Bezpečnostní přehled: Otazníky kolem zákona o kybernetické bezpečnosti

Pavel Houser , 26. leden 2015 07:00 0 komentářů
Rubriky: Security, Internet
Bezpečnostní přehled: Otazníky kolem zákona o kybernetické bezpečnosti

Zero day chyba v přehrávači Flash Player. Zranitelnost zasíťovaných automobilů. Analýza typosquattingu. Připravuje se nová verze Common Vulnerability Scoring System. Pracuje Apple bezpečně s biometrickými daty? Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Útoky na řídící systémy

Kyle Wilhoit z Trend Micro uvádí, že po roce bankovních trojských koní můžeme letos očekávat, že internetoví zločinci se více zaměří na řídicí systémy typu SCADA a další průmyslová řešení. Poslední taktikou útočníků je maskovat své kódy jako aktualizace řídicích systémů – bylo zaznamenáno, že takto se už šíří podvodné záplaty předstírající, že jde o aktualizace systémů Siemens Simatic WinCC, GE Cimplicity a Advantech.

Wilhoit upozorňuje i na kuriózní, kombinovaný typ malwaru – bankovní trojské koně zneužívající zranitelnosti ve SCADA systémech. Jejich cílem není sabotáž ani průmyslová špionáž, ale podvodníci počítají s tím, že počítače v průmyslových systémech používají lidé i ke svým běžným aktivitám včetně internetového bankovnictví.

Zranitelné routery Pirelli

Publikována byla zranitelnost v ADSL routerech ADB Pirelli. ČR se tento problém zřejmě příliš týkat nebude, tato zařízení se používají především ve Španělsku a latinskoamerických zemích.

Děravý Flash Player

Podvodníci začali zneužívat zero day chybu v přehrávači Flash Player – zranitelné jsou i nejnovější verze 16.0.0.257. Chránění jsou uživatelé Windows 8.1 a ti, kdo jako prohlížeč používají Chrome (díky sandboxu). Zneužití bylo již zařazeno do populární sady exploitů Angler, k infekci stačí pouze navštívit podvodný nebo kompromitovaný web. Útočníci tímto způsobem šíří především malware označovaný jako Bedep, který primárně slouží k zobrazování agresivní reklamy, ale může fungovat i jako downloader dalších škodlivých kódů.

Podle studie společnosti Cisco byl Angler loni jedním z nejoblíbenějších útočných kitů (následují sady Sweet Orange a Goon). Kromě plug-inu Flash se Angler zaměřuje především na zneužívání chyb v Javě, Internet Exploreru a platformě Microsoft Silverlight.

CVSS porovná bezpečnost

Chystá se verze Common Vulnerability Scoring System (CVSS) 3.0, což je systém pro vyjádření míry bezpečnostní zranitelnosti číslem od 1 do 10. První verze CVSS byla vydána v roce 2004, práce na verzi 3 začaly v roce 2012 a měly by být dokončeny letos. Práci zastřešuje organizace First (Forum of Incident Response and Security Teams).

Špiclování řidičů je možné obejít

V USA jsou prý až 2 miliony zranitelných automobilů. Používají totiž zařízení kalifornské firmy Xirgo Technologies, které sledují řidičovy návyky. Pojišťovny pak na základě těchto dat upravují výši pojištění. Podle Corey Thuena z firmy Digital Bond Labs však příslušná zařízení, jejich firmware i komunikace, prakticky postrádají bezpečnostní technologie. Do zařízení lze nahrát vlastní kód nebo zmanipulovat komunikaci se servery společnosti. Auta kvůli tomu nebudou padat z mostů, ale důsledkem určitě mohou být třeba komplikované soudní spory mezi klienty a pojišťovnami.

VMWare a šifrování

Ve výchozím nastavení produktů VMware byla vypnuta funkce Transparent Page Sharing (TPS). Stalo se tak poté, co byla zveřejněna studie, že v tomto případě je ohrožena bezpečnost šifrovacích klíčů AES, které lze z paměti získat i pro uživatele neoprávněného virtuálního stroje (i když problém je údajně spíše teoretický a vyžaduje specifickou konfiguraci, která se v produkčním prostředí prakticky vyskytovat nebude). Výsledkem nicméně je, že virtuální stroje mohou nyní méně efektivně sdílet RAM – právě to bylo cílem funkce TPS. VMware nabízí několik aktualizací, nástrojů a tipů, které by měly správcům umožnit nastavit prostředí tak, aby sdílení paměti bylo efektivní a zároveň bezpečné.

