostných incidentov vo Vašej organizácii? (Možnosť vybrať viacero odpovedí) Konanie zamestnancov 63% Škodlivý kód Zlyhanie dodávky služieb tretích strán Chyba používanej technológie (SW, HW) Nezaznamenali sme bezpečnostný incident Nedostatok zdrojov pre riadenie bezpečnosti 33% 27% 23% 20% 15% Iné dôvody Environmentálne vplyvy 5% 3% 0% 10% 20% 30% 40% 50% 60% 70%
Prečo funguje? lebo sme ľudia kognitívna predpojatosť/sklon ku chybe (cognitive biases) náklonnosť k chybným rozhodnutiam na systematickej a predvídateľnej báze pramení z nesprávneho zberu, analýzy a použitia informácií zlý úsudok, nelogický výklad, iracionalita dôvera, rešpektovanie autorít, ochota pomáhať, pocit záväzku, vidina získania výhody, vyhýbanie sa konfliktom potreba mať kľud, konzistentnosť, sympatie, stres, strach...
Ako to funguje v praxi... 1. Útočník vie čo chce získať 2. Vyberie si ľahšiu cestu pre útok cez ľudí 3. Pozbiera dostupné informácie 4. Pripraví si plán útoku v ktorom: využije zozbierané informácie zneužije psychologické aspekty a vyberie si spôsob útoku: phishing telefón fyzický prienik prenosné médiá prehľadávanie odpadkov
Poznáme aj z médií
Témy školení: Sociálne siete
Príklady z našej praxe Kontaktné telefónne číslo (webová stránka) Developerská a správcovská spoločnosť (google) Správa budovy Bezpečnostný manažér Telefonický test zaslanie interného telefónneho zoznamu Developerská a správcovská spoločnosť (google) Priestory spoločnosti (webová stránka + Flickr) Meno a mobilné telefónne číslo konateľa a mená zamestnancov (interný telefónny zoznam) Správa budovy Požiarny technik Fyzický prienik & prenosné médiá
Príklady z našej praxe Mená zamestnancov (interný telefónny zoznam) Formát emailových adries (datamining, email s interným tel. zoznamom) Prezývka bývalej kolegyne (Flickr) Email bývalej kolegyne (datamining) Získané ocenenie (webová stránka) Bývalá kolegyňa gratuluje k nominácii Phishingový test podvrhnutá linka
Príklady z našej praxe Kto prenajíma priestory v budove? (google) Aký je upratovací servis a kde sú kontajnery? (telefonicky od prenajímateľa, SBSka, fyzická obhliadka) Kontaktné telefónne číslo (webová stránka) Aké ďalšie firmy sídlia v budove? (fyzická obhliadka) Kto vám upratuje? (telefonicky na kontaktnom čísle spoločnosti) Kedy sa upratuje a vynášajú smeti? (SBSka, upratovacia firma) Človek, ktorý omylom niečo vyhodil Prehľadanie odpadkov získanie citlivých informácii
Čo s tým môžeme robiť? Budovať bezpečnostné povedomie uvedomiť si hrozbu a poznať jej metódy robiť awareness program dobre chápať hodnotu informácie a kriticky myslieť Aktualizovať softvér Definovať interné postupy Vykonávať testy sociálnym inžinierstvom a učiť sa z nich
Načo nám bude test? aké informácie môže neoprávnená osoba získať kam až sa môže neoprávnená osoba dostať aká je možnosť spustenia škodlivého kódu / inštalácie neautorizovaného zariadenia
Služby ESET Test sociálnym inžinierstvom Výkon testovania blackbox whitebox Použité techniky phishing test telefonický test test s prenosnými médiami fyzický prienik do priestorov prehľadávanie odpadkov
Phishing test Cieľ: aká je možnosť spustenia škodlivého kódu (linka, príloha) aké informácie je možné získať Realizácia: email s linkou alebo prílohou a logovanie na webserveri email so žiadosťou o zaslanie informácií Výstup: štatistiky kliknutí na linku, či otvorenia/spustenia prílohy získané informácie
Telefonický test Cieľ: aké informácie je možné získať Realizácia: získanie podporných informácií pre scenáre získanie prístupových údajov dohodnutie zaslania citlivých informácii Výstup: štatistiky úspešnosti získania informácii získané informácie
Test prenosnými médiami Cieľ: aká je možnosť spustenia škodlivého kódu (CD, USB) Realizácia: v priestoroch organizácie zanechané prenosné médiá neoznačené / s atraktívnym označením logovanie spustenia na webserveri Výstup: štatistiky spustenia
Fyzický prienik do priestorov Cieľ: možnosť prieniku do rôznych priestorov k akým informačným aktívam je možné sa dostať Realizácia: pokus dostať sa do rôzne chranených priestorov overenie clear desk & clear screen Výstup: dôkaz o prieniku (napr. fotografie, nálepky) získané informácie
Prehľadávanie odpadkov Cieľ: aké informácie je možné získať a neboli zlikvidované Realizácia: hľadanie citlivých nezlikvidovaných dát získanie podporných informácií pre scenáre Výstup: získané informácie
Čo testom získame? reálnu skúsenosť s tým, čo sa môže stať reálnu predstavu o dopadoch priamu identifikáciu slabých miest predstavu o vhodných bezpečnostných opatreniach okamžité zvýšenie bezpečnostného povedomia zamestnancov materiál pre budovanie bezpečnostného povedomia
Ďalšie služby ESET riadenie IB Konzultačná podpora / projekt Budovanie ISMS Bezpečnostná politika a smernice Analýza rizík Návrh a plán ošetrenia rizík, BIA Bezpečnostné projekty Kontinuita činností (BCM, DRP) Príprava na certifikáciu ISO 27001 Outsourcing Bezpečnostného manažéra
Ďalšie služby ESET kontrola stavu IB Kontrola stavu IB/ Audit Interný audit Audit voči dobrej praxi (ISO 27002) Audit voči legislatívnym požiadavkám Penetračné testovanie Test sociálnym inžinierstvom Predcertifikačný audit (ISO 27001)
Q & A Priestor pre Vaše otázky?