Cyber Security Expect the Unexpected

11
Cyber Security Expect the Unexpected Christakis Topakas Information Security Executive

Transcript of Cyber Security Expect the Unexpected

Page 1: Cyber Security Expect the Unexpected

Cyber Security Expect the Unexpected

Christakis Topakas

Information Security Executive

Page 2: Cyber Security Expect the Unexpected

Βασική διαπίστωση: οι πληροφοριακοί πόροι δηλαδή ταπληροφοριακά συστήματα και τα δεδομένα τους, βρίσκονταισυνεχώς υπό καθεστώς κινδύνου.

Καλούμαστε να αντιμετωπίσουμε αυτούς τους κινδύνους και ναδημιουργήσουμε ένα πλαίσιο προστασίας μέσω μίας διαδικασίαςανάλυσης κινδύνων.

ΠληροφοριακάΣυστήματα– Απειλές– Κίνδυνοι

Στην προσπάθεια αυτή, οι έως τώρα κίνδυνοιπου γνωρίζουμε έχουν συγκεκριμενοποιηθεί,καταγραφεί, κατηγοριοποιηθεί, οριοθετηθεί,αναλυθεί, ενώ έχουν διαπιστωθεί οιεπιπτώσεις τους και έχουν υλοποιηθεί τρόποιαντιμετώπισής τους.

Page 3: Cyber Security Expect the Unexpected

Απειλέςσεφυσικόεπίπεδο:Απάτη, δολιοφθορά, βανδαλισμός, κλοπή, διαρροές πληροφορίας,μη εξουσιοδοτημένη πρόσβαση, επιθέσεις τρομοκρατικές,διαφθορά, εκβιασμός

Καταστροφή,απώλειαπληροφοριακώνπόρων:Διαρροή πληροφοριών, λανθασμένη χρήση ή διαχείριση συστημάτων,λανθασμένος σχεδιασμός, απώλεια υπολογιστικών συστημάτων,καταστροφή αρχείων

Φυσικέςκαταστροφές:

Σεισμός, πλημμύρα, φωτιά, μόλυνση, έκρηξη, διαρροή ραδιενέργειας,ηλεκτρομαγνητική ακτινοβολία

Αστοχίεςκαιδυσλειτουργία:

Αστοχία συσκευών και συστημάτων, επικοινωνιών, παροχήςενέργειας, παροχής υπηρεσιών τρίτων καθώς και δυσλειτουργίαεξοπλισμού

Page 4: Cyber Security Expect the Unexpected

Διακοπή,απώλεια:

Απώλεια πόρων, Ελλείψεις σε προσωπικό, Απεργίες, Διαδικτυακές καιδικτυακές διακοπές, διακοπή λειτουργίας μηχανογραφικού εξοπλισμού.

Παρείσφρηση,υποκλοπή,πειρατεία:

Παρακολούθηση επικοινωνιών, υποκλοπή πληροφοριών, δικτυακήαναγνώριση, χειραγώγηση δικτυακής κίνησης και συλλογήπληροφοριών, man in the middle.

Θεσμικής,Νομικήςφύσης:

Παραβίαση Νομοθεσίας, αδυναμία τήρησης συμβάσεων, κατάχρησηπροσωπικών δεδομένων και πληροφοριών, μη εξουσιοδοτημένη χρήσηδιαβαθμισμένης πληροφορίας.

Page 5: Cyber Security Expect the Unexpected

Κακόβουλη,καταχρηστικήδραστηριότητα:

Υποκλοπή Ταυτότητας, Λογαριασμών,Λήψη πλαστών E-mail, επιθέσεις DDoS,κακόβουλο λογισμικό, ιοί, ransomware,επιθέσεις κοινωνικής μηχανικής,phishing, κατάχρηση πρόσβασης σεπληροφορία, διαρροή πληροφοριών,δημιουργία και χρήση πλαστώνπιστοποιητικών, hardware και softwareτροποποιήσεις, κακή χρήση εργαλείωνελέγχου, μη εξουσιοδοτημένες ενέργειες, μη εξουσιοδοτημένηεγκατάσταση προγραμμάτων, έκθεση σε κίνδυνο εμπιστευτικώνπληροφοριών, απάτες, επιθέσεις απομακρυσμένης πρόσβασης,στοχευόμενες επιθέσεις (APTs etc.), επιθέσεις brute force,κατάχρηση δικαιωμάτων πρόσβασης σε συστήματα καιπληροφορίες.

