Слова «киберпреступники», «утечка», «взломали», «мошенники» в последнее время особенно часто мелькают в заголовках. Однако не стоит окрашивать «профессию» хакера в черные тона. Даже в цифровом мире существует разделение на добрых и злых «волшебников».
Хакеры в «белой шляпе» (white hat) занимаются профессиональной киберзащитой компаний. Организации нанимают их для анализа степени защищенности ИТ-инфраструктуры и определения уязвимых мест. Их работа не идейный альтруизм, а легальный бизнес: стартовая цена проверки – от 100 тысяч рублей, но это не так много по сравнению с тем, какие убытки может понести компания в случае атаки.
Те, чья «шляпа» темного цвета (black hat) – взломщики, которые зачастую используют готовые программы для достижения не самых благородных целей – они раскрывают важную информацию для собственной выгоды и получения средств.
При этом и первые, и вторые сходятся в одном – самое слабое звено – человек. Какие бы современные технологии компания не применяла и какие бы санкции для нарушителей безопасности не вводила – риски, исходящие от людей невозможно полностью устранить. Можно поставить самый современный фаервол, последние версии антивирусов, защищенную почту и мессенджеры, каждый день рассказывать сотрудникам о том, что не стоит открывать подозрительные письма и, тем более, скачивать файлы из непроверенных источников, все равно найдется тот, кто сможет «убить» всю систему в один клик.
Способов защиты, которые могут обеспечить полную безопасность как в отношении физических, так и юридических лиц не существуют. Взломать можно все и всегда. Это вопрос навыков, потраченного времени и упорства взломщика. Чтобы минимизировать последствия стоит играть на опережение и попробовать «подложить сена» там, где падение наиболее вероятно.
Ниже – перечень рекомендаций от хакеров, стоящих на светлой стороне. Этими советами стоит воспользоваться каждому уже сейчас:
- придумайте надежные и сложные пароли, которые усложнят жизнь взломщику. Комбинация от 1 до 9 или qwerty – это не то, что сможет защитить ваши данные, хотя людей с таким паролем сотни тысяч. Особенно хорошо, если кроме использования пароля вы сможете подтверждать свою личность при помощи двухфакторной аутентификации. Это как «секретка» на автомобильном колесе.
- не сохраняйте логины и пароли на компьютере или мобильном гаджете. В случае получения доступа к устройству, злоумышленник попадет в аккаунт с правами владельца.
- обращайте внимание на детали. Это позволит защититься от одного из наиболее популярных видов цифровой атаки – фишинга. Зачастую кибермошенники создают сайт, который визуально очень похож на настоящий, а вы по доброй воле указываете свой логин и пароль, думая, что находитесь на знакомом ресурсе. Возьмите за правило изучать сайт, чтобы не попасть на уловку.
- читайте письма. Пристально. Есть так называемые письма-обманки, в которых от лица администрации какого-либо сайта вас просят прислать ваш логин и пароль или ответить на контрольные вопросы. С вероятностью в 99,9% - это происки злоумышленников и это письмо стоит удалить.
Тем, кто играет на стороне защиты ИТ, эксперты рекомендуют:
- следить за мировыми трендами в области киберзащиты и устанавливать не только безопасное, но и подходящее ПО. Разработчики современных программ, антивирусов, платформ для коммуникаций, стараются учитывать в «формуле» продукта возможное влияние «человеческого фактора». Именно поэтому появились такие способы обезопасить цифровые данные как шифрование, сложные пароли доступа или секретные фразы. Некоторые пошли дальше и ввели экстренные механизмы защиты на тот случай, когда остальные методы уже не сработали. Например, если ПК взломают, смартфон потеряется или его украдут, важные данные все равно останутся под контролем владельца, если он пользуется защищенным мессенджером «СИБРУС». Создатели этого ПО помимо стойкого шифрования и обеспечения безопасности информации при передаче по сети, хранении на устройствах, а также на самом сервере, вооружили свой продукт инструментами, которые позволят дистанционно закрыть подключения, заблокировать пользователей и удалить данные с устройств для моментальной защиты.
- настраивать права доступа. Никому, кроме сотрудников ИТ-департамента не требуются права администратора для работы с системой. Администраторы могут вносить значительные изменения в ИТ-инфраструктуру, которые (по незнанию или по злому умыслу) могут нанести компании реальный ущерб. Чтобы дополнительно обезопасить «здоровье» системы выделите потенциально опасные ресурсы (социальные сети, торренты и пр.) и внесите их в список недоступных.
- соблюдать основные правила информационной безопасности, включая своевременное обновление всех систем. Например, если не следить за обновлением Opensource-движков, таких как Joomla, WordPress, Drupal и т.д, то любой пользователь сможет найти список уязвимостей для старой версии продукта (которые уже убрали в последующей версии) и атаковать его. То же самое и с программами - польза устаревшего антивируса или фаервола равна нулю – они не смогут бороться с новыми версиями вредоносного ПО.
- помнить о человеческом факторе. Вы можете поставить программы или устройства для защиты от переполнений буфера, вредоносного кода, DDoS, и выполнения кода. Но какой смысл в высоких технологиях, если можно заставить кого-либо дать предоставить пароль для выключения межсетевого экрана просто сказав, что это Алексей из службы информационной безопасности и что проводится тестирование.
- использовать надежные методы физической безопасности. Что толку от всех систем информационной безопасности, если кто-то может просто зайти и вынести защищенную систему.
Эти рекомендации, в отличии от «Вредных советов» Остера, действительно то, к чему стоит прислушаться. Каждому из нас в детстве говорили: «Не трогай чайник, в котором кипит вода». Те из нас, кто предпочел пропустить совет мимо ушей, сильно обжигались. Добрые хакеры говорят: «Уделите время безопасности ИТ-инфраструктуры. В случае с цифровыми рисками, «ожег» может обойтись слишком дорого».
