Adatvédelmi kisokos munkavállalóknak egy senior pentestertől

Van egy kényelmetlen igazság, amit a legtöbb szervezet nem szeret hangsúlyozni: a sikeres támadások jelentős része nem technológiai hibán, hanem emberi tényezőn múlik. Nem a tűzfal „engedte be” a támadót, hanem valaki, akinek a figyelme akaratlanul kerülte el a rést a pajzson.

Az alábbiakban összeszedtük azokat az alapelveket, amelyek mentén egy munkavállaló nem kockázattá, hanem védelmi vonallá válik egy szervezet működésében.

Jelszavak: nem kreatívnak kell lenni, hanem kiszámíthatatlannak

A „kutya neve + születési év” típusú jelszavak ma már nem pusztán hibának számítanak. Sokkal inkább nyitott ajtók, amelyeken bárki kénye-kedve szerint ki be járhat. Épp ezért érdemes szem előtt tartani, hogy egy tipikus brute force vagy credential stuffing támadás során

• a támadó már meglévő, kiszivárgott jelszólistákkal dolgozik;
• automatizált eszközöket használ;
• és percek alatt több ezer variációt próbál ki.

Mit jelent ez a gyakorlatban?

Azt, hogy ha ugyanazt a jelszót több helyen használod, könnyen lehet, hogy egyetlen kompromittált szolgáltatás az összes többit is magával rántja.

Sokat segíthet a digitális biztonság megőrzésében, ha komolyan veszed vállalatod jelszópolitikáját és betartod a szabályokat. Azaz – remélhetőleg – jelszókezelőt használsz (pl. Bitwarden-t, vagy 1Password-öt); egyedi, legalább 16-karakteres jelszavakat használsz és mindenhol bekapcsolod az MFA-t, vagyis a multi-factor authentication-t.

Ellenkező esetben előfordulhat, hogy egy szimpla LinkedIn-adatszivárgás egy lépésben vezet az O365-fiókodhoz és minden benne tárolt adatodhoz és dokumentumodhoz. Még hackelni se kell hozzá, elég csak szemfülesnek lenni.

A phishing a legolcsóbb és leghatékonyabb támadási forma

A phishing ma már nem helyesírási hibákkal teli, „nigériai herceges” e-mail vagy „amerikai nagybácsi öröksége” típusú levélváltás. A modern támadások tényleg (szinte) teljesen igazinak tűnnek, hiszen valós céges logókat használnak, professzionálisan imitálják a belső kommunikáció felületét és/vagy stílusát, ráadásul gyakran aktuális üzleti helyzetre építenek (pl. bónusz, audit, számla).

Gyakran használnak olyan tipikus forgatókönyveket, melyek egy vállalat életében valóban megtörténhetnek, így elhitetik, hogy az esemény valós, a reakció pedig szükséges. 

Képzeld csak el, hogy érkezik a fiókodba egy „Sürgős: frissített bérjegyzék” tárgyú levél, melynek küldője a pénzügy! Meglátod, sokkot kapsz és klikkelsz, így rögtön a fake log-in oldalon találod magad és ha nem vagy kellőképpen adattudatos, még az is lehet, hogy a hitelesítési eljárásban – vagyis az annak látszó folyamatban – kiadod a valós azonosítóidat. 

Mielőtt kattintasz, alkalmazd a három másodperces szabályt, azaz 

• nézd meg a feladó domainjét;
• ellenőrizd a link URL-jét (hover!);
• kérdezz rá a küldés tényére a feladónál, ha nem vagy biztos dolgodban!

Legyenek bármennyire ijesztőek vagy meglepőek az események, emlékeztesd magad arra, hogy ha valós káresemény vagy vészhelyzet lépne fel, vélhetően direkt kommunikációval, személyesen és/vagy telefonon is értesítenének.

Valós pentest tapasztalat: Egy phishing kampány során a megbízónk dolgozóinak 38 százaléka kattintott egy „HR bónusz” tárgyú e-mailre. És nem, nem azért, mert a dolgozók közel fele ostoba, hanem azért, mert így működik a pszichológia.

Céges eszközök: határok nélkül nincs biztonság

A céges laptop nem egy „kicsit privát is”, hiszen az egy vállalati végpont, amelyen keresztül a szervezet teljes infrastruktúrája elérhetővé válhat. Sajnos nem csak számodra, hanem egy támadó számára is. Vagyis amikor a céges és a privát használat határai elmosódnak, valójában nem kényelmet nyersz, hanem kockázatot viszel be a rendszerbe.

