Izbjegavajte hakiranje pomoću ova 3 koraka

Do sada mislim da nisam dodirnuo jednu od svojih najdražih pjesama, bezbednost računara, i vjerujem da će ovo biti tema koju ću vam danas reći 🙂 Nadam se da ćete nakon ovog kratkog članka imati bolju predstavu o tome što vam može pomoći u boljoj kontroli vaših rizika i kako ublažiti mnogi istovremeno.

Rizici posvuda

Neizbježno je da smo samo u ovoj godini otkrili i na neki način dodijelili više od 15000 ranjivosti public. Kako da znam? Budući da je dio mog posla provjeriti CVE-ove u programima koje koristimo u Gentoo-u da li pokrećemo ranjivi softver, na ovaj način ga možemo ažurirati i osigurati da svi u distribuciji imaju sigurnu opremu.

CVE

Zajedničke ranjivosti i izloženosti Zbog svoje kratice na engleskom jeziku, oni su jedinstveni identifikatori koji se dodjeljuju svakoj postojećoj ranjivosti. Sa velikom radošću mogu reći da nekoliko Gentoo programera podržava dobro čovječanstva, istražujući i objavljujući svoja otkrića kako bi ih se moglo ispraviti i popraviti. Jedan od posljednjih slučajeva koje sam imao zadovoljstvo pročitati bio je onaj optionsbleed; ranjivost koja je zahvatila Apache servere širom svijeta. Zašto kažem da sam ponosan na ovo? Budući da čine svijet dobrim, čuvanje ranjivosti u tajnosti koristi samo nekima, a posljedice toga mogu biti katastrofalne, ovisno o cilju.

NAC

CNA su entiteti zaduženi za zahtjev i / ili dodjelu CVE-a, na primjer, imamo Microsoftov CNA, zadužen za grupiranje njihovih ranjivosti, njihovo rješavanje i dodjeljivanje CVE za kasniju registraciju tokom vremena.

Vrste mjera

Počnimo s pojašnjenjem da nijedna oprema nije ili neće biti 100% sigurna, i kao prilično uobičajena izreka znala je reći:

Jedino 100% sigurno računalo je ono koje je zaključano u trezoru, odvojeno od interneta i isključeno.

Budući da je to istina, rizici će uvijek biti, poznati ili nepoznati, samo je pitanje vremena, tako da suočeni s rizikom možemo učiniti sljedeće:

Ublažite to

Ublažavanje rizika nije ništa drugo nego njegovo smanjenje (NE otkazati). Ovo je prilično važna i presudna stvar kako na poslovnom, tako i na ličnom nivou, ne želi se "hakirati", ali istini za volju najslabija točka u lancu nije računalo, program, čak ni proces , ljudsko.

Svi imamo naviku kriviti druge, bili oni ljudi ili stvari, ali u računarskoj sigurnosti odgovornost je i uvijek će biti čovjek, možda to nećete biti direktno vi, ali ako ne slijedite pravi put, bit ćete dio problema. Kasnije ću vam dati mali trik kako biste bili malo sigurniji 😉

Prenesi ga

Ovo je dobro poznato načelo, moramo ga zamisliti kao Banco. Kada trebate brinuti o svom novcu (mislim fizički), najsigurnije je ostaviti ga nekome ko ima mogućnost da ga zaštiti puno bolje od vas. Ne morate imati svoj trezor (iako bi bilo mnogo bolje) da biste se mogli brinuti o stvarima, samo trebate imati nekoga (imate povjerenja) da zadrži nešto bolje od vas.

Prihvati

Ali kad se prvo i drugo ne primjenjuju, tu dolazi zaista važno pitanje. Koliko mi vrijede ovi resursi / podaci / itd? Ako je odgovor mnogo, onda biste trebali razmisliti o prva dva. Ali ako je odgovor a ne tolikoMožda jednostavno moraš prihvatiti rizik.

Morate se suočiti s tim, nije sve ublaživo, a neke ublažavajuće stvari koštale bi toliko resursa da bi bilo praktički nemoguće primijeniti pravo rješenje bez promjene i ulaganja puno vremena i novca. Ali ako možete analizirati ono što pokušavate zaštititi, a ono ne pronađe svoje mjesto u prvom ili drugom koraku, onda ga jednostavno uzmite u trećem koraku na najbolji način, ne dajte mu veću vrijednost nego što ima, i nemojte ga miješati sa stvarima koje zaista imaju vrijednost.

Da biste bili u toku

Ovo je istina koja izbjegava stotine ljudi i preduzeća. Računalna sigurnost nije podvrgavanje reviziji 3 puta godišnje i očekivanje da se ništa neće dogoditi u ostalih 350 dana. I ovo vrijedi za mnoge sistemske administratore. Napokon sam se mogao potvrditi kao LFCS (Ostavljam vama da pronađete gdje sam to radio 🙂) i ovo je kritična tačka tokom kursa. Održavanje ažurnosti opreme i njenih programa je od vitalnog značaja, presudno, kako bi se izbjegla većina rizika. Sigurno će mi mnogi ovdje reći, ali program koji koristimo ne radi u sljedećoj verziji ili nešto slično, jer istina je da je vaš program tempirana bomba ako ne radi u najnovijoj verziji. I to nas dovodi do prethodnog odjeljka, Možete li to ublažiti?, Možete li ga prenijeti?, Možete li ga prihvatiti? ...

