loading...

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

آکاایران: نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

آکاایران: رمزگذاری کلید آسایش سازمانی و فراسازمانی

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی
در سال 2015، نقص های داده ای باعث به سرقت رفتن حجم گسترده ای از داده های کاربران شد. در حالی که در خلال سال های 2013 و 2014 مجرمان سایبری سرفصل های مشخصی در خصوص سرقت اطلاعات کارت های اعتباری و اطلاعات مالی برای خود ترسیم کرده بودند، اما در سال 2015 این سرفصل ها منحصراً به سرقت اطلاعات شخصی کاربران معطوف شد. جالب آنکه تا اواسط سال جاری میلادی نیز همچنان مشاهده می کنیم که این سرفصل پابرجا بوده و اطلاعات شخصی کاربران در سایت های لینکدین و توتیتر به سرقت می روند.

 آمارها نشان می دهند که در 53 درصد موارد، سرقت داده ها بر مبنای نقص های داده ای صورت گرفته است. آمارهای جهانی به صراحت اعلام می کنند که بزرگ ترین حملاتی که منجر به سرقت داده ها در مقیاس میلیاردها رکورد شده اند، به فقدان مفهومی به نام رمزگذاری اطلاعات (encryption) بازمی گردد. جالب آ نکه حتی خود این مفهوم نیز به آرامی در حال تغییر است. در آینده ای نه چندان دور، رمزگذاری تحت الشعاع فناوری قدرتمند اما در عین حال ترسناکی به نام «رایانش کوانتومی» قرار خواهد گرفت.

آمارهای جهانی هشدار می دهند
فاقد تردید، سال 2015 میلادی کابوس بزرگ مدیران اجرایی فناوری اطلاعات و کارشناسان امنیتی در سراسر جهان بود. جالب آنکه این کابوس همچنان نیز ادامه دارد. اگر به مقالات و سرمقاله های امنیت اطلاعات در سال میلادی گذشته نگاهی بیندازید، متوجه می شوید که نیمی از آن ها بر ضرورت توجه به مبحث امنیت در شبکه های ارتباطی و سامانه های دولتی و لزوم توجه بیشتر به مفهوم رمزگذاری (encryption) تأکید کرده اند. با استناد به داده های جمع آوری شده از سوی BLI، سرنام Breach Level Index، در سال گذشته میلادی 1673 مورد نقص داده ای در مقیاس کلان به ثبت رسیده (شکل 1) و تقریبا 707.5 میلیون رکورد حساس و نیمه حساس از شهروندان کشورهای مختلف را تهدید کرده است. (شکل 2) در 58 درصد موارد، دسترسی به این نقص های داده ای از سوی ابزارهای مخرب ناشناس صورت گرفته است. هکرها نیز بیش از هر زمان دیگری به سرقت اطلاعات شخصی و هویت فردی مردم توجه نشان داده اند و 53 درصد داده های به سرقت رفته درباره هویت فردی و اطلاعات کاربری مردم بوده است. صنعت بهداشت و درمان در بخش های مختلف شاهد سرقتی 22 درصدی بوده است. با این حال نقص داده ای و سرقت داده ها با ضریب 43 درصد، همچنان در اختیار سوابق کارمندان دولتی قرار دارد. هکرها و مجرمان سایبری به این بخش بیش از سایر بخش ها توجه کرده اند. نکته جالب توجه دیگری که در این گزارش ها وجود دارد، این است که همه این نقص ها به یک شکل و اندازه نیستند. 

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

  شکل 1:  تعداد حوادث مبتنی بر رخنه ها بر مبنای مبدا آن ها

آیا رمزگذاری مترادف با پیچیدگی است؟
به گزارش آکاایران: خیر؛ رمزگذاری بسیار ساده است. هیچ دلیل قانع کننده ای موجود نیست که سازمانی در سال 2016، هنوز از مکانیزم رمزگذاری استفاده نکرده باشد. این فناوری اکنون به ساده ترین شکل وجود دارد. یک دلیل منطقی برای استفاده از این راهکار امنیتی وجود دارد؛ اگر به دنبال آن هستید تا از سرقت اطلاعات که بر پایه نقص های داده ای رخ می دهد ممانعت کنید، راه حل شما رمزگذاری داده ها است. هکرها منتظر فرصت هستند تا به داده های شخصی و کسب وکار ما دسترسی پیدا کنند، در نتیجه باید در مرحله اول طرز تفکر هکرها و مکانیزمی را که استفاده می کنند بررسی کرده و در ادامه راهکاری برای محافظت از اطلاعات حیاتی خود پیدا کنیم. 