Analýza typosquattingu

Výzkumníci z americké Stony Brook Universit zveřejnili analýzu podvodů (či parazitismu) založených na překlepech v URL (typosquatting). Konkrétně se zaměřili na adresy podobné nejoblíbenějším internetovým službách. Z nich jen asi 30 % proaktivně registruje podobné domény, aby tomuto jevu zabránili. Výjimkou jsou třeba Huffington Post, American Express a Bloomberg (mají „na obranu“ zaregistrováno 57, 42, respektive 29, domén), naopak i velké banky na „makety“ kašlou. Polovina všech typosquattingových stránek využívá hosting pouhých 4 společností, které se zřejmě zaměřují právě na tento typ podnikání.

Nebezpečný malware CTB-Locker

V Evropě a v Latinské Americe se začíná šířit malware s názvem CTB-Locker, který Eset detekuje jako Win32/FileCoder.DA. Podle odhadu analytiků firmy Eset jde o začátek kampaně, která může nabýt velkých rozměrů. Infekce začíná tím, že oběť dostane e-mail (typicky s předmětem „Fax“) s přílohou, která imituje faxovou zprávu. Malware zašifruje na napadeném počítači soubory, zamkne obrazovku a zobrazí na ní výzvu k zaplacení výkupného v bitcoinech – v přepočtu je to téměř 50 tisíc Kč. Zdroj: tisková zpráva společnosti Eset

Téměř polovina Čechů na bezpečnost kašle

43 %, českých uživatelů nechrání svá data na zařízeních připojitelných k internetu, která půjčují rodině, přátelům či kolegům. Tito respondenti nevidí ve sdílení zařízení žádná rizika. Vyplývá to z průzkumu Kaspersky Lab a B2B International, jež oslovil přes jedenáct tisíc uživatelů ve 23 zemích včetně ČR. 28 % těch, kteří uvedli, že svůj počítač, mobil či tablet sdílejí s jinými, nezavedli vůbec žádné zabezpečení, 33 % respondentů v ČR zálohuje svá data před tím, než zařízení půjčí, 28 % je chrání heslem a 16 % si dává pozor na to, aby na sdílených zařízeních žádné důležité informace neuchovávalo. Zdroj: tisková zpráva společnosti Kaspersky Lab

Otisky prstů v cloudu

Ke zprávám o tom, že společnost Apple plánuje otisky prstů sloužící k identifikaci a platbám ukládat v cloudu: „Ukládáním otisků prstů v cloudu by Apple mohl rychle ověřit něčí identitu zřejmě hlavně pro účely plateb. Můj otisk prstů naskenovaný v reálném čase by byl porovnán s tím, který by byl uložen u Apple. Umožnilo by to Applu vedle Apple Pay získat další způsob, jak z iPhonů udělat platební nástroj. Na první pohled se zdá, že to nepředstavuje větší riziko než ukládání hashů hesel na stránkách poskytovatele (ačkoli bohužel někteří z nich hesla ukládají jako prostý text). Nicméně je tu jeden podstatný rozdíl. Pokud mé heslo unikne, můžu vytvořit nové. Bohužel ale nemůžu změnit svá biometrická data. Pokud tedy tato data nejsou bezpečně uložena (a nic jako 100% ochrana neexistuje), riziko může být mnohem větší, než krádež hesla. Představuje to podobnou situaci, jako mít jediné heslo na všechno, ale bez možnosti to změnit,“ uvádí David Emm, analytik společnosti Kaspersky Lab. Zdroj: tisková zpráva společnosti Kaspersky Lab

Zabezpečení pro firmy a domácí zákazníky

TrustPort vydává novou produktovou verzi 2015 pro domácí uživatele a firemní zákazníky. K dispozici jsou také bezpečnostní řešení pro iOS a Android. Zdroj: tisková zpráva společnosti TrustPort

Na trh přichází zařízení Barracuda Security Suite, které v sobě kombinuje firewall, filtrování webu a antispam. Distributorem produktů Barracuda Networks pro ČR a Slovensko je společnost Gesto. Zdroj: tisková zpráva společnosti Gesto Communications

Sophos do své produktové řady pro ochranu koncových bodů přidal komponentu Malicious Traffic Detection odhalující komunikaci mezi koncovým bodem a servery útočníka. Uvedeny byly také nové verze řešení SafeGuard Encryption a Mobile Encryption. Zdroj: tisková zpráva společnosti Sophos

