Jak konkrétně zajistit bezpečnost koncových uživatelů
Pokud si nejste jisti, zda vaši uživatelé dokážou odolat útokům založeným na sociálním inženýrství, tak si je vyzkoušejte. Tým specialistů AEC (divize společnosti Cleverlance) podnikne reálné simulace útoků.
Testy zaměřené na sociální inženýrství je vhodné provádět v rámci vnějších i vnitřních penetračních testů. Případně i samostatně jako ověření správných návyků uživatelů informačních systémů nebo například po školení uživatelů o informační bezpečnosti.
Jako sociální inženýrství označujeme soubor technik, s jejichž pomocí lze efektivně útočit na nejslabší článek informačního systému, kterým je člověk, respektive uživatel. Metody sociálního inženýrství dokážou lidi přimět, aby udělali to, co útočník chce, a nepřemýšleli, zda je to správné, nebo ne.
Testy metodami sociálního inženýrství
Cílem testů metodami sociálního inženýrství je přimět testovanou osobu, aby prozradila určitou informaci (typicky login, heslo) nebo vykonala určitou činnost (typicky spustila virus). Nejběžnější metody a kanály sociálního inženýrství jsou:
E-mail – testovaným osobám se rozešle e-mail například s vtipy a v příloze je „infikovaný“ soubor s testovacím kódem.
Telefon – testovaným osobám je voláno pod nejrůznějšími záminkami - například, že jejich PC šíří virus.
Fyzický kontakt – pokusy o průnik do chráněných prostor organizace přes recepci, dveře na kartu a podobně.
Distribuce datových médií – „náhodné“ rozšíření datových médií (CD, USB) obsahujících testovací kód po prostorách organizace.
Snažíme se zjistit podrobnosti o prostředí firmy, informačním systému, struktuře sítě, jména konkrétních lidí, telefonní čísla nebo e-mailové adresy zaměstnanců. Shromážděním často i poměrně nedůležitých údajů může potenciální útočník odvodit spoustu zajímavých poznatků, které do značné míry usnadňují provedení útoku.
Školení informační bezpečnosti
Aktuální školení naleznete zde na stránkách AEC.
Rozšíření a přesah školení:
Prezentační – přednášky lektora pro různé úrovně znalostí informační bezpečnosti včetně závěrečného testu.
E-learning – vývoj aplikací, které zákazník nasadí uvnitř organizace, a každý zaměstnanec se vzdělává sám.
Bezpečnostní portál – zpracování podkladů a materiálů pro portál (periodický bulletin obsahující aktuality, školicí materiály, bezpečnostní dokumentace, odkazy na zajímavé weby atp.).
Implementace bezpečnostní dokumentace
Aktuální informace o dokumentaci naleznete ZDE. Implementace bezpečnostní dokumentace logicky spadá pod oblast Information Security Management System (ISMS). Zde je zobrazena z pohledu bezpečnosti koncových uživatelů.
Procesní audity
Formou interview jsou identifikovány postupy a bezpečnostní nedostatky procesů například životního cyklu bankovního účtu, administrace aplikace a podobně. Procesní audity logicky spadají také pod oblast Information Security Management System (ISMS). Zde jsou zahrnuty z pohledu bezpečnosti koncových uživatelů.
Propagace bezpečnosti
Bezpečnostní portál - zpracování podkladů a materiálů pro portál (periodický bulletin obsahující aktuality, plakáty, komiksy, školicí materiály, bezpečnostní dokumentace, odkazy na zajímavé weby atd.).
Implementace bezpečnostní dokumentace
Bezpečnostní politiky - vytvoření či aktualizace celkové bezpečnostní politiky, systémové bezpečnostní politiky atd.
Vytvoření bezpečnostních příruček pro administrátory, uživatele, bezpečnostní manažery a podobně.
Sociální sítě:
