فيديو: بنتنا يا بنتنا (شهر نوفمبر 2024)
في الأسبوع الماضي ، انتشر فريق SecurityWatch بالكامل في مؤتمر RSA للحصول على أحدث الابتكارات الأمنية الجديدة ، وأحدث التقنيات ، وما يتحدث عنه مجتمع الأمان حقًا. نظرًا لأن معظمكم عاقل بما يكفي لعدم قضاء الأسبوع في معرض تجاري ، فإليك عشرة أشياء تحتاج إلى معرفتها حول الأمان في الوقت الحالي.
10. RSA و NSA
كانت وكالة الأمن القومي في أذهان الجميع في مؤتمر هذا العام ، وكانت أكبر قصة أمنية في العام الماضي. وعلى الرغم من أن مؤتمر RSA هو كيان متميز عن شركة RSA Security ، فإن الاتصال المزعوم بملايين الدولارات بين RSA و NSA كان موضوع نقاش متكرر. رفض رئيس RSA Art Coviello هذه المزاعم في خطابه الرئيسي ، لكنه دعا إلى إجراء إصلاحات داخل وكالة التجسس. في تناقض صارخ مع العام الماضي ، احتلت المخاوف بشأن الصين مقعدًا خلفيًا.
9. الطنانة قتل الكلمات
بمجرد أن تصل الكلمة إلى حالة الكلمة الطنانة ، فإنها لا تعني أي شيء مفيد. للأسف ، كان هناك الكثير من الكلمات مثل هذه في RSAC ، حيث كان الجميع يستخدمون نفس الكلمات ، لكن لا أحد وافق على التعريف. عندما يتعلق الأمر بمخابرات التهديد ، هل كنا نتحدث عن مؤشرات التسوية ، أم كنا نتحدث عن إثراء البيانات الحالية مع مصادر خارجية؟ ماذا يعني بالضبط "الجنرال التالي" يعني حتى الآن؟ في هذه المرحلة ، يجب أن نكون في الجيل القادم. كيف يمكن للعديد من المنتجات أن تبشر بثورة أمنية؟ هل تعرف الصناعة حتى الآن ما يعد به؟
8. عندما تهاجم المحامص والسيارات وآلات القهوة
لقد تسللت إنترنت الأشياء إلى مؤتمر RSA هذا العام والجميع قلقون بشأن إمكانية تأمينها. إن الوجبات الرئيسية - بشكل محزن للغاية - هي أننا لسنا مستعدين بعد لتأمين جميع أجهزتنا ، سواء كنا نتحدث عن الأجهزة المنزلية أو الأجهزة الطبية أو السيارات. ومع ذلك ، لم يكن البعض مهتمًا بذلك ، قائلين إنه من غير المحتمل أن يحاول المجرمون التحكم في سيارة متصلة أو تعطلها عن بُعد. من المرجح أن يتجه المجرمون إلى "المنبع" للتسوية على الخوادم التي تستخدم الأشياء ، مثل خوادم OnStar للسيارات ، واستثمارها.
7. تشفير كل شيء
كانت الإجابة من الجميع حول كيفية تحسين الأمان - وخاصة أمان الهاتف المحمول - هي التشفير والتشفير والتشفير. تعمل تطبيقات الأجهزة المحمولة على نقل كميات هائلة من المعلومات عبر الإنترنت ، ويختار العديد من المطورين عدم تشفير تلك المعاملات ، مما يمنح المهاجمين والدول القومية الكثير مما يجب عليهم النظر إليه. انتقل مرة أخرى إلى وكالة الأمن القومي ، افترض Co3 CTO Bruce Schneier أن الوكالة ربما تكون قد كسرت بعض أشكال التشفير لكنها لا تستطيع معالجة كميات هائلة من البيانات المشفرة. وقال إن الكم الهائل من المعلومات غير المشفرة التي تطير حولها تجعل من السهل للغاية لأي شخص يتطلع إلى تخزين البيانات.
6. لا يوجد الرصاص الفضي
لقد قضينا الكثير من الوقت في التحدث عن العروض التقديمية والأفراد في RSAC ، لكن لا ينبغي أن ننسى أن الحدث عبارة عن معرض تجاري وأن قاعة العرض مليئة بالموردين الذين يعملون لإقناع المشترين بأن منتجهم هو الأفضل. من المثير للدهشة أن العديد من شركات الأمن كانت لا تزال تروج لفكرة الرصاص الفضي - وهو الحل الوحيد الذي يقدم لكل المشاكل الأمنية الخاصة بك. هذا أمر يثير الدهشة بعض الشيء بالنظر إلى أن العام الماضي قد أظهر أن هناك العديد من السبل للهجمات ، وأنها يمكن أن تختلف تبعا لمن يقف وراءها وماذا بعد. اقترح نائب رئيس فن HP Gilliland من HP أن تتوقف الشركات عن البحث عن أسلحة جديدة وأن تتخذ مقاربة أكثر شمولية للأمن. الأكثر أهمية على قائمته من التحسينات؟ الاستثمار في الأفراد وتحسين التدريب الأمني.
