Jarosław Postawa:

Krzysztof Kroczyński:
Ale paradoksalnie - nie można twierdzić, ze zabezpieczenia są niewystarczające.

Czasami są wystarczające tylko dlatego, że nikomu się nie chciało tam włamać. :) Miałem jednak już parokrotnie sytuację, gdy po włamaniu na szybko klient chciał kupić zabezpieczenia. Inny przykład - firma ma IPSy za ok 80k$, które nie są wykorzystywane "bo blokowały biznes" - nikt ich poprawnie nie skonfigurował lub nie zapłacił za to firmie zewnętrznej i tylko mielą powietrze. Na papierze wygląda pięknie - system jest.

One na ogół sa całkiem wystarczające, tylko celem nie jest perfekcyjna ochrona danych, a realizacja zapisów regulacji.

Z tymi zapisami regulacji też jest czasami wesoło. W dużej spółdzielni mieszkaniowej (a więc dane osobowe) jest jedynie firewall. Brak zabezpieczeń przed pobraniem szkodliwej treści z Internetu, brak monitorowania działań użytkowników, brak systemu backupu, a istotne dane pracownicy archiwizują na prywatnych pendrivach.

Nakłady na bezpieczeństwo oczywiście należy dostosować do wielkości firmy i wagi danych przechowywanych w systemach IT, ale proszę mi uwierzyć - nie jest tak dobrze, jak się powszechnie uważa.

Link do wypowiedzi

Jarosław Postawa:

Patrycja Gadomska:
Banki i duże firmy zwykle ukrywają fakt naruszenia ich bezpieczeństwa teleinformatycznego. Nie chcą również dopóścić nikogo z zewnątrz do sprawdzenia słabości systemowych.

Tyle że przepisy i wymagania nakazują im robienie okresowych audytów przez firmy zewnętrzne. Sam parę takowych robiłem. Tak więc chcą dopuścić, chociaż pewnie nie każdego :)

Link do wypowiedzi

Jarosław Postawa:

Bogdan Pieńkowski:
Więc jakie to dokumenty UG przetwarza, że musi mieć kancelarię tajną?

A taki pierwszy przykład z brzegu z jednego UG:

2. Informacjami niejawnymi o klauzuli „zastrzeżone" w Urzędzie Gminy są informacje dotyczące m.in.:
1) Załącznik do „Planu operacyjnego funkcjonowania Gminy Leżajsk w warunkach zewnętrznego zagrożenia bezpieczeństwa państwa i w czasie wojny" - Karty realizacji zadań operacyjnych,
2) Dokumentacja Akcji Kurierskiej,
3) Wnioski o nadanie medalu za długoletnie pożycie małżeńskie.
4) Inne wg decyzji osób uprawnionych do podpisania dokumentów zastrzeżonych.

Link do wypowiedzi

Patrycja Gadomska:
Audytów tak, ale jak przychodzi do ataku lub innego incydentu to 'zamiatają pod dywan' i siedzą cicho w myśl, że nikt się nie zorientuje ;)

Link do wypowiedzi

Jarosław Postawa:
Tak więc każdy ma wybór - czy zabezpieczy się przed, czy po ataku. Bo atak prędzej czy później nastąpi. Pozostawiam temat do przemyślenia.

Link do wypowiedzi

Bogdan Pieńkowski:

I to jest ten problem. Piszecie o sprawach, o których nie macie pojęcia.

Link do wypowiedzi

Bogdan Pieńkowski:

1. sfrustrowany członek spółdzielni mieszkaniowej "Nowy Świt" w Otwocku będzie chciał i umiał w niej namieszać,

2. wartość danych 1000 członków stanowi atrakcyjny towar

Link do wypowiedzi

Patrycja Gadomska:
I właśnie Pan Bodgan jest przykładem osoby bagatelizującej problem bezpieczeństwa danych teleinformatycznych.

Jedna drobna Spółdzielnia a mieszkańcow 1000, kolejna drobna Spółdzielnia i kolejny 1000, itd.... i robi się olbrzymia baza danych.

Obiekt bardzo łatwy do ataku,

W przykładowej Spółdzielni znajdują sie bardzo szczegółowe dane mieszkańców (adresy, numery ksiąg wieczystych, numery kont bankowych, ilość osób zameldowanych w lokalu, nr PESEL, inf poprzednich najemcach lub właścicielach, itd). Niby nic, a jednak dla zainteresowanych bardzo cenne informacje - po wstępnej weryfikacji- oczywiście.

Link do wypowiedzi

Krzysztof Kania:

Tak się składa że by popsuć wiele umieć nie trzeba - wystarczy solidnie machnąć toporkiem po dyskach.

Są tacy dla których potencjalnie może to być atrakcyjny towar. Ot wystarczy tych danych by założyć konta w banku.

Link do wypowiedzi

Bogdan Pieńkowski:

Patrycja Gadomska:
I właśnie Pan Bodgan jest przykładem osoby bagatelizującej problem bezpieczeństwa danych teleinformatycznych.