Page 6: Cyber Security Expect the Unexpected

Από τη διαβάθμιση, κατηγοριοποίηση και ανάλυση της έκθεσης τουκινδύνου στις απειλές που υπόκεινται οι πληροφοριακοί πόροικαθώς και των απαιτήσεων από θεσμικά όργανα και ιδρύματαπιστοποίησης, υλοποιούμε ένα πλαίσιο ασφάλειας και δομέςπροστασίας που περιλαμβάνουν πολιτικές, διαδικασίες, συστήματα,εφαρμογές και μηχανισμούς προστασίας όπως ενδεικτικά:

Antivirus, Firewalls, Log Analyzers, Intrusion Prevention Systems,Intrusion Detection Systems, Penetration Tests, VulnerabilitiesAssessments, Cyber Risk analysis, Incident Handling Procedures,Spam Ε-mail administration, AntiDDoS Services, Data Classifications,Software Updates and Upgrades, Passwords, Data Encryption, DataLeakage Prevention, Back up, Disaster sites, ΕνημερώσειςΠροσωπικού και πολλά άλλα.

ΠληροφοριακάΣυστήματα– Προστασία– ΠλαίσιοΑσφάλειας

Page 7: Cyber Security Expect the Unexpected

Είναι η συνήθης διαπίστωση βέβαια, πως όλα τα μέτρα προστασίαςπου λαμβάνουμε δεν προσφέρουν την απόλυτη προστασία καιπάντα υπάρχει κάτι νέο που θα πρέπει να αντιμετωπίσουμε μιας καιη ανθρώπινη εφευρετικότητα δεν έχει όρια.

Κάθε νέα όμως απειλή είτε εκμεταλλεύεται προϋπάρχοντα κενάασφάλειας άγνωστα έως τώρα είτε στηρίζεται εν γένει σεμετασχηματισμούς παλαιότερων απειλών επαναφέροντας τες στονέο τεχνολογικά επίπεδο.

Ο προβληματισμός μας είναι απειλές που θα προκύψουν ωςνεοτερισμοί και θα ξεπηδήσουν αυθύπαρκτες εκμεταλλευόμενες ταόρια της τεχνολογίας, απειλές που θα προέλθουν από την σύμπραξηδιαφορετικών τρόπων αντίληψης και κατανόησης της τεχνολογικήςπραγματικότητας.

Οιεπιτιθέμενοιέναβήμαμπροστά

Page 8: Cyber Security Expect the Unexpected

Παράδειγμαμησχετικόμεασφάλεια:

Ο ερευνητής μηχανικός Roland Meertens ασχολείται με νευρωνικάδίκτυα. Στόχος του ήταν να μπορέσει μέσω αυτών να αναπαράγειφωτορεαλιστικές φωτογραφίες από την απλή ασπρόμαυρη κάμεραανάλυσης 190x144 pixel του Nintendo Gameboy.

Τροφοδοτώντας το κύκλωμα με φωτογραφίες των προσώπωνκανονικά και σε αντιπαραβολή με τις φωτογραφίες που έβγαζε τοNintendo Gameboy μετά από μερικές επαναλήψεις το νευρωνικόδίκτυο είχε διδαχθεί.

Τα αποτελέσματα είναι παραπάνω από θεαματικά.

Page 9: Cyber Security Expect the Unexpected

Σκεφτείτε λοιπόν αντίστοιχαγια το πώς θα μπορούσε ένανευρωνικό δίκτυο σε χέριαhacker να χρησιμοποιηθεί καιλαμβάνοντας περιορισμένηπληροφορία από τους χρήστεςμας, από τα δίκτυά μας, απότις ιστοσελίδες μας, απόκοινωνικά δίκτυα πληροφορίεςπου θεωρούνται ως μηδιαβαθμισμένες, θα μπορούσετελικά να του αποκαλύψει καινα συνθέσει συνδυαστικάεξαιρετικές πληροφορίες ώστενα τον βοηθήσει να μαςεπιτεθεί αποτελεσματικά!

Page 10: Cyber Security Expect the Unexpected

Δεν μπορούμε να προβλέψουμε την επόμενη νέα απειλή.

Πρέπει να είμαστε έτοιμοι να αντιδράσουμε το ταχύτερο δυνατό.

Δεν εφησυχάζουμε, δεν μειώνουμε τις άμυνες μας αλλά το αντίθετοσυνεχώς να τις ενδυναμώνουμε.

Παραμένουμε αυστηροί στις πολιτικές και τις διαδικασίας μαςπεριορίζοντας στο ελάχιστο δυνατό τις εξαιρέσεις.

Δεν υποτιμούμε τον αντίπαλο.

Παραμένουμε πάντα σε ετοιμότητα.

Διατηρούμε ένα οργανωμένο Incident Response Plan, καλάσχεδιασμένο, ενημερωμένο, δοκιμασμένο, και επαρκώς στελεχωμένομε το κατάλληλο προσωπικό.

Τρόποιπροστασίας

Page 11: Cyber Security Expect the Unexpected