Mit jelent ez a gyakorlatban?

Egy ártalmatlannak tűnő privát letöltés – például egy „gyorsan leszedett” szoftver vagy médiafájl – könnyen tartalmazhat kártékony kódot, amely észrevétlenül bejut a céges környezetbe.

Egy gyenge jelszóval védett vagy már kompromittált privát fiók pedig belépési ponttá válhat, ahonnan a támadó kényelmesen kalandozhat a céges rendszerek felé. A legrosszabb, hogy a végeredmény gyakran nem azonnali, látványos „feltörés”, hanem csendes adatvesztés vagy egy később kibontakozó adatvédelmi incidens.

Tipikus, mindennapi hibák:

• torrent vagy nem ellenőrzött forrásból származó fájlok letöltése céges eszközre;
• privát felhőszolgáltatások (pl. Google Drive) összekapcsolása céges dokumentumokkal;
• személyes és üzleti adatok keverése ugyanazon a meghajtón vagy könyvtárstruktúrában.

Ezek önmagukban apróságnak tűnhetnek, de egy támadó számára pontosan ezek jelentik a legegyszerűbb belépési pontokat.

Az ökölszabály az, hogy a céges adat maradjon céges környezetben, a céges eszköz pedig maradjon munkavégzésre használt eszköz. A biztonság egyik legegyszerűbb – és leghatékonyabb – formája ugyanis az egyértelmű, világos határhúzás.

Nem lehet elégszer mondani: a nyilvános Wi-Fi támadható

A nyilvános Wi-Fi-hálózatok alapértelmezetten nem biztonságosak, mégis sokan megörülnek, ha gyorsabb vagy ingyen netre találnak. Pedig egyáltalán nem arról van szó, hogy lehet velük probléma, hanem arról, hogy a működésükből adódóan könnyen kihasználhatók.

Memó: Egy nyilvános hálózaton nem tudhatod, ki van még jelen rajtad kívül, ahogy azt sem, hogy milyen szándékkal tartózkodik ott. Ilyen esetekben a támadó figyelheti és elemezheti a hálózati forgalmat (sniffing); indíthat ún. man-in-the-middle típusú támadást, melynek során képes a kommunikáció résztvevői közé ékelődni; létrehozhat hamis hozzáférési pontot, amely megtévesztően hasonlíthat egy legitim hálózatra (pl. „Free Airport WiFi”).

Mit jelent ez a gyakorlatban?

Ha egy nem védett kapcsolaton keresztül dolgozol, a támadó hozzáférhet olyan adatokhoz, amelyekről azt gondolod, hogy biztonságban vannak. Egy belépési folyamat, egy e-mail vagy akár egy belső rendszer használata is komoly biztonsági kockázatot jelenthet.

Hogy elkerüld a bajt, mindig használd a céges VPN-t, amely titkosított csatornát biztosít a kommunikációhoz és lehetőség szerint kerüld az érzékeny műveleteket nyilvános hálózaton (pl. belépés üzleti rendszerekbe, fájlok feltöltése).

Mobil eszközök adják a leginkább alábecsült támadási felületet

A mobiltelefon sokáig kiegészítő eszköz volt. Ma azonban már teljes értékű vállalati végpont, amelyen keresztül ugyanazok az adatok és rendszerek érhetők el, mint egy laptopon. Gondolj bele, mi minden van rajta! Céges e-mail fiók, dokumentumok és fájlok, authenticator alkalmazások, amelyek belépést biztosítanak más rendszerekhez. Ez a kombináció pedig számára különösen értékes célponttá teszi a mobilodat egy-egy támadó számára.

A leggyakoribb kockázatot ráadásul nem is komplex sérülékenységek, hanem apróbb alapvető hiányosságok adják, például elmaradt rendszerfrissítések, amelyek ismert hibákat hagynak nyitva; nem megbízható forrásból származó alkalmazások, illetve rootolt vagy jailbreakelt eszközök, amelyeknél a beépített védelmi mechanizmusok részben vagy teljesen ki vannak kapcsolva.

