Досега мисля, че не съм докоснал една от любимите си песни, компютърна сигурност, и считам, че това ще бъде темата, за която идвам да ви разкажа днес Надявам се, че след тази малка статия можете да имате по-добра представа какво може да ви помогне да контролирате по-добре рисковете си и как да ги намалите няколко едновременно.
Рискове навсякъде
Това е неизбежно, само през тази година вече имаме повече от 15000 XNUMX уязвимости, открити и определени по определен начин обществен. От къде знаеш? Тъй като част от работата ми е да проверявам CVE в програмите, които използваме в Gentoo, за да видя дали стартираме уязвим софтуер, по този начин можем да го актуализираме и да гарантираме, че всички в дистрибуцията имат безопасно оборудване.
CVE
Общи уязвимости и експозиции Със съкращението си на английски, те са уникалните идентификатори, които се присвояват на всяка съществуваща уязвимост. С голяма радост мога да кажа, че няколко разработчици на Gentoo подкрепят благото на човечеството, изследвайки и публикувайки своите открития, за да могат да бъдат коригирани и фиксирани. Един от последните случаи, които имах удоволствието да прочета, беше този Опции кървят; уязвимост, която засегна сървърите на Apache по целия свят. Защо казвам, че се гордея с това? Тъй като те правят доброто на света, запазването на уязвимостите в тайна носи полза само на някои и последиците от това могат да бъдат катастрофални в зависимост от целта.
CNA
CNA са субекти, отговарящи за заявяването и / или присвояването на CVE, например, имаме CNA на Microsoft, отговарящ за групирането на техните уязвимости, разрешаването им и присвояването им на CVE за по-късна регистрация с течение на времето.
Видове мерки
Нека започнем с изясняването, че нито едно оборудване не е или няма да бъде 100% безопасно и като доста често срещана поговорка се казваше:
Единственият 100% сигурен компютър е този, който е заключен в трезора, изключен от интернет и изключен.
Тъй като е вярно, рисковете винаги ще съществуват, известни или неизвестни, това е само въпрос на време, така че в лицето на риска можем да направим следното:
Смекчете го
Намаляването на риска не е нищо повече от намаляването му (НЕ замяна). Това е доста важен и решаващ момент както на бизнес, така и на лично ниво, човек не иска да бъде "хакнат", но честно казано най-слабото място във веригата не е оборудването, нито програмата, нито дори процесът , то е човекът.
Всички имаме навика да обвиняваме другите, били те хора или неща, но в компютърната сигурност отговорността е и винаги ще бъде на човека, може да не сте вие директно, но ако не следвате правилния път, ще бъдете част от проблема. По-късно ще ви дам малък трик, за да останете малко по-безопасни
Прехвърлете го
Това е добре познат принцип, трябва да си го представим като a банка. Когато трябва да се погрижите за парите си (имам предвид физически), най-сигурното е да ги оставите на някой, който има способността да ги пази много по-добре от вас. Не е необходимо да имате свой собствен трезор (въпреки че би било много по-добре), за да можете да се грижите за нещата, трябва само да имате някой (на когото имате доверие), за да запазите нещо по-добро от вас.
Приеми го
Но когато първото и второто не се прилагат, ето тук идва наистина важният въпрос. Колко ми струва този ресурс / данни / и т.н.? Ако отговорът е много, тогава трябва да помислите за първите две. Но ако отговорът е a не толкова многоМоже би просто трябва да приемете риска.
Трябва да се изправите пред него, не всичко е смекчаващо се, а някои смекчаващи се неща биха стрували толкова много ресурси, че би било практически невъзможно да се приложи реално решение, без да се налага да се променят и да се инвестират много време и пари. Но ако можете да анализирате това, което се опитвате да защитите, и то не намери своето място в първата или втората стъпка, тогава просто го вземете в третата стъпка по най-добрия начин, не му придавайте по-голяма стойност, отколкото има, и не го смесвайте с неща, които наистина те имат стойност.
