Offenlegung von Informationen

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Informationsleck, auch bekannt als Datenverlust, liegt vor, wenn eine Website unbeabsichtigt sensible Informationen preisgibt. Je nach Kontext können Websites alle Arten von Informationen an potenzielle Angreifer weitergeben, darunter:

Daten über andere Benutzer, wie z. B. ein gültiger Benutzername über fehlgeschlagene Anmeldemeldungen oder persönliche Informationen, die niemandem außer dem Eigentümer zur Verfügung gestellt werden sollten

Sensible kommerzielle oder geschäftliche Daten

Technische Details zur Website und ihrer Infrastruktur

Das Durchsickern sensibler Nutzer- oder Unternehmensdaten kann die Sicherheit des Unternehmens gefährden oder die Vertraulichkeit persönlicher Informationen verletzen. Auch die Offenlegung technischer Informationen kann schwerwiegende Folgen haben. Obwohl einige dieser Informationen nur begrenzt nützlich sind, können sie potenziell als Ausgangspunkt dienen, um zusätzliche Angriffsflächen mit weiteren ausnutzbaren Schwachstellen aufzudecken. Beispielsweise kann die Offenlegung der auf einer Website verwendeten Anwendungen und Versionen geeignete Exploits liefern, um ungepatchte Anwendungen zu kompromittieren.

Vertrauliche Informationen können unbeabsichtigt an Benutzer weitergegeben werden, die die Website ganz normal nutzen. Häufiger passiert es, dass ein Angreifer die Offenlegung von Informationen durch unerwartete oder böswillige Interaktionen mit der Website verursacht. Er untersucht dann sorgfältig die Reaktionen der Website, um interessantes Verhalten zu identifizieren.

Nachfolgend finden Sie einige Beispiele für die Offenlegung von Informationen:

Die Namen versteckter Verzeichnisse, ihre Struktur und ihren Inhalt werden über eine robots.txt Datei- oder Verzeichnisliste

Bereitstellung des Zugriffs auf Quellcodedateien über temporäre Backups, die nicht ausreichend geschützt sind

Explizite Erwähnung von Datenbanktabellen- oder Spaltennamen in Fehlermeldungen

Unnötige Offenlegung hochsensibler Informationen, wie z. B. Kreditkartendaten

Festkodierung von API-Schlüsseln, IP-Adressen, Datenbankanmeldeinformationen usw. im Quellcode

Hinweise auf das Vorhandensein oder Fehlen von Ressourcen, Benutzernamen usw. durch subtile Unterschiede im Anwendungsverhalten

Wie verhindert mein KMU oder MSP dies?

Eine der wichtigsten Präventionsmaßnahmen betrifft Entwickler und Administratoren der Unternehmenswebsite. Die folgenden Empfehlungen richten sich ausschließlich an Administratoren und Entwickler Ihrer Website oder Anwendung:

Stellen Sie zunächst sicher, dass die an der Website-Erstellung beteiligten Entwickler genau wissen, welche Informationen als vertraulich gelten. Manchmal können scheinbar harmlose Informationen für einen Angreifer viel nützlicher sein, als man denkt. Das Hervorheben dieser Gefahren trägt dazu bei, dass Ihr Unternehmen den Umgang mit vertraulichen Informationen generell sicherer gestaltet. Überprüfen Sie zweitens im Rahmen Ihrer Qualitätssicherungs- oder Build-Prozesse den gesamten Code auf mögliche Informationsveröffentlichungen. Einige der damit verbundenen Aufgaben, wie beispielsweise das Entfernen von Entwicklerkommentaren, lassen sich relativ einfach automatisieren. Verwenden Sie drittens möglichst generische Fehlermeldungen. Geben Sie Angreifern keine unnötigen Hinweise zum Anwendungsverhalten. Überprüfen Sie viertens, ob alle Debug- und Diagnosefunktionen in der Produktionsumgebung deaktiviert sind. Stellen Sie abschließend sicher, dass Sie die Konfigurationseinstellungen und Sicherheitsauswirkungen aller von Ihnen implementierten Drittanbietertechnologien vollständig verstehen. Nehmen Sie sich die Zeit, diese zu untersuchen und alle Funktionen und Einstellungen zu deaktivieren, die Sie nicht wirklich benötigen.

Zusätzliche Empfehlungen zur Cybersicherheit

Zusätzlich zu den oben genannten Empfehlungen helfen Ihnen die folgenden Punkte, sich und Ihr Unternehmen vor vielen der alltäglichen Bedrohungen zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Dienste von CyberHoot.

Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).

Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.

Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.

Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.

Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.

Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.

Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.

Quellen:

Verwandte Begriffe:

CyberHoot stellt Ihnen weitere Ressourcen zur Verfügung. Nachfolgend finden Sie Links zu allen unseren Ressourcen. Schauen Sie sich diese jederzeit gerne an:

Hinweis: Wenn Sie unseren Newsletter abonnieren möchten, besuchen Sie einen der oben stehenden Links (außer Infografiken), geben Sie Ihre E-Mail-Adresse auf der rechten Seite ein und klicken Sie auf „ Newsletter senden“.