Αποκάλυψη πληροφοριών

Ασφαλίστε την επιχείρησή σας με το CyberHoot σήμερα!!!

Εγγραφείτε τώρα

Η αποκάλυψη πληροφοριών, γνωστή και ως διαρροή πληροφοριών, συμβαίνει όταν ένας ιστότοπος αποκαλύπτει ακούσια ευαίσθητες πληροφορίες. Ανάλογα με το πλαίσιο, οι ιστότοποι ενδέχεται να διαρρεύσουν κάθε είδους πληροφορίες σε έναν πιθανό εισβολέα, όπως:

• Δεδομένα σχετικά με άλλους χρήστες, όπως ένα έγκυρο όνομα χρήστη μέσω μηνυμάτων αποτυχημένης σύνδεσης ή προσωπικές πληροφορίες που δεν πρέπει να παρέχονται σε κανέναν εκτός από τον κάτοχό τους
• Ευαίσθητα εμπορικά ή επιχειρηματικά δεδομένα
• Τεχνικές λεπτομέρειες σχετικά με τον ιστότοπο και την υποδομή του

Η διαρροή ευαίσθητων δεδομένων χρηστών ή επιχειρήσεων μπορεί να οδηγήσει σε κίνδυνο της επιχείρησης ή στην παραβίαση του απορρήτου των προσωπικών πληροφοριών. Ωστόσο, η αποκάλυψη τεχνικών πληροφοριών μπορεί επίσης να είναι σοβαρή. Παρόλο που ορισμένες από αυτές τις πληροφορίες θα έχουν περιορισμένη χρήση, μπορούν ενδεχομένως να αποτελέσουν σημείο εκκίνησης για την αποκάλυψη πρόσθετων επιφανειών επίθεσης , που περιέχουν άλλα τρωτά σημεία προς εκμετάλλευση. Για παράδειγμα, η αποκάλυψη των εφαρμογών και των εκδόσεων που εκτελούνται σε έναν ιστότοπο μπορεί να αποκαλύψει τα κατάλληλα exploits που πρέπει να εκτελεστούν για την παραβίαση εφαρμογών που δεν έχουν ενημερωθεί.

Ευαίσθητες πληροφορίες ενδέχεται να διαρρεύσουν ακούσια σε χρήστες που απλώς περιηγούνται στον ιστότοπο με κανονικό τρόπο. Συνηθέστερα, ένας εισβολέας προκαλεί την αποκάλυψη πληροφοριών αλληλεπιδρώντας με τον ιστότοπο με απροσδόκητους ή κακόβουλους τρόπους. Στη συνέχεια, θα μελετήσει προσεκτικά τις απαντήσεις του ιστότοπου για να προσπαθήσει να εντοπίσει ενδιαφέρουσα συμπεριφορά.

Μερικά παραδείγματα γνωστοποίησης πληροφοριών παρατίθενται παρακάτω:

• Αποκάλυψη των ονομάτων των κρυφών καταλόγων, της δομής τους και του περιεχομένου τους μέσω ενός robots.txt καταχώριση αρχείου ή καταλόγου
• Παροχή πρόσβασης σε αρχεία πηγαίου κώδικα μέσω προσωρινών αντιγράφων ασφαλείας που δεν προστατεύονται σωστά
• Ρητή αναφορά ονομάτων πινάκων ή στηλών βάσης δεδομένων σε μηνύματα σφάλματος
• Άσκοπη αποκάλυψη εξαιρετικά ευαίσθητων πληροφοριών, όπως στοιχεία πιστωτικής κάρτας
• Αποθήκευση κλειδιών API, διευθύνσεων IP, διαπιστευτηρίων βάσης δεδομένων και ούτω καθεξής στον πηγαίο κώδικα
• Υπαινιγμός για την ύπαρξη ή απουσία πόρων, ονομάτων χρήστη και ούτω καθεξής μέσω ανεπαίσθητων διαφορών στη συμπεριφορά της εφαρμογής

Πώς το αποτρέπει αυτό το SMB ή το MSP μου;

