Penjajahan klik

Clickjacking , juga dikenali sebagai " Serangan Pembaikan UI ", ialah apabila penyerang menggunakan berbilang lapisan lutsinar atau samar-samar untuk memperdaya pengguna supaya mengklik butang atau pautan pada halaman lain sedangkan mereka berhasrat untuk mengklik pada halaman peringkat atas. Oleh itu, penyerang "merampas" klik yang dimaksudkan untuk halaman mereka dan menghalakannya ke halaman lain, kemungkinan besar dimiliki oleh aplikasi, domain atau kedua-duanya yang lain.

Menggunakan teknik yang serupa, ketukan kekunci juga boleh dirampas. Dengan gabungan helaian gaya, iframe dan kotak teks yang direka dengan teliti, pengguna boleh diajak untuk mempercayai bahawa mereka sedang menaip kata laluan ke e-mel atau akaun bank mereka, tetapi sebaliknya menaip ke dalam bingkai halimunan yang dikawal oleh penyerang.

Salah satu contoh Clickjacking yang paling terkenal ialah serangan terhadap halaman tetapan pemalam Adobe Flash . Dengan memuatkan halaman ini ke dalam iframe yang tidak kelihatan, penyerang boleh memperdaya pengguna untuk mengubah tetapan keselamatan Flash, memberikan kebenaran untuk sebarang animasi Flash menggunakan mikrofon dan kamera komputer.

Apakah maksud ini untuk SMB?

Walaupun mungkin sukar bagi Pemilik PKS biasa untuk mengambil tindakan bagi mencegah perkara ini daripada berlaku, terdapat beberapa perkara yang boleh dibantu oleh kakitangan IT anda untuk menyediakannya. Menurut OWASP , terdapat tiga strategi utama yang boleh digunakan untuk mempertahankan diri daripada serangan ini:

• Menghalang pelayar daripada memuatkan halaman dalam bingkai menggunakan Pilihan-Rangka-X or Dasar Keselamatan Kandungan (frame-nenek moyang) Pengepala HTTP.
• Menghalang kuki sesi daripada disertakan apabila halaman dimuatkan dalam bingkai menggunakan Tapak Sama atribut kuki.
• Melaksanakan kod JavaScript dalam halaman untuk cuba menghalangnya daripada dimuatkan dalam bingkai.

Ambil perhatian bahawa mekanisme ini semuanya bebas antara satu sama lain, dan jika boleh lebih daripada satu daripadanya harus dilaksanakan untuk memberikan pertahanan secara mendalam. Sebagai tambahan kepada tindakan ini, langkah asas ini harus disediakan untuk melindungi pengguna anda: 

• Mengguna pakai pengesahan dua faktor untuk mengelakkan a kata laluan pelanggaran perniagaan anda VPN, perkhidmatan e-mel dan sebarang perkhidmatan kritikal lain yang boleh diakses secara terus ke Internet
• Mengamalkan a pengurus kata laluan untuk menggunakan secara peribadi dan profesional untuk meningkatkan kebersihan kata laluan (sambil menempatkan kata laluan unik 14+ aksara/frasa laluan)
• Kerap membuat sandaran data berikutan Kaedah sandaran 3-2-1 untuk menyandarkan semua data kritikal dan sensitif anda
• Melatih pekerja bagaimana untuk mengesan dan mengelak Phishing serangan - cara utama serangan siber berlaku
• Uji pekerja pada latihan mereka untuk mengesahkan mereka boleh melihat dan memadam ancaman daripada mengklik dan tunduk kepada serangan

Untuk mengetahui lebih lanjut mengenai Clickjacking, tonton video pendek ini:

Sumber: 

OWASP

Sumber Pembangun Mozilla

Sumber X-Frame Mozilla

Teori Sek

Membaca tambahan:

PortSwigger – Cari Kerentanan Clickjacking

Security Boulevard – Mencegah Serangan Clickjacking

Terma Berkaitan:

Pautjacking

phishing

Ketahui cara CyberHoot boleh menjamin perniagaan anda.

Jadualkan demo