هکرها در فکر نفوذ و به سرقت بردن چه اطلاعاتی هستند؟
گزارش های سال 2015 به خوبی نشان می دهند که هکرها به دنبال کردن و دسترسی به اطلاعاتی که از ارزش و دوام بیشتری برخوردار هستند، علاقه بیشتری پیدا کرده اند. در حالی که در سال های پیش مجرمان سایبری مترصد فرصتی بودند که به داده های مالی دسترسی پیدا کنند، گزارش ها نشان می دهد که آن ها اکنون تمرکزشان بر اطلاعات زمان دار است. اگر کمی به این مسئله فکر کنید، متوجه خواهید شد که سیاست نوین آن ها تا چه اندازه می تواند خطرناک باشد. دسترسی به اطلاعات و هویت شخصی افراد این ظرفیت را در اختیار هکرها قرار می دهد تا طیف متنوع و گسترده تری از حملات را پایه ریزی کنند. کافی است کمی به اطلاعات پزشکی خود یا اطلاعاتی که در بانک های اطلاعاتی دولتی ذخیره شده اند، توجه کنید. این حجم از اطلاعات به راحتی زمینه ساز حملات خطرناکی همچون اخاذی های آنلاین یا حملات فیشینگ می شوند. 

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

  شکل 2:  تعداد رکوردهای به سرقت رفته در سال 2015

هکرها آگاه شده اند که امکان تغییر شماره تأمین اجتماعی در کوتاه مدت بسیار دشوارتر از باطل کردن شماره کارت های اعتباری است. جالب آنکه در سوابق پزشکی افراد امکان تغییر اطلاعات به هیچ وجه امکان پذیر نیست. هکرها اکنون به ماندگاری این چنین اطلاعاتی به خوبی آگاه شده اند. در سطح یک مصرف کننده، اگر هکری توانایی ضبط اطلاعات کلیدی شخصی را در اختیار داشته باشد،  نه تنها می تواند حمله ای را منحصر به یک قربانی ترتیب دهد، بلکه می تواند سازمانی را که او در آن مشغول به کار است یا حتی سازمان هایی که با سازمان متبوع کاربر یا خود کاربر در ارتباط هستند، به صورت آنلاین در معرض خطر قرار دهد.  کافی است یک مقایسه ساده انجام دهید؛ زمانی که مهاجمی دیجیتالی اطلاعات کارت اعتباری شما را به سرقت می برد، به سادگی می توانید تراکنش های مالی خود را متوقف و باطل کرده  و در نهایت از کارت جدیدی استفاده خواهید کنید. حال این چنین وضعیتی را در خصوص یک شرکت متصور شوید. در قرن 21 داده های علمی، قلب تپینده کسب وکارهای بزرگ هستند. این داده ها تمامی استراتژی های حال و آینده شرکت را خط دهی می کنند. در هیچ مقطع زمانی داده ها تا این اندازه ارزشمند نبوده اند. حالا فکر کنید یک هکر دیجیتالی باهوش به سراغ چه گروهی از داده ها می رود؟ در عصر یکپارچگی اطلاعات سازمانی، کمتر هکری به سراغ اهداف کم اهمیت تر می رود.

