Jika serangan berhasil dimonetisasi, kemungkinan serangan serupa akan mengikuti:Beberapa langkah keamanan preventif
Ted Harrington dari Penilai Keamanan Independen
Musuh terus berkembang. Sukses melahirkan kucing peniru. Dan keamanan itu beragam. Ini adalah beberapa pelajaran penting yang diambil Jeremy Cowan dari berbicara dengan Ted Harrington, partner eksekutif, Evaluator Keamanan Independen .
IoT Sekarang:Di mana letak ancaman terbesar terhadap keamanan data perusahaan? Apakah ini ancaman terhadap data dalam perjalanan, atau dalam aset data yang tersimpan?
Ted Harrington: Itu tergantung pada model ancaman untuk perusahaan tertentu. Pemodelan ancaman adalah latihan di mana sebuah organisasi mengidentifikasi aset yang coba dilindunginya, musuh yang akan dihadapinya, dan kumpulan permukaan serangan yang akan digunakan musuh untuk meluncurkan kampanye. Ancaman terbesar bagi satu organisasi mungkin tidak sama untuk organisasi lain; pemodelan ancaman membantu menjawab pertanyaan itu.
IoT Now:Dalam satu penelitian, saya memahami bahwa ISE mengidentifikasi 21 situs akun keuangan, perawatan kesehatan, asuransi, dan utilitas (70% situs yang diuji) yang gagal melarang browser menyimpan konten cache pada disk. Jadi, setelah mengunjungi situs-situs ini, konten sensitif yang tidak terenkripsi tertinggal di mesin pengguna akhir. Apakah ini membuktikan tapakah prosedur dan pelatihan yang baik sama pentingnya dengan perangkat lunak terkini? Bagaimana Anda membujuk penyedia layanan digital untuk memprioritaskan pelatihan &proses?
TH: Terutama penelitian ini membuktikan bahwa perusahaan dari semua jenis perlu secara efektif memahami bagaimana penyerang merusak sistem. Hanya dengan memahami penyerang Anda dapat berharap untuk bertahan melawannya. Apa yang ditunjukkan oleh studi ini adalah bahwa bahkan upaya pengembangan yang bermaksud baik, yang mencoba mempertimbangkan keamanan, akan selalu gagal jika upaya tersebut tidak memperhitungkan cara merusak sistem. Ada beberapa strategi yang kami gunakan untuk mencoba dan membujuk perusahaan untuk mengejar pendekatan keamanan yang lebih efektif. Ini termasuk:
Pendidikan eksekutif . Kami percaya bahwa eksekutif yang lebih terinformasi akan membuat keputusan keamanan yang lebih baik. Jadi, hasil sampingan dari semua penelitian keamanan kami tidak hanya mencakup hasil teknis, tetapi juga menerjemahkan hasil tersebut dengan cara yang bermakna dan dapat ditindaklanjuti bagi para eksekutif.
Eksploitasi demonstrasi . Ada banyak bias alami yang melekat pada sifat manusia yang menyebabkan orang melebih-lebihkan kemampuan mereka sendiri dan meremehkan kemampuan permusuhan atau kemungkinan kompromi. Dengan melakukan penelitian yang membuat yang tidak berwujud menjadi nyata, kami membantu mengurangi bias tersebut, yang pada gilirannya diharapkan menghasilkan tindakan yang berarti.
Empati . Terlalu sering komunitas keamanan dianggap bertentangan dengan mereka yang membangun sesuatu; pengulangan umum di antara pengembang adalah bahwa keamanan "memperlambat kita", dan di antara para profesional pengalaman pengguna bahwa keamanan "membuat segalanya menjadi sulit". Meskipun kami tidak setuju dengan posisi seperti ini, kami tidak langsung membuangnya; sebaliknya, kami selalu berhati-hati untuk mendengarkan, dan memahami apa yang mengganggu pelanggan kami. Dengan memahami bisnis mereka dengan sebaik-baiknya dan berempati dengan masalah mereka, kami dapat mengembangkan mitigasi yang efektif dalam konteks dunia nyata di mana bisnis mereka beroperasi.
IoT Sekarang:Dilaporkan pada bulan Januari bahwa peretas telah melakukan serangan ketiga mereka di hotel Romantik Seehotel Jaegerwirt di Austria, menuntut $1.600 dalam bentuk bitcoin untuk mengembalikan kendali kunci pintu hotel kepada manajemen. Sayangnya, dengan hotel yang sudah penuh dipesan, pengelola hotel memilih untuk mematuhi dan membayar uang tebusan. Pelajaran apa yang dapat dipetik dari hal ini untuk industri perhotelan dan sektor lainnya?
TH: Beberapa pelajaran dapat diambil dari ini.
Musuh terus berkembang . Ransomware sendiri adalah perubahan yang relatif baru pada alat serangan lama, dan menggunakannya untuk memaksa pembayaran dengan merusak pengalaman tamu adalah inovasi yang benar-benar luar biasa. Dengan hanya berfokus pada paradigma pertahanan kemarin, perusahaan tidak akan pernah mampu bertahan melawan penyerang modern, apalagi penyerang masa depan.
