Ar jūsų asmeninė informacija saugi?




Augant internetui per pastaruosius kelerius metus ir interneto apsipirkimo bumas, nenuostabu, kad tapatybės vagystės statistika taip pat išaugo iki naujų lygių. Pasaulinis interneto naudojimas išaugo šiek tiek 182% iš 2000-2005 už Nielsen / NetRatings, sukauptą visame pasaulyje. Vien 2005 sausio – gruodžio mėnesiais Federalinės prekybos komisijos Sentinel skundų duomenų bazėje buvo pranešta apie daugiau nei 685,000 vartotojų sukčiavimo ir tapatybės vagystės skundų. Kadangi duomenų bazė buvo paleista 1997, ten buvo užregistruoti beveik 3 milijonai skundų. 2005 statistikoje 37% šių 680,000 skundų buvo tapatybės vagystės atvejai. Kai kurie svarbesni skundai dėl tapatybės vagystės buvo susiję su sukčiavimu kredito kortele (26%), telefonu arba komunalinių paslaugų sukčiavimu (18%), bankų sukčiavimu (17%), sukčiavimu (12%), vyriausybės dokumentais ir sukčiavimu (9%), ir paskolų sukčiavimu (5%).


Kaip aiškiai matote, asmeninės informacijos vagystė yra pagrindinė problema ir kasdien blogėja. Jei dirbate internetu, šansai padidėja, kad galėtumėte patekti į interneto plėšrūną ir tapti tokio tipo kenkėjiškų veiksmų auka. Tačiau yra keletas dalykų, kuriuos galite padaryti, kad apsisaugotumėte nuo šių nusikaltimų, kuriuos aptarsime vėliau šiame dokumente, tačiau dabar aptarsime sąvoką „hakeris“ ir kai kuriuos šių „įsilaužėlių“ metodus.

Kas yra įsilaužėlis?



Bendrojoje žiniasklaidoje terminas „įsilaužėlis“ apibūdina asmenį, kuris džiaugiasi atliekant kenkėjiškus veiksmus su kompiuterinėmis sistemomis, siekdamas populiarinti visuomenę su savo bendraamžiais. Tai gali būti kažkas, kuris gauna prieigą prie neleistinų kompiuterinių sistemų, plačiai žinodamas savo operacines sistemas, ieškodamas kodo išnaudojimo (klaidų) ir naudodamas jas savo pranašumu. Galbūt žmogus ketina išjungti kompiuterines sistemas „DoS“ („Denial of Service“) atakomis, kad naudotojai, kurie teisėtai prašo sistemų, nebėra prieinami. Toliau išsamiau aptarsime šio tipo išpuolius šiame dokumente.

Iš tikrųjų "įsilaužėliai" paprastai laikomi gerais vaikais ir būtų kažkas, kas daug laiko praleido mokydamiesi ir kurdama kompiuterines apsaugos sistemas. Sąvoka „krekerys“ būtų tai, ką norėtumėte apibūdinti asmeniui, kuris atliktų anksčiau aptartą kenkėjišką veiklą. Tačiau likusioje šio dokumento dalyje naudosime plačiau žinomą „hakerio“ terminą kaip ekvivalentą realaus termino „krekeriui“, kad būtų išvengta painiavos.

Vienas iš garsiausių tinklo įsilaužimo išpuolių istorijoje buvo „Tustomu Shimomura“ kompiuterinio tinklo 1994 ataka, kurią garsus įsilaužėlis Kevinas Metnickas užėmė Kalėdų dieną. Naudodamiesi įvairių tipų „Denial of Service“ ir prieigos atakomis tinkle, „Kevin Metnick“ sugebėjo kontroliuoti „Shimomura“ sistemą. Būtent tai vadintumėte „struktūrizuotu ataka“ dėl patirties, reikalingos atakai atlikti. Kitas „struktūrizuoto priepuolio“ tipas, kurį kai kurie iš jūsų gali prisiminti, yra vasario 7-11 2000 išpuoliai, kuriuose, pvz., „EBay“, „Amazon“ ir „CNN“, žinoma, labai sumažėjo ir netgi visiškai neleido pasiekti valandų vienu metu naudojant „Distributed Denial“ paslaugų atakų.