Hybridní cloudy usnadňují migraci

Kromě tradičních překážek pro nasazování soukromých cloudů, jako jsou otázky bezpečnosti, zmiňují podnikoví IT specialisté a manažeři další obavy, jako je standardizace IT a problémy integrace cloudových řešení se stávajícími aplikacemi. Zkušenosti z implementací soukromých cloudů vysvětlují, proč podniky při dalším nasazování cloudových technologií pokládají za prioritu cloudy hybridní, které umožní snadné migrace aplikací mezi různými typy cloudů i on-premise infrastrukturou. Zdroj: tisková zpráva společnosti Oracle

Citrix XenServer 6.5

Nová verze virtualizační platformy XenServer 6.5 je kompatibilní s bezpečnostní technologií Intel Trusted Execution Technology, což dle dodavatele chrání před kompromitací hypervisoru a před provozem podnikových aplikací na potenciálně ohrožených systémech. Zdroj: tisková zpráva společnosti Citrix

ČRa investují miliony

Letošní investice bude firma ČRa směřovat do nejmodernějšího datového centra ČRa DC Tower na pražském Žižkově a do přípravy dalších kapacit v regionech. Datové centrum Tower je celé koncipované tak, aby fyzickou bezpečností odpovídalo bezpečnostní třídě 3 a mezinárodnímu standardu PCI-DSS. Provozně je navrženo dle standardu TIER 3. Zaměstnanci, kteří přicházejí do kontaktu s technologiemi zákazníků, disponují prověrkou Národního bezpečnostního úřadu. Zdroj: [tisková zpráva společnosti České radiokomunikace](České Radiokomunikace budou investovat desítky milionů do datových center)

Nové NAS servery Synology

Synology uvádí nový RackStation RS815+, RS815RP+ a DiskStation DS2415+. Tyto NAS servery jsou podle dodavatele navrženy tak, aby poskytovaly malým a středně velkým podnikům mj. vysoký výkon při šifrování. Zdroj: tisková zpráva společnosti Synology

Na téma bezpečnosti na ITBiz viz také:

Nový kybernetický zákon v praxi. Nikdo neví, na koho se vztahuje, prováděcí vyhláška je nejasná Koho se zákon vlastně týká a koho ne? „Znění prováděcí vyhlášky je natolik vágní, že si na tuto otázku dodnes neumí s jistou odpovědět mnozí zástupci soukromých firem a totéž platí u orgánů veřejné správy. První problém může nastat už na konci ledna, dokdy mají dotčené subjekty povinnost nahlásit vládnímu CERTu své kontaktní údaje i zodpovědnou osobu pro oblast kybernetické bezpečnosti,“ upozorňuje Jakub Kejval, generální ředitel společnosti Bureau Veritas.


Komentáře


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář


RSS 

Zprávičky

Nahradí otisky prstů přístupová hesla?

ČTK , 05. prosinec 2016 14:30

Zní to jako skvělý nápad: zapomeňte na hesla a zamykejte telefon místo nich otiskem svého prstu. Je ...

Více 0 komentářů

Počítač a internet má na jižní Moravě více než 75 pct domácností

ČTK , 05. prosinec 2016 10:30

Počet jihomoravských domácností, které mají počítač a přístup k internetu, se loni přehoupl na jižní...

Více 0 komentářů

Vodafone zvýšil do září počet zákazníků na 3,54 milionu

ČTK , 04. prosinec 2016 18:00

Mobilní operátor Vodafone zvýšil do konce září počet zákazníků na českém trhu meziročně o 146.000 na...

Více 0 komentářů

Starší zprávičky

Nový škodlivý program ukradl údaje k milionu účtů Google

ČTK , 02. prosinec 2016 14:00

Nový škodlivý program Goolian narušil bezpečnost více než jednoho milionu účtů Google. Šíří se na za...

Více 1 komentářů

Telefony Nokia se příští rok vrátí na trh

ČTK , 02. prosinec 2016 10:30

Chytré telefony se značkou Nokia se objeví zpátky na trhu v příštím roce. Finská společnost Nokia dn...

Více 2 komentářů

CETIN nabídne příští rok operátorům připojení až 250 Mbit/s

ČTK , 01. prosinec 2016 17:00

Společnost Česká telekomunikační infrastruktura (CETIN) zvýší od května příštího roku rychlost inter...

Více 0 komentářů

Akcie Samsungu stouply na nový rekord

ČTK , 01. prosinec 2016 12:00

Akcie jihokorejské společnosti Samsung Electronics dnes stouply o více než čtyři procenta na nový re...

Více 0 komentářů