Key Takeaway
- Dua laporan terbaru menyerlahkan bahawa penyerang semakin mengejar pautan paling lemah dalam rantaian keselamatan: orang.
- Pakar percaya industri harus memperkenalkan proses untuk menjadikan orang ramai mematuhi amalan terbaik keselamatan.
-
Latihan yang betul boleh menjadikan pemilik peranti menjadi pertahanan paling kuat menentang penyerang.
Ramai orang gagal memahami sejauh mana maklumat sensitif dalam telefon pintar mereka dan percaya bahawa peranti mudah alih ini sememangnya lebih selamat daripada PC, menurut laporan baru-baru ini.
Semasa menyenaraikan isu utama yang melanda telefon pintar, laporan daripada Zimperium dan Cyble kedua-duanya menunjukkan bahawa tiada jumlah keselamatan terbina dalam cukup untuk menghalang penyerang daripada menjejaskan peranti jika pemilik tidak mengambil langkah untuk melindunginya.
"Cabaran utama, saya dapati, ialah pengguna gagal membuat sambungan peribadi amalan terbaik keselamatan ini dengan kehidupan peribadi mereka sendiri," kata Avishai Avivi, CISO di SafeBreach, kepada Lifewire melalui e-mel. "Tanpa memahami bahawa mereka mempunyai kepentingan peribadi dalam memastikan peranti mereka selamat, ini akan terus menjadi isu."
Ancaman Mudah Alih
Nasser Fattah, Pengerusi Jawatankuasa Pemandu Amerika Utara di Shared Assessments, memberitahu Lifewire melalui e-mel bahawa penyerang mengejar telefon pintar kerana mereka menyediakan permukaan serangan yang sangat besar dan menawarkan vektor serangan unik, termasuk pancingan data SMS atau smishing.
Tambahan pula, pemilik peranti biasa disasarkan kerana mereka mudah dimanipulasi. Untuk menjejaskan perisian, perlu ada kecacatan yang tidak dikenal pasti atau tidak dapat diselesaikan dalam kod, tetapi taktik kejuruteraan sosial klik dan umpan adalah malar hijau, Chris Goettl, VP Pengurusan Produk di Ivanti, memberitahu Lifewire melalui e-mel.
Tanpa memahami bahawa mereka mempunyai kepentingan peribadi dalam memastikan peranti mereka selamat, ini akan terus menjadi isu.
Laporan Zimperium menyatakan bahawa kurang daripada separuh (42%) orang menggunakan pembetulan keutamaan tinggi dalam masa dua hari selepas dikeluarkan, 28% diperlukan sehingga seminggu, manakala 20% mengambil masa sehingga dua minggu untuk tampal telefon pintar mereka.
"Pengguna akhir, secara amnya, tidak menyukai kemas kini. Mereka sering mengganggu aktiviti kerja (atau bermain) mereka, boleh mengubah tingkah laku pada peranti mereka, malah boleh menyebabkan masalah yang boleh menyusahkan lebih lama, " pendapat Goettl.
Laporan Cyble menyebut trojan mudah alih baharu yang mencuri kod pengesahan dua faktor (2FA) dan disebarkan melalui aplikasi McAfee palsu. Para penyelidik memahami apl berniat jahat itu diedarkan melalui sumber selain Gedung Google Play, yang merupakan sesuatu yang tidak boleh digunakan oleh orang ramai dan meminta terlalu banyak kebenaran, yang tidak sepatutnya diberikan.
Pete Chestna, CISO Amerika Utara di Checkmarx, percaya bahawa kamilah yang akan sentiasa menjadi pautan paling lemah dalam keselamatan. Dia percaya bahawa peranti dan apl perlu melindungi dan menyembuhkan diri mereka sendiri atau sebaliknya berdaya tahan terhadap bahaya kerana kebanyakan orang tidak boleh diganggu. Mengikut pengalamannya, orang ramai mengetahui amalan terbaik keselamatan untuk perkara seperti kata laluan tetapi memilih untuk mengabaikannya.
"Pengguna tidak membeli berdasarkan keselamatan. Mereka tidak menggunakannya berdasarkan keselamatan. Mereka pastinya tidak pernah memikirkan tentang keselamatan sehingga perkara buruk berlaku kepada mereka secara peribadi. Walaupun selepas peristiwa negatif, ingatan mereka pendek, " pemerhatian Chestna.
Pemilik Peranti Boleh Menjadi Sekutu
Atul Payapilly, Pengasas Verifiably, melihatnya dari sudut pandangan yang berbeza. Membaca laporan itu mengingatkannya tentang insiden keselamatan AWS yang sering dilaporkan, dia memberitahu Lifewire melalui e-mel. Dalam keadaan ini, AWS berfungsi seperti yang direka, dan pelanggaran itu sebenarnya adalah hasil daripada kebenaran buruk yang ditetapkan oleh orang yang menggunakan platform tersebut. Akhirnya, AWS menukar pengalaman konfigurasi untuk membantu orang mentakrifkan kebenaran yang betul.
Ini bergema dengan Rajiv Pimplaskar, Ketua Pegawai Eksekutif Rangkaian Dispersive. "Pengguna memberi tumpuan kepada pilihan, kemudahan dan produktiviti, dan industri keselamatan siber adalah tanggungjawab untuk mendidik, serta mewujudkan persekitaran keselamatan mutlak, tanpa menjejaskan pengalaman pengguna."
Industri harus memahami bahawa kebanyakan daripada kita bukanlah orang yang selamat, dan kita tidak boleh dijangka memahami risiko teori dan implikasi kegagalan memasang kemas kini, percaya Erez Yalon, VP Penyelidikan Keselamatan di Checkmarx. "Jika pengguna boleh menyerahkan kata laluan yang sangat mudah, mereka akan melakukannya. Jika perisian boleh digunakan walaupun tidak dikemas kini, ia akan digunakan, " Yalon berkongsi dengan Lifewire melalui e-mel.
Goettl membina perkara ini dan percaya bahawa strategi yang berkesan adalah untuk menyekat akses daripada peranti yang tidak patuh. Contohnya, peranti yang rosak jailbreak, atau yang mempunyai aplikasi buruk yang diketahui, atau sedang menjalankan versi OS yang diketahui terdedah, semuanya boleh digunakan sebagai pencetus untuk menyekat akses sehingga pemilik membetulkan kesilapan keselamatan.
Avivi percaya bahawa walaupun vendor peranti dan pembangun perisian boleh melakukan banyak perkara untuk membantu meminimumkan perkara yang akhirnya akan terdedah kepada pengguna, tidak akan ada peluru perak atau teknologi yang benar-benar boleh menggantikan perisian basah.
"Orang yang boleh mengklik pada pautan berniat jahat yang berjaya melepasi semua kawalan keselamatan automatik adalah orang yang sama yang boleh melaporkannya dan mengelak daripada terjejas oleh hari sifar atau titik buta teknologi," kata Avivi.
