O seu site um risco de segurança?
por administrador
Seu site é um dos primeiros lugares que os fraudadores potenciais e hackers procuram informações sobre como prejudicar sua empresa. Você pode não perceber, mas a sua presença online pode ser uma das maiores ferramentas para a exploração do segurança da informação da sua organização.
Aqui estão apenas algumas das maneiras em que os hackers já estão bisbilhotando a sua empresa e procurando uma maneira de obter acesso aos seus dados mais confidenciais.
Publicação de Trabalhos
Postagens de emprego pode ser uma rica fonte de informações sobre políticas de sua empresa de segurança e infraestrutura de TI. Um único trabalho de lançamento para o departamento de TI pode dizer a um criminoso cibernético que tipo de servidores você está executando, e alertá-los para o fato de que certas áreas de TI estão sub-pessoal e vulnerável.
Diretórios pessoal
Se a sua empresa apresenta o seu diretório de funcionários em seu site, um hacker poderia usar essas informações para executar ataques de redes sociais. Discando ao redor ou enviando e-mails, eles poderiam facilmente descobrir se algum desses funcionários estão ausentes em férias ... e quando eles estarão de volta no escritório.
Uma tática comum seria pôr em suporte técnico em nome dessa pessoa e solicitar uma alteração de senha. Exploits executadas nessa conta durante este tempo de silêncio poderia ir descoberto por semanas. Isso deixa um monte de tempo para trabalhar.
Outra tática deve ser o de pôr em um departamento de calma como folha de pagamento. Essas pessoas não recebem muitas chamadas de vendas, e muitas vezes são muito acessível e fácil de falar com. Com um pouco de bajulação, essas pessoas falam muito poderia se tornar uma importante fonte de informações sobre procedimentos de segurança e infra-estrutura de TI interna.
Escritórios
Se sua empresa tem escritórios de múltiplos satélites, um hacker poderia tirar proveito desta informação para atingir pequenos escritórios que podem ter menos robustos de segurança de TI. Isto poderia ser utilizado como um ponto de entrada para atacar os sistemas mais críticos.
Se uma empresa tem 5 ou 6 escritórios satélites pequenos, há uma boa chance de que pelo menos um deles teria de segurança Wi-Fi fraca. Outra tática comum seria fazer uma rápida visita ao lobby - talvez para pedir indicações - e "acidentalmente" deixar stick USB para trás.
Código Fonte
Ao olhar para o código-fonte HTML, um potencial invasor poderia descobrir que tipo de CMS que você está usando, e depois realizar alguns testes para ver se todos os patches mais recentes foram atualizados.
Se um site pode ser explorada, pode ser usado para distribuir vírus ou realizar ataques de phishing em outros usuários que acessam os serviços através do site.
O código-fonte também pode fornecer informações valiosas sobre quais tipos de aplicativos que a empresa está usando. Isto inclui o seu CRM, Gestão de E-mail, Help Desk Management e sistemas de análise.
WHOIS e endereços IP
Ao realizar uma pesquisa inversa, sobre a informação de uma empresa WHOIS, você pode ganhar uma riqueza de dados internas. Você pode descobrir informações sobre as principais o pessoal de TI, e se ou não terceirizar sua gestão de TI.
Pesquisas de domínio inverso também são grandes para a obtenção de uma visão privilegiada de marketing, como o que outros sites ou empresas são administradas pela mesma organização, e quais os próximos projetos que eles estão planejando lançar.
Sociais perfis de mídia
Perfis de redes sociais - especialmente Facebook e LinkedIn - são tremendamente útil para a obtenção de informações sensíveis sobre o que está acontecendo dentro de uma empresa. Loose-lipped funcionários são freqüentemente expondo informações confidenciais privilegiadas através de perfis desprotegidos.
Perfis do LinkedIn também são ótimos para descobrir a história de um alvo de vida, incluindo sua educação e as histórias de trabalho. E perfis do Facebook são ótimos para descobrir respostas para as perguntas de segurança que pode ser para verificação ou redefine a senha.
Endereços de email
E-mail a equipe de vendas pode ser uma ótima maneira de aprender sobre os sistemas de TI que a empresa tem no lugar. As informações de cabeçalho contidas em e-mails de vendas podem dizer muito sobre que tipos de servidores de e-mail estão funcionando, que tipo de antivírus estão usando, e onde seus escritórios estão localizados.
Informações cabeçalho do documento
As empresas gostam de publicar documentos de marketing em Word, PDF e formato PowerPoint. Estes documentos contêm normalmente informação de sistema crítico sobre os sistemas operacionais, nomes de usuários, nomes de compartilhamentos de arquivos do sistema, e muito mais.
Pastas desprotegidos
Muitas vezes, as empresas vão usar seus servidores web como um repositório central para troca de arquivos grandes ou aceitar arquivos de clientes. No entanto, as pastas utilizadas para essas funções de FTP geralmente são inseguros pastas públicas que ainda aparecem nas buscas do Google. Se uma pessoa desonesta eram para ter acesso a esta pasta, eles poderiam aprender muito sobre a sua empresa.
Estes são apenas alguns dos primeiros lugares que um hacker iria procurar a informação que poderia ser usado para explorar a sua segurança de TI. Uma lista mais completa levaria muito mais espaço do que este artigo permite, e ele teria que ser atualizado constantemente ... e novas ameaças estão sempre aparecendo.
É por isso que é extremamente importante colocar as políticas estritas sobre as atividades online de seus empregados, e para ter muito cuidado com as informações que você publica.
Artigos relacionados:
- Lidar com o potencial da Realidade e risco ilimitado provisionamento de usuários
- Nuvem de v / s Hosted Solutions Gestão de Risco para Organizações Financeiras
- 3 Diferentes abordagens para a Web Site arquivamento - Qual é melhor?
- Uma Carta Aberta Para Warren Buffett: Corrija seu Web site feio
- Decidindo entre um tradicional On-site e um sistema baseado no ERP SaaS
