Ключови изводи
- Два скорошни доклада подчертават, че нападателите все повече преследват най-слабото звено във веригата за сигурност: хората.
- Експертите смятат, че индустрията трябва да въведе процеси, за да накара хората да се придържат към най-добрите практики за сигурност.
-
Правилното обучение може да превърне собствениците на устройства в най-силните защитници срещу нападатели.
Много хора не успяват да оценят степента на чувствителна информация в техните смартфони и вярват, че тези преносими устройства по своята същност са по-сигурни от компютрите, според последните доклади.
Докато изброяват основните проблеми, които тормозят смартфоните, докладите от Zimperium и Cyble показват, че никаква вградена защита не е достатъчна, за да попречи на нападателите да компрометират устройство, ако собственикът не предприеме стъпки за защитата му.
"Според мен основното предизвикателство е, че потребителите не успяват да направят лична връзка между тези най-добри практики за сигурност и личния си живот", каза Авишай Авиви, CISO в SafeBreach, пред Lifewire по имейл. „Без да разбират, че те имат личен интерес да направят устройствата си сигурни, това ще продължи да бъде проблем.“
Мобилни заплахи
Насър Фатах, председател на Управителния комитет за Северна Америка в Shared Assessments, каза пред Lifewire по имейл, че нападателите преследват смартфони, защото те предоставят много голяма повърхност за атака и предлагат уникални вектори за атака, включително SMS фишинг или smishing. йени
Освен това обикновените собственици на устройства са насочени, защото са лесни за манипулиране. За да се компрометира софтуер, трябва да има неидентифициран или неразрешен пропуск в кода, но тактиките за социално инженерство с щракване и примамка са вечнозелени, каза Крис Гьотъл, вицепрезидент по управление на продуктите в Ivanti, за Lifewire по имейл.
Без да разбират, че имат личен интерес в осигуряването на сигурността на своите устройства, това ще продължи да бъде проблем.
Докладът на Zimperium отбелязва, че по-малко от половината (42%) от хората са приложили корекции с висок приоритет в рамките на два дни след пускането им, 28% изискват до една седмица, докато на 20% са им необходими до две седмици заправете своите смартфони.
"Крайните потребители като цяло не харесват актуализациите. Те често нарушават работните си (или забавни) дейности, могат да променят поведението на устройството си и дори могат да причинят проблеми, които могат да бъдат по-дълго неудобство", каза Goettl.
Докладът на Cyble споменава нов мобилен троян, който краде кодове за двуфакторно удостоверяване (2FA) и се разпространява чрез фалшиво приложение на McAfee. Изследователите разбират, че злонамереното приложение се разпространява чрез източници, различни от Google Play Store, което е нещо, което хората никога не трябва да използват, и иска твърде много разрешения, които никога не трябва да се предоставят.
Пийт Честна, CISO за Северна Америка в Checkmarx, вярва, че ние винаги ще бъдем най-слабото звено в сигурността. Той вярва, че устройствата и приложенията трябва да се защитават и самолекуват или да бъдат по друг начин устойчиви на вреда, тъй като повечето хора не могат да бъдат притеснявани. Според неговия опит хората са наясно с най-добрите практики за сигурност за неща като пароли, но избират да ги игнорират.
Потребителите не купуват въз основа на сигурността. Те не го използват въз основа на сигурността. Те със сигурност никога не мислят за сигурност, докато не им се случат лоши неща лично. Дори след негативно събитие, паметта им е къса“, отбеляза Честна.
Собствениците на устройства могат да бъдат съюзници
Atul Payapilly, основател на Verifiably, гледа на това от различна гледна точка. Четенето на докладите му напомня за често съобщаваните инциденти със сигурността на AWS, каза той пред Lifewire по имейл. В тези случаи AWS работи както е проектирано и нарушенията всъщност са резултат от лоши разрешения, зададени от хората, използващи платформата. В крайна сметка AWS промени изживяването на конфигурацията, за да помогне на хората да дефинират правилните разрешения.
Това резонира с Раджив Пимпласкар, главен изпълнителен директор на Dispersive Networks. „Потребителите са фокусирани върху избора, удобството и производителността и е отговорност на индустрията за киберсигурност да образова, както и да създаде среда на абсолютна сигурност, без да се прави компромис с потребителското изживяване.“
Индустрията трябва да разбере, че повечето от нас не са хора по сигурността и не може да се очаква да разберем теоретичните рискове и последиците от неуспешното инсталиране на актуализация, смята Ерез Ялон, вицепрезидент по изследванията на сигурността в Checkmarx. „Ако потребителите могат да изпратят много проста парола, те ще го направят. Ако софтуерът може да се използва, въпреки че не е бил актуализиран, той ще бъде използван, Yalon сподели с Lifewire по имейл.
Goettl се основава на това и вярва, че ефективна стратегия може да бъде ограничаването на достъпа от несъвместими устройства. Например устройство с джейлбрейк, или такова, което има известно лошо приложение, или работи с версия на операционната система, за която е известно, че е изложена, могат да се използват като тригери за ограничаване на достъпа, докато собственикът коригира грешката в сигурността.
Avivi вярва, че докато доставчиците на устройства и разработчиците на софтуер могат да направят много, за да помогнат за минимизиране на това, на което потребителят ще бъде изложен в крайна сметка, никога няма да има сребърен куршум или технология, която наистина да замени wetware.
"Човекът, който може да щракне върху злонамерената връзка, преминала през всички автоматизирани контроли за сигурност, е същият, който може да докладва за това и да избегне влиянието на нулев ден или технологична сляпа точка", каза Авиви.