Μία από τις κύριες μεθόδους πρόληψης αφορά τους προγραμματιστές και όσους εργάζονται διοικητικά εντός του ιστότοπου της εταιρείας. Οι παρακάτω συστάσεις αφορούν αυστηρά τους διαχειριστές ή τους προγραμματιστές του ιστότοπου ή της εφαρμογής σας: 

Καταρχάς, βεβαιωθείτε ότι οι προγραμματιστές που συμμετέχουν στη δημιουργία του ιστότοπου γνωρίζουν πλήρως ποιες πληροφορίες θεωρούνται ευαίσθητες. Μερικές φορές, φαινομενικά ακίνδυνες πληροφορίες μπορεί να είναι πολύ πιο χρήσιμες για έναν εισβολέα από ό,τι αντιλαμβάνονται οι άνθρωποι. Η επισήμανση αυτών των κινδύνων μπορεί να βοηθήσει στη διασφάλιση ότι οι ευαίσθητες πληροφορίες χειρίζονται γενικά με μεγαλύτερη ασφάλεια από τον οργανισμό σας. Δεύτερον, ελέγξτε οποιονδήποτε κώδικα για πιθανή αποκάλυψη πληροφοριών ως μέρος των διαδικασιών διασφάλισης ποιότητας ή δημιουργίας. Θα πρέπει να είναι σχετικά εύκολο να αυτοματοποιήσετε ορισμένες από τις σχετικές εργασίες, όπως η αφαίρεση των σχολίων των προγραμματιστών. Τρίτον, χρησιμοποιήστε γενικά μηνύματα σφάλματος όσο το δυνατόν περισσότερο. Μην παρέχετε στους εισβολείς ενδείξεις σχετικά με τη συμπεριφορά των εφαρμογών χωρίς λόγο. Τέταρτον, ελέγξτε ξανά ότι τυχόν λειτουργίες εντοπισμού σφαλμάτων ή διάγνωσης είναι απενεργοποιημένες στο περιβάλλον παραγωγής. Τέλος, βεβαιωθείτε ότι κατανοείτε πλήρως τις ρυθμίσεις διαμόρφωσης και τις επιπτώσεις στην ασφάλεια οποιασδήποτε τεχνολογίας τρίτου μέρους που εφαρμόζετε. Αφιερώστε χρόνο για να διερευνήσετε και να απενεργοποιήσετε τυχόν λειτουργίες και ρυθμίσεις που δεν χρειάζεστε στην πραγματικότητα. 

Πρόσθετες συστάσεις για την κυβερνοασφάλεια

Εκτός από τις παραπάνω συστάσεις, τα παρακάτω στοιχεία θα βοηθήσουν εσάς και την επιχείρησή σας να παραμείνετε ασφαλείς έναντι πολλών από τις απειλές που ενδέχεται να αντιμετωπίζετε καθημερινά. Όλες οι προτάσεις που αναφέρονται παρακάτω μπορούν να αποκτηθούν προσλαμβάνοντας τις υπηρεσίες vCISO της CyberHoot.

