Phishing: une tournure intéressante sur une escroquerie
Après deux évaluations de sécurité I doit être sûr, d'accord? --------------------------------------- Imaginez que vous êtes le CIO d'une institution financière et vous avez récemment mis en place un état de l'art en ligne transaction de service pour vos clients. Pour vous assurer que votre entreprise de réseau de périmètre est sécurisé, vous avez exécuté deux évaluations de la sécurité extérieure et de tests de pénétration. Lorsque le rapport final est arrivé, votre société a été un certificat de bonne santé. Au début, vous vous êtes senti soulagé et confiant dans vos mesures de sécurité. Peu de temps après, de secours se sont tournés vers votre préoccupation. "Est-il vraiment possible que nous sommes totalement en sécurité?" Étant donné que vous êtes scepticisme, vous décidez de prendre un jour de plus opinion.The le rapport de test de pénétration de livraison est maintenant à portée de main. Sur la base des évaluations précédentes, vous vous attendez à recevoir des informations positives, mais rien ...... Les résultats Avaient moins de plaisant ----------------------------------- Au cours de ce test de pénétration, il ya eu plusieurs résultats intéressants, mais nous allons mettre l'accent sur celle qui frappe le vent de toute personne responsable pour la sécurité des systèmes en ligne. Particulièrement si vous êtes dans les affaires de money.Most les gens sont familiers avec le terme «phishing». Dictionary.com définit le mot comme Phishing "la pratique du leurre ne se doutaient de rien Utilisateurs de l'Internet à un faux site Web en utilisant la recherche authentique de la véritable e-mail avec le logo de l'organisation, dans une tentative de voler des mots de passe, informations financières ou personnelles, ou d'introduire une attaque de virus, la création d'un Web site réplique ne se doutaient de rien pour tromper les utilisateurs de l'Internet en soumettant des informations personnelles ou financières ou des mots de passe ". Bien que SPAM / courrier électronique non sollicité et direct serveur web compromis sont les méthodes les plus communes de phishing. Il existe d'autres moyens pour accomplir cette frauduleuse activity.Internet Router compromis permet de Bad Day -------------------------------- -------------- Dans ce cas, le routeur Internet a été compromis par l'utilisation d'un bien connues CISCO vulnérabilité. Une fois cela a été accompli, le ciel est la limite dans la mesure où ce qui pourrait être fait à l'impact de l'organisation. Même si la société de serveur web a été sécurisé, et le pare-feu qui était de protéger le serveur Web a été configuré de manière adéquate, ce qui a eu lieu à côté de ces systèmes de défense a fait irrelevant.Instead de la mise en place d'un duplicata d'un login sur le site d'un système externe, puis l'envoi de SPAM en Afin d'inciter un client à renoncer à leur ID d'utilisateur, mot de passe et numéros de compte, une autre approche, une approche beaucoup plus infâme a été taken.Phishing Pour des renseignements personnels ou financiers ---------------------------------------------- Vous rappelez-vous que le routeur qui a été compromise? Pour preuve de concept fins, la configuration du routeur a été modifié de façon à transmettre tout le trafic Internet à destination de la légitime serveur Web, à un autre serveur web où l'ID utilisateur, mot de passe, et des informations pourraient être recueillies. La première fois que cette information a été inscrit, le client recevra un double erreur. La deuxième fois, le page chargée, le faux serveur web redirigé le client au site réel. Lorsque l'utilisateur est rentré dans l'information demandée, tout fonctionne à fine.No seul, pas le client, ni l'entreprise a une idée que quelque chose de néfaste se passait. Pas de cloches ou de sifflet partit, nul ne doute de l'erreur. Pourquoi seraient-ils, ils auraient pu mettre le mauvais mot de passe, ou il a été probablement une erreur typique sur une page Web qui traite tout le monde avec de temps en time.At ce point, vous pouvez laisser votre imagination prendre le dessus. L'attaquant mai de ne pas aller de l'avant et d'utiliser les informations recueillies immédiatement. Ce pourrait être des jours ou des semaines avant qu'il ne soit utilisé. Toute trace de ce qui a eu lieu pour recueillir les informations seraient plus susceptibles d'être history.What Do You Really Get Out des évaluations de sécurité --------------------------- ----------------------- Je ne peux pas vous dire combien de fois J'ai été présenté à la sécurité des rapports d'évaluation qui sont plutôt des informations à partir d'une production off-the-shelf ou open source de sécurité analyseur automatisé. Même si un pirate mai utilisation des mêmes outils lors d'une attaque, ne pas se reposer uniquement sur ces informations pour atteindre leur objectif. Un bon test d'intrusion ou d'évaluation de la sécurité doit être effectué par quelqu'un qui comprend non seulement des «failles de sécurité" et la façon d'exécuter en dehors du plateau outils. L'exécution de l'évaluation doivent le faire armé avec les outils et l'expérience que ceux qui respectent ou dépassent un potentiel attaquant have.Conclusion ---------- Que vous soyez un petites, moyennes, sont de grandes sociétés, vous devez faire très attention à vous de décider qui est le plus qualifié pour effectuer un examen de votre entreprise en matière de sécurité les systèmes de défense, ou profil de sécurité. Tout simplement parce que d'une organisation vous présente des titres, tels que des consultants avec leur CISSP ....., cela ne signifie pas que ces gens ont une expérience du monde réel. Toutes les certifications dans le monde ne peut pas vous assurer que vous recevez les résultats de s'engager dans une évaluation de la sûreté approfondie / complet. Obtenir un deuxième avis est approprié compte tenu de ce qui est en jeu mai. Si vous ne me sentais pas bien, et il savait que quelque chose n'allait pas avec vous, pouvez-vous régler pour un seul médecin est d'avis? Franchement, je n'ai jamais rencontré un hacker (je sais je me suis claqué pour l'utilisation de ce terme, je le fais toujours), qui a une certification attestant qu'ils savent ce qu'ils font. Ils savent ce ils le font parce qu'ils ont fait, encore et encore, et ont une compréhension complète de systèmes de réseaux et de logiciels. En plus de cela, la seule chose qu'ils ont que la classe ou de certification ne peut vous apprendre est, L'auteur imagination.About ---------------- Darren Miller est un consultant en sécurité de l'information avec plus de seize ans d'expérience. Il a écrit de nombreux articles de la technologie et de sécurité, dont certaines ont été publiés dans les magazines distribués au niveau national et de périodiques. Si vous souhaitez, vous pouvez contacter Darren e-mail lui Darren.Miller @ ParaLogic.Net. Si vous souhaitez en savoir plus sur la sécurité informatique s'il vous plaît nous rendre visite
Source D'Article: Messaggiamo.Com
Related:
» Seo Elite: New Seo Software!» AntiSpywareBOT
» Reverse Mobile
» Error Nuker
Webmaster obtenir le code html
Ajouter cet article sur votre site Web dès maintenant!
Webmaster envoyer vos articles
Aucune inscription requise! Remplissez le formulaire et votre article est dans le Messaggiamo.Com répertoire!
