Sleutel wegneemetes
- Twee onlangse verslae beklemtoon dat aanvallers toenemend agter die swakste skakel in die sekuriteitsketting aangaan: mense.
- Kenners glo die bedryf moet prosesse instel om mense te laat voldoen aan die beste praktyke vir sekuriteit.
-
Behoorlike opleiding kan toesteleienaars in die sterkste verdedigers teen aanvallers verander.
Baie mense besef nie die omvang van sensitiewe inligting in hul slimfone nie en glo dat hierdie draagbare toestelle inherent veiliger as rekenaars is, volgens onlangse verslae.
Terwyl die hoofkwessies wat slimfone teister, gelys word, dui verslae van Zimperium en Cyble albei aan dat geen hoeveelheid ingeboude sekuriteit genoeg is om te verhoed dat aanvallers 'n toestel in gevaar stel as die eienaar nie stappe doen om dit te beveilig nie.
"Die grootste uitdaging, vind ek, is dat gebruikers nie daarin slaag om 'n persoonlike verbinding van hierdie beste sekuriteitspraktyke met hul eie persoonlike lewens te maak nie," het Avishai Avivi, CISO by SafeBreach, per e-pos aan Lifewire gesê. "Sonder om te verstaan dat hulle 'n persoonlike belang het om hul toestelle veilig te maak, sal dit steeds 'n probleem wees."
Mobile Threats
Nasser Fattah, Noord-Amerika-bestuurskomiteevoorsitter by Shared Assessments, het per e-pos aan Lifewire gesê aanvallers soek slimfone omdat hulle 'n baie groot aanvaloppervlak bied en unieke aanvalvektore bied, insluitend SMS-phishing, of smishing.
Verder word gereelde toesteleienaars geteiken omdat dit maklik is om te manipuleer. Om sagteware in die gedrang te bring, moet daar 'n ongeïdentifiseerde of onopgeloste fout in kode wees, maar klik-en-aas sosiale ingenieurswese taktiek is immergroen, het Chris Goettl, VP van produkbestuur by Ivanti, per e-pos aan Lifewire gesê.
Sonder om te verstaan dat hulle 'n persoonlike belang het om hul toestelle veilig te maak, sal dit steeds 'n probleem wees.
Die Zimperium-verslag merk op dat minder as die helfte (42%) van die mense hoë-prioriteit-oplossings toegepas het binne twee dae vanaf hul vrylating, 28% benodig tot 'n week, terwyl 20% soveel as twee weke neem om lap hul slimfone aan.
"Eindgebruikers hou oor die algemeen nie van opdaterings nie. Hulle ontwrig dikwels hul werk (of speel) aktiwiteite, kan gedrag op hul toestel verander en kan selfs probleme veroorsaak wat 'n langer ongerief kan wees," meen Goettl.
Die Cyble-verslag het 'n nuwe mobiele trojaan genoem wat tweefaktor-verifikasie (2FA)-kodes steel en deur 'n vals McAfee-toepassing versprei word. Die navorsers besef die kwaadwillige toepassing word via ander bronne as die Google Play Winkel versprei, wat iets is wat mense nooit moet gebruik nie, en vra vir te veel toestemmings, wat nooit toegestaan moet word nie.
Pete Chestna, CISO van Noord-Amerika by Checkmarx, glo dat dit ons is wat altyd die swakste skakel in sekuriteit sal wees. Hy glo dat toestelle en toepassings hulself moet beskerm en genees of andersins bestand teen skade moet wees, aangesien die meeste mense nie gepla kan word nie. Volgens sy ervaring is mense bewus van die beste sekuriteitspraktyke vir dinge soos wagwoorde, maar kies om dit te ignoreer.
"Gebruikers koop nie op grond van sekuriteit nie. Hulle gebruik [dit] nie op grond van sekuriteit nie. Hulle dink beslis nooit aan sekuriteit totdat slegte dinge persoonlik met hulle gebeur het nie. Selfs na 'n negatiewe gebeurtenis, hul herinneringe is kort," het Chestna opgemerk.
Toesteleienaars kan bondgenote wees
Atul Payapilly, stigter van Verifiably, kyk daarna uit 'n ander oogpunt. Die lees van die verslae herinner hom aan die AWS-sekuriteitsvoorvalle wat gereeld aangemeld word, het hy per e-pos aan Lifewire gesê. In hierdie gevalle het AWS gewerk soos ontwerp, en die oortredings was eintlik die gevolg van slegte toestemmings wat gestel is deur die mense wat die platform gebruik. Uiteindelik het AWS die ervaring van die opstelling verander om mense te help om die regte toestemmings te definieer.
Dit vind aanklank by Rajiv Pimplaskar, uitvoerende hoof van Dispersive Networks. "Gebruikers is gefokus op keuse, gerief en produktiwiteit, en dit is die kuberveiligheidsbedryf se verantwoordelikheid om op te voed, sowel as 'n omgewing van absolute sekuriteit te skep, sonder om gebruikerservaring in te boet."
Die bedryf moet verstaan dat die meeste van ons nie sekuriteitsmense is nie, en daar kan nie van ons verwag word om die teoretiese risiko's en implikasies van die versuim om 'n opdatering te installeer te verstaan nie, glo Erez Yalon, VP van Sekuriteitsnavorsing by Checkmarx. “As gebruikers’n baie eenvoudige wagwoord kan indien, sal hulle dit doen. As sagteware gebruik kan word alhoewel dit nie opgedateer is nie, sal dit gebruik word, het Yalon per e-pos met Lifewire gedeel.
Goettl bou hierop voort en glo dat 'n doeltreffende strategie kan wees om toegang van toestelle wat nie voldoen nie, te beperk. Byvoorbeeld, 'n tronkgebreekte toestel, of een wat 'n bekende slegte toepassing het, of wat 'n weergawe van die bedryfstelsel gebruik waarvan bekend is dat dit blootgestel is, kan almal gebruik word as snellers om toegang te beperk totdat die eienaar die sekuriteitfaux pas regstel.
Avivi glo dat hoewel toestelverkopers en sagteware-ontwikkelaars baie kan doen om te help om dit waaraan die gebruiker uiteindelik blootgestel sal word te minimaliseer, daar nooit 'n silwer koeël of 'n tegnologie sou wees wat wetware werklik kan vervang nie.
"Die persoon wat dalk op die kwaadwillige skakel klik wat dit verby al die outomatiese sekuriteitskontroles gemaak het, is dieselfde een wat dit kan rapporteer en vermy om deur 'n nul-dag of 'n tegnologie blindekol geraak te word," het Avivi gesê.
