Глупо думать, что если твоя компания небольшая, то никто не попытается в неё проникнуть. Обязательно найдутся те, кто сделает это для фана, и те, кто захочет поживиться — похитить корпоративную информацию, чтобы, например, продать её конкурентам.
Часто владельцы бизнеса думают, что их компания защищена чуть хуже, чем Пентагон. Это заблуждение, которое дорого обходится. Чтобы понять, как защитить компанию от взлома, мы побеседовали со специалистами по кибербезопасности сервиса White-Hacker.
1. Протестировать компьютерную систему компании на взлом и проникновение
Те, кто несведущ в хакинге, свято верят, что пароль «1234» надёжно защищает их рабочие аккаунты. Однако даже начинающий хакер, используя специальные программы, вскроет и доступ в рабочий компьютер, и служебный e-mail. Поэтому важно протестировать систему компании на устойчивость к хакерским атакам, попыткам обвалить систему, а также проникнуть в неё. Такая проверка называется пентестом.
Бывает три типа электронного пентестинга. Они отличаются осведомлённостью специалиста, который выполняет пентест. BlackBox — полноценная эмуляция взломщика. При этом варианте пентестинга у исполнителя есть только та информация, которую он может собрать в открытых источниках при помощи общедоступных инструментов. При WhiteBox тестировщику компания даёт всю нужную информацию о системе, и он может развернуться на полную катушку и выявить максимальное количество уязвимостей. Используя GreyBox, тестировщик знает только некоторые элементы системы. Всю остальную информацию он добывает сам. Такая схема моделирует реальную ситуацию, когда у хакера есть сообщник внутри компании, который слил ему часть информации.
В процессе пентестинга специалист по кибербезопасности фиксирует уязвимости, баги, ошибки в настройке и по окончании проверки передаёт отчёт владельцу компании, а также сообщает, какими мерами их можно устранить. Возможно, придётся обновить программное обеспечение, изменить настройки, установить дополнительные фильтры от проникновения в виде сложных одноразовых паролей и кодов доступа.
Заказать пентест своей компании можешь в сервисе White-Hacker. Парни проверяли системы РАЭК и «Сколково» — помогут укрепить безопасность и тебе.
Заказать пентест→
2. Протестировать систему безопасности на взлом и проникновение с использованием социальной инженерии
Если ты смотрел сериал «Мистер Робот», то видел, как Эллиот, изменяя информацию о человеке в базах данных, использует это, чтобы проникнуть в защищённые организации. Это и есть социальная инженерия. Скажем больше: позвонить менеджеру от лица техподдержки, сообщить, что ты обновил систему, и попросить изменить пароль на нужный тебе — это тоже социальная инженерия. Количество таких уязвимостей зависит только от изобретательности хакера. В любом случае это популярный способ получения информации.
Если не уверен в бдительности своих сотрудников, то проверь её силами команды White-Hacker.
3. Провести пентест серверов и дата-центров предприятия
Когда проверена корпоративная сеть, самое время обратить внимание на то, насколько хорошо защищены серверы. Ведь именно они являются опорой и хранилищем данных в твоей системе. Обычно компании, которые сдают в аренду серверы в дата-центрах, заботятся о безопасности. Рабочие же серверы, которые стоят в офисах, часто несложно взломать. Стоит только представить, что какой-нибудь хакер, нанятый конкурентами, может проникнуть в неё и, например, удалить всю инфу. Или скачать и передать тем же конкурентам. Или внести путаницу, а это замедлит или даже остановит работу компании.
Проникнуть в сервер можно через учётную запись администратора или, например, через порты вроде классического порта 80. Владельцы компании, как правило, ни о чём подобном не слышали. Для них это тёмный лес, поэтому самостоятельно в этой сфере сделать ничего не смогут. Кибербезопасность — специфическая сфера. Подходящий вариант для решения этой проблемы — найти того, кто очень хорошо разбирается в хакинге, и использовать его знания и навыки.
4. Защитить сайт и приложение от взлома
В интернет-магазинах, на сайтах, на которых размещаются ICO-проекты, и вообще на любых ресурсах, где есть формы для перевода денег, встречается такая уловка: хакер проникает в код сайта и в форме для оплаты размещает номер своего кошелька. То есть человек, решивший что-то купить, думает, что переводит деньги продавцу, а на самом деле кеш приходит на счёт хакера. Если у хакера не получается взломать сайт, он создаёт его двойник с очень похожим доменом, названиями, дизайном, ассортиментом товаров. Цель — выглядеть как оригинал, чтобы человек посещал сайт, не замечал, что это подделка, и так же переводил деньги на счёт хакера.
Обычно, если обращаться к специалистам по безопасности, они анализируют код, просматривают логи и выявляют, когда были внесены изменения. Часто изменения могут быть сделаны сотрудниками без ведома руководителя. Известны случаи, когда хакеры проникали через рабочий аккаунт сотрудника к админке сайта и делали всё, что им нужно.
При разработке сайтов, приложений допускаются уязвимости. Чем больше проект, тем более вероятно, что есть прорехи и в коде, и в самой системе взаимодействия. Неплохо ещё проверить сайт на наличие бэкдоров. Это тайные ходы, которые оставляются разработчиками для проникновения в систему. Обычно их используют, чтобы наказать заказчика, который отказывается делать постоплату, или для похищения данных.
Команда сервиса White-Hacker является ответвлением компании Olit. Они тестируют корпоративные системы, защищают серверы и корпоративные дата-центры, создают сайты. Наличие профессиональных белых хакеров в команде гарантирует, что все известные способы взлома и проникновения будут ими определены и прекращены. Связаться с компанией можешь, пройдя по ссылке.
Договориться о сотрудничестве→