Bezpieczna infrastruktura zależna od świadomych zagrożeń pracowników. Leszek Miś Head of IT Security Department lm@linuxpolska.pl Linux Polska Sp. z o.o. 1
Kreowanie świadomości Ochrona fizyczna Bezpieczny sprzęt Rozbudowane infrastruktury IT Zaawansowane rozwiązania programowe Wiele innych warstw Najsłabszym ogniwem jest...? 2
Kreowanie świadomości Każdy z nas jest potencjalnym celem 3
Zagrożenia Największą słabością organizacji jest jej nieświadomy pracownik: Surfujący po nieznanych stronach internetowych Instalujący niezaufane oprogramowanie Otwierający groźne załączniki Korzystający z publicznych punktów WIFI Podłączający nośniki danych USB, CD, DVD 4
Po co ktoś ma mnie atakować? Pośredni element długotrwałego procesu: Córka asystentki prezesa Kradzień danych osobowych: Kolega syna dyrektora IT Kradzież danych firmowych: Sekretarka Kradzież konta społecznościowego: Nauczyciel Kolega kolegi z pracy 5
W jaki sposób? Socjotechnika czyli sztuka manipulacji: Maile Telefony Podsłuchy (akcesoria detektywistyczne) Ustawione spotkania 6
Jaka aplikacja/oprogramowanie jest najniebezpieczniejsza? Leszek Miś Head of IT Security Department Linux Polska Sp. z o.o. 7
W jaki sposób? Phishing Łudząco przypominający stronę np. banku Fałszywe faktury: T-Mobile, Netia, Poczta Polska, UPC Zazwyczaj z prośbą o kliknięcie w linka: Drive By Download Flash, Java Man In The Browser 8
W jaki sposób? Social Media Cenne źródło informacji dla atakującego Kontrola prywatności nie zawsze działa Z rodziną w drodze na lotnisko Oczekiwanie na moment - wydarzenie publiczne 9
W jaki sposób? Bezpieczeństwo mobilne: Botnety w naszych kieszeniach/torebkach Antywirusy Aktualizacje a gdy producent nie dostarcza? Profile kontroli dostępu Sklepy z oprogramowaniem Dane wrażliwe 10
Ilu z nas wykorzystuje to samo hasło do przynajmniej dwóch różnych usług/serwisów? 11
Hasła Podstawowa zasada: Różne hasła dla różnych serwisów Korzystaj z Password Managera Nigdy nie podawaj hasła publicznie Korzystaj z haseł niesłownikowych Stosuj się do polityki bezpieczeństwa 12
Bezpieczeństwo fizyczne Laptopy pozostawione: Bez blokady pulpitu W przedziałach pociągowych Tailgating Demonstracja video 13
Ataki ukierunkowane APT Hybryda poprzednich: Sprecyzowany cel, np. pion finansowy Określone ofiary pośrednie, np. 5 pracowników działu Określone ofiary docelowe, np. CEO, CFO Odmiany socjotechniczne Ukrywanie się, np. w oprogramowaniu kamer przemysłowych Przeprowadzenie docelowego ataku za ROK 14
Sprzątaj swoje biurko Zespół sprzątający jest u nas każdego dnia Karteczki z hasłami Niezabezpieczone stacje Szuflady na klucz 15
Administratorzy również potrzebują pomocy Podstawy bezpieczeństwa Linux Podstawy bezpieczeństwa Web Podstawy bezpieczeństwa informacji Kreowanie świadomości: Nie uwierzę/nie zwrócę uwagi dopóki nie zobaczę na własne oczy Know your enemy 16
Panaceum Czas pokazuje, że: Odporność na ataki da się podnosić poprzez: Okresową edukację Okresowe przeprowadzanie testów audytowych Stosowanie kampanii uświadamiających Wyobraź sobie, że... Trening czyni mistrza 17
Oferta edukacyjna Szkolenie miękkie platforma elearning/live: Świadomy zagrożeń pracownik : Definicja i analiza zagrożeń Analiza ryzyka Wytworzenie szczegółowego planu szkolenia: Kto jest atakującym Co muszą wiedzieć pracownicy Jak mają się zachować W jaki sposób wymusić na nich stosowanie się do polityki 18
Oferta edukacyjna Szkolenia techniczne: Zostań pentesterem w Twojej organizacji Web Security skuteczna ochrona aplikacji internetowych Linux Hardening SIEM szyty na miarę SELinux tworzenie i zarządzanie polityką bezpieczeństwa Kontroler domeny Linux 19
Podsumowanie Edukacja to klucz Bezpieczeństwo to nie pudełko Nie da się w 2 lata zostać specjalistą ITSec Holistyczne podejście ofertowe 20
Dziękuję za uwagę. Czas na Q&A:) Leszek Miś Head of IT Security Department lm@linuxpolska.pl Linux Polska Sp. z o.o. 21