Na dobry początek

To, co Apple przetransferuje nasze dane i je zaszyfruje, to tu jest dużo oczywiście pytań, jak to dokładnie będzie implementowane. Natomiast pamiętajmy, że Opieranie się na takim zaufaniu co do danego dostawcy usługi, że on to szyfruje w bezpieczny sposób to ciągle jest troszeczkę No w wielu przypadkach rzeczywiście nieroztropne, dlatego że doświadczenie chociażby z VPN-ami takimi komercyjnymi, które twierdzą, że nie logują żadnych danych i nie mają żadnych informacji na temat użytkownika. Potem się okazuje, że odzywa się takiego operatora VPN-a jakaś policja czy prokuratura i nagle te dane magicznie się znajdują, mimo że operator dalej na swoich reklamach twierdzi, że w ogóle bardzo uwielbia prywatność i nie zbiera żadnych danych o swoich klientach.

Nie, to jest raczej albo właśnie Rosja, Białoruś, czasami Ukraina, albo Indie, Pakistan i tak dalej. Więc tak to dokładnie funkcjonuje. Myślę, że głównym problemem jest cały czas to samo. To znaczy, że organizacje nie dbają o bezpieczeństwo swojej infrastruktury. Albo na takim poziomie bardzo wysokiego managementu stwierdzają, że przecież podjęli konkretne działania, w sensie wdrożyli sobie jakąś normę typu ISO 27001, albo kupili konkretne rozwiązania typu kupili FireWalla, kupili VPNa. Albo na poziomie użytkownika, gdzie ktoś stwierdzi, dobra, co on się będzie przejmował, jakby jemu ma to działać, więc wszystkie mechanizmy bezpieczeństwa, które można by wdrożyć, są uciążliwe, więc ludzie starają się je omijać, bo one przeszkadzają, bo trzeba wcisnąć jakiś przycisk na

Nie pamiętam od kilku lat żadnego Bożego Narodzenia czy Wielkanocy, która nie byłaby jakby z komponentem, że zadzwoni właśnie klient czy kilku klientów, że właśnie potrzebują pomocy, bo padli ofiarą ataku. Te grupy funkcjonują tak, że przełamują zabezpieczenia i raczej wybierają te organizacje, które są łatwymi celami. Znaczy, jeżeli testują właśnie na przykład organizację, jeżeli organizacja nabiera się na fichnik, pracownicy bardzo nieświadomie klikają we wszystko, logują się, gdy tylko popadnie, Nie mają dwuskładnikowego uwierzelniania, to to jest dobry cel dla tej grupy. Jeżeli taka organizacja ma dostęp zdalny, wystawia sobie jakiegoś firewalla czy VPN-a do świata i te urządzenia są nieaktualizowane, mają nieaktualny system operacyjny, mają niewgrane poprawki bezpieczeństwa, to znowu, to jakby dla przestępców jest zachęta, bo to znaczy, że po prostu jest łatwiej.

I teraz ja do tego, jak wspomniałeś o chmurze, że organizacje mają chmurę, tak, ale ta chmura oznacza jeszcze jedno. Bardzo chętnie integrujemy sobie wszystkie systemy, to znaczy nagle nasi użytkownicy VPNa to są jednocześnie użytkownicy, którzy mają dostęp do naszej chmury. Mamy użytkowników, którzy mają login i hasło do VPNa i jednocześnie są użytkownikami naszego serwera plików, naszego serwera terminalowego i tak dalej i tak dalej. Atakujemy urządzenie, które jest Takim VPN-em uzyskujemy do niego dostęp administracyjny. Następnie patrzymy np. w infrastrukturze są niezaktualizowane serwery plików czy serwery domenowe. Eskalujemy sobie uprawnienia. Tak naprawdę funkcjonujemy w oparciu o to, że organizacja nie patrzy na to bezpieczeństwo cykliczne.

I teraz moim zdaniem jednym z problemów Jest to, że my się bardzo szybko scyfryzowaliśmy w tym kontekście dostępu zdalnego do organizacji przez pandemię. To jest trochę jak w tym memie, kto w swojej organizacji wdrożył pracę zdalną. Prezes, dyrektor IT czy COVID. No i dla większości organizacji to był właśnie COVID. I nikt nie założył, kupując te rozwiązania dostępu zdalnego, że one potem będą kosztować. Że to, że my dzisiaj wydamy 50 tysięcy na VPN-a, to nie znaczy, że to nam rozwiązuje problem. To znaczy, że poza tym, że będziemy musieli go aktualizować, będziemy musieli monitorować go i tak dalej, to będziemy musieli za rok wydać kolejnie 15-20. W przypadku wielu rozwiązań jest tak, że w zasadzie po 3-4 latach taniej jest kupić nowe urządzenie i je wdrożyć, niż kupować kolejne przedłużenie supportu, bo też producenci niespecjalnie ułatwiają ten proces.

Są tak zwane konta techniczne. Konta do drukarek, do skanerów, konta, którą aplikacja A łączy się do bazy B, żeby sobie przemigrować dane. I to są takie konta, które nie mają dwuskładnikowego uwiertelniania, no bo ta drukarka nie umie sobie wcisnąć pusha na telefonie albo przycisku na kluczu. Więc warto sobie też zobaczyć, czy np. przez zupełny przypadek to konto, którego używamy na drukarce sieciowej do wysyłania zeskanowanych dokumentów, to nie jest konto, które jednocześnie może się zautoryzować do VPN-a i zamontować sobie np. dysku z serwera plików, bo takie scenariusze występują w przyrodzie i możemy się bardzo zdziwić, jak sprawnie przestępcy potrafią się poruszać po naszej infrastrukturze. Mówisz, że drukarka może być najbardziej aktywnym użytkownikiem sieci. Tak, tak. W tym tygodniu HP opublikowało listę podatności krytycznych w swoich drukarkach, w tym w serii LaserJet Pro.