Belangrijke beveiligingsverhalen van 2013

Terugkijkend voelde 2013 als een achtbaan, omdat we om de paar weken van goed nieuws naar slecht nieuws zijn gegaan: datalekken, privacy, cyberspionage, overheidsspionage, geavanceerde malware, aanzienlijke arrestaties, verbeterde beveiligingsfuncties, enz.

Het grootste verhaal - of liever, serie verhalen - van het jaar draait om de documenten die ex-contractant van de National Security Agency Edward Snowden heeft gestolen en vrijgegeven aan de media. Het was echter niet het enige grote verhaal van 2013. Voor het eerst legde een beveiligingsbedrijf een duidelijk voorbeeld van hoe China Amerikaanse bedrijven bespioneert, en de Amerikaanse regering heeft de kwestie officieel met de Chinese regering besproken. Wetshandhaving behaalde een aantal belangrijke overwinningen, een grote diefstalring met creditcards openbrak en de maker van de Blackhole Exploit Kit arresteerde. Datalekken bleven voortduren, maar de Experian-inbreuk wees op het probleem dat gegevensmakelaars persoonlijke informatie verzamelden. Regelmatige gebruikers begonnen te praten over online privacy terwijl gebruikers van Google Glass de straat op gingen. Bedrijven zetten zich in voor betere beveiligingsmethoden, zoals het coderen van gegevens tijdens het transport, het implementeren van tweefactorauthenticatie en het transparanter worden over de informatie die het de overheid biedt.

2013 was een druk jaar voor zowel beveiligingsprofessionals als particulieren. Hier is een overzicht van de belangrijke beveiligingsverhalen van het jaar, in willekeurige volgorde.

Geheime NSA-bewakingsprogramma's

We kunnen een hele kolom vullen met alleen de onthullingen van de NSA. De eerste artikelen over het programma voor het verzamelen van telefoonrecords waren schokkend genoeg, maar het voelt alsof elke volgende onthulling explosiever is dan voorheen. Het bureau bespioneerde webactiviteit, snuffelde het verkeer van en naar de datacenters van Google en Yahoo, onderschepte zendingen om spyware en backdoors in elektronische apparatuur te installeren en zou naar verluidt leiders van andere landen en gamers hebben afgeluisterd. Terwijl NSA-chef Gen. Keith Alexander blijft volhouden dat het bureau binnen zijn grenzen handelt en dat het zorgvuldig is om de burgerlijke vrijheden te behouden, wordt de roep om hervorming steeds luider. Congres debatteert over wat te doen aan het probleem van de NSA, een conservatieve federale rechter oordeelde in Klayman v. Obama dat het telefoonregistratieprogramma van de NSA mogelijk het vierde amendement heeft geschonden, en het onafhankelijke panel dat door het Witte Huis werd geselecteerd, beval de NSA aan programma's moeten worden ingekort.

Een groep techreuzen, waaronder Tim Cook van Apple, Eric Schmidt van Google en Marissa Mayer van Yahoo, spraken met president Barack Obama over hun bezorgdheid over de activiteiten van NSA. AOL, Apple, Facebook, Google, LinkedIn, Twitter, Yahoo en Microsoft hebben zich verenigd om te eisen dat hoewel regeringen actie moeten ondernemen om de veiligheid en beveiliging van hun burgers te beschermen, "de huidige wetten en praktijken moeten worden hervormd."

Meer bedrijven geven transparantierapporten vrij om te onthullen wat voor soort informatie ze aan de overheid overhandigen, en versleutelde e-mailservice Lavabit wordt afgesloten om te voorkomen dat informatie over zijn gebruikers moet worden overgedragen. RSA, de beveiligingsdivisie van EMC, verdedigt momenteel zijn reputatie na een Reuters-rapport dat het $ 10 miljoen kostte van de NSA om een ​​gecompromitteerd cryptografisch algoritme in zijn beveiligingsproducten te pushen.

China, China, China

We zijn zo in de ban geraakt van de golven van informatie over de activiteiten van NSA dat het gemakkelijk is om te vergeten dat we 2013 begonnen met een explosief rapport waarin de rol van China in cyberspionage wordt uiteengezet. Het APT1-rapport van Mandiant was de eerste definitieve verklaring waarin duidelijk werd uitgelegd wat cyberaanvallers uit China deden om in te breken in Amerikaanse bedrijfs- en overheidsnetwerken. Het rapport schetste hoe deze aanvallers intellectueel eigendom stalen, backdoors installeerden en systemen beschadigden.

Kort nadat het rapport was vrijgegeven, spraken verschillende overheidsfunctionarissen over de activiteiten van China. In mei gaf het Pentagon's Jaarverslag over China de regering van die natie rechtstreeks de schuld van de regering en militaire aanvallen op de VS. President Obama heeft de beschuldigingen zelfs ter sprake gebracht tijdens een ontmoeting met Xi Jinping, de president van China. De Chinese regering beschuldigde de VS er zelfs van in wezen hetzelfde te doen. (Een beetje voorafschaduwen voor Snowden?)

Aanslagen op media

De media werden dit jaar aangevallen, waarbij The New York Times, Washington Post en Wall Street Journal onthulden dat ze besmet waren met geavanceerde malware. De achterdochtige vinger wees - waar anders? - China. Het Syrische elektronische leger ging op spree tegen de Twitter-accounts voor The Onion, Guardian en andere verkooppunten. De neppost op het Twitter-account van AP, "Breaking: Two Explosions in the White House en Barack Obama is gewond", veroorzaakte zelfs een kleine blip op de aandelenmarkt, waarbij de Dow Jones tijdelijk 140 punten dook.

