Vlákno názorů k článku Česku chybí znalosti v kyberbezpečnosti, plně ji neovládají ani ajťáci od kojot4 - Dělám IT admina přes 10 let a čím...
-
Dělám IT admina přes 10 let a čím dál více mi přijde, že čistě bezpečnost v IT je přeceňována.
Pamatuji se, jak jsem si četl článek o tom, jak se pomocí připojení na router dá zjistit jméno a heslo na VoIP telefon a získat k němu účet. Ta představa byla asi taková, že parta matfyzáků hackne síťové zařízení, pak bude odposlouchávat zařízení a nakonec to zneužije k odposlechu.
Proti těmto útokům jsou penetrační testy a tzv. rádoby security experti.
A teď realita. Ve firmě dal někdo uklízečce pár korun, aby ukradla VoIP telefon, který ani nehackovali, jen ho zapojili někde v internetové kavárně a vydělávali, protože než si toho nevyužitého telefonu někdo všiml, udělali účet na 100.000 Kč. Sranda je, že k tomuto vlastně nebyly potřeba žádné technické znalosti a dělo se to celkem běžně.
Byl jsem svědkem i toho, jak administrátor zdrhl se dvěma zaměstnanci firmy, a založili konkurenční firmu s daty a kódem z dané firmy. Opět, žádný firewall či bezpečnostní nařízení tomu nezabránilo.
Jako největší fór považuji obavy lidí o tom, že jim někdo hackne mail. Vždycky říkám - a co si jako bude číst? Novou slevovou akci od Alzy?
Opět, nejčastějším hackem je to, že vám partner prošmejdí telefon na milence a milenku. Děje se to zcela běžně. K čemu by v NSA šmírovali váš telefon? Americký špión netouží po ničem jiném než znát vaši milenku, to víte že jo...
A víte jak jsem se dostal ve firmě jednou k výplatám celé firmy? Prostě kolegovy vypadlo z úst, že ví kdo kolik bere, a když jsem to z něj páčil, jak to ví, vypadlo z něj, že účetní si uložili výplaty celé firmy na síťový disk administrátorům volně přístupný.
Co mě nejvíce zaráží je fakt, jak rádoby bezpečnostní experti se nám snaží natlouct do hlavy, jak banda špičkových hackerů hackuje snad i automat na colu dva měsíce, jen aby si mohli zadarmo objednat plechovku coly.
Realita všedního dne je ovšem mnohem prosčí. K tomu, aby vám někdo ublížil z 99% vůbec nepotřebuje nějaké hackerské znalosti. Obchodník odcházející ke konkurenci si stáhne databázi zákošů z počítače na flašku tak jednoduše, že tomu ani neuvěříte. Celý systém už je dávno hacknut bez jediného bajtu kódu na různých úplatcích, kamarádíčcích atd... To jsou reálné bezpečnostní incidenty, co se dějí 100x častěji než prolomení nějaké bezpečnostní obrany.
Je vtipné pak vidět předražené experty, jak aplikují umělou inteligenci na otevírání tcp portů ze speciálních adres, když v reálu data proudí zcela mimo počítačový svět.
-
Jenda (neregistrovaný)
> Vic než 95% se žádnou známou osobností nestane.
Víc než 95 % lidí nevyhoří, přesto může být dobrý nápad pojistit se.
> Za to víc než %90 zastánců toho, že je sleduje NSA tím maskuje jen svou bezvýznamnost . Kdy často nezajímají ani své blízké okolí, natož lokální tajné služby, o tech za oceánem nemluvě.
Jistě. Máš nějaký způsob, jak určit, ve které z těch dvou skupin jsem, a ve které budu za 20 let?
-
Jenda (neregistrovaný)
Zrovna teď o tom píšou na Rootu: http://www.root.cz/clanky/postrehy-z-bezpecnosti-kolosalni-chyba-microsoftu/
-
Boží prostoto! (neregistrovaný)
"Opět, nejčastějším hackem je to, že vám partner prošmejdí telefon na milence a milenku. Děje se to zcela běžně. K čemu by v NSA šmírovali váš telefon? Americký špión netouží po ničem jiném než znát vaši milenku, to víte že jo..."
