Vermeiden Sie es, mit diesen 3 Schritten gehackt zu werden

Bisher glaube ich nicht, dass ich einen meiner Lieblingslieder berührt habe, Informatiksicherheitund ich glaube, dass dies das Thema sein wird, über das ich Ihnen heute erzählen werde. Ich hoffe, dass Sie nach diesem kurzen Artikel eine bessere Vorstellung davon haben, was Ihnen helfen kann, Ihre Risiken besser zu kontrollieren und wie viele gleichzeitig zu mildern.

Risiken überall

Es ist unvermeidlich, dass allein in diesem Jahr bereits mehr als 15000 Schwachstellen entdeckt und in gewisser Weise zugewiesen wurden Öffentlichkeit. Wie soll ich wissen? Da es Teil meiner Aufgabe ist, CVEs in den Programmen, die wir in Gentoo verwenden, zu überprüfen, um festzustellen, ob wir anfällige Software ausführen, können wir sie auf diese Weise aktualisieren und sicherstellen, dass jeder in der Distribution über sichere Geräte verfügt.

CVE

Häufige Schwachstellen und Gefährdungen Für das Akronym in Englisch sind dies die eindeutigen Kennungen, die jeder vorhandenen Sicherheitsanfälligkeit zugewiesen werden. Ich kann mit großer Freude sagen, dass mehrere Gentoo-Entwickler das Wohl der Menschheit unterstützen und ihre Ergebnisse recherchieren und veröffentlichen, damit sie korrigiert und korrigiert werden können. Einer der letzten Fälle, in denen ich das Vergnügen hatte zu lesen, war der von Optionsbluten; Eine Sicherheitslücke, von der Apache-Server weltweit betroffen waren. Warum sage ich, dass ich stolz darauf bin? Weil sie der Welt gut tun, kommt es nur wenigen zugute, Schwachstellen geheim zu halten, und die Folgen können je nach Ziel katastrophal sein.

CNA

CNAs sind Entitäten, die für das Anfordern und / oder Zuweisen von CVEs zuständig sind. Wir haben beispielsweise den CNA von Microsoft, der für das Gruppieren ihrer Schwachstellen, das Lösen und Zuweisen von a verantwortlich ist CVE für eine spätere Registrierung im Laufe der Zeit.

Arten von Maßnahmen

Beginnen wir mit der Klarstellung, dass keine Ausrüstung 100% sicher ist oder sein wird, und wie ein ziemlich allgemeines Sprichwort sagt:

Der einzige 100% sichere Computer ist ein Computer, der in einem Tresor eingeschlossen, vom Internet getrennt und ausgeschaltet ist.

Da es wahr ist, dass die Risiken immer da sind, bekannt oder unbekannt, ist es nur eine Frage der Zeit, so dass wir angesichts des Risikos Folgendes tun können:

Mildern Sie es

Ein Risiko zu mindern ist nichts anderes als es zu reduzieren (NEIN Sag es ab). Dies ist sowohl auf geschäftlicher als auch auf persönlicher Ebene ein wichtiger und entscheidender Punkt. Man möchte nicht "gehackt" werden, aber um die Wahrheit zu sagen, der schwächste Punkt in der Kette ist nicht der Computer, nicht das Programm, nicht einmal der Prozess , der Mensch.

Wir alle haben die Angewohnheit, andere zu beschuldigen, seien es Menschen oder Dinge, aber in der Computersicherheit liegt die Verantwortung beim Menschen und wird es immer sein. Vielleicht sind Sie es nicht direkt, aber wenn Sie nicht den richtigen Weg gehen, werden Sie es sein Teil des Problems. Später werde ich Ihnen einen kleinen Trick geben, um ein bisschen sicherer zu bleiben 😉

Übertragen Sie es

Dies ist ein bekanntes Prinzip, wir müssen es uns als ein vorstellen Bank. Wenn Sie sich um Ihr Geld kümmern müssen (ich meine physisch), ist es am sichersten, es jemandem zu überlassen, der die Fähigkeit hat, es viel besser zu schützen als Sie. Sie brauchen kein eigenes Gewölbe (obwohl es viel besser wäre), um sich um die Dinge kümmern zu können. Sie brauchen nur jemanden (dem Sie vertrauen), der etwas Besseres als Sie aufbewahrt.

