Siden mobile computing sette en stopper for den gode gamle dager, da IT-avdelinger hadde absolutt kontroll over programvaren er utplassert i bedriften, har det vært en økning i de ansattes bruk av tredjeparts applikasjoner-en økning som utgjør en sikkerhetsrisiko for bedriftsmiljøer.
Det er et av funnene i en rapport
CloudLock lansert sist uke.
Antall tredje-parti apps koblet til bedriftens omgivelser økt med 30 kaste seg over de siste to årene, firmaet rapportert, fra 5,500 150 000 apps.
CloudLock rangert mer enn en fjerdedel av appene som finnes i virksomheten miljøer (27 prosent) som “høy risiko”, som betyr at de var mer sannsynlig enn andre apps til å åpne veier inn i en organisasjon for nettkriminelle.
Selskapene har ikke ignoreres at fare, CloudMark er forskere har også funnet. Mer enn halvparten av tredje-parti apps ble forbudt i mange arbeidsplasser på grunn av sikkerhetsmessige bekymringer.
Farlig Tillatelser
Alle tredjeparts-apper utgjør en risiko for bedriften, men en bestemt undergruppe av apper er spesielt risikabelt, i henhold til Ayse Kaya-Firat, direktør for kunden innsikt og analytics i CloudLock.
“Apps som berører bedriftens ryggrad er den mest risikable av alle skygge programmer,” fortalte hun TechNewsWorld.
Problemer oppstår fra de typer få tilgang til apper forespørsel fra brukere rett fra ios-Firat bemerket. “Når du ønsker å bruke dem, noen av dem ber deg om å autorisere dem til å bruke bedriftens legitimasjon. Når du gjør det du gi disse appene — og i forlengelsen av sine leverandører — tilgang til bedriftens nettverk.”
Apper kan utgjøre en risiko ikke bare når de blir brukt, men også når de ikke er.
“Jeg må gjøre det mulig for en app å få tilgang og to år senere, kan jeg ikke engang huske jeg har appen på telefonen min, men app fortsetter å ha programmatisk tilgang til alle dataene mine,” Kaya-Firat sa.
På grunn av størrelsen på utfordringen, organisasjoner trenger for å utvikle en høy grad av strategien for å ta skyggen app problem.
“De bare ikke kan gå over hvert enkelt program, ett etter ett, på grunn av veksten. De trenger spesifikk applikasjon-bruk politikk. De må bestemme hvordan de vil tillate eller forby programmer,” Kaya-Firat foreslått.
“De trenger å dele de beslutninger med sine sluttbrukere,” la hun til. “Det kan ikke være en hemmelig ting, fordi sluttbrukerne å ta handling på disse tingene på en dag-til-dag basis.”
Loose Lips Sink Hackere
Det er ingen hemmelighet at informasjon underverdenen ofte vedtar teknikker, prosesser og modeller fra de legitime verden til kriminelle formål. Slik er tilfellet med Operasjoner Sikkerhet, eller Opsec.
Ideen bak Opsec er en gammel en: Nekte dine motstandere informasjon de kan bruke til å skade deg. For hackere, som betyr å nekte myndigheter intelligens som kan føre til oppdagelse av deres aktiviteter, nedbygging av deres angrep infrastruktur, og eksponeringen av deres utsatte miljøer.
Nettkriminelle trening Opsec i en rekke måter, bemerket Rick Holland, vice president of strategi på
Digital Skygger.
For eksempel, lager de “legends” om seg selv-som er, falske identiteter for å hindre at politi eller andre hackere fra å spore dem.
“De som har modne Opsec vil ikke bruke noe som knytter sine personlige livet til legenden de har laget,” Holland fortalte TechNewsWorld.
De vil også prøve å skjule identiteten til den arbeidsstasjoner de bruker.
“De vil bruke spesialiserte operativsystemer designet for å bevare anonymitet,” Holland forklarte.
De vil forsøke å obfuscate nettverkstilkoblinger, også.
“De vil gjøre sine onde fra offentlige hotspots og forfalske sin MAC-adresse slik at de ikke kan spores fra loggene for hotspot,” Holland sa.
Som noen av midler for å opprettholde Opsec bli mer sårbare for kompromiss — som har skjedd med Tor og bitcoin — hackere vil behovet for å ha en annen legitim teknikk for å bevare deres sikkerhet.
