Log4j aneb nedávej Apachům ohnivou vodu, dopadne to špatně

Je doba vánoční plná příběhů a zázraků a na jeden takový je potřeba se podívat, protože se z něj můžeme hodně poučit.

Bylo, nebylo 9. 12. (byl a už není) se objevil níže uvedený tweet (mimochodem velmi trefná profilová fotka odkazující na dnes již kultovní film Leon), … a nastalo zděšení, často i oprávněné, hlavně tam, kam bezpečnost nechodí. Protože jak víme, kam nechodí bezpečnost, tam chodí hacker.

celý článek

Zaměstnanci mají na svědomí až 80 % bezpečnostních incidentů

Z mnoha bezpečnostních reportů vyplývá, že až za 80 % bezpečnostních incidentů mohou samotní zaměstnanci organizace.

Není až tak podstatné, jestli to je přesně 80 % či více, ale že je to poměrně velké číslo.

Štítky: ,
celý článek

Jak by měla být od sebe ideálně vzdálená datová centra a prvky kritické infrastruktury?

Na tuto otázku nelze jednoznačně odpovědět, protože to vyplývá z konkrétních hrozeb, kterým by tato centra mohla být vystavena.

A nejde jen o datová centra, ale i záložní lokality, prostory, ve kterých jsou uložena záložní média a prvky kritické infrastruktury, dále jen lokality.

Štítky:
celý článek

Jaké kybernetické hrozby můžeme očekávat v roce 2023

Blíží se konec roku, a tak opět nastává čas se zamyslet nad tím, co nás čeká v roce 2023 a jakým kybernetickým hrozbám budeme čelit.

V kontextu současného geopolitického vývoje, probíhající hybridní válce i eskalace válečného konfliktu, je však tato predikce více než kdy jindy značně nejistá, a proto je nutné ji brát s rezervou.

Štítky: ,
celý článek

Nový trend ve vývoji bankovního malware v roce 2022

Není to ani tak o malware, jako spíše o sociálním inženýrství, kdy oběť vědomě zpřístupní útočníkovi své přihlašovací údaje, pustí jej na svůj počítač a ve výsledku „dobrovolně“ převede peníze na účet podvodníka.

Nadále byly hackovány weby, které pohání WordPress a na ně pak byly umísťovány stránky napodobující weby el. bankovnictví, platebních bran, které mohou vypadat všelijak.

Štítky: , ,
celý článek

Security culture aneb jaký je postoj vaší organizace k bezpečnosti?

Mnohé organizace tvrdí, že kybernetická bezpečnost je pro ně prioritou.

Mnohdy však zůstává jen u tohoto prohlášení. Zkuste se sami zamyslet nad tím, zda níže uvedené body naplňujete, protože nenaplnění jakéhokoliv bodu může představovat problém.

Štítky:
celý článek

Honeypot a honeynet je obousečná zbraň

Honeypot a honeynet je server nebo dokonce celá síť fungující jako návnada, která by hackera měla zaujmout a na nějakou dobu i zaměstnat.

Jedná se tedy o specifickou formu bezpečnostního opatření, které v sobě ale skrývá i určitá rizika.

Štítky:
celý článek

SoD aneb oddělení odpovědností

Cílem oddělení odpovědností (Segregation nebo také Separation of Duties, zkr. SoD) je minimalizovat riziko zneužití přístupu k datům a funkcím systému.

Je nasnadě, že když jeden zaměstnanec zastává vícero rolí, tak je zde vyšší riziko podvodu ze strany tohoto zaměstnance anebo zneužití tohoto účtu někým jiným.

Štítky:
celý článek

Problematické postavení CISO v hierarchii organizace

Cílem tohoto příspěvku je nastínit problematiku začlenění CISO v hierarchii organizace.

V zásadě zde máme dva základní modely organizačního začlenění CISO v hierarchii organizace. CISO mající sice C v názvu pozice, ale zanořen hluboko v organizační struktuře a pak CISO jako člen vrcholového vedení.

Štítky:
celý článek

Hodnocení bezpečnostních řešení dle MITRE Engenuity ATT&CK

Tento článek se zamýšlí nad tím, jak přistoupit k hodnocení bezpečnostních řešení dle MITRE, a jak interpretovat výsledky hodnocení.

Na stránkách MITRE jsou uvedeny taktiky a techniky, které jsou zpravidla používány v rámci vedení kybernetických útoků.

Štítky: ,
celý článek

Linkless phishing

V zásadě se jedná mezi útočníky o poměrně oblíbenou techniku, která jim umožňuje projít skrze většinu antimalware řešení.

Spočívá v silně obfuskované HTML příloze phishing e-mailu, který přichází z cloudu, např. ze SendGridu. Odesílatelem e-mailu je důvěryhodný mailový server, z kterého chodí i naprosto legitimní e-maily.

Štítky:
celý článek