Раскрытие информации

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться

Утечка информации, также известная как раскрытие информации, — это непреднамеренное разглашение веб-сайтом конфиденциальной информации. В зависимости от контекста, веб-сайты могут передавать потенциальному злоумышленнику самую разнообразную информацию, включая:

• Данные о других пользователях, такие как действительное имя пользователя из сообщений о неудачных попытках входа в систему или личная информация, которая не должна предоставляться никому, кроме ее владельца.
• Конфиденциальные коммерческие или деловые данные
• Технические подробности о веб-сайте и его инфраструктуре

Утечка конфиденциальных пользовательских или деловых данных может привести к компрометации бизнеса или нарушению конфиденциальности личной информации. Однако раскрытие технической информации также может иметь серьезные последствия. Хотя часть этой информации будет иметь ограниченную ценность, она потенциально может стать отправной точкой для выявления дополнительных уязвимостей, содержащих другие потенциальные источники угроз . Например, раскрытие приложений и их версий, работающих на веб-сайте, может выявить соответствующие эксплойты для взлома незащищенных приложений.

Конфиденциальная информация может непреднамеренно попасть к пользователям, которые просто просматривают веб-сайт в обычном режиме. Чаще всего злоумышленник раскрывает информацию, взаимодействуя с веб-сайтом неожиданным или вредоносным образом. Затем он внимательно изучает ответы веб-сайта, чтобы попытаться выявить подозрительное поведение.

Некоторые примеры раскрытия информации приведены ниже:

• Раскрытие имен скрытых каталогов, их структуры и содержимого с помощью robots.txt список файлов или каталогов
• Предоставление доступа к файлам исходного кода через временные резервные копии, не защищенные должным образом
• Явное упоминание имен таблиц или столбцов базы данных в сообщениях об ошибках
• Необоснованное раскрытие конфиденциальной информации, например данных кредитной карты
• Жесткое кодирование ключей API, IP-адресов, учетных данных базы данных и т. д. в исходном коде
• Указание на наличие или отсутствие ресурсов, имен пользователей и т. д. с помощью едва заметных различий в поведении приложения

Каким образом мой SMB или MSP может это предотвратить?

Один из основных методов профилактики направлен на разработчиков и тех, кто работает администратором веб-сайта компании. Приведенные ниже рекомендации предназначены исключительно для администраторов и разработчиков вашего веб-сайта или приложения: 

Во-первых, убедитесь, что разработчики, участвующие в создании веб-сайта, полностью осведомлены о том, какая информация считается конфиденциальной. Иногда кажущаяся безобидной информация может быть гораздо полезнее для злоумышленника, чем кажется. Выделение этих опасностей поможет обеспечить более безопасную обработку конфиденциальной информации в вашей организации в целом. Во-вторых, проверяйте весь код на предмет потенциального раскрытия информации в рамках процессов контроля качества или сборки. Некоторые сопутствующие задачи, например, удаление комментариев разработчиков, должно быть относительно легко автоматизировать. В-третьих, по возможности используйте общие сообщения об ошибках. Не предоставляйте злоумышленникам без необходимости подсказки о поведении приложения. В-четвертых, дважды проверьте, отключены ли все функции отладки и диагностики в рабочей среде. Наконец, убедитесь, что вы полностью понимаете параметры конфигурации и последствия для безопасности любых сторонних технологий, которые вы внедряете. Уделите время изучению и отключению любых функций и настроек, которые вам фактически не нужны. 

Дополнительные рекомендации по кибербезопасности

В дополнение к вышеперечисленным рекомендациям, перечисленные ниже пункты помогут вам и вашему бизнесу обеспечить безопасность от многих угроз, с которыми вы можете сталкиваться ежедневно. Все перечисленные ниже предложения можно получить, воспользовавшись услугами виртуального директора по информационной безопасности (vCISO) от CyberHoot.

1. Управляйте сотрудниками с помощью политик и процедур. Вам как минимум потребуется политика паролей, политика допустимого использования, политика обработки информации и письменная программа информационной безопасности (WISP).
2. Обучите сотрудников тому, как выявлять и избегать фишинговые атаки. Внедрите систему управления обучением, такую как CyberHoot, чтобы обучить сотрудников навыкам, необходимым для повышения уверенности, продуктивности и защищенности.
3. Протестируйте сотрудников на фишинговых атаках для практики. Тестирование на фишинг от CyberHoot позволяет компаниям проверять сотрудников с помощью правдоподобных фишинговых атак и отправлять тех, кто не справится с фишинговыми атаками, на дополнительное обучение.
4. Внедрить критически важные технологии кибербезопасности, включая двухфакторная аутентификация на всех критически важных аккаунтах. Включите фильтрацию спама в электронной почте, проверьте резервные копии, разверните защиту DNS. антивируси защиту от вредоносных программ на всех ваших конечных точках.
5. В современную эпоху работы на дому обязательно контролируйте персональные устройства, подключающиеся к вашей сети, проверяя их безопасность (установка исправлений, антивирус, защита DNS и т. д.) или полностью запрещая их использование.
6. Если вы не проводили оценку рисков независимой организацией в течение последних двух лет, вам стоит сделать это сейчас. Создание системы управления рисками в вашей организации критически важно для устранения самых серьёзных рисков с учётом ограниченного времени и средств.
7. Приобретите киберстраховку, чтобы защитить себя в случае катастрофического сбоя. Киберстрахование ничем не отличается от страхования автомобиля, пожара, наводнения или жизни. Оно доступно именно тогда, когда оно вам больше всего нужно.

Все эти рекомендации заложены в сам продукт CyberHoot или в сервисы vCISO от CyberHoot. С помощью CyberHoot вы можете управлять, обучать, оценивать и тестировать своих сотрудников. Посетите CyberHoot.com и зарегистрируйтесь для получения наших услуг уже сегодня. Как минимум, продолжайте учиться, подписавшись на наши ежемесячные информационные бюллетени по кибербезопасности , чтобы быть в курсе последних обновлений в этой области.

источники: 

Netparker

ПортСвиггер

Связанные термины:

Отказ в обслуживании (DoS)

Удаленное выполнение кода (RCE)

CyberHoot предлагает вам воспользоваться другими ресурсами. Ниже приведены ссылки на все наши ресурсы, вы можете ознакомиться с ними в любое удобное время: 

• Блог
• Cybrary (Кибербиблиотека)
• Инфографика
• Рассылки
• Пресс-релизы
• Обучающие видео (HowTo) – очень полезно для наших Суперпользователей!

Примечание: Если вы хотите подписаться на нашу рассылку, перейдите по любой из ссылок выше (кроме инфографики), введите свой адрес электронной почты в правой части страницы и нажмите « Отправить мне рассылку».