Taková informace se dá použít k vydírání. A nejen o milence.
Ostatně proč si myslíš, že odposlouchávali, odposlouchávají, Merckelovou? Že by nějaký americký špión toužil vědět, asi z nudy, jestli má milence? -
fd (neregistrovaný)
Jiste, narozdil od vas nectu denne o unicich dat od provozovatelu kde ceho, treba takova Sony, jedna z pidifirem. V pripade Googlu nebo Microsoftu pak rovnou v podminkach sluzby souhlasite s tim, ze vase data patri prave jim a mohou je vyuzivat jak se jim hodi. Klidne je zverejnit, nebo smazat.
-
Jenda (neregistrovaný)
Jinak píšeš, že jsi admin. Třeba je nějaký zákazník vaší firmy zájmovou osobou (dodává technologii, kterou náhodou taky používají továrny na zbraně, whatever), nebo jsi u ISP a jde přes něj provoz, který NSA zajímá. Tak ti hackne mobil a doufá, že v dnešní době smartphonů ho nemáš jenom na faxting s milenkou, ale přihlásíš se na něm do nějakého vnitřního systému. https://theintercept.com/2014/03/20/inside-nsa-secret-efforts-hunt-hack-system-administrators/
-
Tomáš2 (neregistrovaný)
s tím nelze než souhlasit, kupovat drahej zámek na vrata, které jde obejít je opravdu střelené.
Všichni na to nadávají, ale právě u cloudu je možné přístup ke zdrojům daleko lépe škálovat a auditovat, ač jsem původně byl proti, celá firma jedeme na googlu a mohu říct, že admini mají přesný přehled kdo kam leze, ale zároveň ani admini nemohou vidět obsah a přitom to tolik peněz nestojí. To je právě jeden z důvodů proč si společnosti volí podobné služby, na které mi v diskuzích nadáváme...
-
Tomáš2 (neregistrovaný)
to ale není pravda, generalizuješ podle jedneho produktu všechny ostatní.
V Google Apps rozhodně google nemůže data zveřejnit, mazat nebo si s nimi dělat co chce, naopak jasně se v nich řiká, že data patří předplatiteli, nikoliv google a nemohou se ani používat pro cílení reklamy.
U Googlu zatím není žádný veřejný masivní unik dat, stejně tak u MS (a samozřejmě u dalších služeb).
-
* (neregistrovaný)
No a jak jinak by to také mělo a mohlo dopadnout?
Mezi těmito variantami navíc administrátor může vybrat. Když zakáže opakování starých hesel, potom už zbývá jen to heslo na samolepícím žlutém papírku na monitoru.
I kdy, vždy je tu možnost. To heslo může být na modrém papírku, a ten nemusí být na monitoru, ale v šuplíku. A ten papundeklový šuplík může být i zamčený.
-
fd (neregistrovaný)
Ono to ma jeste dalsi aspekt - jakakoli bezpecnost (at uz interni nebo externi) neni jen o penezich, ale casto o pohodli. A vedeni mnoha firem neni ochotno obetovati ani pid sveho pohodli, tudiz pokud jim IT sdeli, ze jejich jednopismena hesla opravdu nejsou dobry napad, tak se stejne nic nezmeni. Natoz aby vedeni schvalilo kuprikladu odpojeni USB, vzdyt je nezbytne potrebuji - na prehravani svych mp3.
-
anomym (neregistrovaný)
Konečně se ozval někdo s reálnou praxí. Je to bohužel přesně tak jak je popsáno. 99% uniklých dat je vždy ukradeno vnitřním zaměstnancem.
Také v reálu je operativy tak hodně, že není prostě v lidských silách držet krok, tak jak si teoretici představují. Ano, existují bezpečnostní procesy, ale ty ve velkých firmách fungují poněkud jinak.