نقص های داده ای همیشه منتهی به سرقت اطلاعات نمی شوند
هر زمان درباره نقص های امنیتی و نفوذ به سازمان ها صحبت می کنیم، در انتظار شنیدن آمارها و ارقامی هستیم که بیانگر رکوردهای به سرقت رفته از یک سازمان هستند. اما باید بدانید همیشه حمله با این هدف انجام نمی شود. نقص های داده ای باعث به وجود آمدن حملات بسیار ظریف و مینیاتوری می شوند. شرکتی در زمینه تولید ویجت ها فعالیت دارد. چنین شرکتی کم وبیش با داده های بزرگی که بر مبنای رویکردهای تحلیلی تولید می شوند، سروکار دارد. حال اگر هکر دیجیتالی فقط یک نفوذ کوچک انجام دهد و تغییر مختصری در داده ها به وجود آورد، باعث می شود ماهیت استراتژی های آن سازمان دستخوش تغییر شود. در این حالت هکر نیازی ندارد که حتی یک بیت مجزا از اطلاعات سازمان رقیب را به سرقت ببرد، بلکه تنها باید تغییر کوچکی به وجود آورد. شرکت بی اطلاع از این پیشامد، تصمیمات خود را بر مبنای تحلیل های انجام گرفته عملیاتی می کند و ماه های متوالی کسب وکار خود را بر اساس این داده ها پیش می برد. در طول این مدت، شرکت تصمیمات خطرناکی می گیرد، به دلیل اینکه داده های اصلی تغییر پیدا کرده اند. شرکت ماه ها بر پایه این رویکرد اشتباه به حرکت خود ادامه می دهد و بدتر آنکه بازیابی داده های درست به دلیل اینکه به بانک اطلاعاتی پشتیبان نیز حمله شده است، سودی ندارد. در نهایت، شرکت با هزینه های غیرمتعارف و سرسام آور روبه رو می شود، سهام و دارایی های خود را از دست می دهد و سرانجام اعتبارش از بین می رود. 

چگونه می توانیم از بروز این حملات جلوگیری کنیم؟ 
در ظاهر این گونه به نظر می رسد که پیاده سازی راهکاری برای پیشگیری از بروز این چنین حملاتی، برای یک شبکه سازمانی کار چندان ساده ای نخواهد بود. حال این پرسش پیش می آید که آیا ما باید این باور باشیم که به دلیل اینکه خود را به دانش پیشگیری از حملات تجهیز کرده ایم، این نقص برای ما رخ نخواهد داد، یا بدتر از آن، گمان کنیم داده های ما آن اندازه ارزشمند نیستند که در معرض تهدید قرار گیرند؟ با توجه به 1600 نقص داده ای در سال 2015 که در سراسر جهان داده ها را در معرض تهدید قرار داده، عاقلانه است که جانب احتیاط را در پیش بگیریم. اما این کار در چند مرحله به سادگی انجام می شود.
 گام اول: ارتباطات را کنترل کنید
بهتر است به ارتباطات بیش از اندازه ای که در آینده برقرار خواهید کرد، خوب فکر کنید. از هم اکنون در فکر  استراتژی مدونی برای تجهیزات اینترنت اشیا باشید. اینترنت اشیا در حال حاضر مفهومی نیست که خارج از مرزهای کشور باشد، شما نیز به آرامی شاهد حضور این گجت ها در زندگی و محیط کاری خود خواهید بود. حتی یک ابزار دیجیتالی مستقل، حداقل از سوی پنج گروه تهدید خواهد شد: سازنده محصول، مصرف کننده، ارائه دهنده خدمات ابری که داده ها روی آن میزبانی می شوند، سازنده تلفن هوشمند، نرم افزاری که کاربر آن را روی تلفن خود نصب کرده و با استفاده از آن گجت خود را کنترل می کند و حداقل یک گجت دیگر که به صورت دیجیتالی به این دستگاه اینترنت اشیا متصل خواهد شد. زمانی که خانه یا ماشین مملو از اتصال های مختلف است، در عمل تعداد ارتباطات ممکن است فراتر از پنج موردی شود که به آن اشاره شد.
 گام دوم: نظارت بر زنجیره ارتباطات
در هر نقطه ای از زنجیره انتقال، هکرها می توانند نواقص دفاعی را شناسایی کرده و مسیر اطلاعات را منحرف کنند. اگر هر یک از بخش های تولیدی وب تهدید شوند، با مشکلی جدی روبه رو خواهیم شد. جای تعجب نیست که امروزه شاهد هستیم امنیت ارتباطات مرتبط با وب تا این اندازه پیچیده شده است. اکنون سازمان عظیمی را با هزاران دستگاه در نظر بگیرید که وظیفه برقراری ارتباط همراه در سراسر جهان را بر عهده دارد. طبیعی است این چنین سازمانی با طیف گسترده و پیچیده ای از حملات دیجیتالی که به طور فزاینده ای پیچیده اند و برای پیدا کردن حتی یک شکاف کوچک در ارتباط های دیجیتالی به فعالیت مشغول هستند، روبه رو باشد. طبیعی است این سازمان از ابزارهای دقیق و پیشرفته ای برای نظارت بر ارتباطات وارد و خارج شونده استفاده کند. در نتیجه، همواره سعی کنید بر فرایند نقل و انتقال اطلاعات درون شبکه ای خود کنترل داشته باشید.
 گام سوم: نظارت دوچندانی بر دارایی های حساس داشته باشید
لازم است که بر محافظت از دارایی هایی که هکرها واقعاً به آن ها علاقه مند هستند، تمرکز بیشتری کنیم. این دارایی ها همان داده ها هستند. داده ها سبب می شوند که نه تنها رمزگذاری، بلکه نقص های احتمالی داده ها نیز بررسی شوند. در نتیجه تنها محافظت از داده ها، ما را در مقابل هکرها ایمن نمی سازند. رهبران امنیتی در سازمان های بزرگ و کوچک باید نقص های کشف شده در سازمان متبوع خود را اعلام کنند و پس از کشف آن ها، به دنبال راه علاجی برای حل مشکل خود باشند. چه داده ای بیش از سایر داده ها در معرض تهدید قرار گرفته است؟ چه داده هایی در طول این حمله یکپارچگی خود را از دست داده اند؟ آیا نقص اطلاعاتی باعث نابودی کسب وکار سازمان خواهد شد؟ این رهبران همچنین باید به این نکته توجه کنند که به کارگیری راهکارهای عجیب و گران قیمت هرچند به حفظ دارایی های حیاتی یک سازمان کمک می کنند، اما همواره هکر سخت کوشی وجود دارد که بتواند رخنه ای پیدا کند. در نتیجه رهبران امنیتی سازمان ها باید همواره در فکر راهکارهای متفاوتی برای محافظت از داده ها باشند. آن ها باید به ارزیابی مخاطرات و اعمال کنترل بر اطلاعات حیاتی و امنیتی بپردازند و از مکانیزم های رمزگذاری، مدیریت کلید و احراز هویت - گاهی احراز هویت دوعاملی- استفاده کنند. به کارگیری این راهکارها باعث بهبود امنیت می شود. در چنین شرایطی اگر حمله ای رخ دهد، شرایط تقریباً تحت کنترل خواهد بود. کارشناسان امنیتی به این پیشامد نقص ایمن (secure breach) می گویند. در این حالت حتی اگر هکری موفق شود از مکانیزم های تعبیه شده عبور کند و در جعبه را بگشاید، داده های چندان باارزش و مفیدی را پیدا نخواهد کرد، به دلیل اینکه داده ها تکه تکه شده اند، همگی آن ها قفل شده و رمزگذاری شده اند.