Dažniau pasitaikančių atakų rūšys yra nestruktūruotos rūšys. Dažnai šie išpuoliai prasideda tinkle, kurį atlieka asmuo, neturintis idėjos, ką netgi padarė. Šiuos išpuolius taip pat gali atlikti „Script-Kiddy“. „Script-Kiddy“ - tai asmuo, kuris naudoja iš anksto sukurtus įsilaužimo scenarijus, kuriuos koduoja profesionalus įsilaužėlis, ir turi mažai ar visiškai nežino, ką jie daro. Kai kuriems iš šių įsilaužimo įrankių reikia ne tik tikslinio kompiuterio adreso įvedimo, ir mygtuko paspaudimo. Ši grėsmė yra labai reali dėl to, kad internete galima rasti daugybę įsilaužimo įrankių (scenarijų), pavyzdžiui, WinNUKE, SATAN, NMAP ir Naptha. Sudėtingesnės įsilaužimo priemonės, pvz., „Trinoo“, „TFN“, „TFN2K“ ir „Stracheldraht“ (naudojamos vasario 2K atakose), taip pat gali būti gana lengvai randamos, tačiau reikalingos gilesnės žinios, kad būtų galima efektyviai naudotis. Kad suprastume šiuos išpuolius dėl paprastumo, mes galime juos įdėti į dvi pagrindines kategorijas.


„DoS Denial of Service“ ir „Access“ atakos.




„DoS“ („Denial of Service“) atakos: pagrindinis „DoS“ atakos tikslas yra sulėtinti arba išjungti tokią sistemą, kad sistemos siūlomos paslaugos nepasiektų jos naudotojams. Tokius išpuolius dažniausiai sukelia sistemų išteklių išnaudojimas arba žinomas sistemos pažeidžiamumas (klaida), kuris sustabdo jo veikimą įprastu būdu. Paprasčiausias pavyzdys būtų siuntimas tiek daug šiukšlių srauto į sistemą, kad teisėtas srautas negalėtų būti apdorotas panašiai kaip telefono linijos, susietos iš per daug telefono skambučių vienu metu. Sudėtingesnės šių atakų versijos yra žinomos kaip „DDoS“ arba „Distributed Denial of Service“ atakos, kai keli prietaisai tuo pačiu metu pradeda ataką.

Prieigos atakos: pagrindinis prieigos atakos tikslas - gauti prieigą prie neleistinų (saugomų) sistemos išteklių, pvz., Duomenų, arba tiesiog perimti vidaus tinklo sistemos valdymą, kad būtų vykdoma neteisėta veikla. Prieigos priepuolis dažnai gali būti užkertamas kelią „Service of Denial of Service“ atakai, tačiau paprastai tokio pobūdžio atakos su tam tikros rūšies žvalgyba, siekiant atskleisti sistemos išnaudojimą ir išnaudojamas sistemas. Nuostabiai pakankamai paplitusi grėsmė, vertinant prieigos ataką, yra socialinė inžinerija. Socialinė inžinerija yra efektyviausias ir sunkiausiai prieinamas priepuolis kontroliuoti, nes jis susijęs su žmonių manipuliavimu. Socialinės inžinerijos pavyzdys būtų įsilaužėlis, įgydamas prieigą prie sistemos mokantis galiojantį vartotojo vardą ir slaptažodį iš apgaulės meno. IE: tvirtinimas, kad kažkas pasitiki, nors iš tikrųjų jie nėra.