Akzeptieren

Aber wenn der erste und der zweite nicht zutreffen, kommt hier die wirklich wichtige Frage ins Spiel. Wie viel ist mir diese Ressource / Daten / usw. wert? Wenn die Antwort viel ist, sollten Sie über die ersten beiden nachdenken. Aber wenn die Antwort a ist Also keinVielleicht müssen Sie nur das Risiko akzeptieren.

Es muss konfrontiert werden, nicht alles ist mildernd, und einige mildernde Dinge würden so viele Ressourcen kosten, dass es praktisch unmöglich wäre, eine echte Lösung anzuwenden, ohne viel Zeit und Geld ändern und investieren zu müssen. Wenn Sie jedoch analysieren können, was Sie schützen möchten, und es im ersten oder zweiten Schritt nicht seinen Platz findet, nehmen Sie es im besten Schritt einfach am besten, geben Sie ihm nicht mehr Wert als es hat, und Mischen Sie es nicht mit Dingen, die wirklich einen Wert haben.

Auf dem Laufenden halten

Dies ist eine Wahrheit, die Hunderten von Menschen und Unternehmen entgeht. Bei der Computersicherheit geht es nicht darum, Ihr Audit dreimal im Jahr einzuhalten und zu erwarten, dass in den anderen 3 Tagen nichts passiert. Dies gilt für viele Systemadministratoren. Ich konnte mich endlich als zertifizieren LFCS (Ich überlasse es Ihnen, herauszufinden, wo ich es getan habe 🙂) und dies ist ein kritischer Punkt während des Kurses. Es ist von entscheidender Bedeutung, Ihre Ausrüstung und ihre Programme auf dem neuesten Stand zu halten. wichtig, um die meisten Risiken zu vermeiden. Sicher werden mir viele hier sagen, Das von uns verwendete Programm funktioniert jedoch in der nächsten Version nicht oder ähnliches, denn die Wahrheit ist, dass Ihr Programm eine Zeitbombe ist, wenn es in der neuesten Version nicht funktioniert. Und das bringt uns zum vorherigen Abschnitt, Können Sie es mildern? Können Sie es übertragen? Können Sie es akzeptieren? ...

Um ehrlich zu sein, statistisch gesehen stammen 75% der Computersicherheitsangriffe von innen. Dies kann daran liegen, dass Sie ahnungslose oder böswillige Benutzer im Unternehmen haben. Oder dass ihre Sicherheitsprozesse es einem nicht schwer gemacht haben Hacker brechen Sie in Ihre Räumlichkeiten oder Netzwerke ein. Und fast mehr als 90% der Angriffe werden durch veraltete Software verursacht. nicht aufgrund von Schwachstellen von Tag Null.

Denken Sie wie eine Maschine, nicht wie ein Mensch

Dies wird ein kleiner Rat sein, den ich Ihnen von nun an überlasse:

Denken Sie wie Maschinen

Für diejenigen, die nicht verstehen, gebe ich Ihnen jetzt ein Beispiel.

Ich stelle dich vor John. Unter Sicherheitsliebhabern ist es einer der besten Ausgangspunkte, wenn Sie in der Welt von beginnen Ethik-Hacking. Peter Er versteht sich wunderbar mit unserem Freund Knirschen. Und im Grunde genommen greift er nach einer Liste, die ihm ausgehändigt wird, und beginnt, Kombinationen zu testen, bis er einen Schlüssel findet, der das gesuchte Passwort löst.

Crunch ist ein Generator von Kombinationen. Dies bedeutet, dass Sie crunch mitteilen können, dass Sie ein Passwort mit 6 Zeichen möchten, das Groß- und Kleinbuchstaben enthält, und crunch beginnt nacheinander mit dem Testen ... so etwas wie:

aaaaaa,aaaaab,aaaaac,aaaaad,....

