Masomo matatu ya Usalama wa Maombi ya Wavuti Kuweka Akili. Mtaalam wa Semalt Anajua Jinsi ya Kuepuka Kuwa Mshambuliaji wa Wahalifu wa cyber

Mnamo mwaka 2015, Taasisi ya Ponemon ilitoa matokeo kutoka kwa utafiti wa "Gharama ya uhalifu wa cyber", ambayo walikuwa wamefanya. Haishangazi kwamba gharama ya uhalifu wa cyber iliongezeka. Walakini, takwimu hizo zilikuwa zinateleza. Miradi ya cybersecurity (miradi ya kimataifa) ambayo gharama hii itagharimu $ 6 trilioni kwa mwaka. Kwa wastani, inachukua shirika la siku 31 kurudi nyuma baada ya uhalifu wa cyber na gharama ya kusamehewa karibu $ 639 500.

Je! Ulijua kuwa kunyimwa kwa huduma (shambulio la DDOS), uvunjaji wa msingi wa wavuti na waovu nje ni asilimia 55 ya gharama zote za uhalifu wa cyber? Hii sio tu tishio kwa data yako lakini pia inaweza kukufanya upoteze mapato.

Frank Abagnale, Meneja wa Mafanikio ya Wateja wa Semalt Digital Services, anatoa maanani kesi zifuatazo tatu za ukiukwaji uliofanywa mnamo 2016.

Kesi ya kwanza: Mossack-Fonseca (Karatasi za Panama)

Kashfa za Panama Pepsi zilivunja nafasi kubwa mnamo 2015, lakini kwa sababu ya mamilioni ya hati ambazo ilibuniwa kupeperushwa, ililipuliwa mnamo 2016. Leak ilifunua jinsi wanasiasa, wafanyabiashara tajiri, watu mashuhuri na imani ya jamii iliyohifadhiwa. pesa zao kwenye akaunti za pwani. Mara nyingi, hii ilikuwa ya kivuli na kuvuka mstari wa maadili. Ingawa Mossack-Fonseca lilikuwa shirika ambalo lina utaalam katika usiri, mkakati wake wa usalama wa habari haukuwepo. Kwa mwanzo, programu-jalizi ya picha ya WordPress waliyoitumia ilikuwa ya zamani. Pili, walitumia Drupal wa miaka 3 na udhaifu unaojulikana. Kwa kushangaza, wasimamizi wa mfumo wa shirika kamwe hawatatatua maswala haya.

Masomo:

• > kila wakati hakikisha kuwa majukwaa yako ya CMS, programu-jalizi na mada zinasasishwa mara kwa mara.
• > usasishwe na vitisho vya usalama vya CMS vya hivi karibuni. Joomla, Drupal, WordPress na huduma zingine zina hifadhidata kwa hili.
• > skana programu-jalizi zote kabla ya kuzishughulikia na kuziamilisha

Kesi ya pili: Picha ya wasifu ya PayPal

Florian Courtial (mhandisi wa programu ya Ufaransa) alipata udhabiti wa CSRF (tovuti ya kughushi kughushi) udhabiti katika tovuti mpya ya PayPal, PayPal.me. Mkubwa wa malipo ya mkondoni ya kimataifa ilifunua PayPal.me kuwezesha malipo ya haraka. Walakini, PayPal.me inaweza kudhulumiwa. Florian aliweza kuhariri na hata kuondoa ishara ya CSRF na hivyo kusasisha picha ya profaili ya mtumiaji. Kama ilivyokuwa, mtu yeyote anaweza kuiga mtu mwingine kwa kupata picha zao mkondoni kusema kwa mfano kutoka Facebook.

Masomo:

• > Pata toni za kipekee za CSRF kwa watumiaji - hizi zinapaswa kuwa za kipekee na zibadilishe kila mtumiaji anapoingia.
• > ishara kwa ombi - zaidi ya hatua hapo juu, ishara hizi pia zinapaswa kupatikana wakati mtumiaji anaziomba. Inatoa kinga ya ziada.
• > kumaliza muda - hupunguza udhabiti ikiwa akaunti inabaki bila kufanya kazi kwa muda.

Kesi ya tatu: Wizara ya Mambo ya nje ya Urusi inakabiliwa na kukumbwa kwa XSS

Wakati mashambulio mengi ya wavuti yanakusudiwa kuleta shida kwa mapato ya shirika, sifa, na trafiki, zingine zimelezewa aibu. Kwa mfano, utapeli ambao haukuwahi kutokea nchini Urusi. Hii ndio ilifanyika: mpiga hazina wa Amerika (jina lake la Jester) alinyanyasa mazingira magumu ya uandishi wa tovuti (XSS) ambayo aliona kwenye wavuti ya wizara ya Mambo ya nje ya Urusi. Jester aliunda tovuti ya dummy ambayo iliiga mtazamo wa wavuti rasmi isipokuwa kwa kichwa cha habari, ambacho alilirekebisha kufanya dhihaka yao.

Masomo:

• > sanit markup ya HTML
• > usiziingize data isipokuwa umeithibitisha
• > tumia kutoroka kwa JavaScript kabla ya kuingiza data isiyoaminika kwa maadili ya data ya (JavaScript) ya lugha
• > jiunge na udhaifu wa msingi wa DOM