Kai kurie iš anksčiau aptartų metodų gali būti panaudoti tam, kad galėtumėte gauti prieigą prie neleistinų duomenų ir, deja, tai gali būti jūsų. Laimei, dauguma pagrindinių žinomų kompanijų tinklų, su kuriais galima užsiimti verslu, paprastai yra apsaugoti nuo daugumos grėsmių, apie kurias kalbėjome fizinės įrangos saugumo, stebėjimo, duomenų šifravimo ir nuolatinio atnaujinimo priemonėmis. Akivaizdu, kad visuomet egzistuoja grėsmė šių tipų sistemoms, tačiau yra daug mažiau tikėtina dėl didelio pinigų kiekio ir laiko, kurį šios bendrovės praleidžia, kad apsaugotų savo tinklus ir jų klientų informaciją. Tai turėtų padėti jums jaustis šiek tiek patogiau, bet palaukite minutę, ką apie jūsų sistemą? Dabar kalbėsime apie kai kuriuos dalykus, kuriuos galite padaryti, kad apsaugotumėte save šiek tiek geriau.

1: Galbūt vienas iš svarbiausių dalykų, kuriuos turėtumėte prisiminti, niekada niekam nepateikti jokios asmeninės informacijos, išskyrus tuos atvejus, kai jūs patikrinote savo tapatybę. Tai apima jūsų el. Paštą ir bet kokius naudotojo vardus ir slaptažodžius, dėl kurių galite rasti kitą asmeninę informaciją. Kaip jau aptarėme anksčiau, Socialinė inžinerija yra pagrindinė neteisėtų prieigos atakų priežastis. Sukčiavimas, juostos ar karpymas yra labai populiari asmeninės informacijos vagystės forma. Tai yra tada, kai galite gauti teisėtą el. Laišką ar tiesioginį pranešimą, kuriame teigiama, kad jums reikia „atnaujinti paskyros informaciją“ arba kažką panašaus ir pateikti nuorodą į svetainę, kad įvestumėte šiuos duomenis, kad būtų pavogta. Nuoroda dažnai yra užmaskuota taip, kad atrodo, kad ji gaunama iš šio teisėto šaltinio ir svetainės, kurią ji siunčia, taip pat atrodo teisėta, nes jie suderino šaltinio kodą su konkrečia svetaine. Geriausias dalykas, kurį reikia padaryti šiuo atveju, yra paskambinti klientų aptarnavimo numeriui, kuris būtų jūsų tikrajame pareiškime. Dauguma pagrindinių organizacijų niekada neprašys šios informacijos už pirminio prisijungimo. Dauguma kompanijų turės konkretų el. Pašto adresą, kurį galite pateikti tokiuose sukčiavimuose savo interneto svetainėje. Šis atakos tipas taip pat gali vykti telefonu, todėl šiuo atveju siūlau atsijungti skambutį ir susisiekti su klientų aptarnavimo skyriumi tiesiogiai su telefono numeriu, nurodytu iš pranešimo, kad galėtumėte sužinoti apie situaciją.

2: Būkite atsargūs, kokią informaciją siunčiate el. Paštu. Kai siunčiate, tai yra svarbu, bet tai, ką siunčiate, taip pat yra svarbus. Pagal numatytuosius el. Laiškus siunčiamas aiškus tekstas. Patyręs įsilaužėlis, galintis šnipinėti arba perimti srautą į paslaugų teikėją (vidurio ataka), gali lengvai perskaityti viską, kas siunčiama standartiniame el. Laiške. Yra keletas būdų, kaip užšifruoti el. Paštą, pvz., „Entrust“ http://www.entrust.com/ (skaitmeniniai sertifikatai) ir „PGP“ http://www.pgp.com/ (gana geras privatumas), kuriuos galima naudoti tinkamai sukonfigūravus, bet geriausiai statymas yra niekada siųsti asmeninę informaciją el. paštu.

