Võtmed kaasavõtmiseks
- Kaks hiljutist aruannet rõhutavad, et ründajad otsivad üha enam turvaahela nõrgimat lüli: inimesi.
- Eksperdid usuvad, et tööstus peaks juurutama protsesse, et panna inimesed järgima parimaid turvatavasid.
-
Õige väljaõpe võib muuta seadmeomanikud tugevaimaks kaitsjaks ründajate vastu.
Paljud inimesed ei mõista oma nutitelefonides sisalduva tundliku teabe ulatust ja usuvad, et need kaasaskantavad seadmed on oma olemuselt turvalisemad kui arvutid, vastav alt hiljutistele aruannetele.
Nutitelefone vaevavate peamiste probleemide loetlemisel näitavad nii Zimperiumi kui ka Cyble'i aruanded, et ühestki sisseehitatud turvalisusest ei piisa, et takistada ründajatel seadet ohustamast, kui omanik selle turvalisuse tagamiseks samme ei võta.
"Minu arvates on peamine väljakutse see, et kasutajad ei suuda neid turvalisuse parimaid tavasid isiklikult oma isikliku eluga siduda," ütles SafeBreachi CISO Avishai Avivi Lifewire'ile meili teel. "Ilma aru saamata, et neil on isiklik osalus oma seadmete turvaliseks muutmises, jääb see probleem endiselt."
Mobiili ohud
Nasser Fattah, Shared Assessmentsi Põhja-Ameerika juhtkomitee esimees, ütles Lifewire'ile e-posti teel, et ründajad otsivad nutitelefone, kuna need pakuvad väga suurt rünnakupinda ja pakuvad ainulaadseid ründevektoreid, sealhulgas SMS-i andmepüüki või pihta.
Lisaks sihitakse tavalisi seadmeomanikke, kuna nendega on lihtne manipuleerida. Tarkvara ohustamiseks peab koodis olema tuvastamata või lahendamata viga, kuid kliki ja peibutussööt on igihaljas, ütles Ivanti tootehalduse asepresident Chris Goettl Lifewire'ile e-posti teel.
Ilma aru saamata, et neil on isiklik osalus oma seadmete turvaliseks muutmises, jääb see probleemiks.
Zimperiumi aruanne märgib, et vähem kui pooled (42%) inimestest rakendasid esmatähtsaid parandusi kahe päeva jooksul pärast nende avaldamist, 28% vajas kuni nädala, samas kui 20% inimestest kulub kuni kaks nädalat. parandage oma nutitelefone.
"Lõppkasutajatele üldiselt värskendused ei meeldi. Nad segavad sageli oma töö- (või mängu-) tegevusi, võivad muuta oma seadme käitumist ja isegi põhjustada probleeme, mis võivad pikemaks ajaks ebamugavust tekitada," arvas Goettl..
Cyble'i aruandes mainiti uut mobiilset troojalast, mis varastab kahefaktorilise autentimise (2FA) koode ja mida levitatakse võltsitud McAfee rakenduse kaudu. Teadlased mõistavad, et pahatahtlikku rakendust levitatakse muudest allikatest peale Google Play poe, mida inimesed ei tohiks kunagi kasutada, ja küsib liiga palju lubasid, mida ei tohiks kunagi anda.
Pete Chestna, Checkmarxi Põhja-Ameerika CISO, usub, et meie oleme alati turvalisuse nõrgim lüli. Ta usub, et seadmed ja rakendused peavad end kaitsma ja ravima või olema muul viisil kahjustuste suhtes vastupidavad, kuna enamik inimesi ei saa sellest häirida. Tema kogemuse kohaselt on inimesed teadlikud selliste asjade nagu paroolide turvalisuse parimatest tavadest, kuid otsustavad neid ignoreerida.
"Kasutajad ei osta turvalisusest lähtuv alt. Nad ei kasuta [seda] turvalisuse põhjal. Kindlasti ei mõtle nad kunagi turvalisusele enne, kui nendega on juhtunud halbu asju. Isegi pärast negatiivset sündmust, nende mälestused on lühikesed," märkis Chestna.
Seadmeomanikud võivad olla liitlased
Atul Payapilly, ettevõtte Verifiably asutaja, vaatab seda teisest vaatenurgast. Aruannete lugemine tuletab talle meelde sageli teatatud AWS-i turvaintsidente, ütles ta Lifewire'ile e-posti teel. Nendel juhtudel töötas AWS kavandatud viisil ja rikkumised olid tegelikult platvormi kasutavate inimeste poolt määratud halbade lubade tagajärg. Lõpuks muutis AWS konfiguratsiooni kogemust, et aidata inimestel õigeid õigusi määratleda.
See vastab Rajiv Pimplaskarile, Dispersive Networksi tegevjuhile. "Kasutajad on keskendunud valikule, mugavusele ja tootlikkusele ning küberturvalisuse tööstuse kohustus on harida ja luua absoluutse turvalisusega keskkond, ilma kasutajakogemust kahjustamata."
Tööstus peaks mõistma, et enamik meist ei ole turvainimesed ja me ei saa eeldada, et mõistame värskenduse installimata jätmise teoreetilisi riske ja tagajärgi, usub Erez Yalon, Checkmarxi turbeuuringute asepresident.. „Kui kasutajad saavad esitada väga lihtsa parooli, siis nad seda ka teevad. Kui tarkvara saab kasutada, kuigi seda ei värskendatud, siis seda kasutatakse, jagas Yalon Lifewire'iga meili teel.
Goettl tugineb sellele ja usub, et tõhus strateegia võiks olla mitteühilduvate seadmete juurdepääsu piiramine. Näiteks jailpurustatud seadet või seadet, millel on teadaolev alt halb rakendus või mis töötab OS-i versiooni, mis on teadaolev alt avatud, saab kasutada päästikutena juurdepääsu piiramiseks, kuni omanik parandab turvalisuse võltspassi.
Avivi usub, et kuigi seadmete müüjad ja tarkvaraarendajad saavad palju ära teha, et minimeerida seda, millega kasutaja lõpuks kokku puutub, poleks kunagi olemas hõbekuuli ega tehnoloogiat, mis võiks märgavara tõeliselt asendada.
"Isik, kes võib klõpsata pahatahtlikul lingil, mis läbis kõik automatiseeritud turvakontrollid, saab sellest teada anda ja vältida nullpäeva või tehnoloogia pimeala mõjutamist," ütles Avivi..
