Van egy k\u00e9nyelmetlen igazs\u00e1g, amit a legt\u00f6bb szervezet nem szeret hangs\u00falyozni: a sikeres t\u00e1mad\u00e1sok jelent\u0151s r\u00e9sze nem technol\u00f3giai hib\u00e1n, hanem emberi t\u00e9nyez\u0151n m\u00falik. Nem a t\u0171zfal \u201eengedte be\u201d a t\u00e1mad\u00f3t, hanem valaki, akinek a figyelme akaratlanul ker\u00fclte el a r\u00e9st a pajzson.<\/span><\/p>\n Az al\u00e1bbiakban \u00f6sszeszedt\u00fck azokat az alapelveket, amelyek ment\u00e9n egy munkav\u00e1llal\u00f3 nem kock\u00e1zatt\u00e1, hanem v\u00e9delmi vonall\u00e1 v\u00e1lik egy szervezet m\u0171k\u00f6d\u00e9s\u00e9ben.<\/span><\/p>\n A \u201ekutya neve + sz\u00fclet\u00e9si \u00e9v\u201d t\u00edpus\u00fa jelszavak ma m\u00e1r nem puszt\u00e1n hib\u00e1nak sz\u00e1m\u00edtanak. Sokkal ink\u00e1bb nyitott ajt\u00f3k, amelyeken b\u00e1rki k\u00e9nye-kedve szerint ki be j\u00e1rhat. \u00c9pp ez\u00e9rt \u00e9rdemes szem el\u0151tt tartani, hogy egy tipikus brute force vagy credential stuffing t\u00e1mad\u00e1s sor\u00e1n<\/span><\/p>\n Mit jelent ez a gyakorlatban?<\/b> Sokat seg\u00edthet a digit\u00e1lis biztons\u00e1g meg\u0151rz\u00e9s\u00e9ben, ha komolyan veszed v\u00e1llalatod <\/span>jelsz\u00f3politik\u00e1j\u00e1t<\/span><\/a> \u00e9s betartod a szab\u00e1lyokat. Azaz \u2013 rem\u00e9lhet\u0151leg \u2013 jelsz\u00f3kezel\u0151t haszn\u00e1lsz (pl. Bitwarden-t, vagy 1Password-\u00f6t); egyedi, legal\u00e1bb 16-karakteres jelszavakat haszn\u00e1lsz \u00e9s mindenhol bekapcsolod az MFA-t, vagyis a multi-factor authentication-t.<\/span><\/p>\n Ellenkez\u0151 esetben el\u0151fordulhat, hogy egy szimpla LinkedIn-adatsziv\u00e1rg\u00e1s egy l\u00e9p\u00e9sben vezet az O365-fi\u00f3kodhoz \u00e9s minden benne t\u00e1rolt adatodhoz \u00e9s dokumentumodhoz. M\u00e9g hackelni se kell hozz\u00e1, el\u00e9g csak szemf\u00fclesnek lenni.<\/span><\/p>\n A <\/span>phishing<\/span><\/a> ma m\u00e1r nem helyes\u00edr\u00e1si hib\u00e1kkal teli, \u201enig\u00e9riai herceges\u201d e-mail vagy \u201eamerikai nagyb\u00e1csi \u00f6r\u00f6ks\u00e9ge\u201d t\u00edpus\u00fa lev\u00e9lv\u00e1lt\u00e1s. A modern t\u00e1mad\u00e1sok t\u00e9nyleg (szinte) teljesen igazinak t\u0171nnek, hiszen val\u00f3s c\u00e9ges log\u00f3kat haszn\u00e1lnak, professzion\u00e1lisan imit\u00e1lj\u00e1k a bels\u0151 kommunik\u00e1ci\u00f3 fel\u00fclet\u00e9t \u00e9s\/vagy st\u00edlus\u00e1t, r\u00e1ad\u00e1sul gyakran aktu\u00e1lis \u00fczleti helyzetre \u00e9p\u00edtenek (pl. b\u00f3nusz, audit, sz\u00e1mla).