Czy Pani wie na czym polega zarządzanie ryzykiem? Jestem ostatnią osobą, która bagatelizuje bezpieczeństwo. Ja tylko w przeciwieństwie do innych oceniam je obiektywnie na podstawie informacji, danych, przesłanek, analizy ryzyka i wielu, wielu innych czynników. I zanim coś doradzę wykonam trochę pracy, a nie zakładam, że skoro chodzę po ulicy to kiedyś ktoś mnie rozwali bmk-ą.

Jedna drobna Spółdzielnia a mieszkańcow 1000, kolejna drobna Spółdzielnia i kolejny 1000, itd.... i robi się olbrzymia baza danych.

Tak tak i wszystkie systemy w tych spółdzielniach działają jednakowo, mają takie same środowiska, te same hasła itd. itp.

Obiekt bardzo łatwy do ataku,

I co z tego?

W przykładowej Spółdzielni znajdują sie bardzo szczegółowe dane mieszkańców (adresy, numery ksiąg wieczystych, numery kont bankowych, ilość osób zameldowanych w lokalu, nr PESEL, inf poprzednich najemcach lub właścicielach, itd). Niby nic, a jednak dla zainteresowanych bardzo cenne informacje - po wstępnej weryfikacji- oczywiście.

Cenne dla kogo? Tyko proszę nie pisać, że dla pospolitego złodzieja, bo zapewniam Panią on takich danych nie potrzebuje, albo je ma zdobyte innymi prostszymi sposobami.

Link do wypowiedzi

Patrycja Gadomska:
Nie, nie dla pospolitego złodzieja. Ale już dla grupy zorganizowanej, która wyłapuje dane osób majętnych i dokonuje np. porwań dla okupu lub szantażu, itp - to jest na wagę złota.

Inny przykład: przeciętnym Kowalskim może się nikt nie zainteresować - do momentu, aż przeciętny Kowalski stanie się (przez przypadek) 'sławnym' Kowalskim.
A wtedy cała kartoteka Kowalskiego zostanie bardzo drogo sprzedana i wykorzystana w odpowiedni sposób.

Mnóstwo skradzinych danych czeka na odpowiednią chwilę, aby stać się użytecznymi.

Zresztą odpowiednie zabezpieczenia teleinformatyczne nie są tylko kwestią kradzieży danych, ale również używania komputerów takiej niezabezpieczonej jednostki do wykonywania (nieświadomie) ataków na inne komputery np. Rządowe.

Link do wypowiedzi

Bogdan Pieńkowski:

Jarosław Postawa:
Tak więc każdy ma wybór - czy zabezpieczy się przed, czy po ataku. Bo atak prędzej czy później nastąpi. Pozostawiam temat do przemyślenia.

Tak, tak bo:
1. sfrustrowany członek spółdzielni mieszkaniowej "Nowy Świt" w Otwocku będzie chciał i umiał w niej namieszać,
2. wartość danych 1000 członków stanowi atrakcyjny towar i sprzedam go w ciągu miesiąca za 100k$,
3. nie lubię prezesa,
4. nie lubię sąsiada i jak ukradnę dane to ogłoszę, że ma 600zł zadłużenia
5. Anonymous się uwzięli bo "Nowy Świt" im się źle kojarzy,
6. pracownica sprzeda dane członków konkurencji za tabliczkę czekolady,
7. w ostatnim roku na 100 spółdzielni mieszkaniowych było 30 ataków.

nie chce mi się dalej wymyślać :):) Może Pan Jarosław poda uzasadnienie tej tezy!

Link do wypowiedzi

Bogdan Pieńkowski:

Niech mnie Pani nie osłabia. Stare złomy pracujące do 16 z

łączem 512kb mają być zombie?

Link do wypowiedzi

Sławomir Broda:

Bogdan Pieńkowski:

Niech mnie Pani nie osłabia. Stare złomy pracujące do 16 z

WOL ?

łączem 512kb mają być zombie?

Wystarczy.
1000 takich złomów i już można się bawić.

Link do wypowiedzi

Bogdan Pieńkowski:

Sławomir Broda:

Bogdan Pieńkowski:

Niech mnie Pani nie osłabia. Stare złomy pracujące do 16 z

WOL ?

Na listwę zasilającą też zadziała?

łączem 512kb mają być zombie?

Wystarczy.
1000 takich złomów i już można się bawić.

1000 kompów to jakieś 200 spółdzielni :) Powodzenia.

Link do wypowiedzi

Bogdan Pieńkowski:
Dyskusja robi się czysto akademicka. Mam w domu 4 komputery i jakiś tani router. Czy to znaczy, że mam sobie zainstalować IDS/IPS-a, a może wstawić Data Diodę? Panie Sławku niech mnie Pan przekona :D Finansowo mnie stać, skonfiguruje sam więc backdora nie będzie. Czekam na uzasadnienie.

Link do wypowiedzi