Как поставщики бытовых устройств делают вас уязвимыми для кибератак - и что с этим делать
Обычные методы обеспечения информационной безопасности могут не защитить вас от вредоносных атак, которые проникают в вашу систему через обычные устройства, такие как USB-ключи. Shutterstock

Если вы ведете бизнес, вы, вероятно, беспокоитесь о безопасности ИТ. Возможно, вы инвестируете в антивирусное программное обеспечение, брандмауэры и регулярные обновления системы.

К сожалению, эти меры могут не защитить вас от злонамеренных атак, которые проникают в ваши системы через обычные устройства.

Вечером в пятницу, 24-го октября 2008 Ричард Шеффер-младший, главный специалист по защите компьютерных систем АНБ, провел брифинг с президентом США Джорджем Бушем, когда помощник передал ему записку. Записка была краткой и по существу. Их взломали.

Как это произошло? Виновником был простой USB.

Атаки по цепочке поставок USB

Атака была неожиданной, потому что секретные военные системы не подключены к внешним сетям. Источник был изолирован от червя, загруженного на USB-ключ, который был тщательно настроен и оставлен в большом количестве для куплен в местном интернет-киоске.


графика подписки внутри себя


Это пример атаки по цепочке поставок, которая фокусируется на наименее защищенных элементах в цепочке поставок организации.

Американские военные немедленно переехали в Запретить USB-накопители в поле, Несколько лет спустя США будут использовать ту же тактику, чтобы взломать и сорвать программу ядерного оружия Ирана в атаке, которую сейчас называют Stuxnet.

Урок очевиден: если вы подключаете USB-накопители к своим системам, вы должны быть очень уверены, откуда они и что на них.

Если поставщик может получить секретную полезную нагрузку на USB-накопитель, то не существует безопасного периода, в течение которого USB является хорошим выбором. Например, в настоящее время вы можете купить USB-флешку, которая является тайным маленьким компьютером, и при вставке она откроет окно на вашей машине и начнет играть Марш Звезды Смерти.

Это всего лишь один из видов атак по цепочке поставок. Какие бывают другие виды?

Сетевые атаки

Пользователи компьютеров имеют все большую тенденцию хранить всю свою информацию в сети, концентрируя свои активы в одном месте. В этом случае, если один компьютер скомпрометирован, тогда вся система открыта для злоумышленника.

Рассмотрим телефон для конференций, используемый в вашей организации. Предположим, что этот телефон с поддержкой сети имеет встроенную ошибку, которая позволит злоумышленникам слушать любые разговоры в непосредственной близости, Это было реальностью в 2012, когда пострадали более чем версии 16 популярного IP-телефона Cisco, Cisco выпустила патч для своих телефонов, который может быть установлен отделами информационной безопасности большинства компаний.

Как поставщики бытовых устройств делают вас уязвимыми для кибератак - и что с этим делать
Базовая модель атаки по цепочке сетевых поставок показывает, насколько уязвимы взаимосвязанные системы внутри организации. Автор предоставлен

В 2017 аналогичная проблема возникла, когда бренд посудомоечной машины встроенный небезопасный веб-сервер, В случае больницы существует множество личных данных и специального оборудования, которые могут быть скомпрометированы такой уязвимостью. Хотя патч был выпущен, для его загрузки потребовался специализированный специалист по обслуживанию.

Нападения в цепочке поставок недавно были связаны с катастрофическим провалом северокорейской ракетной программы. Дэвид Кеннеди, в видео для Insider, обсуждает, как США ранее разрушили ядерные программы, используя кибер. Если они все еще обладают этой способностью, возможно, они захотят сохранить ее в тайне. Если бы это было так, вполне возможно, что один из многочисленных провалов Северной Кореи мог бы стать испытанием такого кибероружия.

Пять способов, которыми компании могут защитить себя

Чтобы обезопасить себя от всего этого, вам необходимо настроить базовые процессы компьютерной гигиены, которые помогут защитить ваш бизнес от заражения.

  1. Купите и установите хорошее антивирусное программное обеспечение и запустите его в защитном режиме, где оно сканирует все на вашем компьютере. Да, даже Маки получают вирусы

  2. Следите за тем, кто находится в вашей сети, избегайте использования ненадежных устройств, таких как USB, и пусть ваши администраторы блокируют автозапуск в качестве общесистемной политики.

  3. отделить ваши сети. Есть критическая инфраструктура завода? Не используйте его в той же сети, что и ваши повседневные, общедоступные или гостевые сети.

  4. обновлять регулярно. Не беспокойтесь о последних и самых серьезных проблемах, исправьте известные уязвимости в ваших системах - особенно этот от 1980

  5. оплатить ваше программное обеспечение и труд. Если вы не платите за продукт, то кто-то платит за вас as продукта.

Как поставщики бытовых устройств делают вас уязвимыми для кибератак - и что с этим делать
Отделяя вашу критически важную инфраструктуру от доступных через Интернет и доступных сетей поставщика, можно обеспечить уровень защиты. Однако некоторые атаки способны преодолеть этот «воздушный зазор». Автор предоставлен

Кибер-осведомленность имеет решающее значение

Наконец, вы можете максимизировать кибер-устойчивость обучая всех в вашей организации, чтобы выучить новые навыки. Но важно проверить, работает ли ваша тренировка. Используйте реальные упражнения - совместно с профессионалами в области безопасности - чтобы изучить свою организацию, отработать эти навыки и решить, где вам необходимо внести улучшения.

Цена любого подключения к Интернету заключается в том, что он уязвим для атак. Но, как мы показали, даже автономные системы не являются безопасными. Продуманная практика и продуманные подходы к безопасности могут повысить защиту вашего бизнеса или рабочего места.Беседа

Об авторах

Ричард Мэтьюз, кандидат наук, Университет Аделаиды и Ник Фолкнер, доцент и директор Австралийского консорциума «Умные города», Университет Аделаиды

Эта статья переиздана из Беседа под лицензией Creative Commons. Прочтите оригинал статьи.