<\/span><\/p>\n Gyakran haszn\u00e1lnak olyan tipikus forgat\u00f3k\u00f6nyveket, melyek egy v\u00e1llalat \u00e9let\u00e9ben val\u00f3ban megt\u00f6rt\u00e9nhetnek, \u00edgy elhitetik, hogy az esem\u00e9ny val\u00f3s, a reakci\u00f3 pedig sz\u00fcks\u00e9ges.\u00a0<\/span><\/p>\n K\u00e9pzeld csak el, hogy \u00e9rkezik a fi\u00f3kodba egy \u201eS\u00fcrg\u0151s: friss\u00edtett b\u00e9rjegyz\u00e9k\u201d t\u00e1rgy\u00fa lev\u00e9l, melynek k\u00fcld\u0151je a p\u00e9nz\u00fcgy! Megl\u00e1tod, sokkot kapsz \u00e9s klikkelsz, \u00edgy r\u00f6gt\u00f6n a fake log-in oldalon tal\u00e1lod magad \u00e9s ha nem vagy kell\u0151k\u00e9ppen adattudatos, m\u00e9g az is lehet, hogy a hiteles\u00edt\u00e9si elj\u00e1r\u00e1sban \u2013 vagyis az annak l\u00e1tsz\u00f3 folyamatban \u2013 kiadod a val\u00f3s azonos\u00edt\u00f3idat.\u00a0<\/span><\/p>\n Miel\u0151tt kattintasz, alkalmazd a h\u00e1rom m\u00e1sodperces szab\u00e1lyt, azaz\u00a0<\/span><\/p>\n Legyenek b\u00e1rmennyire ijeszt\u0151ek vagy meglep\u0151ek az esem\u00e9nyek, eml\u00e9keztesd magad arra, hogy ha val\u00f3s k\u00e1resem\u00e9ny vagy v\u00e9szhelyzet l\u00e9pne fel, v\u00e9lhet\u0151en direkt kommunik\u00e1ci\u00f3val, szem\u00e9lyesen \u00e9s\/vagy telefonon is \u00e9rtes\u00edten\u00e9nek.<\/span><\/p>\n Val\u00f3s pentest tapasztalat: <\/b>Egy phishing kamp\u00e1ny sor\u00e1n a megb\u00edz\u00f3nk dolgoz\u00f3inak 38 sz\u00e1zal\u00e9ka kattintott egy \u201eHR b\u00f3nusz\u201d t\u00e1rgy\u00fa e-mailre. \u00c9s nem, nem az\u00e9rt, mert a dolgoz\u00f3k k\u00f6zel fele ostoba, hanem az\u00e9rt, mert \u00edgy m\u0171k\u00f6dik a pszichol\u00f3gia.<\/span><\/p>\n A c\u00e9ges laptop nem egy \u201ekicsit priv\u00e1t is\u201d, hiszen az egy v\u00e1llalati v\u00e9gpont, amelyen kereszt\u00fcl a szervezet teljes infrastrukt\u00far\u00e1ja el\u00e9rhet\u0151v\u00e9 v\u00e1lhat. Sajnos nem csak sz\u00e1modra, hanem egy t\u00e1mad\u00f3 sz\u00e1m\u00e1ra is. Vagyis amikor a c\u00e9ges \u00e9s a priv\u00e1t haszn\u00e1lat hat\u00e1rai elmos\u00f3dnak, val\u00f3j\u00e1ban nem k\u00e9nyelmet nyersz, hanem kock\u00e1zatot viszel be a rendszerbe.<\/span><\/p>\n Mit jelent ez a gyakorlatban?<\/b><\/p>\n Egy \u00e1rtalmatlannak t\u0171n\u0151 priv\u00e1t let\u00f6lt\u00e9s \u2013 p\u00e9ld\u00e1ul egy \u201egyorsan leszedett\u201d szoftver vagy m\u00e9diaf\u00e1jl \u2013 k\u00f6nnyen tartalmazhat k\u00e1rt\u00e9kony k\u00f3dot, amely \u00e9szrev\u00e9tlen\u00fcl bejut a c\u00e9ges k\u00f6rnyezetbe.<\/span><\/p>\n Egy gyenge jelsz\u00f3val v\u00e9dett vagy m\u00e1r kompromitt\u00e1lt priv\u00e1t fi\u00f3k pedig bel\u00e9p\u00e9si pontt\u00e1 v\u00e1lhat, ahonnan a t\u00e1mad\u00f3 k\u00e9nyelmesen kalandozhat a c\u00e9ges rendszerek fel\u00e9. A legrosszabb, hogy a v\u00e9geredm\u00e9ny gyakran nem azonnali, l\u00e1tv\u00e1nyos \u201efelt\u00f6r\u00e9s\u201d, hanem csendes adatveszt\u00e9s vagy egy k\u00e9s\u0151bb kibontakoz\u00f3 adatv\u00e9delmi incidens.