Tipikus például, hogy a felhasználó csak le akar tölteni egy applikációt, amit nem talál a hivatalos store-ban, helyette viszont egy kártékony alkalmazást telepít. Ezek az appok aztán hozzáférhetnek e-mailekhez, fájlokhoz vagy akár hitelesítési folyamatokhoz is.

Hogyan kerülheted el a hibát? Alkalmazásokat kizárólag hivatalos app store-ból telepíts; az alkalmazásokat és az operációs rendszert mindig tartsd naprakészen és ha a szervezet biztosít számodra MDM-megoldást, használd! Minden. Egyes. Alkalommal.

Ökölszabály, hogy a mobil nem „félprivát” eszköz, vagyis ha céges adat is megjelenik rajta, akkor biztonsági szempontból ugyanúgy kell kezelni, mint bármely más vállalati végpontot.

A social engineering során téged támadnak, nem a rendszert

A legtöbb támadás nem technikai sérülékenységgel indul, hanem egy jól időzített, hitelesnek tűnő megkereséssel. „Szia, Béla vagyok az IT-ről…”– kezdődik a levél, ami látszólag csak egy gyors üzenet, valójában pedig egy jól célzott támadás. A social engineering lényege ugyanis az, hogy a támadó nem a rendszert próbálja megkerülni, hanem a felhasználót veszi rá arra, hogy saját maga adja át a szükséges hozzáférést.

Figyelmeztető jel lehet például, ha

• jelszót kérnek tőled,
• MFA kódot kérnek,
• sürgetnek, nyomást gyakorolnak, „azonnali megoldást” várnak.

Ezek a helyzetek szinte kivétel nélkül támadásra utalnak, hiszen a bankod, az IT, a főnököd semmilyen körülmények között nem kér jelszót vagy hitelesítési kódot.

Valós eset, melyet pentesterként tapasztaltunk: Egy CEO fraud támadás során a pénzügyi területen dolgozó kolléga egy „vezérigazgatótól” érkező e-mail alapján indított utalást. A feladó domainje mindössze egy karakterrel tért el az eredetitől. Az összeg több tízezer euró volt. Nem technikai hiba történt, hanem egy jól felépített megtévesztés működött – szerencsére teszthelyzetben, így kár nem, csak nagy ijedtség keletkezett.

Az információszivárgás nem csak digitális probléma

Az adatvédelem sok szervezetben kizárólag IT-kérdésként jelenik meg. A valóságban azonban a biztonság fenntartásában legalább ennyire fontos a mindennapi viselkedés és kommunikáció is, hiszen nem minden adatvesztés történik rendszereken keresztül.

Tipikus offline kockázatok:

• üzleti hívások lebonyolítása nyilvános helyen;
• projektek vagy érzékeny információk megbeszélése liftekben, közös terekben;
• felügyelet nélkül hagyott, érzékeny adatokat megjelenítő képernyők.

Ezek gyakran észrevétlen helyzetek, mégis komoly következményekkel járhatnak.

Incidenskezelés során a legdrágább hiba a hallgatás

A hibázás lehetősége minden rendszerben és minden felhasználónál jelen van. Ez nem kivétel, hanem alapállapot. A valódi kérdés tehát nem az, hogy történik-e hiba, hanem az, hogy milyen gyorsan derül ki, hogy megtörtént.

Ha gyanús linkre kattintottál, adatot adtál meg egy bizonytalan felületen, esetleg szokatlan vagy gyanús működést tapasztalsz, akkor azonnali jelzés szükséges.

Az idő ugyanis kritikus tényező, hiszen a támadó percek alatt képes átvenni egy aktív felhasználói munkamenet (session hijacking); órák alatt további rendszerekhez férhet hozzá (laterális mozgás),; napok alatt akár teljes körű kompromittáció is kialakulhat. A késlekedés csak fokozza a problémát és annak hatásait.

A gyors jelzés gyakran elegendő ahhoz, hogy egy kisebb eseményből ne legyen komoly biztonsági incidens, hiszen a biztonság nem ott kezdődik, ahol a technológia véget ér, hanem ott, ahol a mindennapi működésed elindul.

Ha kíváncsi vagy, hogy a gyakorlatban mennyire ellenálló a szervezeted hasonló helyzetekkel szemben, érdemes ezt kontrollált környezetben letesztelni. Érdekelnek a részletek? Lépj velünk kapcsolatba!