رمزگذاری؛ کلید حل مشکل سرقت اطلاعات است 
در حالی که رمزگذاری یکی از بارزترین استراتژی های مؤثر در رویارویی با نقص ها به شمار می رود؛ اما تنها 48 مورد از نقص های داده ای سال 2015 که در مجموع چهار درصد رخنه ها را شکل می دادند، از درجات مختلفی از رمزگذاری استفاده کرده بودند. باید این حقیقت را قبول کنیم که نقص ها همواره رخ می دهند و برای اینکه به شکل ایمنی با آن ها روبه رو شویم، باید از سلاح قدرتمندی استفاده کنیم؛ این سلاح قدرتمند همان رمزگذاری (encryption) است.

==============================

شاید به این مقالات هم علاقمند باشید:

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

شبیه سازی فرآیند ساخت پادماده با یک رایانه کوانتومی

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

مجرمان سایبری حملات فیشینگ را سازمان دهی می کنند!

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

هک گسترده مسافران المپیک ریو با وای فای و اپلیکیشن های جعلی

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

سرمایه گذاری یک میلیارد یورویی اتحادیه اروپا در حوزه رایانش کوانتومی

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

حمله سایبری که «احراز هویت دو مرحله ای» را هم دور می زند!

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

هک خودروها با یک میکروکامپیوتر سوار بر دِرون

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

حملات فیزیکی برای استخراج کلیدهای رمزنگاری

نقص های داده ای عامل سرقت اطلاعات مالی و شخصی

نرم افزار مدیریت گذرواژه ای که گذرواژه ها را لو می دهد!

.

منبع : shabakeh-mag.com

تبلیغات