Und sie werden sich fragen, wie lange es sicher dauert, die ganze Liste durchzugehen ... es dauert nicht mehr als ein paar Protokoll. Für diejenigen, die mit offenem Mund zurückgelassen wurden, lassen Sie mich erklären. Wie wir zuvor besprochen haben, ist das schwächste Glied in der Kette der Mensch und seine Denkweise. Für einen Computer ist es nicht schwierig, Kombinationen zu testen, es wiederholt sich stark, und im Laufe der Jahre sind die Prozessoren so leistungsfähig geworden, dass es nicht länger als eine Sekunde dauert, um tausend Versuche oder sogar mehr durchzuführen.

Aber jetzt ist das Gute, das vorherige Beispiel ist mit dem menschliches Denken, jetzt machen wir es maschinelles Denken:

Wenn wir Crunch anweisen, mit just ein Passwort zu generieren 8 Ziffern, unter den gleichen vorherigen Anforderungen, sind wir von Minuten auf gegangen Stunden. Und raten Sie mal, was passiert, wenn wir Ihnen sagen, dass Sie mehr als 10 verwenden sollen Tag. Seit mehr als 12 sind wir schon dabei MonatZusätzlich zu der Tatsache, dass die Liste Proportionen haben würde, die nicht auf einem normalen Computer gespeichert werden könnten. Wenn wir 20 werden, sprechen wir über Dinge, die ein Computer in Hunderten von Jahren nicht mehr entziffern kann (natürlich mit aktuellen Prozessoren). Dies hat seine mathematische Erklärung, aber aus Platzgründen werde ich es hier nicht erklären, aber für die Neugierigsten hat es viel mit dem zu tun Permutationdas kombinatorisch und Kombinationen. Genauer gesagt, mit der Tatsache, dass wir für jeden Buchstaben, den wir zur Länge hinzufügen, fast 50 haben Möglichkeiten, also werden wir so etwas haben wie:

20^50 mögliche Kombinationen für unser letztes Passwort. Geben Sie diese Zahl in Ihren Taschenrechner ein, um zu sehen, wie viele Möglichkeiten es mit einer Schlüssellänge von 20 Symbolen gibt.

Wie kann ich wie eine Maschine denken?

Es ist nicht einfach, mehr als eine Person wird mir sagen, ich solle mir ein Passwort mit 20 aufeinander folgenden Buchstaben überlegen, insbesondere mit dem alten Konzept, dass Passwörter sind Text Schlüssel. Aber sehen wir uns ein Beispiel an:

dXfwHd

Dies ist für einen Menschen schwer zu merken, für eine Maschine jedoch äußerst einfach.

caballoconpatasdehormiga

Dies ist auf der anderen Seite für einen Menschen extrem leicht zu merken (sogar lustig), aber es ist die Hölle für Knirschen. Und jetzt wird mir mehr als einer sagen, aber ist es nicht ratsam, auch die Schlüssel hintereinander zu ändern? Ja, es wird empfohlen, also können wir jetzt zwei Fliegen mit einer Klappe schlagen. Angenommen, ich lese diesen Monat Don Quijote de la Mancha, Band I. In mein Passwort werde ich etwas einfügen wie:

ElQuijoteDeLaMancha1

20 Symbole, etwas ziemlich schwer zu entdecken, ohne mich zu kennen, und das Beste ist, dass sie nach Abschluss des Buches (vorausgesetzt, sie lesen ständig 🙂) wissen, dass sie ihr Passwort ändern müssen, sogar zu:

ElQuijoteDeLaMancha2

Es ist bereits ein Fortschritt 🙂 und es wird Ihnen sicherlich helfen, Ihre Passwörter sicher zu verwahren und Sie gleichzeitig daran zu erinnern, Ihr Buch fertig zu stellen.

Was ich geschrieben habe, ist genug, und obwohl ich gerne über viele weitere Sicherheitsprobleme sprechen würde, werden wir es für ein anderes Mal verlassen 🙂 Grüße