…in the name of… Security

Środowisko może na początku być małe, ale w miarę upływu czasu, nawet duże środowiska, mają pewne podpodziały, które mogą zaczynać się od małych i rosnąć z czasem. Wraz z rozwojem tego środowiska i dodawaniem nowych urządzeń do sieci zwiększa się powierzchnia ataku, ponieważ każdy nowy host lub węzeł w tej sieci musi być zabezpieczony. Jeśli tak nie jest, jest to dodatkowa powierzchnia ataku. Rzeczy takie jak hosty, drukarki, urządzenia IoT, routery bezprzewodowe, punkty dostępowe i urządzenia mobilne są potencjalne na drogach do naszego środowiska i wiemy, że gdy ktoś ma jakiś punkt wejścia, wchodzi do naszej sieci. Zdobywają przyczółek. Zaczynają przeglądać z boku. Stamtąd mogą się obracać. Jeśli host ma dostęp do obu sieci, może się obracać i przeskakiwać z jednej sieci do drugiej. Nawet jeśli uważamy, że nasza sieć jest bezpieczna i uważamy, że ta sieć nie ma dostępu ze świata zewnętrznego, cóż, czy jesteśmy tego pewni? Czy jesteśmy pewni, że każdy host w tej sieci nie ma systemów dual-homed, w których ktoś mógłby wejść z publicznego punktu wejścia i przeskakiwać między sieciami? Wszystkie te rzeczy muszą być stale oceniane. Pomagają testy podatności. Pomocne są audyty bezpieczeństwa. Następnie testerzy piórowi mogą wejść i zidentyfikować niektóre z tych luk.

Trudno sobie wyobrazić, aby jakiekolwiek przedsiębiorstwo zezwalało pracownikom na uprawianie hazardu online przy użyciu zasobów korporacyjnych, ale przekazanie pracownikom następujących wskazówek może być cenną usługą.

 

DLL Injection to proces wstawiania kodu do działającego procesu. Tutaj są cztery podstawowe kroki. Mamy przywiązanie do procesu. Następnie przydzielilibyśmy pamięć w ramach tego procesu. Następnie skopiowalibyśmy ścieżkę DLL do pamięci procesu i określili odpowiednie adresy pamięci. Stamtąd poinstruowalibyśmy proces, aby wykonał bibliotekę DLL, aby ataki DLL Injection można było tworzyć ręcznie, a narzędzia do pen testów, takie jak Metasploit, mogą zautomatyzować ten proces. Istnieje wiele różnych rodzajów narzędzi które pozwalają osobom o bardzo ograniczonej wiedzy na przeprowadzenie różnych ataków. Możesz wziąć film szkoleniowy, obejrzeć go przez kilka godzin i dobrze zrozumieć, jak korzystać z tych programów, i bardzo łatwo rozpocząć całkiem wyrafinowane ataki. DLL Injections są zaprojektowane dla RC-4, dla proxy HTTP, dla WinAmpa i dla różnych aplikacji. Nie polecam tych używanych do nielegalnych lub złośliwych celów, ale jest to świetne narzędzie do zapoznania się z tym, jak atakujący mogą korzystać z tych narzędzi. To świetny sposób na przetestowanie własnego środowiska w laboratorium, aby zrozumieć, jak te rzeczy działają, dzięki czemu lepiej zrozumiesz, jak chronić swoje systemy.

