Video: President Donald Trump fires cybersecurity chief Chris Krebs (November 2024)
Bekende beveiligingsonderzoeker Brian Krebs gaf gisteren vóór de opening van het Gartner Symposium in Orlando een boeiende maar enge lezing over de huidige staat van cybercriminaliteit.
De auteur van de Krebs on Security-website en het boek Spam Nation, in gesprek met een groep CIO's en andere IT-managers, zei dat er een grote "PR-kloof" bestaat tussen de perceptie en de realiteit van cybercriminaliteit. "Het licht aan het einde van de tunnel is geen uitweg", zei hij. "Het is een tegemoetkomende trein."
Hij zei met name dat de slechteriken het beter hebben gedaan om informatie te delen dan CIO's; zelfs oudere versies van rapporten, zoals het Verizon Data Breach Investigations Report, leggen vaak goed uit hoe systemen werden overtreden, met informatie die relevant blijft. In veel van de recente hacks, zei hij, zou een eenvoudige inzage van de beveiligingslogboeken de bedrijven hebben gewaarschuwd dat ze een probleem hadden.
Krebs spendeerde het grootste deel van zijn tijd over aanvallen op creditcardinformatie, voornamelijk gericht op malware gericht op Point-of-Sale (POS) -systemen. Hij sprak over hoe de slechteriken de afgelopen twee jaar niet alleen hun aanvallen op dergelijke systemen hebben verbeterd, maar ook de ondergrondse markten voor het kopen en verkopen van creditcardinformatie verfijnder en "klantvriendelijker" hebben gemaakt.
In veel gevallen wenden straatbendes zich tot creditcardfraude als een snelle manier om een investering van $ 10 tot $ 20 om te zetten in $ 800 tot $ 1.000. Dit is niet alleen winstgevend, zei hij, maar het is inherent minder gevaarlijk en riskant dan drugs, en wordt vaak gezien als een 'slachtofferloze' misdaad omdat de rekeninghouders doorgaans niet aansprakelijk zijn voor de aanklachten.
Krebs merkte problemen op, zoals het aantal kassasystemen met webbrowsers, en hoe dit een veel voorkomende aanvalsvector is. Hij zei dat de overgang naar chip-en-pin-creditcards niet is om het probleem op te lossen, waarbij hij aanhaalt hoe die overgang in andere landen heeft geleid tot een toename van e-commerce-fraude, nieuwe accountfraude en accountovernames.
Veel hiervan komt neer op identiteit en privacy, en hij merkte op dat de onveranderlijke persoonlijke informatie van veel mensen (zoals adressen en sofi-nummers) nu beschikbaar is. Hij zei dat als het op computersystemen aankomt, deze veilig, snel of gemakkelijk te gebruiken kunnen zijn: kies twee. De meeste mensen hebben ervoor gekozen zich niet op veiligheid te concentreren, zei hij. Als gevolg hiervan zijn er veel plaatsen op internet om persoonlijke informatie over mensen te achterhalen en hij riep de overheid op om strengere privacyregels aan te nemen, zoals die in de meeste andere landen worden gebruikt.
Uiteindelijk noemde Krebs vijf gebieden waarvan hij dacht dat bedrijven de meeste vooruitgang konden boeken in de strijd tegen cybercriminaliteit. Hij is een groot voorstander van netwerksegmentatie en zegt dat de beveiliging in de meeste bedrijven als een reep is: "hard en knapperig aan de buitenkant, zacht en kleverig aan de binnenkant."
In plaats daarvan stelde hij voor om de meest gevoelige delen van uw netwerk alleen toegankelijk te maken voor diegenen binnen de organisatie met een specifieke behoefte. Bedrijven moeten een speciaal incidentresponsteam opzetten, het nieuws van andere inbreuken bekijken om te zien welke lessen ze kunnen leren, herhaalde oefeningen doen over wat ze moeten doen in geval van een inbreuk en hun partners betrekken bij de beveiligingsplanning.
Het is goed advies, maar dingen die vaak over het hoofd worden gezien in de dagelijkse druk om nieuwe IT-projecten te doen. Een evenwicht vinden tussen deze prioriteiten is een belangrijk punt voor veel IT-managers waarmee ik tijdens de conferentie heb gesproken.