За да сте в течение
Това е истина, която избягва стотици хора и фирми. Компютърната сигурност не е да се съобразявате с вашия одит 3 пъти годишно и да не очаквате нищо да се случи през останалите 350 дни. И това важи за много системни администратори. Най-накрая успях да се удостоверя като LFCS (Ще оставя на вас да разберете къде съм го направил ) и това е критичен момент по време на курса. Поддържането на вашето оборудване и неговите програми актуални е жизненоважно, решаващ, за да се избегнат повечето рискове. Със сигурност мнозина тук ще ми кажат, но програмата, която използваме, не работи в следващата версия или нещо подобно, защото истината е, че вашата програма е бомба със закъснител, ако не работи в последната версия. И това ни води до предишния раздел, Можете ли да го смекчите?, Можете ли да го прехвърлите?, Можете ли да го приемете? ...
Всъщност, само за да се има предвид, според статистиката 75% от атаките на компютърната сигурност произхождат отвътре. Това може да се дължи на факта, че във фирмата имате нищо неподозиращи или злонамерени потребители. Или че техните процеси за сигурност не затрудняват a хакер проникнете във вашите помещения или мрежи. И почти повече от 90% от атаките са причинени от остарял софтуер, Не. поради уязвимости на ден нула.
Мислете като машина, а не като човек
Това ще бъде малък съвет, който ще ви оставя от тук нататък:
Мислете като машини
За тези, които не разбират, сега ви давам пример.
Представям ви Джон. Сред любителите на сигурността това е една от най-добрите отправни точки, когато започнете в света на Етикла хакерство. клозет се разбира чудесно с нашия приятел криза. И по същество той грабва списък, който му се връчва и започва да тества комбинациите, докато намери ключ, който решава паролата, която търси.
Crunch е генератор на комбинации. Това означава, че можете да кажете на crunch, че искате парола с дължина 6 знака, съдържаща главни и малки букви и crunch ще започне да тества една по една ... нещо като:
aaaaaa,aaaaab,aaaaac,aaaaad,....
И се чудите колко време отнема да преминете със сигурност през целия списък ... не отнема повече от няколко minutos. За тези от вас, които отслабват, нека обясня. Както обсъждахме по-рано, най-слабото звено във веригата е човекът и начинът му на мислене. За компютър не е трудно да се опитат комбинации, това е нещо изключително повтарящо се и с годините процесорите са станали толкова мощни, че не отнема повече от секунда, за да направи хиляда опита, а дори и повече.
Но сега хубавото, предишният пример е с човешко мислене, сега се справяме машинно мислене:
Ако кажем на crunch да започне да генерира парола само с 8 цифри, при същите предишни изисквания, преминахме от минути към Horas. И познайте какво се случва, ако ви кажем да използвате повече от 10, те стават дни. За повече от 12 вече сме месецаВ допълнение към факта, че списъкът ще бъде с пропорции, които не могат да се съхраняват на нормален компютър. Ако стигнем до 20, говорим за неща, които компютърът няма да може да дешифрира след стотици години (разбира се с настоящите процесори). Това има своето математическо обяснение, но от съображения за пространство няма да го обяснявам тук, но за най-любопитните има много общо с пермутация, The комбинаторен и комбинации. За да бъдем по-точни, с факта, че за всяка буква, която добавяме към дължината, имаме почти 50 възможности, така че ще имаме нещо като:
20^50 възможни комбинации за последната ни парола. Въведете това число във вашия калкулатор, за да видите колко възможности има с дължина на ключа от 20 символа.
Как мога да мисля като машина?
Не е лесно, повече от един човек ще ми каже да мисля за парола от 20 букви подред, особено със старата концепция, че паролите са думи ключ. Но нека видим пример:
dXfwHd
Това е трудно за запомняне от човек, но изключително лесно за машина.
caballoconpatasdehormiga
Това от друга страна е изключително лесно за запомняне от човек (дори смешно), но е ад за това криза. И сега повече от един ще ми кажат, но не е ли препоръчително да сменяте и бутоните подред? Да, препоръчва се, така че сега можем да убием две птици с един камък. Да предположим, че този месец чета Дон Кихот де ла Манча, том I В паролата си ще сложа нещо като:
ElQuijoteDeLaMancha1
20 символа, нещо доста трудно за откриване, без да ме познавате, и най-хубавото е, че когато завършите книгата (ако приемем, че четете постоянно ), ще знаете да промените паролата си, включително промяна на:
ElQuijoteDeLaMancha2
Това вече е напредък и със сигурност ще ви помогне да запазите паролите си в безопасност и в същото време ще ви напомни да завършите книгата си.
Това, което написах, е достатъчно и въпреки че бих искал да мога да говоря за много повече теми за сигурността, ще го оставим за друг път Поздрави