Sukses melahirkan kucing tiruan . Karena penyerang ini berhasil memonetisasi usahanya, industri perhotelan dapat memperkirakan serangan serupa akan menyusul. Penyerang sering membuat keputusan berdasarkan hasil seperti yang dilakukan orang lain; di mana mereka melihat peluang yang ditunjukkan oleh kesuksesan masa lalu, mereka akan mengejarnya.
Keamanan memiliki banyak segi . Dalam hal keamanan, industri perhotelan sebagian besar berfokus pada kepatuhan PCI, dan melindungi informasi pengenal pribadi (PII) tentang tamu. Namun, kasus ini menunjukkan kompromi dari aset lain yang sangat berharga – reputasi merek, keamanan tamu, dan pengalaman tamu. Pertimbangan PCI dan PII saja tidak cukup untuk melindungi reputasi merek, keamanan tamu, dan pengalaman tamu.
IoT Now:Peran apa yang dimainkan ISE dalam mengatasi ancaman ini?
TH :Kami telah sangat terlibat dengan industri perhotelan selama beberapa tahun sekarang. Bersama rekan saya di Hyatt Hotels , kami meluncurkan dan mengetuai bersama Kelompok Kerja Keamanan Kunci Pintu untuk asosiasi perdagangan industri Teknologi Perhotelan Generasi Berikutnya.
Sebagai hasil dari upaya 2+ tahun itu, kami menciptakan beberapa hasil yang berharga untuk industri, termasuk model ancaman abstrak untuk sistem penguncian pintu, dan serangkaian praktik terbaik pengembangan untuk sistem penguncian yang baru muncul seperti RFID, sistem penguncian online, dan perangkat seluler. kunci.
Saya baru saja mengambil peran kepemimpinan bersama dengan Interel , inovator terkemuka perangkat terhubung untuk pelaku bisnis perhotelan, untuk menjadi ketua bersama Kelompok Kerja IoT untuk asosiasi perdagangan yang sama. Grup tersebut saat ini sedang berjalan, dan kami memandunya untuk membantu industri memikirkan cara mengadopsi perangkat yang terhubung, dan memastikan perangkat tersebut dikembangkan dan diterapkan dengan cara yang aman.
IoT Sekarang:Apakah penyedia layanan kesehatan AS memberikan perhatian yang cukup untuk melindungi data pasien? Atau apakah mereka lebih fokus untuk memenuhi persyaratan HIPAA (Health Insurance Portability & Accountability Act (USA, 1997)?
TH :Ini pada dasarnya sama, karena HIPAA memaksa layanan kesehatan untuk fokus pada data pasien. Masalah sebenarnya dalam keamanan layanan kesehatan adalah apa yang bukan berfokus pada:melindungi kesehatan pasien. Kami baru-baru ini memublikasikan sebagian besar penelitian, yang dihasilkan selama 2 tahun dan bermitra dengan 12 rumah sakit dan banyak perangkat medis pendukung serta teknologi lainnya.
Studi ini menyelidiki bagaimana peretas dapat menyebabkan cedera atau kematian pasien dalam pengaturan perawatan kesehatan. Kami membuktikan bahwa tidak hanya itu sangat mungkin, kami membuktikan bahwa dalam banyak kasus akan mudah untuk melakukannya. Pada dasarnya, upaya untuk melindungi data pasien saja tidak cukup untuk melindungi kesehatan pasien. Dengan risiko tampak melebih-lebihkan yang sudah jelas, ini bisa menjadi masalah keamanan paling signifikan saat ini.
IoT Now:Apa tiga tindakan teratas yang harus dilakukan penyedia layanan IoT sekarang untuk memastikan bahwa data dan identitas pelanggan mereka aman?
TH : Membangun keamanan. Sejak Anda mengumpulkan persyaratan, hingga setelah penerapan, setiap tahap proses pengembangan harus mempertimbangkan keamanan sebagai prioritas utama. Ini jelas mengarah pada keamanan yang lebih efektif, tetapi yang lebih mengejutkan, ini juga mengarah pada keamanan yang lebih hemat sumber daya dan lebih murah.
Libatkan penilaian keamanan dari pakar pihak ketiga . Apakah Anda menyelidiki kelemahan sistem Anda atau tidak, musuh Anda akan melakukannya.
Mengadopsi pola pikir permusuhan . Saat Anda memikirkan penilaian keamanan Anda, jangan puas dengan pendekatan komoditas seperti pemindaian otomatis, pengujian pena kotak hitam, atau kepatuhan sebagai keamanan. Penyerang melampaui langkah-langkah dasar ini, dan Anda juga harus demikian.
Ted Harrington, partner eksekutif dari Independent Security Evaluators yang berbasis di Baltimore diwawancarai oleh direktur editorial, Jeremy Cowan.