Teoria stojąca za aukcją polega na tym, że rywalizacja o przedmiot lub usługę pomaga uczestnikom ustalić uczciwą cenę. Proces ten może zostać zakłócony w rzeczywistej, fizycznej aukcji, jeśli sprzedawca spiskuje z konfederatami, aby sztucznie podnieść cenę. Niestety, jest to jeszcze łatwiejsze w Internecie, gdzie każdy może mieć tyle tożsamości, ile chce. Łatwość, z jaką przeglądarki i systemy poczty e-mail pozwalają na sfałszowane nagłówki i sfałszowane identyfikatory, oznacza, że ​​sprzedawcy mogą zawyżać ceny swoich własnych ofert. Federalna Komisja Handlu Stanów Zjednoczonych informuje, że aukcje internetowe powodują największą liczbę otrzymywanych corocznie skarg dotyczących oszustw. Ta teoretyczna dyskusja nawet nie zaczyna odnosić się do takich pytań, jak to, czy wylicytowane przedmioty naprawdę istnieją, są zgodne z opisem i czy kiedykolwiek zostaną dostarczone. Przypadek takiego oszustwa miał miejsce w serwisie eBay, gdzie Robert Guest z Los Angeles przyznał się w sądzie w lipcu 1999 r., Że oszukał ofiary na około 37 000 USD, oferując towary na aukcję za pośrednictwem serwisu eBay, ale niczego nie dostarczył. Klienci Pana Gościa z pewnością przekonali się na własnej skórze, że są oszukiwani, ale wygląda na to, że nie mogli wiedzieć z góry, że był niegodny zaufania. Chociaż eBay utrzymuje system, w którym potencjalni licytanci mogą zobaczyć recenzje i komentarze zamieszczone przez wcześniejszych klientów każdego sprzedającego, nowi sprzedawcy, tacy jak Pan Gość, nie mają żadnych danych, a każdy, kto ma złą historię, może przyjąć nową tożsamość. Serwis eBay odpowiedział na te obawy, sugerując korzystanie z usług depozytowych i ostrzegając swoich użytkowników, że nie gwarantuje legalności transakcji, które ułatwia. Istnieją również obawy co do legalności niektórych przedmiotów wystawionych na aukcję. Ktoś oferował przedmioty wykonane z zagrożonych gatunków, z naruszeniem Konwencji o międzynarodowym handlu zagrożonymi gatunkami (CITES). Wśród produktów znalazły się wysuszone łapy słoni i goryli złapanych we wnyki, którym pozwolono umrzeć w straszliwej śmierci, zanim zostały posiekane na kawałki. W Stanach Zjednoczonych kupowanie, sprzedawanie i posiadanie takiej kontrabandy może prowadzić do aresztowania, oskarżenia, grzywny lub pozbawienia wolności. Co bardziej absurdalne, we wrześniu 1999 roku ktoś wystawił ludzką nerkę na eBayu i otrzymał oferty o wartości do 5,8 miliona dolarów. Serwis aukcyjny anulował sprzedaż, ponieważ sprzedaż ludzkich narządów jest przestępstwem federalnym, za które grozi grzywna w wysokości do 250 000 USD i co najmniej pięć lat więzienia. Tydzień później eBay musiał zamknąć aukcję nienarodzonego dziecka. Ceny rzekomego dziecka wzrosły do ​​100 000 $, zanim eBay zamknął tę aukcję. Wreszcie głupiec lub żartowniś – nie jest jasne, który – próbował sprzedać 500 funtów świeżej marihuany online. Aukcja została zamknięta po 21 godzinach, podczas których oferowane ceny osiągnęły 10 milionów dolarów. W sierpniu 2001 roku pewna para zaproponowała, że ​​nada dziecku imię zgodnie z życzeniem licytanta, który zaoferował najwyższą cenę. Ta aukcja również została zakończona przedwcześnie. Większość ofert prawdopodobnie nie była uzasadniona. Jest mało prawdopodobne, aby każdy, kto licytował nerki, trawkę i dzieci, naprawdę spodziewał się, że zapłaci za to, o co licytował. Być może traktowali aukcję jak grę wideo, bez elementu rzeczywistości. Sytuacje takie jak ta zachęcają do innych nadużyć, a zwykli użytkownicy często nie wiedzą, co z nimi zrobić i jak postępować. Nawet jeśli przedmioty oferowane do sprzedaży online to zwykłe rzeczy, takie jak oprogramowanie lub produkty fizyczne, mogły zostać uzyskane nielegalnie. Aukcje internetowe są często wykorzystywanym kanałem obrony skradzionych towarów. Użytkownicy korporacyjni prawdopodobnie nie powinni używać aukcji internetowych do kupowania lub sprzedawania produktów, z wyjątkiem ściśle strzeżonych, branżowych witryn, które dowiodły swojej wartości. Z pewnością pracownicy nie powinni wykorzystywać korporacyjnego dostępu do Internetu do angażowania się w takie działania w celach prywatnych.