1. Ελέγχετε τους εργαζομένους με πολιτικές και διαδικασίες. Χρειάζεστε τουλάχιστον μια πολιτική κωδικών πρόσβασης, μια πολιτική αποδεκτής χρήσης, μια πολιτική χειρισμού πληροφοριών και ένα γραπτό πρόγραμμα ασφάλειας πληροφοριών (WISP).
2. Εκπαίδευση των εργαζομένων σχετικά με τον τρόπο εντοπισμού και αποφυγής επιθέσεις ηλεκτρονικού ψαρέματοςΥιοθετήστε ένα σύστημα Διαχείρισης Μάθησης όπως το CyberHoot για να διδάξετε στους υπαλλήλους τις δεξιότητες που χρειάζονται για να είναι πιο σίγουροι, παραγωγικοί και ασφαλείς.
3. Δοκιμάστε τους υπαλλήλους με επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) για εξάσκηση. Οι δοκιμές ηλεκτρονικού "ψαρέματος" (phishing) της CyberHoot επιτρέπουν στις επιχειρήσεις να δοκιμάζουν τους υπαλλήλους με αξιόπιστες επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) και να υποβάλλουν όσους αποτυγχάνουν σε διορθωτική εκπαίδευση για το ηλεκτρονικό "ψάρεμα" (rejuvenate phishing).
4. Ανάπτυξη κρίσιμης τεχνολογίας κυβερνοασφάλειας, συμπεριλαμβανομένων έλεγχος ταυτότητας δύο παραγόντων σε όλους τους κρίσιμους λογαριασμούς. Ενεργοποίηση φιλτραρίσματος ανεπιθύμητης αλληλογραφίας μέσω email, επικύρωση αντιγράφων ασφαλείας, ανάπτυξη προστασίας DNS, προστασίας από ιούςκαι anti-malware σε όλα τα τερματικά σας σημεία.
5. Στη σύγχρονη εποχή της εργασίας από το σπίτι, βεβαιωθείτε ότι διαχειρίζεστε τις προσωπικές συσκευές που συνδέονται στο δίκτυό σας επικυρώνοντας την ασφάλειά τους (επιδιορθώσεις, antivirus, προστασία DNS κ.λπ.) ή απαγορεύοντας εντελώς τη χρήση τους.
6. Εάν δεν έχετε λάβει αξιολόγηση κινδύνου από τρίτο μέρος τα τελευταία 3 χρόνια, θα πρέπει να έχετε μια τώρα. Η δημιουργία ενός πλαισίου διαχείρισης κινδύνου στον οργανισμό σας είναι κρίσιμη για την αντιμετώπιση των πιο σοβαρών κινδύνων σας με τον περιορισμένο χρόνο και τα χρήματά σας.
7. Αγοράστε Κυβερνοασφάλιση για να σας προστατεύσει σε μια καταστροφική κατάσταση βλάβης. Η Κυβερνοασφάλιση δεν διαφέρει από την ασφάλεια αυτοκινήτου, πυρκαγιάς, πλημμύρας ή ζωής. Είναι εκεί όταν τη χρειάζεστε περισσότερο.

Όλες αυτές οι συστάσεις είναι ενσωματωμένες στο προϊόν CyberHoot ή στις Υπηρεσίες vCISO της CyberHoot. Με το CyberHoot μπορείτε να διαχειρίζεστε, να εκπαιδεύετε, να αξιολογείτε και να δοκιμάζετε τους υπαλλήλους σας. Επισκεφθείτε το CyberHoot.com και εγγραφείτε στις υπηρεσίες μας σήμερα. Τουλάχιστον, συνεχίστε να μαθαίνετε εγγραφόμενοι στα μηνιαία ενημερωτικά δελτία μας για την κυβερνοασφάλεια , για να παραμένετε ενημερωμένοι για τις τρέχουσες ενημερώσεις στον κυβερνοχώρο.

Πηγές: 

netsparker

ΠορτΣβίγκερ

Σχετικοί Όροι:

Άρνηση παροχής υπηρεσίας (DoS)

Απομακρυσμένη εκτέλεση κώδικα (RCE)

Το CyberHoot διαθέτει και άλλους πόρους διαθέσιμους για χρήση από εσάς. Παρακάτω θα βρείτε συνδέσμους προς όλους τους πόρους μας, μη διστάσετε να τους ελέγξετε όποτε θέλετε: 

• Blog
• Cybrary (Κυβερνοβιβλιοθήκη)
• infographics
• Ενημερωτικά Δελτία
• Δελτία Τύπου
• Εκπαιδευτικά βίντεο (HowTo) – πολύ χρήσιμο για τους SuperUsers μας!

Σημείωση: Αν θέλετε να εγγραφείτε στο ενημερωτικό μας δελτίο, επισκεφθείτε οποιονδήποτε σύνδεσμο παραπάνω (εκτός από τα infographics) και εισαγάγετε τη διεύθυνση email σας στη δεξιά πλευρά της σελίδας και κάντε κλικ στην επιλογή « Αποστολή ενημερωτικών δελτίων».