3: Įsitikinkite, kad dirbate su įmone, kurią žinote, kad esate saugus. Paprastai neturėsite problemų, kai dirbate su pagrindinėmis kompanijomis, pvz., „Wal-Mart“ arba „Gap“, tačiau vis tiek turėtumėte perskaityti savo privatumo ir saugumo politiką taip, kad jūs gerai suprastumėte informaciją, kurią jie renka ir ką su juo daro. kaip priemonės, kuriomis jie naudojasi savo sandoriams apsaugoti. Jei svetainė nėra tokia lengvai prieinama, aš nerekomenduočiau su jomis bendradarbiauti. Dauguma privačių interneto operacijų yra apsaugotos SSL arba Secure Socket Layer šifravimo būdu. Tai yra pagrindinis standartas, taikomas šifruojant žiniatinklio sandorius, ir jį patvirtina Interneto inžinerijos darbo grupė. Jūs žinosite, kad jūsų ryšys yra apsaugotas, jei žiūrite į savo naršyklės adreso lauką ir matysite https: // priešais interneto adresą. Pastaba: „S“ https, kuris reiškia, kad sesija yra apsaugota SSL.

4. Naudokite stiprius slaptažodžius. Paprastai norėsite naudoti mažiausiai 8 simbolius, naudokite raidžių ir skaičių mišinį, nenaudokite pilnų žodžių, nenaudokite nuoseklių numerių, nenaudokite savo naudotojo vardo ir nebandykite naudoti jokios asmeninės informacijos, kurią gali atspėti kažkas kaip jūsų gimtadienis.

Čia yra nuoroda į dokumentą apie stiprių slaptažodžių kūrimą SANS svetainėje: https://www.sans.org/rr/whitepapers/authentication/1636.php

Jos taip pat niekada nėra gera idėja saugoti slaptažodžius ar talpinti juos vietinėje sistemoje. Jei jūsų sistema yra kažkaip pažeista, tai yra ir jūsų paskyros slaptažodžiai.

5. Jei naudojate belaidį tinklą, užfiksuokite jį. Belaidžius tinklus galima lengvai nušluoti nuotoliniu būdu „karo vairuotojams“ ar net savo artimui. Pakeiskite bet kokius numatytuosius nustatymus, pvz., SSID, kurie gali būti lengvai atspėti. Išjungti nuotolinį administratorių prie maršrutizatoriaus ir slaptažodžiu apsaugoti vietinę administraciją. Naudokite MAC adresų filtravimą, kad leistumėte tik patikimus ryšius su maršrutizatoriumi. Įgalinkite stipriausią jūsų maršrutizatoriuje esantį šifravimą. Čia yra straipsnis, kurį anksčiau parašiau apie belaidžio tinklo apsaugą, kai naudojate vieną iš dažniau naudojamų „Linksys“ belaidžių G maršrutizatorių.

6. Naudokite asmeninę užkardą, kad apsaugotumėte kompiuterį nuo išorinio pasaulio srauto. IE: eismas, kurio nepradėjote pateikti jums.

7. Naudokite virusų programinę įrangą ir ją atnaujinkite. Atminkite, kad jei jūsų virusų apibrėžimai yra seni, programinė įranga yra viskas nenaudinga. Nuskaitykite el. Paštą realiuoju laiku (atsisiuntus arba prieš atidarant priedus). Reguliariai nuskaitykite diską. Tai taip pat gera idėja niekada neatidaryti priedų iš nežinomų šaltinių. Virusų programinė įranga remiasi suderinamais modeliais, kai virusas turi egzistuoti prieš atnaujintą modelį, todėl visada gali užsikrėsti, net jei jūsų programinė įranga yra atnaujinta.

8. Naudokite šnipinėjimo programų pašalinimo programinę įrangą ir ją atnaujinkite. Atminkite, kad jei jūsų šnipinėjimo programų pašalinimo apibrėžimai yra seni, programinė įranga yra viskas nenaudinga. Reguliariai nuskaitykite diską. Šnipinėjimo programos gali būti ne tik erzina, bet ir kai kuriais atvejais pavojingos.

Jei atliksite pirmiau išvardytus paprastus veiksmus, bus geriau apsaugoti nuo tapatybės vagystės ir asmeninio sukčiavimo. Tikiuosi, kad jums patiko šis straipsnis ir sužinojote ką nors ar du.
Čia yra nuoroda į dokumentą apie stiprių slaptažodžių kūrimą SANS svetainėje: https://www.sans.org/rr/whitepapers/authentication/1636.php