Wyłuskanie wskaźnika to luka, która może spowodować, że aplikacja zgłosi błąd wyjątku, co zwykle skutkuje w aplikacji awarią, której nikt nie chce oglądać. Haker chciałby to zobaczyć. Być może może zawiesić się w wierszu poleceń lub ujawnić coś w systemie, co pozwoli im uzyskać dodatkowe informacje w celu przeprowadzenia dalszych ataków. Można to wykorzystać do ataku typu Denial of Service na cały system lub do uruchomienia zdalnego wykonania kodu. C, C++, Assembly lub jakikolwiek inny język używający wskaźników jest potencjalnie podatny na tego typu atak, więc jest to ważne. Tworzymy kod od pierwszego dnia z myślą o bezpieczeństwie. Zawsze zakładaj, że cokolwiek tworzymy, jakąkolwiek instalujemy aplikację, czymkolwiek zarządzamy, w pewnym momencie stanie się celem hakera. Jeśli usiądziesz i powiesz, że moje systemy są w 100% bezpieczne i nigdy nie zostałem naruszony, cóż, są szanse, że doszło do naruszeń, które miały miejsce. Po prostu nie jesteś ich świadomy. Jeśli jesteś firmą dowolnej wielkości, na całym świecie odbywa się tak wiele ataków w tak wielu formach i modach, bez przerwy, 24 godziny na dobę, 7 dni w tygodniu, że system najprawdopodobniej został naruszony lub przynajmniej próbował zostać naruszony. naruszone w pewnym momencie. Bardziej niż prawdopodobne, wiele razy w ciągu dnia, więc zawsze zakładaj, że twoje systemy są podatne na ataki lub jakaś nowa luka została znaleziona. Zaplanuj i miej ten sposób myślenia, abyśmy stale dążyli do poprawy.

Innym kluczowym obszarem zainteresowania przy zakupie produktów w sieci jest prywatność. Wielu konsumentów woli, aby ich nawyki zakupowe pozostały ich własną działalnością. Otrzymywanie niechcianej poczty papierowej lub e-maila z powodu wcześniejszych zakupów wydaje się im uciążliwe i irytujące; klasyfikują wszystkie takie promocje jako niechcianą pocztę. Inni konsumenci doceniają wygodę otrzymywania ukierunkowanych informacji o nowych produktach i specjalnych cenach wyprzedaży na produkty, które wcześniej kupili. W obu przypadkach ważne jest, aby zwracać uwagę na politykę prywatności oferowaną przez dostawców internetowych. Marketerzy muszą zdecydować, czy skonfigurować swoje systemy na zasadzie opt-in, czy opt-out. Jeśli marketerzy wybiorą to pierwsze, wówczas wszystkie osoby muszą w rzeczywistości zgodzić się na umieszczenie informacji o sobie na listach, które mogą być wykorzystywane w organizacji lub sprzedawane stronom trzecim lub wymieniane z nimi. Jeśli system jest skonfigurowany do rezygnacji, wówczas dane wszystkich mogą być swobodnie ujawniane, z wyjątkiem osób, które wyraźnie oświadczą, że nie chcą, aby administratorzy list to robili. Są to ogólne zarysy; polityka prywatności każdej organizacji musi być szczegółowo opisana. Niektóre witryny, takie jak księgarnie internetowe i serwisy muzyczne, mogą przechowywać szczegółowe informacje o tym, co każda osoba w nich kupuje, a nawet jakie pozycje są po prostu przeglądane. Strony te mogą następnie dostosowywać swoje prezentacje handlowe do produktów, które są odpowiednie dla zainteresowań każdego klienta. Amazon.com, na przykład, stara się być pomocnym odwiedzającym, sugerując książki, które mogą zainteresować powracającego gościa na podstawie jego wcześniejszego zachowania. Jednak jedną z nieoczekiwanych konsekwencji profilowania klientów jest to, że praktyka może ujawnić więcej, niż życzyliby sobie użytkownicy; jeśli zobaczysz, jak jeden z twoich pracowników wchodzi na taką witrynę i odkryje, że dominującym tematem jest, powiedzmy, broń i techniki terrorystyczne, możesz chcieć odbyć poważne dyskusje z personelem działu kadr. Ale pozytywne zastosowanie profilowania wywołało lawinę zainteresowanie, gdy informacje o zwyczajach zakupowych pracowników konkretnych firm zostały przypadkowo udostępnione konkurentom tych firm. Inna kwestia często poruszana w dyskusjach na temat prywatności dotyczy plików cookie. Pliki cookie to małe pliki tekstowe, które witryna przechowuje na dysku twardym odwiedzającego w celu przechowywania informacji, które można wykorzystać przy następnej wizycie użytkownika w witrynie. Prawidłowo zdefiniowane pliki cookie mogą być używane tylko przez witrynę, która je umieściła. Przechowywane informacje mogą obejmować sekwencję stron internetowych, które odwiedził odwiedzający, lub osobiste identyfikatory, które pozwalają oprogramowaniu internetowemu rozpoznać odwiedzającego, dzięki czemu Witryna internetowa może zbudować profil preferencji dla każdego odwiedzającego lub klienta i umożliwić te radosne powitania, takie jak „Witamy z powrotem , Bob! Mamy dla Ciebie specjalną ofertę na najnowszy tytuł z serii The Real Man’s Guide to Heavy Artillery!” Pliki cookie mogą być również wykorzystywane do gromadzenia pozycji w koszyku; bez plików cookie każdy zakup musiałby być realizowany oddzielnie. Zasadniczo pliki cookie są nieszkodliwe. Jeśli nie podoba Ci się pomysł przechowywania identyfikatorów w Twoim systemie, możesz zablokować pliki cookie w ustawieniach przeglądarki, zablokować je globalnie lub na poziomie poszczególnych witryn za pomocą osobistej zapory ogniowej lub zainstalować programy do usuwania plików cookie, które usuwają wszystkie pliki cookie za każdym razem, gdy je aktywujesz.

