Informationsafsløring

Sikr din virksomhed med CyberHoot i dag!!!

Informationsafsløring, også kendt som informationslækage, er, når et websted utilsigtet afslører følsomme oplysninger. Afhængigt af konteksten kan websteder lække alle mulige former for oplysninger til en potentiel angriber, herunder:

Data om andre brugere, såsom et gyldigt brugernavn via beskeder om mislykket login eller personlige oplysninger, der ikke bør gives til nogen undtagen ejeren

Følsomme kommercielle eller forretningsmæssige data

Tekniske detaljer om hjemmesiden og dens infrastruktur

Lækage af følsomme bruger- eller virksomhedsdata kan føre til kompromittering af virksomheden eller fortroligheden af personlige oplysninger. Det kan dog også være alvorligt at videregive tekniske oplysninger. Selvom nogle af disse oplysninger vil være af begrænset nytte, kan de potentielt være et udgangspunkt for at afsløre yderligere angrebsflader , der indeholder andre sårbarheder, som kan udnyttes. For eksempel kan afsløring af de applikationer og versioner, der kører på et websted, afsløre de passende exploits, der skal køres for at kompromittere ikke-opdateringer.

Følsomme oplysninger kan utilsigtet lækkes til brugere, der blot browser på webstedet på normal vis. Mere almindeligt forårsager en angriber afsløring af oplysninger ved at interagere med webstedet på uventede eller ondsindede måder. De vil derefter omhyggeligt studere webstedets svar for at forsøge at identificere interessant adfærd.

Nogle eksempler på informationsoffentliggørelse findes nedenfor:

Afsløring af navnene på skjulte mapper, deres struktur og deres indhold via en robots.txt fil- eller mappeliste

Adgang til kildekodefiler via midlertidige sikkerhedskopier er ikke korrekt beskyttet

Eksplicit omtale af databasetabeller eller kolonnenavne i fejlmeddelelser

Unødvendig eksponering af meget følsomme oplysninger, såsom kreditkortoplysninger

Hardkodning af API-nøgler, IP-adresser, databaseoplysninger osv. i kildekoden

Antydning af eksistensen eller fraværet af ressourcer, brugernavne osv. via subtile forskelle i applikationens adfærd

Hvordan forhindrer min SMB eller MSP dette?

En af de primære forebyggelsesmetoder drejer sig om udviklere og dem, der arbejder administrativt på virksomhedens hjemmeside. Anbefalingerne nedenfor er udelukkende til administratorer eller udviklere af din hjemmeside eller applikation:

For det første skal du sørge for, at udviklere, der er involveret i oprettelsen af webstedet, er fuldt ud klar over, hvilke oplysninger der betragtes som følsomme. Nogle gange kan tilsyneladende harmløse oplysninger være meget mere nyttige for en angriber, end folk er klar over. At fremhæve disse farer kan hjælpe med at sikre, at følsomme oplysninger håndteres mere sikkert generelt af din organisation. For det andet skal du gennemgå al kode for potentiel informationsafsløring som en del af dine QA- eller byggeprocesser. Det bør være relativt nemt at automatisere nogle af de tilknyttede opgaver, såsom at fjerne udviklerkommentarer. For det tredje skal du bruge generiske fejlmeddelelser så meget som muligt. Giv ikke angribere unødvendigt spor om applikationens adfærd. For det fjerde skal du dobbelttjekke, at eventuelle fejlfindings- eller diagnosticeringsfunktioner er deaktiveret i produktionsmiljøet. Til sidst skal du sørge for, at du fuldt ud forstår konfigurationsindstillingerne og sikkerhedsmæssige implikationer for enhver tredjepartsteknologi, du implementerer. Tag dig tid til at undersøge og deaktivere alle funktioner og indstillinger, som du faktisk ikke har brug for.

Yderligere anbefalinger til cybersikkerhed

Ud over ovenstående anbefalinger vil nedenstående punkter hjælpe dig og din virksomhed med at forblive sikre mod mange af de trusler, I kan stå over for i det daglige. Alle nedenstående forslag kan opnås ved at hyre CyberHoots vCISO-tjenester.

Styr medarbejderne med politikker og procedurer. Du skal som minimum have en adgangskodepolitik, en politik for acceptabel brug, en politik for informationshåndtering og et skriftligt informationssikkerhedsprogram (WISP).

Træn medarbejderne i, hvordan de kan opdage og undgå phishing-angrebIndfør et læringsstyringssystem som CyberHoot for at lære medarbejderne de færdigheder, de har brug for, for at blive mere selvsikre, produktive og sikre.

Test medarbejdere med phishing-angreb for at øve dig. CyberHoots phish-test giver virksomheder mulighed for at teste medarbejdere med troværdige phishing-angreb og give dem, der fejler, træning i afhjælpende phishing.

Implementer kritisk cybersikkerhedsteknologi, herunder to-faktor autentificering på alle kritiske konti. Aktivér e-mail SPAM-filtrering, valider sikkerhedskopier, implementer DNS-beskyttelse, antivirusog anti-malware på alle dine endpoints.

I den moderne hjemmearbejdstid skal du sørge for at administrere personlige enheder, der opretter forbindelse til dit netværk, ved at validere deres sikkerhed (patches, antivirus, DNS-beskyttelse osv.) eller helt forbyde deres brug.

Hvis du ikke har fået foretaget en risikovurdering af en tredjepart inden for de sidste 3 år, bør du få en nu. Det er afgørende at etablere en risikostyringsramme i din organisation for at håndtere dine mest alvorlige risici med din begrænsede tid og dine penge.

Køb cyberforsikring for at beskytte dig i en katastrofal nødsituation. Cyberforsikring er ikke anderledes end bil-, brand-, oversvømmelses- eller livsforsikring. Den er der, når du har mest brug for den.

Alle disse anbefalinger er indbygget i CyberHoot-produktet eller CyberHoots vCISO-tjenester. Med CyberHoot kan du styre, træne, vurdere og teste dine medarbejdere. Besøg CyberHoot.com og tilmeld dig vores tjenester i dag. Fortsæt som minimum med at lære ved at tilmelde dig vores månedlige nyhedsbreve om cybersikkerhed for at holde dig opdateret om de seneste cybersikkerhedsopdateringer.

kilder:

Relaterede vilkår:

CyberHoot har også nogle andre ressourcer til rådighed. Nedenfor finder du links til alle vores ressourcer, du er velkommen til at tjekke dem ud, når du har lyst:

Bemærk: Hvis du vil abonnere på vores nyhedsbrev, skal du besøge et af linkene ovenfor (udover infografik), indtaste din e-mailadresse i højre side af siden og klikke på ' Send mig nyhedsbreve'.