<\/span><\/p>\n Tipikus, mindennapi hib\u00e1k:<\/b><\/p>\n Ezek \u00f6nmagukban apr\u00f3s\u00e1gnak t\u0171nhetnek, de egy t\u00e1mad\u00f3 sz\u00e1m\u00e1ra pontosan ezek jelentik a legegyszer\u0171bb bel\u00e9p\u00e9si pontokat.<\/span><\/p>\n Az \u00f6k\u00f6lszab\u00e1ly az, hogy a c\u00e9ges adat maradjon c\u00e9ges k\u00f6rnyezetben, a c\u00e9ges eszk\u00f6z pedig maradjon munkav\u00e9gz\u00e9sre haszn\u00e1lt eszk\u00f6z. A biztons\u00e1g egyik legegyszer\u0171bb \u2013 \u00e9s leghat\u00e9konyabb \u2013 form\u00e1ja ugyanis az egy\u00e9rtelm\u0171, vil\u00e1gos hat\u00e1rh\u00faz\u00e1s.<\/span><\/p>\n A nyilv\u00e1nos Wi-Fi-h\u00e1l\u00f3zatok alap\u00e9rtelmezetten nem biztons\u00e1gosak, m\u00e9gis sokan meg\u00f6r\u00fclnek, ha gyorsabb vagy ingyen netre tal\u00e1lnak. Pedig egy\u00e1ltal\u00e1n nem arr\u00f3l van sz\u00f3, hogy <\/span>lehet<\/span><\/i> vel\u00fck probl\u00e9ma, hanem arr\u00f3l, hogy a m\u0171k\u00f6d\u00e9s\u00fckb\u0151l ad\u00f3d\u00f3an k\u00f6nnyen kihaszn\u00e1lhat\u00f3k.<\/span><\/p>\n Mem\u00f3: Egy nyilv\u00e1nos h\u00e1l\u00f3zaton nem tudhatod, ki van m\u00e9g jelen rajtad k\u00edv\u00fcl, ahogy azt sem, hogy milyen sz\u00e1nd\u00e9kkal tart\u00f3zkodik ott. Ilyen esetekben a t\u00e1mad\u00f3 figyelheti \u00e9s elemezheti a h\u00e1l\u00f3zati forgalmat (sniffing); ind\u00edthat \u00fan. man-in-the-middle t\u00edpus\u00fa t\u00e1mad\u00e1st, melynek sor\u00e1n k\u00e9pes a kommunik\u00e1ci\u00f3 r\u00e9sztvev\u0151i k\u00f6z\u00e9 \u00e9kel\u0151dni; l\u00e9trehozhat hamis hozz\u00e1f\u00e9r\u00e9si pontot, amely megt\u00e9veszt\u0151en hasonl\u00edthat egy legitim h\u00e1l\u00f3zatra (pl. \u201eFree Airport WiFi\u201d).<\/span><\/p>\n Mit jelent ez a gyakorlatban?<\/b><\/p>\n Ha egy nem v\u00e9dett kapcsolaton kereszt\u00fcl dolgozol, a t\u00e1mad\u00f3 hozz\u00e1f\u00e9rhet olyan adatokhoz, amelyekr\u0151l azt gondolod, hogy biztons\u00e1gban vannak. Egy bel\u00e9p\u00e9si folyamat, egy e-mail vagy ak\u00e1r egy bels\u0151 rendszer haszn\u00e1lata is komoly biztons\u00e1gi kock\u00e1zatot jelenthet.<\/span><\/p>\n Hogy elker\u00fcld a bajt, mindig haszn\u00e1ld a c\u00e9ges VPN-t, amely titkos\u00edtott csatorn\u00e1t biztos\u00edt a kommunik\u00e1ci\u00f3hoz \u00e9s lehet\u0151s\u00e9g szerint ker\u00fcld az \u00e9rz\u00e9keny m\u0171veleteket nyilv\u00e1nos h\u00e1l\u00f3zaton (pl. bel\u00e9p\u00e9s \u00fczleti rendszerekbe, f\u00e1jlok felt\u00f6lt\u00e9se).