Przepełnienie liczby całkowitej to stan, który występuje, gdy wynik operacji arytmetycznej przekracza maksymalny rozmiar typu liczby całkowitej, który jest używany do jej przechowywania. Po wystąpieniu tego przepełnienia interpretowana wartość zaczyna zawijać się wokół wartości maksymalnej, a następnie zaczyna się od wartości minimalnej. Na przykład może to pozwolić na cofnięcie transakcji. Na przykład pieniądze wysłane zamiast pieniędzy otrzymanych, więc jeśli twoje wartości idą od, powiedzmy, zera do 10. Lub powiedzmy, że ujemna 10 do dodatniej 10 i wstawiasz 11 jako przykład, cóż, to całkowicie skręci się wokół 10 i zejdź do wartości minimalnej, więc będziesz miał ujemną 10. Tak więc w transakcji lub transakcji finansowej, jeśli haker jest w stanie tym manipulować, może wysłać do niego pieniądze zamiast wpłacać pieniądze. Mówi o potrzebie tworzenia bezpiecznego kodu. Bezpieczeństwo nie może być już refleksją ani czymś, co jest później przykręcane. Trzeba o tym myśleć od pierwszego dnia, kiedy piszemy nasze aplikacje, kiedy projektujemy nasze systemy, nasze sieci lub nasze systemy operacyjne. Cały stos aplikacji, od góry do dołu, musi być zabezpieczony, a następnie same aplikacje powinny być tworzone i rozwijane od pierwszego dnia z myślą o bezpieczeństwie.

Jedną z kontrowersyjnych technik, którą badały niektóre firmy, jest dynamiczna wycena. Ceny dynamiczne przedstawiają różne ceny różnym klientom. Budując profil nawyków zakupowych konkretnego klienta, sprzedawcy mogą zawyżać ceny dla osób, które wydają się być bardziej skłonne do kupowania droższych towarów i obniżać ceny dla tych, którzy zwracają uwagę na koszty. Wiele sklepów stacjonarnych robi to samo, ponieważ sklepy w niektórych częściach miasta mogą obsługiwać bogatszych ludzi niż w innych obszarach; podobnie udokumentowano, że niektóre sieci sklepów nakładają wyższe ceny na biednych ludzi w gettach niż na przedmieściach, po części dlatego, że w biednych dzielnicach jest mniejsza konkurencja, a koszty prowadzenia działalności mogą być tam wyższe. Inny rodzaj dynamicznych cen występuje w branży lotniczej, gdzie ceny miejsc w samolotach różnią się w zależności od tego, kiedy są rezerwowane i ile miejsc ma zostać sprzedanych. Jednak w przeciwieństwie do tych przykładów, dynamiczne ustalanie cen w Internecie przypomina tradycyjną sprzedaż samochodów, gdzie badania potwierdzają, że kobietom i mniejszościom rasowym konsekwentnie oferowane są wyższe ceny niż oferty dla białych mężczyzn. Zarówno w przypadku sprzedaży samochodów, jak i dynamicznego ustalania cen w sieci, zasadnicza różnica w porównaniu z normalnym modelem wolnorynkowym polega na tym, że ceny są różnicowane potajemnie, tak że oferowaną cenę widzi tylko ofiara drapieżnej polityki cenowej. Bez mechanizmów wymiany informacji między kupującymi, wydaje się, że ten model ustalania cen stawia kupujących w bardzo niekorzystnej sytuacji w stosunku do sprzedającego. Ciekawe będzie obserwowanie, jak to się rozwinie w czasie.

