Избегайте взлома с помощью этих трех шагов

Пока я думаю, что не коснулся одной из моих любимых песен, компьютерная безопасность, и я верю, что это будет та тема, о которой я расскажу вам сегодня 🙂 Я надеюсь, что после этой короткой статьи вы сможете лучше понять, что может помочь вам лучше контролировать свои риски и как чтобы смягчить многие проблемы одновременно.

Риски везде

Это неизбежно, только в этом году мы уже обнаружили и назначили более 15000 XNUMX уязвимостей. общественность. Откуда я знаю? Поскольку часть моей работы - проверять CVE в программах, которые мы используем в Gentoo, чтобы увидеть, запускаем ли мы уязвимое программное обеспечение, таким образом мы можем обновить его и убедиться, что у каждого в дистрибутиве есть безопасное оборудование.

CVE

Общие уязвимости и риски Для его аббревиатуры на английском языке это уникальные идентификаторы, присваиваемые каждой существующей уязвимости. Я могу с большой радостью сказать, что несколько разработчиков Gentoo поддерживают человечество, исследуя и публикуя свои выводы, чтобы их можно было исправить и исправить. Одним из последних случаев, которые я имел удовольствие читать, был случай Варианты прокачки; уязвимость, которая затронула серверы Apache по всему миру. Почему я говорю, что горжусь этим? Поскольку они приносят пользу миру, сохранение уязвимостей в секрете приносит пользу лишь немногим, а последствия этого могут быть катастрофическими в зависимости от цели.

CNA

CNA - это субъекты, отвечающие за запрос и / или назначение CVE, например, у нас есть CNA Microsoft, отвечающий за группировку их уязвимостей, их устранение и присвоение им уязвимостей. CVE для последующей регистрации с течением времени.

Виды мероприятий

Начнем с пояснения того, что никакое оборудование не является и не будет на 100% безопасным, и, как довольно распространенная поговорка, говорится:

Единственный 100% безопасный компьютер - это тот, который заблокирован в хранилище, отключен от Интернета и выключен.

Поскольку это правда, риски всегда будут присутствовать, известные или неизвестные, это только вопрос времени, поэтому перед лицом риска мы можем сделать следующее:

Смягчить это

Снижение риска - это не более чем его уменьшение (НЕТ переопределить). Это достаточно важный и ответственный момент как на деловом, так и на личном уровне, никто не хочет, чтобы его «взламывали», но, честно говоря, самое слабое место в цепочке - не оборудование, ни программа, ни даже процесс , это человек.

У всех нас есть привычка обвинять других, будь то люди или вещи, но в области компьютерной безопасности ответственность всегда лежит на человеке, возможно, не на вас напрямую, но если вы не пойдете по правильному пути, вы будете часть проблемы. Позже я дам вам небольшой трюк, чтобы оставаться в большей безопасности 😉

Перенести это

Это хорошо известный принцип, мы должны представить его как банк. Когда вам нужно позаботиться о своих деньгах (я имею в виду физически), самое безопасное - оставить их кому-то, кто имеет возможность хранить их гораздо лучше, чем вы. Вам не нужно иметь собственное хранилище (хотя было бы намного лучше), чтобы иметь возможность позаботиться о вещах, вам нужен только кто-то (вы доверяете), чтобы хранить что-то лучше вас.

Принять это

Но когда первое и второе не подходят, вот где возникает действительно важный вопрос. Сколько мне стоит этот ресурс / данные и т. Д.? Если ответ много, то стоит подумать о первых двух. Но если ответ - не так многоМожет, тебе просто придется пойти на риск.

Вы должны признать это, не все можно смягчить, и некоторые вещи, которые можно смягчить, будут стоить так много ресурсов, что было бы практически невозможно применить реальное решение без необходимости вносить изменения и вкладывать много времени и денег. Но если вы можете проанализировать то, что вы пытаетесь защитить, и это не находит своего места на первом или втором шаге, тогда просто возьмите это на третьем шаге наилучшим образом, не придавайте этому большей ценности, чем оно имеет, и не смешивайте это с вещами, которые действительно они имеют ценность.

Чтобы быть в курсе

Это правда, которая ускользает от сотен людей и предприятий. Компьютерная безопасность - это не соблюдение аудита 3 раза в год и ожидание, что в остальные 350 дней ничего не произойдет. И это верно для многих системных администраторов. Я наконец смог подтвердить себя как ЛФК (Я предоставляю вам найти, где я это сделал), и это критический момент во время курса. Постоянное обновление вашего оборудования и его программ жизненно важно, важнейшим, чтобы избежать большинства рисков. Конечно, многие здесь мне скажут, но программа, которую мы используем, не работает в следующей версии или что-то подобное, потому что правда в том, что ваша программа - бомба замедленного действия, если она не работает в последней версии. И это подводит нас к предыдущему разделу, Можете ли вы смягчить это?, Вы можете передать это?, Вы можете принять? ...