<\/span><\/p>\n A mobiltelefon sok\u00e1ig kieg\u00e9sz\u00edt\u0151 eszk\u00f6z volt. Ma azonban m\u00e1r teljes \u00e9rt\u00e9k\u0171 v\u00e1llalati v\u00e9gpont, amelyen kereszt\u00fcl ugyanazok az adatok \u00e9s rendszerek \u00e9rhet\u0151k el, mint egy laptopon. Gondolj bele, mi minden van rajta! C\u00e9ges e-mail fi\u00f3k, dokumentumok \u00e9s f\u00e1jlok, authenticator alkalmaz\u00e1sok, amelyek bel\u00e9p\u00e9st biztos\u00edtanak m\u00e1s rendszerekhez. Ez a kombin\u00e1ci\u00f3 pedig sz\u00e1m\u00e1ra k\u00fcl\u00f6n\u00f6sen \u00e9rt\u00e9kes c\u00e9lpontt\u00e1 teszi a mobilodat egy-egy t\u00e1mad\u00f3 sz\u00e1m\u00e1ra.<\/span><\/p>\n A leggyakoribb kock\u00e1zatot r\u00e1ad\u00e1sul nem is komplex s\u00e9r\u00fcl\u00e9kenys\u00e9gek, hanem apr\u00f3bb alapvet\u0151 hi\u00e1nyoss\u00e1gok adj\u00e1k, p\u00e9ld\u00e1ul elmaradt rendszerfriss\u00edt\u00e9sek, amelyek ismert hib\u00e1kat hagynak nyitva; nem megb\u00edzhat\u00f3 forr\u00e1sb\u00f3l sz\u00e1rmaz\u00f3 alkalmaz\u00e1sok, illetve rootolt vagy jailbreakelt eszk\u00f6z\u00f6k, amelyekn\u00e9l a be\u00e9p\u00edtett v\u00e9delmi mechanizmusok r\u00e9szben vagy teljesen ki vannak kapcsolva.<\/span><\/p>\n Tipikus p\u00e9ld\u00e1ul, hogy a felhaszn\u00e1l\u00f3 csak le akar t\u00f6lteni egy applik\u00e1ci\u00f3t, amit nem tal\u00e1l a hivatalos store-ban, helyette viszont egy k\u00e1rt\u00e9kony alkalmaz\u00e1st telep\u00edt. Ezek az appok azt\u00e1n hozz\u00e1f\u00e9rhetnek e-mailekhez, f\u00e1jlokhoz vagy ak\u00e1r hiteles\u00edt\u00e9si folyamatokhoz is.<\/span><\/p>\n Hogyan ker\u00fclheted el a hib\u00e1t? Alkalmaz\u00e1sokat kiz\u00e1r\u00f3lag hivatalos app store-b\u00f3l telep\u00edts; az alkalmaz\u00e1sokat \u00e9s az oper\u00e1ci\u00f3s rendszert mindig tartsd naprak\u00e9szen \u00e9s ha a szervezet biztos\u00edt sz\u00e1modra MDM-megold\u00e1st, haszn\u00e1ld! Minden. Egyes. Alkalommal.<\/span><\/p>\n \u00d6k\u00f6lszab\u00e1ly, hogy a mobil nem \u201ef\u00e9lpriv\u00e1t\u201d eszk\u00f6z, vagyis ha c\u00e9ges adat is megjelenik rajta, akkor biztons\u00e1gi szempontb\u00f3l ugyan\u00fagy kell kezelni, mint b\u00e1rmely m\u00e1s v\u00e1llalati v\u00e9gpontot.<\/span><\/p>\n A legt\u00f6bb t\u00e1mad\u00e1s nem technikai s\u00e9r\u00fcl\u00e9kenys\u00e9ggel indul, hanem egy j\u00f3l id\u0151z\u00edtett, hitelesnek t\u0171n\u0151 megkeres\u00e9ssel. \u201eSzia, B\u00e9la vagyok az IT-r\u0151l\u2026\u201d\u2013 kezd\u0151dik a lev\u00e9l, ami l\u00e1tsz\u00f3lag csak egy gyors \u00fczenet, val\u00f3j\u00e1ban pedig egy j\u00f3l c\u00e9lzott t\u00e1mad\u00e1s. A <\/span>social engineering<\/span><\/a> l\u00e9nyege ugyanis az, hogy a t\u00e1mad\u00f3 nem a rendszert pr\u00f3b\u00e1lja megker\u00fclni, hanem a felhaszn\u00e1l\u00f3t veszi r\u00e1 arra, hogy saj\u00e1t maga adja \u00e1t a sz\u00fcks\u00e9ges hozz\u00e1f\u00e9r\u00e9st.