“Nettkriminelle vil behovet for å vedta en “forsvar i dybden’ strategi,” sier Holland. “Det er noe de trenger å gjøre i hele sitt spekter av mennesker, prosesser og teknologi.”
Skrive Hacker-Håndbok
Ransomware ikke bare har tiltrukket seg mange utøvere i informasjon underverdenen, men har også endret lang holdt forventninger om å tiltrekke fortjeneste fra online-svindel.
“Ransomware har endret hele modell for hvordan disse kriminelle virksomheter tjene penger,” sa Ed Cabrera, vice president of cybersecurity strategi i Trend Micro.
“Hvis du ser på den kriminelle håndbok om hvordan å tjene penger, det første kapittelet er rettet mot, det andre kapittelet er angrepet — men det er flere kapitler om hvordan å tjene penger på dataene som er stjålet,” fortalte han TechNewsWorld.
“Det vanligvis tar uker eller måneder for å tjene penger som data,” Cabrera fortsatte. “Ransomware er som direkte salg. De går etter et offer, og de kan tjene penger i dag.” [*Korreksjon – Juni 24, 2016]
Brudd Dagbok
- Juni 13. T-Mobile bekrefter at en ansatt i den tsjekkiske Republikk forsøkt å stjele og selge kunden markedsføring data for det aktuelle landet. Nyheter rapportene pinne antall brukere som er berørt på 1,5 millioner kroner.
- 14 juni. FICO kjøp QuadMetrics med et øye mot å skape en “enterprise security-score” som kan brukes av bedrifter til å måle deres online risiko og håndtere risiko fra tredjeparts leverandører.
- 14 juni. Hartford Damp og Inspeksjon Selskapet annonserte første cybersecurity forsikring program for forbrukerne. Programmet dekningen inkluderer beskyttelse mot datamaskinen og hjemme systemer angrep, cyber utpressing, datainnbrudd tap og nettsvindel.
- 15 juni. Home Depot filer føderale søksmål mot Visa og MasterCard hevde at disse selskapene bruker sikkerhetstiltak for sine betalingskort som er utsatt for svindel og som setter forhandlere og kunder informasjon i fare.
- 15 juni. IBM og Ponemon Institute rapporterer gjennomsnittlige kostnaden for et datainnbrudd har steget med 29 prosent siden 2013 til US$4 millioner kroner per brudd.
- 15 juni. Byen Geneve, Sveits, kunngjør den har pågrepet en mistenkt som er koblet til data lekkasje på den Panamanske advokatfirma Mossack Fonseca, som førte til oppsigelse av den Islandske statsministeren og en rekke offentlige utredninger inn i skattesystemet gjennom “shell-selskaper.”
- Juni 16. En hacker med håndtaket “Guccifer 2.0” hevder ansvar for å stjele digitial filer fra den Demokratiske Nasjonale Komiteen og legge dem ut på nettet. Tidligere i uken, CrowdStrike tilskrives datainnbrudd å russiske hackere.
- Juni 17. GitHub har begynt å tilbakestille et ukjent antall av passord på kontoene hvor de passord ble en del av data brudd dumper fra andre nettsteder, Infoworld rapporter.
- Juni 17. Acer kunngjør at personlig informasjon for et ukjent antall brukere som utførte transaksjoner hos sin nettbutikk mellom Mai 12, 2015, og 28. April 2016, er i risiko for et datainnbrudd.
Kommende Sikkerhetshendelser
- 23 juni. Machine Learning i Sikkerhet: å Oppdage Signal i den Leverandøren Støy. Noon ET. Webinar av Agari. Gratis registrering.
- 23 juni. Stopp Brudd med Helhetlig Sikkerhet Synlighet. 2 pm ET. Webinar sponset av Cyphort. Gratis registrering.
- 23 juni. Å sikre Smidige DET: Vanligste Fallgruvene, Beste Praksis og Overraskelser. 3 pm ET. Webinar sponset av 451 Forskning og CloudPassage. Gratis registrering.
- Juni 25. B-Sider Athen. Stanley Hotel, 1 Odisseos Str., Karaiskakiplassen, O Metaxourghio, 10436, Athen, Hellas. Billetter: gratis, men påmelding er begrenset.
- Juni 25. B-Sider Cleveland. B-Side Brennevin Lounge & Grog Butikk, 2785 Euklids Høyder Blvd., Cleveland Heights, Ohio. Billetter: gratis, solgt ut, med T-skjorte, $5.
