Монетизированные атаки порождают новые угрозы: экспертные шаги безопасности для противодействия

В откровенном разговоре Тед Харрингтон, исполнительный партнер Independent Security Evaluators (ISE), делится критическими инсайтами о том, как успешные кибератаки порождают новые угрозы, и описывает конкретные меры безопасности для их остановки.

Моделирование угроз: понимание, где реальные риски

Харрингтон объясняет, что «наибольшая угроза» варьируется по организациям. «Моделирование угроз — это упражнение, где вы идентифицируете активы, которые должны защищать, противников, с которыми сталкиваетесь, и поверхности атаки, которые они будут эксплуатировать», — говорит он. «Что критично для одной компании, может быть тривиально для другой».

Утечка данных в веб-браузерах: выводы исследования

В недавнем исследовании ISE 21 высокопрофильный сайт по финансам, здравоохранению, страхованию и коммунальным услугам — 70 % протестированных — не смогли предотвратить кэширование браузерами чувствительных данных на диске. Это оставило нешифрованный контент на машинах конечных пользователей. Харрингтон отмечает: «Исследование показывает, что даже бла intención разработчики могут упустить ключевые векторы атаки, если не понимают, как злоумышленники взламывают системы».

Он рекомендует:

• Образование руководства — предоставление ЛПР с четкими, действенными инсайтами безопасности.
• Демонстрация эксплойтов — превращение абстрактных рисков в осязаемые угрозы для противодействия когнитивным предрассудкам.
• Эмпатия — слушание разработчиков и UX-команд, чтобы решения безопасности вписывались в реальные рабочие процессы.

Атака на Romantik Seehotel: уроки для гостеприимства и не только

Когда хакеры перехватили управление замками дверей отеля и потребовали $1600 в биткоинах, владелец заплатил, чтобы обеспечить безопасность гостей. Харрингтон выделяет три ключевых урока:

1. Противники эволюционируют — новое использование раンサмвейра — принуждение к платежу через разрушение гостевого опыта — показывает, что атакующие быстро адаптируются.
2. Успех порождает копиcats — прибыльная атака привлекает подражателей; гостеприимственный сектор должен предвосхищать последующие угрозы.
3. Безопасность многогранна — PCI-соответствие и защита PII в одиночку не могут охранить репутацию бренда, безопасность гостей или опыт.

Отраслевое влияние ISE

Харрингтон возглавил рабочую группу по безопасности замков для Hospitality Technology Next Generation, создав абстрактную модель угроз и лучшие практики для RFID, онлайн- и мобильных замковых систем. Сейчас он ко-председательствует в рабочей группе IoT с Interel для руководства безопасным принятием устройств.

Здравоохранение: защита здоровья пациентов, а не только данных

Пока HIPAA движет безопасностью данных, Харрингтон предупреждает, что больницы часто упускают большую картину: здоровье пациентов. Двухлетнее исследование с 12 больницами выявило, что атакующие могут причинить серьезный вред — или смерть — взламывая медицинские устройства. «Защита только данных пациентов недостаточна», — говорит он.

Три главных действия для провайдеров IoT-сервисов

Харрингтон подчеркивает внедрение безопасности на каждом этапе разработки, от требований до пост-развертывания. Он рекомендует:

• Оценки безопасности третьих сторон — независимые эксперты могут раскрыть уязвимости, которые ваша команда может упустить.
• Принятие враждебного мышления — выходите за пределы автоматизированных сканов и стандартных пентестов; думайте как атакующий.

Тед Харрингтон, исполнительный партнер Independent Security Evaluators, интервьюирован редакторским директором Джереми Коуэном.

---