По правде говоря, просто чтобы иметь это в виду, по статистике 75% атак на компьютерную безопасность происходят изнутри. Это может быть связано с тем, что у вас в компании есть ничего не подозревающие или злонамеренные пользователи. Или что их процессы безопасности не затруднили хакер проникнуть в ваши помещения или сети. И почти 90% атак вызваны устаревшим программным обеспечением, нет из-за уязвимости нулевой день.

Думайте как машина, а не как человек

Это будет небольшой совет, который я оставляю вам здесь:

Думайте как машины

Для непонятливых приведу пример.

Я представляю вам Джон. Среди любителей безопасности это одна из лучших отправных точек, когда вы начинаете в мире этикла взлом. John прекрасно ладит с нашим другом хруст. По сути, он берет список, который ему передают, и начинает проверять комбинации, пока не найдет ключ, который решает пароль, который он ищет.

Хруст генератор комбинаций. Это означает, что вы можете сказать crunch, что вам нужен пароль длиной 6 символов, содержащий буквы верхнего и нижнего регистра, и crunch начнет тестирование один за другим ... что-то вроде:

aaaaaa,aaaaab,aaaaac,aaaaad,....

И вы задаетесь вопросом, сколько времени нужно, чтобы наверняка просмотреть весь список ... это займет не больше нескольких протокол. Для тех, кого оставили с открытым ртом, позвольте мне объяснить. Как мы обсуждали ранее, самое слабое звено в цепи - это человек и его образ мышления. Для компьютера нетрудно пробовать комбинации, это что-то чрезвычайно повторяющееся, и с годами процессоры стали настолько мощными, что для выполнения тысячи попыток требуется не более секунды, а то и больше.

Но теперь хорошо, что предыдущий пример с человеческое мышление теперь мы идем на это машинное мышление:

Если мы скажем crunch начать генерацию пароля с помощью всего лишь 8 цифр, согласно прежним требованиям, мы перешли с минут на Хорас. И угадайте, что произойдет, если мы скажем вам использовать больше 10, и они станут дней. Более 12 мы уже в месяцевВ дополнение к тому, что список будет иметь размеры, которые невозможно сохранить на обычном компьютере. Если мы дойдем до 20, мы будем говорить о вещах, которые компьютер не сможет расшифровать через сотни лет (конечно, с нынешними процессорами). У этого есть математическое объяснение, но из-за недостатка места я не буду здесь объяснять, но для самых любопытных это имеет прямое отношение к перестановка, las комбинаторный и комбинации. Точнее, с тем фактом, что на каждую букву, которую мы добавляем к длине, мы получаем почти 50 возможности, поэтому у нас будет что-то вроде:

20^50 возможные комбинации для нашего последнего пароля. Введите это число в свой калькулятор, чтобы увидеть, сколько возможностей существует при длине ключа 20 символов.

Как я могу думать как машина?

Это непросто, несколько человек скажут мне придумать пароль из 20 букв подряд, особенно с учетом старой концепции, что пароли слова ключ. Но давайте посмотрим на пример:

dXfwHd

Это сложно запомнить человеку, но чрезвычайно легко для машины.

caballoconpatasdehormiga

С другой стороны, это очень легко запомнить человеку (даже смешно), но для хруст. А сейчас мне больше не один подскажет, а не желательно ли еще и клавиши подряд менять? Да, рекомендуется, так что теперь мы можем убить двух зайцев одним выстрелом. Предположим, в этом месяце я читаю Дон Кихот де ла Манча, том I. В свой пароль я поставлю что-то вроде:

ElQuijoteDeLaMancha1

20 символов, что довольно сложно открыть, не зная меня, и самое лучшее, что когда я закончу книгу (при условии, что они читают постоянно 🙂), они будут знать, что они должны сменить свой пароль, даже изменив его на:

ElQuijoteDeLaMancha2

Это уже прогресс 🙂, и это, безусловно, поможет вам сохранить ваши пароли в безопасности и в то же время напомнит вам, что нужно дочитать книгу.

Достаточно того, что я написал, и хотя я хотел бы поговорить о многих других темах безопасности, мы оставим это на другой раз 🙂 Приветствую