U stvari, samo da bismo imali na umu, prema statistikama 75% napada na računarsku sigurnost potiče iznutra. To je možda zato što u kompaniji imate nesumnjive ili zlonamjerne korisnike. Ili da im njihovi sigurnosni procesi nisu otežali hacker provaliti u vaše prostorije ili mreže. I gotovo više od 90% napada uzrokuje zastarjeli softver, Ne. zbog ranjivosti dan nula.

Mislite kao mašina, a ne kao čovjek

Ovo će biti mali savjet koji ću vam ostaviti odavde:

Razmišljajte kao mašine

Za one koji ne razumiju, sad ću vam dati primjer.

Upoznajem te John Među ljubiteljima sigurnosti to je jedno od najboljih polazišta kada započnete u svijetu hakovanje etikete. Jovan divno se slaže s našim prijateljem krckanje. I u osnovi zgrabi listu koja mu se uručuje i započinje testiranje kombinacija dok ne pronađe ključ koji rješava lozinku koju traži.

Krckanje je generator kombinacija. to znači da možete reći crunchu da želite lozinku dugu 6 znakova koja sadrži velika i mala slova i crunch će započeti testiranje jedno po jedno ... nešto poput:

aaaaaa,aaaaab,aaaaac,aaaaad,....

I pitate se koliko dugo treba da sigurno prođete kroz čitav popis ... ne treba više od nekoliko minuta. Za one koji su ostali otvorenih usta, objasnim. Kao što smo ranije razgovarali, najslabija karika u lancu je čovjek i njegov način razmišljanja. Za računalo nije teško isprobati kombinacije, to je nešto krajnje ponavljajuće, a procesori su s godinama postali toliko moćni da ne treba više od sekunde da napravi tisuću pokušaja, pa čak i više.

Ali sada je dobra stvar, prethodni primjer je s ljudsko razmišljanje, sada idemo na to mašinsko razmišljanje:

Ako kažemo crunchu da započne s generiranjem lozinke sa just 8 znamenke, pod istim prethodnim zahtjevima, prešli smo od minuta do hours. I pogodite šta će se dogoditi ako vam kažemo da koristite više od 10, oni postaju dana. Već više od 12 smo već uključeni meseciPored činjenice da bi lista bila proporcija koje se ne bi mogle čuvati na uobičajenom računaru. Ako dođemo do 20, govorimo o stvarima koje računalo neće moći dešifrirati stotinama godina (naravno sa trenutnim procesorima). Ovo ima svoje matematičko objašnjenje, ali zbog svemira ga neću ovdje objašnjavati, ali za najzanimljivije to ima puno veze sa permutacija, las kombinatorni i kombinacije. Tačnije, s tim što za svako slovo koje dodamo dužini imamo gotovo 50 mogućnosti, pa ćemo imati nešto poput:

20^50 moguće kombinacije za našu posljednju lozinku. Unesite taj broj u svoj kalkulator da biste vidjeli koliko mogućnosti postoji s duljinom ključa od 20 simbola.

Kako mogu razmišljati kao mašina?

Nije lako, više od jedne osobe će mi reći da smislim lozinku od 20 slova zaredom, posebno sa starim konceptom da su lozinke riječi ključ. Ali da vidimo primjer:

dXfwHd

Ovo je ljudsko teško zapamtiti, ali izuzetno lako za mašinu.

caballoconpatasdehormiga

S druge strane, ovo je izuzetno lako za pamtiti (čak i smiješno), ali za njega je pakao krckanje. I sada će mi reći više od jednog, ali nije li preporučljivo mijenjati i tipke u nizu? Da, preporučuje se, tako da sada možemo jednim kamenom ubiti dvije ptice. Pretpostavimo da ovaj mjesec čitam Don Quijote de la Mancha, svezak I. U svoju lozinku ću staviti nešto poput:

ElQuijoteDeLaMancha1

20 simbola, nešto prilično teško otkriti bez poznavanja mene, a najbolja stvar je što ću kad završim knjigu (pod pretpostavkom da čitaju neprestano 🙂) znati da moraju promijeniti lozinku, čak i mijenjajući u:

ElQuijoteDeLaMancha2

To je već napredak 🙂 i sigurno će vam pomoći da zaštitite lozinke i istovremeno podsjetiti vas da završite knjigu.

Dovoljno je ovo što sam napisao i premda bih volio da mogu razgovarati o još mnogim sigurnosnim pitanjima, ostavićemo to za drugi put 🙂 Pozdrav