- Juni 27-29. Fjerde årlige Cyber Security for Olje & Gass. Dette hotellet, DoubleTree by Hilton, 6 Greenway Plaza East Houston. Registrering: viktigste konferansen, $2,295; konferanse og workshops, $3,895; enkelt workshop, kr 549.
- 27. Juni-1. Juli. Appsec Europa. Rome Marriott Park Hotel, Colonnello Tommaso Masala, 54 Roma, Italia. Påmelding til: medlemmer, 599 euro; ikke-medlem, 610 euro; student, 91.50 euro.
- 27. Juni-1. Juli. Hack i Paris. Maison de la Chimie, 28 Rue Saint-Dominique, 75007 Paris. Billetter: før April 5, 288 euro; student eller arbeidsledig, 72 euro. Før juni 9, 384 euro; student eller arbeidsledig, 108 euro. Etter juni 8, 460.80 euro.
- Juni 28. AuthentiThings: Fallgruvene og Løfter om Godkjenning i IoT. 10 og 1 pm ET. Webinar av Iovation. Gratis registrering.
- 29 juni. STORBRITANNIA Cyber Vise Toppmøtet i 2016 — SS7 & Rogue Tower Kommunikasjon Angrep: Innvirkning på Nasjonal Sikkerhet. The Shard, 32 London Bridge St., London. Registrering: privat sektor, Pounds 320; offentlig sektor, Pounds 280; frivillig sektor, 160 Pounds.
- 30. juni. DC/T Cyber Security Summit. Dette Hotellet, The Ritz-Carlton Tysons Corner, 1700 Tysons Blvd., McLean, Virginia. Registrering: $250.
- 16. juli. B-Sider Detroit. McGregor Memorial Conference Center, Wayne State University I Detroit. Gratis med på forhånd billett.
- 23. juli. B-Sider Asheville. Mojo Coworking, 60 N. Market St, Asheville, North Carolina. Kostnad: 10 kr.
- 30. Juli-Aug. 4. Black Hat, USA. Mandalay Bay, Kan Las Vegas, Nevada. Registrering: før 23. juli, kr 2295, før Aug. 5, $2,595.
- Aug. 25. Chicago Cyber Security Summit. Dette Hotellet, Hyatt Regency Chicago, 151 E. Wacker Drive, Chicago. Registrering: $250.
- Lys over norge, jan. 11-14. OWASP AppSec USA. Renaissance Marriott, 999 9. St. NW, Washington, D.C. Registrering: ikke-medlem, $750; student, $80.
- Lys over norge, jan. 17-19. CSX Nord-Amerika. Den Kosmopolitiske, 3708 Las Vegas Blvd. South, Las Vegas. Registrering: før Aug. 11, ISACA medlem, $1,550; ikke-medlem, kr 1,750. Før Okt. 13, medlem, kr 1,750; ikke-medlem, $1,950. På stedet, medlem, $1,950; ikke-medlem, $2,150.
*ECT Nyheter Network editor ‘ s note – juni 24, 2016: følgende tekst har blitt fjernet fra vår opprinnelige publisert versjon av denne historien: “Selv om ransomware kriminelle vanligvis bruker bitcoin digital valuta for sine utpressing ordninger, nettkriminelle opptatt av anonymitet har vært å snu til WebMoney, [Trend Micro’ s Red] Cabrera bemerket. ‘Selv om loven håndheving gjennom årene har vært i stand til å ta ned andre anonym betalingssystemer, WebMoney er en vanskeligere forslag fordi det er arrangert i Russland.’”
Faktisk, WebMoney har en multi-level authentication system, talsperson Tania Milacheva fortalte TechNewsWorld. “I henhold til reglene i WebMoney Transfer, hvert system deltaker bør ha en WM-Pass. Brukeren kan fullt ut bruke systemet tjenester først etter hans/hennes personlige data ble sjekket, verifisert og han/hun har mottatt et høyere nivå av WebMoney Pass.”
Videre hovedkontoret ligger i Cambridge, STORBRITANNIA. “FCA (Financial Conduct Authority) lisensen som er gitt til WebMoney Europe Ltd. har sikret selskapets status som en e-penger utsteder i alle land innenfor det Europeiske Økonomiske samarbeidsområde,” Milacheva sa.
Trend Micro senere erkjent Cabrera er feil i en uttalelse gitt til TechNewsWorld av talsperson Jerrod Resweber.