Divulgação de informações

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Divulgação de informações, também conhecida como vazamento de informações, ocorre quando um site revela, sem intenção, informações confidenciais. Dependendo do contexto, os sites podem vazar todos os tipos de informações para um potencial invasor, incluindo:

Dados sobre outros usuários, como um nome de usuário válido por meio de mensagens de login com falha ou informações pessoais que não devem ser fornecidas a ninguém, exceto ao seu proprietário

Dados comerciais ou empresariais sensíveis

Detalhes técnicos sobre o site e sua infraestrutura

O vazamento de dados confidenciais de usuários ou empresas pode comprometer os negócios ou a confidencialidade de informações pessoais. No entanto, a divulgação de informações técnicas também pode ser grave. Embora algumas dessas informações tenham utilidade limitada, elas podem ser um ponto de partida para expor superfícies de ataque adicionais , contendo outras vulnerabilidades a serem exploradas. Por exemplo, divulgar os aplicativos e suas versões em execução em um site pode revelar os exploits apropriados para comprometer aplicativos sem as devidas atualizações de segurança.

Informações sensíveis podem vazar involuntariamente para usuários que estão apenas navegando no site normalmente. Mais comumente, um invasor causa a divulgação de informações interagindo com o site de maneiras inesperadas ou maliciosas. Ele então analisa cuidadosamente as respostas do site para tentar identificar comportamentos interessantes.

Alguns exemplos de divulgação de informações são encontrados abaixo:

Revelando os nomes de diretórios ocultos, sua estrutura e seus conteúdos por meio de um robots.txt listagem de arquivos ou diretórios

Fornecer acesso aos arquivos de código-fonte por meio de backups temporários não protegidos adequadamente

Mencionar explicitamente nomes de tabelas ou colunas de banco de dados em mensagens de erro

Expor desnecessariamente informações altamente sensíveis, como detalhes de cartão de crédito

Codificação rígida de chaves de API, endereços IP, credenciais de banco de dados e assim por diante no código-fonte

Sugerindo a existência ou ausência de recursos, nomes de usuários e assim por diante por meio de diferenças sutis no comportamento do aplicativo

Como minha PME ou MSP evita isso?

Um dos principais métodos de prevenção envolve desenvolvedores e aqueles que trabalham na área administrativa do site da empresa. As recomendações abaixo são estritamente para administradores ou desenvolvedores do seu site ou aplicativo:

Primeiro, certifique-se de que os desenvolvedores envolvidos na criação do site estejam totalmente cientes de quais informações são consideradas sensíveis. Às vezes, informações aparentemente inofensivas podem ser muito mais úteis para um invasor do que as pessoas imaginam. Destacar esses perigos pode ajudar a garantir que informações sensíveis sejam tratadas com mais segurança em geral pela sua organização. Segundo, audite qualquer código para possível divulgação de informações como parte de seus processos de controle de qualidade ou construção. Deve ser relativamente fácil automatizar algumas das tarefas associadas, como remover comentários do desenvolvedor. Terceiro, use mensagens de erro genéricas sempre que possível. Não forneça aos invasores pistas sobre o comportamento do aplicativo desnecessariamente. Quarto, verifique novamente se todos os recursos de depuração ou diagnóstico estão desabilitados no ambiente de produção. Por fim, certifique-se de compreender completamente as configurações e as implicações de segurança de qualquer tecnologia de terceiros que você implementar. Reserve um tempo para investigar e desabilitar quaisquer recursos e configurações que você realmente não precise.

Recomendações adicionais de segurança cibernética

Além das recomendações acima, os itens abaixo ajudarão você e sua empresa a se manterem seguros contra muitas das ameaças que podem surgir no dia a dia. Todas as sugestões listadas abaixo podem ser obtidas ao contratar os serviços de vCISO da CyberHoot.

Governe os funcionários com políticas e procedimentos. Você precisa, no mínimo, de uma política de senhas, uma política de uso aceitável, uma política de tratamento de informações e um programa de segurança da informação (WISP) por escrito.

Treinar os funcionários sobre como identificar e evitar ataques de phishing. Adote um sistema de gerenciamento de aprendizagem como o CyberHoot para ensinar aos funcionários as habilidades necessárias para que eles sejam mais confiantes, produtivos e seguros.

Teste funcionários com ataques de phishing para praticar. Os testes de phishing da CyberHoot permitem que as empresas testem funcionários com ataques de phishing confiáveis e submetam aqueles que falham a um treinamento corretivo de phishing.

Implementar tecnologia crítica de segurança cibernética, incluindo autenticação de dois fatores em todas as contas críticas. Habilite a filtragem de SPAM de e-mail, valide backups, implante proteção de DNS, antivirus, e antimalware em todos os seus endpoints.

Na era moderna do trabalho em casa, certifique-se de gerenciar dispositivos pessoais que se conectam à sua rede validando sua segurança (patches, antivírus, proteções de DNS, etc.) ou proibindo seu uso completamente.

Se você não passou por uma avaliação de risco terceirizada nos últimos 3 anos, deveria ter uma agora. Estabelecer uma estrutura de gestão de riscos na sua organização é fundamental para lidar com os riscos mais graves com seu tempo e dinheiro limitados.

Contrate um Seguro Cibernético para se proteger em caso de desastre. O Seguro Cibernético não é diferente de um seguro de carro, incêndio, inundação ou vida. Ele está lá quando você mais precisa.

Todas essas recomendações estão integradas ao produto CyberHoot ou aos serviços vCISO da CyberHoot. Com o CyberHoot, você pode governar, treinar, avaliar e testar seus funcionários. Visite CyberHoot.com e inscreva-se em nossos serviços hoje mesmo. No mínimo, continue aprendendo assinando nossos boletins informativos mensais sobre segurança cibernética para ficar por dentro das últimas novidades da área.

Fontes:

Termos relacionados:

O CyberHoot também oferece outros recursos. Abaixo, você encontra links para todos os nossos recursos. Sinta-se à vontade para consultá-los sempre que quiser:

Nota: Se desejar se inscrever em nossa newsletter, acesse qualquer link acima (exceto os infográficos), insira seu endereço de e-mail no lado direito da página e clique em " Enviar newsletters".