Wyciek pamięci to zwykle niezamierzone zużycie pamięci. Zdarzają się sytuacje, w których złośliwe oprogramowanie i inne rodzaje złośliwego kodu celowo przeciekają pamięć, powodując awarię systemu lub pewien rodzaj ataku typu „odmowa usługi”, przez co aplikacja nie zwalnia pamięci, gdy nie jest już potrzebna. Jest to podstawa wycieku pamięci, więc zużycie zasobów może z czasem prowadzić do różnych problemów. Możemy mieć pogorszenie wydajności systemu. Możemy mieć nienormalne zachowanie systemu. System może ulec całkowitej awarii w przypadku odmowy usługi. Osoby atakujące zagrożenia mogą wykorzystać te luki w zabezpieczeniach do próby awarii systemu w celu uzyskania podwyższonych uprawnień. Taki jest cel większości hakerów. Chcą uzyskać te podwyższone uprawnienia, aby móc później wejść i poruszać się w obrębie sieci lub przełączyć system w tryb offline za pomocą ataku typu „odmowa usługi”. Wycieki pamięci mogą być czasami trudne do zdiagnozowania, ponieważ po pierwszym uruchomieniu aplikacji, jeśli ponownie uruchomisz system i wszystko będzie jasne, aplikacja będzie działać przez godzinę lub dzień. Ten wyciek pamięci może być na tyle powolny, że go nie zauważysz. Narasta z czasem, więc jeśli patrzysz na coś jako na migawkę, w pewnym momencie, wszystko może wyglądać dobrze, ale wrócisz jutro lub pojutrze, wyciek pamięci nałoży się na siebie i przejdzie do sedna gdzie te problemy zaczynają się nasilać. W tym momencie możesz to ustalić, ale na początku tego procesu czasami trudno jest określić ten wyciek pamięci, więc miej to na uwadze podczas diagnozowania problemów. Tylko dlatego, że nie widzisz czegoś w tym momencie, nie oznacza to, że tego nie ma. Jeśli ktoś zrestartował system dzień wcześniej, zanim do Ciebie zadzwonił, lub gdy coś badasz i nie widzisz wycieku pamięci, nie oznacza to, że nie narasta on powoli z biegiem czasu.

Pracodawcy mogą zezwolić na rozsądne (niezależnie od terminu) wykorzystanie zasobów korporacyjnych do działań niezwiązanych z pracą, w tym kupowanie usług i produktów przez Internet. Jednak w interesie pracodawców jest edukowanie pracowników, aby nie stali się ofiarami przestępców. Pracownik zrozpaczony utratą znacznych sum z powodu głupiej łatwowierności nie będzie tak produktywny jak zwykle; w każdym razie nikt nie chce widzieć oszukiwanych przyjaciół i kolegów. Kupowanie od znanych sprzedawców przez Internet może być równie satysfakcjonujące, jak kupowanie w ich sklepach. Jeśli znasz organizacje sprzedające towary i usługi, nie ma większego powodu do obaw związanych z kupowaniem od nich za pośrednictwem połączenia internetowego niż kupowaniem od nich przez telefon lub osobiście w sklepie. Witryny należące do uznanych sprzedawców lub organizacji, takich jak organizacje charytatywne typu non-profit, są godne zaufania, zwłaszcza jeśli zawierają jeden z kilku symboli reprezentujących zgodność z różnymi standardami bezpieczeństwa danych klientów. Niektóre z powszechnie używanych plomb bezpieczeństwa obejmują certyfikaty SSL SiteSafe, TRUSTe, McAfee SECURE i WhiteHat Security Certification.