De aanval op de New York Times-website waarbij de SEA erin slaagde de systeeminstellingen van het domeinnaamsysteem te wijzigen, onderstreepte hoe gemakkelijk aanvallers zich konden bemoeien met webactiviteiten. De ZEE in deze aanval heeft zelfs het netwerk niet gehackt - de groep heeft deze aanval via spear phishing uitgevoerd.

Focus op applicatiebeveiliging

De Affordable Care Act en de uitrol van de zorguitwisselingswebsite brachten het belang van veiligheidstests op de voorgrond. Beveiligingsprofessionals weten hoe kritisch het is dat applicaties op beveiligingsproblemen worden getest voordat ze live gaan, maar als de klok tikt en de tijd bijna op is om het product op tijd te verzenden, valt beveiliging uit de weg. Sommige van de problemen die in HealthCare.gov zijn geïdentificeerd na de mislukte implementatie, hebben de mogelijkheid opgeroepen dat aanvallers zich op de site zullen richten. Er waren meldingen dat personen gevoelige informatie van andere gebruikers op de site te zien kregen.

Leidinggevenden die de hele saga hebben gevolgd, zullen waarschijnlijk niet zo snel de veiligheidstests overslaan de volgende keer dat ze een grote applicatie uitrollen. Of dat hopen we.

Gedistribueerde Denial of Service-aanvallen

DDoS is niet nieuw, maar dit jaar zagen we twee belangrijke ontwikkelingen. DDoS werd vaak gebruikt tegen financiële sites, vooral als onderdeel van Operatie Ababil, maar aanvallers breidden hun doelen uit naar andere industrieën. Een van de grootste aanvallen van het jaar was tegen Spamhaus in maart, met pieken die 300 gbps bereikten.

Major Cyber-Crime Arrests

In mei kondigde de Amerikaanse procureur voor het oostelijke district van New York in mei kosten aan in een bankroof van $ 45 miljoen met betrekking tot gestolen accountinformatie. De bende zou financiële instellingen hebben gehackt om accountinformatie te stelen en vervolgens miljoenen dollars uit geldautomaten hebben gehaald.

In juli heeft de Amerikaanse procureur voor New Jersey een andere cybercriminaliteitsring in rekening gebracht voor het overtreden van de computernetwerken van minstens 17 grote retailers, financiële instellingen en betalingsverwerkers om meer dan 160 miljoen creditcard- en betaalpasnummers te stelen. Gerichte netwerken waren onder andere Nasdaq, 7-Eleven, Visa en JC Penney.

Russische autoriteiten beweerden Paunch te hebben gearresteerd, de maker van de Blackhole Exploit Kit. Beveiligingsexperts zijn van mening dat er met de arrestatie een leegte is die cybercriminelen momenteel door elkaar gooien. "Zonder duidelijke opvolger van Blackhole, investeren cybercriminele bendes mogelijk op andere plaatsen om de verloren inkomsten te compenseren vanwege minder geavanceerde afleveringsmechanismen voor malware, " zei Alex Watson, directeur van beveiligingsonderzoek bij Websense.

Wateraanvalaanvallen

Wateraanvalaanvallen waren dit jaar behoorlijk prominent aanwezig, waarbij websites werden gehackt om werknemers bij grote technologiebedrijven zoals Facebook, Apple, Microsoft en Twitter in gevaar te brengen, evenals tegen defensiecontractanten en overheidspersoneel. Deze aanvallen in de waterput maakten gebruik van zero-day kwetsbaarheden in Internet Explorer, Java en andere veelgebruikte technologieën.

Wateraanvalaanvallen werden ook ontdekt tegen pro-Tibetaanse activisten, omdat aanvallers zich op Chinees sprekende mensen richtten die de Centrale Tibetaanse Administratie en de Tibetan Homes Foundation bezochten, evenals de Uyghur-website beheerd door de Islamitische Vereniging van Oost-Turkistan.

Experian Datalek

We hebben de neiging om de laatste grote datalek te onthouden en alle andere die eerder kwamen te vergeten. Hoewel de recente datalek van Target, waarbij bijna 40 miljoen debet- en creditcardnummers werden aangetast tijdens het vakantieshopseizoen, vrij groot is, was de engste datalek met gebruikersinformatie de Experian-datalek.

Experian is een van de organisaties voor het kopen en verkopen van persoonlijke gegevens - sofinummers, adressen, bankrekeninggegevens. Deze informatie werd verkocht aan een overzeese misdaadring, volgens een onderzoek van veiligheidsschrijver Brian Krebs. De inbreuk onderstreepte ook het feit dat veel op kennis gebaseerde authenticatiesystemen, waarbij mensen wordt gevraagd hun identiteit te verifiëren door te zeggen welke auto ze bezitten, of waar ze vroeger woonden, nu nog kwetsbaarder zijn.

Mensen worden wakker met online privacy

Toen Google de toekomst van draagbare technologie uitriep met zijn eerste golf 'ontdekkingsreizigers' van Google Glass, raakten mensen in paniek. Mensen waren eindelijk op de hoogte van de impact van gezichtsherkenning en de mogelijkheid om online iets te posten op hun privacy. Is de toekomst van tech er een waar er geen privacy is, of waar mensen uit restaurants en andere instellingen kunnen worden opgestart omdat ze een bedreiging voor de privacy vormen?

We hebben al vooruit gekeken naar 2014, met onze voorspellingen voor nieuwe aanvallen, een nationaal internet, online betalingen, mobiele beveiliging en het internet der dingen. Welkom in 2014. Wordt het een jaar van onzekerheid of overwinningen? Blijf bij Security Watch in het nieuwe jaar terwijl we de ups en downs van beveiliging volgen.