Bezpieczna infrastruktura zależna od świadomych zagrożeń pracowników.

Transkrypt

1 Bezpieczna infrastruktura zależna od świadomych zagrożeń pracowników. Leszek Miś Head of IT Security Department Linux Polska Sp. z o.o. 1

2 Kreowanie świadomości Ochrona fizyczna Bezpieczny sprzęt Rozbudowane infrastruktury IT Zaawansowane rozwiązania programowe Wiele innych warstw Najsłabszym ogniwem jest...? 2

3 Kreowanie świadomości Każdy z nas jest potencjalnym celem 3

4 Zagrożenia Największą słabością organizacji jest jej nieświadomy pracownik: Surfujący po nieznanych stronach internetowych Instalujący niezaufane oprogramowanie Otwierający groźne załączniki Korzystający z publicznych punktów WIFI Podłączający nośniki danych USB, CD, DVD 4

5 Po co ktoś ma mnie atakować? Pośredni element długotrwałego procesu: Córka asystentki prezesa Kradzień danych osobowych: Kolega syna dyrektora IT Kradzież danych firmowych: Sekretarka Kradzież konta społecznościowego: Nauczyciel Kolega kolegi z pracy 5

6 W jaki sposób? Socjotechnika czyli sztuka manipulacji: Maile Telefony Podsłuchy (akcesoria detektywistyczne) Ustawione spotkania 6

7 Jaka aplikacja/oprogramowanie jest najniebezpieczniejsza? Leszek Miś Head of IT Security Department Linux Polska Sp. z o.o. 7

8 W jaki sposób? Phishing Łudząco przypominający stronę np. banku Fałszywe faktury: T-Mobile, Netia, Poczta Polska, UPC Zazwyczaj z prośbą o kliknięcie w linka: Drive By Download Flash, Java Man In The Browser 8

9 W jaki sposób? Social Media Cenne źródło informacji dla atakującego Kontrola prywatności nie zawsze działa Z rodziną w drodze na lotnisko Oczekiwanie na moment - wydarzenie publiczne 9

10 W jaki sposób? Bezpieczeństwo mobilne: Botnety w naszych kieszeniach/torebkach Antywirusy Aktualizacje a gdy producent nie dostarcza? Profile kontroli dostępu Sklepy z oprogramowaniem Dane wrażliwe 10

11 Ilu z nas wykorzystuje to samo hasło do przynajmniej dwóch różnych usług/serwisów? 11

12 Hasła Podstawowa zasada: Różne hasła dla różnych serwisów Korzystaj z Password Managera Nigdy nie podawaj hasła publicznie Korzystaj z haseł niesłownikowych Stosuj się do polityki bezpieczeństwa 12

13 Bezpieczeństwo fizyczne Laptopy pozostawione: Bez blokady pulpitu W przedziałach pociągowych Tailgating Demonstracja video 13

14 Ataki ukierunkowane APT Hybryda poprzednich: Sprecyzowany cel, np. pion finansowy Określone ofiary pośrednie, np. 5 pracowników działu Określone ofiary docelowe, np. CEO, CFO Odmiany socjotechniczne Ukrywanie się, np. w oprogramowaniu kamer przemysłowych Przeprowadzenie docelowego ataku za ROK 14

15 Sprzątaj swoje biurko Zespół sprzątający jest u nas każdego dnia Karteczki z hasłami Niezabezpieczone stacje Szuflady na klucz 15

16 Administratorzy również potrzebują pomocy Podstawy bezpieczeństwa Linux Podstawy bezpieczeństwa Web Podstawy bezpieczeństwa informacji Kreowanie świadomości: Nie uwierzę/nie zwrócę uwagi dopóki nie zobaczę na własne oczy Know your enemy 16

17 Panaceum Czas pokazuje, że: Odporność na ataki da się podnosić poprzez: Okresową edukację Okresowe przeprowadzanie testów audytowych Stosowanie kampanii uświadamiających Wyobraź sobie, że... Trening czyni mistrza 17

18 Oferta edukacyjna Szkolenie miękkie platforma elearning/live: Świadomy zagrożeń pracownik : Definicja i analiza zagrożeń Analiza ryzyka Wytworzenie szczegółowego planu szkolenia: Kto jest atakującym Co muszą wiedzieć pracownicy Jak mają się zachować W jaki sposób wymusić na nich stosowanie się do polityki 18

19 Oferta edukacyjna Szkolenia techniczne: Zostań pentesterem w Twojej organizacji Web Security skuteczna ochrona aplikacji internetowych Linux Hardening SIEM szyty na miarę SELinux tworzenie i zarządzanie polityką bezpieczeństwa Kontroler domeny Linux 19

20 Podsumowanie Edukacja to klucz Bezpieczeństwo to nie pudełko Nie da się w 2 lata zostać specjalistą ITSec Holistyczne podejście ofertowe 20

21 Dziękuję za uwagę. Czas na Q&A:) Leszek Miś Head of IT Security Department Linux Polska Sp. z o.o. 21