Zveřejnění informací

Zabezpečte své podnikání s CyberHootem ještě dnes!!!

Zveřejnění informací, známé také jako únik informací, nastává, když webová stránka neúmyslně odhalí citlivé informace. V závislosti na kontextu mohou webové stránky potenciálnímu útočníkovi zpřístupnit nejrůznější informace, včetně:

Údaje o ostatních uživatelích, jako například platné uživatelské jméno prostřednictvím neúspěšných přihlašovacích zpráv nebo osobní údaje, které by neměly být poskytovány nikomu kromě jejich vlastníka

Citlivé obchodní nebo obchodní údaje

Technické podrobnosti o webových stránkách a jejich infrastruktuře

Únik citlivých uživatelských nebo obchodních dat může vést k ohrožení podnikání nebo narušení důvěrnosti osobních údajů. Zveřejnění technických informací však může být také závažné. Ačkoli některé z těchto informací budou mít omezené využití, mohou být potenciálně výchozím bodem pro odhalení dalších oblastí útoku , které obsahují další zranitelnosti, jež lze zneužít. Například zveřejnění aplikací a verzí spuštěných na webových stránkách může odhalit vhodné exploity, které lze spustit k ohrožení neopravených aplikací.

Citlivé informace mohou být neúmyslně poskytnuty uživatelům, kteří si webové stránky jednoduše prohlížejí běžným způsobem. Útočník častěji způsobí únik informací neočekávaným nebo škodlivým způsobem interakce s webovými stránkami. Poté pečlivě prostuduje reakce webových stránek, aby se pokusil identifikovat zajímavé chování.

Některé příklady zveřejnění informací naleznete níže:

Odhalení názvů skrytých adresářů, jejich struktury a obsahu pomocí robots.txt výpis souborů nebo adresářů

Poskytování přístupu ke zdrojovým souborům prostřednictvím dočasných záloh, které nejsou řádně chráněny

Explicitní zmínka názvů databázových tabulek nebo sloupců v chybových zprávách

Zbytečné zveřejňování vysoce citlivých informací, jako jsou údaje o kreditní kartě

Pevné kódování klíčů API, IP adres, přihlašovacích údajů k databázi atd. ve zdrojovém kódu

Naznačování existence nebo nepřítomnosti zdrojů, uživatelských jmen atd. prostřednictvím jemných rozdílů v chování aplikace

Jak tomu můj malý nebo střední podnik nebo poskytovatel spravovaných služeb zabrání?

Jednou z hlavních metod prevence jsou vývojáři a ti, kteří pracují administrativně na webových stránkách společnosti. Níže uvedená doporučení jsou určena výhradně pro administrátory nebo vývojáře vašich webových stránek či aplikací:

Zaprvé se ujistěte, že vývojáři zapojení do tvorby webových stránek si plně uvědomují, jaké informace jsou považovány za citlivé. Někdy mohou být zdánlivě neškodné informace pro útočníka mnohem užitečnější, než si lidé uvědomují. Upozornění na tato nebezpečí může pomoci zajistit, aby vaše organizace obecně bezpečněji nakládala s citlivými informacemi. Zadruhé, v rámci procesů kontroly kvality nebo sestavení auditujte jakýkoli kód, zda nedošlo k možnému úniku informací. Automatizace některých souvisejících úkolů, jako je například odstraňování komentářů vývojářů, by měla být relativně snadná. Zatřetí, co nejvíce používejte obecné chybové zprávy. Neposkytujte útočníkům zbytečné vodítka o chování aplikace. Začtvrté, dvakrát zkontrolujte, zda jsou v produkčním prostředí zakázány všechny ladicí nebo diagnostické funkce. A konečně, ujistěte se, že plně rozumíte konfiguračním nastavením a bezpečnostním důsledkům jakékoli technologie třetích stran, kterou implementujete. Věnujte čas prozkoumání a zakázání všech funkcí a nastavení, které ve skutečnosti nepotřebujete.

Další doporučení pro kybernetickou bezpečnost

Kromě výše uvedených doporučení vám a vaší firmě pomohou níže uvedené body zůstat v bezpečí před mnoha hrozbami, kterým můžete denně čelit. Všechna níže uvedená doporučení můžete získat najmutím služeb vCISO od společnosti CyberHoot.

Říďte zaměstnance pomocí zásad a postupů. Potřebujete minimálně zásady pro hesla, zásady pro přijatelné použití, zásady pro nakládání s informacemi a písemný program zabezpečení informací (WISP).

Školte zaměstnance, jak je rozpoznat a jak se jim vyhnout phishingové útokyZaveďte systém pro řízení vzdělávání, jako je CyberHoot, abyste zaměstnancům poskytli dovednosti, které potřebují k větší sebedůvěrě, produktivitě a bezpečí.

Otestujte zaměstnance phishingovými útoky pro procvičení. Phishingové testování od CyberHootu umožňuje firmám otestovat zaměstnance věrohodnými phishingovými útoky a ty, kteří neuspějí, zařadit do nápravného phishingového školení.

Nasaďte kritické technologie kybernetické bezpečnosti, včetně dvoufaktorová autentizace na všech kritických účtech. Povolte filtrování spamu v e-mailech, ověřte zálohy, nasaďte ochranu DNS, antivirusa antimalwarovou ochranu na všech vašich koncových bodech.

V moderní éře práce z domova se ujistěte, že spravujete osobní zařízení připojující se k vaší síti ověřením jejich zabezpečení (záplaty, antivirový program, ochrana DNS atd.) nebo jejich používání zcela zakážete.

Pokud jste v posledních 2 letech neprovedli posouzení rizik třetí stranou, měli byste ho provést nyní. Zavedení rámce pro řízení rizik ve vaší organizaci je zásadní pro řešení nejzávažnějších rizik s vaším omezeným časem a penězi.

Pořiďte si kybernetické pojištění, které vás ochrání v případě katastrofického selhání. Kybernetické pojištění se neliší od pojištění auta, požáru, povodně nebo životního pojištění. Je tu pro vás, když ho nejvíce potřebujete.

Všechna tato doporučení jsou součástí produktu CyberHoot nebo služeb vCISO od CyberHoot. S CyberHootem můžete řídit, školit, hodnotit a testovat své zaměstnance. Navštivte CyberHoot.com a zaregistrujte se k odběru našich služeb ještě dnes. Minimálně se můžete i nadále vzdělávat přihlášením k odběru našich měsíčních newsletterů o kybernetické bezpečnosti , abyste byli informováni o aktuálních aktualizacích v oblasti kybernetické bezpečnosti.

Zdroje:

Související podmínky:

CyberHoot nabízí i další zdroje, které můžete využít. Níže uvádíme odkazy na všechny naše zdroje, neváhejte se na ně kdykoli podívat:

Poznámka: Pokud se chcete přihlásit k odběru našeho newsletteru, klikněte na libovolný odkaz výše (kromě infografiky), zadejte svou e-mailovou adresu na pravé straně stránky a klikněte na tlačítko „ Zasílat newslettery“.