<\/span><\/p>\n Figyelmeztet\u0151 jel lehet p\u00e9ld\u00e1ul, ha<\/span><\/p>\n Ezek a helyzetek szinte kiv\u00e9tel n\u00e9lk\u00fcl t\u00e1mad\u00e1sra utalnak, hiszen a bankod, az IT, a f\u0151n\u00f6k\u00f6d semmilyen k\u00f6r\u00fclm\u00e9nyek k\u00f6z\u00f6tt nem k\u00e9r jelsz\u00f3t vagy hiteles\u00edt\u00e9si k\u00f3dot.<\/span><\/p>\n Val\u00f3s eset, melyet pentesterk\u00e9nt tapasztaltunk: <\/b>Egy CEO fraud t\u00e1mad\u00e1s sor\u00e1n a p\u00e9nz\u00fcgyi ter\u00fcleten dolgoz\u00f3 koll\u00e9ga egy \u201evez\u00e9rigazgat\u00f3t\u00f3l\u201d \u00e9rkez\u0151 e-mail alapj\u00e1n ind\u00edtott utal\u00e1st. A felad\u00f3 domainje mind\u00f6ssze egy karakterrel t\u00e9rt el az eredetit\u0151l. Az \u00f6sszeg t\u00f6bb t\u00edzezer eur\u00f3 volt. Nem technikai hiba t\u00f6rt\u00e9nt, hanem egy j\u00f3l fel\u00e9p\u00edtett megt\u00e9veszt\u00e9s m\u0171k\u00f6d\u00f6tt \u2013 szerencs\u00e9re teszthelyzetben, \u00edgy k\u00e1r nem, csak nagy ijedts\u00e9g keletkezett.<\/span><\/p>\n Az adatv\u00e9delem sok szervezetben kiz\u00e1r\u00f3lag IT-k\u00e9rd\u00e9sk\u00e9nt jelenik meg. A val\u00f3s\u00e1gban azonban a biztons\u00e1g fenntart\u00e1s\u00e1ban legal\u00e1bb ennyire fontos a mindennapi viselked\u00e9s \u00e9s kommunik\u00e1ci\u00f3 is, hiszen nem minden adatveszt\u00e9s t\u00f6rt\u00e9nik rendszereken kereszt\u00fcl.<\/span><\/p>\n Tipikus offline kock\u00e1zatok:<\/b><\/p>\nJelszavak: nem kreat\u00edvnak kell lenni, hanem kisz\u00e1m\u00edthatatlannak<\/b><\/h2>\n
\n
<\/b>
<\/b>Azt, hogy ha ugyanazt a jelsz\u00f3t t\u00f6bb helyen haszn\u00e1lod, k\u00f6nnyen lehet, hogy egyetlen kompromitt\u00e1lt szolg\u00e1ltat\u00e1s az \u00f6sszes t\u00f6bbit is mag\u00e1val r\u00e1ntja.<\/span><\/p>\nA phishing a legolcs\u00f3bb \u00e9s leghat\u00e9konyabb t\u00e1mad\u00e1si forma<\/b><\/h2>\n
\n
C\u00e9ges eszk\u00f6z\u00f6k: hat\u00e1rok n\u00e9lk\u00fcl nincs biztons\u00e1g<\/b><\/h2>\n
\n
Nem lehet el\u00e9gszer mondani: a nyilv\u00e1nos Wi-Fi t\u00e1madhat\u00f3<\/b><\/h2>\n
Mobil eszk\u00f6z\u00f6k adj\u00e1k a legink\u00e1bb al\u00e1becs\u00fclt t\u00e1mad\u00e1si fel\u00fcletet<\/b><\/h2>\n
A social engineering sor\u00e1n t\u00e9ged t\u00e1madnak, nem a rendszert<\/b><\/h2>\n
\n
Az inform\u00e1ci\u00f3sziv\u00e1rg\u00e1s nem csak digit\u00e1lis probl\u00e9ma<\/b><\/h2>\n
\n