5. AV المحمول لا يعمل
بينما احتفل بمجتمع الأمن الذي يعمل مع Android وداخله لتحسينه ، أبدى Google Lead Engineer لـ Android Security نظرة قاتمة على أمان الهاتف المحمول حتى الآن. وقال إن هدف Google هو توفير أمان هادئ وغير مرئي ، وأشار إلى أن شركات الأمن كانت أكثر اهتمامًا بالحصول على الاهتمام وزيادة المبيعات. الرئيس التنفيذي لشركة viaForensics والمؤسس المشارك أندرو هوج أثار مشكلة نماذج الأمان التقليدية على الهاتف المحمول. وأشار إلى أن تطبيق الحماية في أنظمة تشغيل الأجهزة المحمولة يقوم بعمل جيد في تأمين التطبيقات ولكنه يحد أيضًا من قدرة تطبيقات الأمان على التعامل مع التهديدات. حله؟ منح مطوري الأمان حق الوصول إلى امتيازات الجذر.
لا أتفق تمامًا مع أي من المواضع ، لكن تهديدات الهواتف المحمولة المتزايدة تتطلب طرقًا جديدة لتأمين الأجهزة. لا تعتبر الحماية من التطبيقات الضارة كافية ، وعلى الرغم من أن الأدوات التي تضيفها شركات الأمان إلى تطبيقات الأجهزة المحمولة الخاصة بها ، فإنها لن تكون كافية إلى الأبد.
4. الأمن في مقعد السائق
نتحدث كثيرًا عن كيفية احتياج الأمن إلى أن يكون جزءًا من الحمض النووي للمؤسسة ، وكيف لا تستطيع فرق الأمن فقط أن تتفاعل مع الأزمات أو في وضع مكافحة الحرائق طوال الوقت. يبدو أن الإجماع العام يسبق التهديدات ، سواء كان ذلك من خلال وجود ممارسات أمنية أفضل لإغلاق طرق الهجوم أو الاندماج مع الفرق الأخرى للتأكد من أن المخاوف الأمنية يتم اعتبارها منذ البداية.
3. نحن بحاجة إلى المزيد من الناس في الأمن
أحد الأشياء التي ظللنا نسمعها هو كيف كان هناك نقص في المتخصصين في مجال الأمن. الشركات التي عادةً ما لم تكن مضطرة للتفكير في الأمان - حماية بياناتها أو التأكد من أن منتجاتها آمنة - تكافح الآن من أجل العثور على محترفي أمن ذوي خبرة. تحاول الوكالات الحكومية جذب ألمع المتسللين لملء صفوفهم. هناك فجوة في المهارات ، جزئيا لأننا لا نملك ما يكفي من الأشخاص المتخصصين في مجال الأمن ، ولكن أيضا لأن الشركات لا تقوم بعمل توظيف جيد.
نحن بحاجة إلى المزيد من النساء في التكنولوجيا ، وأمن المعلومات بشكل خاص. ركزت الجلسات في RSAC على إنشاء هياكل دعم لتشجيع النساء المهتمات بـ infosec ، ولكن أيضًا لتسليط الضوء على بعض منجزاتهم.
2. تطبيقات Leaky أسوأ من البرامج الضارة للأجهزة المحمولة
يستمر الدفاع ضد البرامج الضارة في التركيز على العديد من شركات أمان الأجهزة المحمولة ، لكن هذا ليس إلى حد بعيد التهديد الوحيد. اقترح العديد من الحاضرين في مؤتمر RSAC أن التطبيقات المتسربة - أي التطبيقات التي تنقل بيانات المستخدمين الشخصية دون تشفير أو بكميات هائلة - تشكل تهديدًا أكبر بكثير للمستخدمين. بالنسبة لقراء تغطية Mobile Threat Monday الخاصة بنا ، لا ينبغي أن يكون هذا مفاجأة. نتطلع هذا العام إلى أدوات جديدة مثل viaProtect لمساعدة المستهلكين على معرفة ما تقوم به تطبيقاتهم بالفعل. ومع ذلك ، فإن مشاهدة شخص تمزق تطبيق Android وتعديله وإعادة حزمه في غضون خمس دقائق يعد تذكيرًا بأن البرامج الضارة لا تزال تمثل مشكلة.
1. المراقبة لا تمضي بعيدا
أوضح مدير مكتب التحقيقات الفيدرالي (FBI) ، جيمس كومي ، شيئين واضحين في عرضه التقديمي لـ RSAC 2014: يحتاج مكتب التحقيقات الفيدرالي (FBI) إلى تعاون من قطاع الأعمال لمكافحة التهديدات السيبرانية ، لكن المراقبة الإلكترونية موجودة لتبقى. على مستوى واحد ، نعلم جميعا هذا. لا يمكننا أن نتوقع من الجواسيس ورجال الشرطة مواصلة التنصت على الهواتف عندما يتواصل الأشرار بالبريد الإلكتروني وأدوات أخرى. كمجتمع ، نحن بحاجة إلى قبول أن الاتصالات الرقمية هي هدف ، وربما هدف شرعي. وبالمثل ، أكد أعضاء اللجنة في مائدة مستديرة رائعة من المطلعين على الاستخبارات الأمريكية أن وكالة الأمن القومي ليست "وكالة مارقة" وأن كل دولة أمة أخرى تشارك في المراقبة الإلكترونية. وقالوا أيضًا إن التجسس المحلي يحتاج إلى تحقيق توازن أفضل مع الخصوصية ، وأنه يجب على الناس ألا يسمحوا للمسؤولين المنتخبين باستخدام "قصة الغلاف" الخاصة بهم للإنكار المعقول لعمليات الاستخبارات.
الصورة عبر مستخدم فليكر نيكو نوتيبار
