USD 93.29
ЕВРО 99.56
Учитывая недостаточную защиту мобильных устройств и то, что они являются
лакомым куском киберпреступников, мы поймем масштаб проблемы. Например,
количество вариантов вредоносных программ, написанных специально для мобильных
устройств, выросло с 14 тысяч до 40 тысяч или на 185% только за прошлый год,
посчитали в GAO.
«Мобильные устройства сейчас под прицелом угроз, которые будут использовать
все уязвимости, найденные в них сегодня. Эти уязвимости – результат
неадекватного технического контроля, но они также могут быть и результатом
неправильных действий потребителей, — говорится в отчете GAO. — Частные
компании и соответствующие агентства уже предпринимают шаги для обеспечения
безопасности мобильных устройств, включая разработку возможности контроля
устройствами по желанию владельца. А также делаются шаги к пропаганде
информации о рекомендациях относительно лучших практик безопасности для
мобильных устройств. Тем не менее, управление безопасностью не всегда правильно
установлено на мобильное устройство, и не ясно, имеют ли пользователи
представление о том, какие средства контроля безопасности они имеют и применяют
ли их».
Отчет GAO включал также список самых часто встречающихся уязвимостей и давал
советы о том, как обезопасить себя от них: На мобильных устройствах чаще всего
нет пароля. Это не дает возможности защитить хранимую на устройстве информацию.
Большинство устройств технически поддерживают пароли или номера уникальной
идентификации (PIN). Некоторые мобильные устройства включают возможность
биометрической аутентификации. Но сами пользователи крайне редко этой
возможностью пользуются. Кроме того, если они используют пароль или PIN, эти
вещи часто настолько просты, что их можно легко угадать или обойти. Но без
пароля или PIN есть большая доля вероятности, что информация из украденного или
потерянного устройства окажется у злоумышленников.
Двухфакторная аутентификация используется далеко не всегда при проведении
важных транзакций с помощью мобильного устройства. Согласно исследованиям,
потребители используют пароли вместо аутентификации. При использовании
стационарного пароля его можно забыть или записать и потерять. Двухфакторная
идентификация обычно предоставляет более высокий уровень защиты.Двухфакторная,
это такая аутентификация, которая заставляет пользователя применять как минимум
два «фактора» — что-то, что вы знаете, что-то, что у вас есть и кто вы такой.
Мобильное устройство может быть использованной как второй фактор в подобной
схеме. Мобильное устройство может генерировать коды или коды могут быть на него
отправлены по SMS. Без подобных предосторожностей пользователи не должны иметь
возможности добраться до важной информации на мобильном устройстве и
использовать ее.
Беспроводные передачи не всегда закодированы. Информация об адресах
электронной почты, передаваемая с мобильного устройства, чаще всего передается
в открытом виде. Кроме того, многие приложения также не шифруют данные при
передаче по сети, такие данные легко перехватить. Например, если приложение
передает незашифрованные данные по WiFi, используя протокол http, их можно
перехватить.
Мобильные устройства могут нести вредоносный код. Потребители могут его
скачивать, не зная об этом, потому что он обычно замаскирован под игру или патч
или какое-то приложение. Обычному пользователю очень сложно распознать
вредоносный код и отличить его от полезной программы. Или, даже уже известное
им приложение, может быть переупаковано с вредоносным кодом.
На мобильных устройствах зачастую не используют программы защиты.
Большинство устройств при продаже не содержат никаких приложений для защиты
информации, способных защитить устройство от вредоносных приложений, взлома и
других атак. Пользователи сами не всегда их устанавливают, просто потому, что
этих программ на устройствах нет при покупке. Такие приложения могут замедлить
работу устройства и повлиять на износ батареи. Но без них риск будет выше,
потому что атакующий может внедрить в устройство вирусы и вредоносные
приложения, трояны и спам, заставляющий пользователя выдать пароли или другую
конфиденциальную информацию.
Операционные системы устройств быстро устаревают. Патчи, закрывающие «дыры»
в безопасности, не всегда устанавливаются во время. Между обнаружением
уязвимости и установкой патча на пользовательское устройство могут пройти
недели и даже месяцы. В зависимости от уязвимости установка патча может
оказаться весьма сложной процедурой. Например, Google разрабатывает обновление
для того, чтобы закрыть уязвимость для Android OS, но именно производители
должны произвести специфический патч для конкретного устройства. Это может
занять время, если им потребуется внести изменения в софт, созданный специально
для этого устройства. Когда производитель выпускает обновление, каждый оператор
проверяет и принимает решение о передаче на пользовательское устройство. Но, в
данном случае, передача откладывается из-за тестирования на предмет влияния на
работу других функций устройства или установленных на нем программ.
В дополнение, более старые устройства могут не получить такого обновления,
потому что производители не поддерживают их. Многие производители прекращают
поддержку смартфонов через год или полтора после их выпуска. Для таких
устройств риск повышается, если производитель не выпускает патчи для вновь
найденных уязвимостей.
Операционные системы на мобильных устройствах могут быть устаревшими. Патчи
по безопасности для них, произведенные третьими лицами, не всегда
разрабатываются и выпускаются вовремя. В дополнение, мобильные приложения,
разработанные третьими лицами, не всегда сообщают пользователю о выходе новых
версий программ или обновлений. Мобильные браузеры редко получают обновления.
При использовании устаревшего софта пользователи подвергаются дополнительному
риску.
Мобильные устройства часто не ограничивают доступ к интернету. Многие
мобильные устройства не имею сетевого экрана для ограничения подключений. Когда
устройство подключено к сети, оно связано в другими устройствами и интернетом.
Хакер может подключиться к устройству через незащищенный порт. Сетевой экран
защищает эти порты от вторжения извне. Без такой защиты устройство оказывается
незащищенным перед вторжением злоумышленника, пытающимся завладеть
персональными данными.
Мобильные устройства могут иметь неавторизованные модификации. В процессе
модификации мобильного устройства и добавления новых функций изменяется
управление его безопасностью, что может увеличить риски. Перепрошивка позволяет
пользователям работать с операционной системой устройства, устанавливать
неавторизованные программы и приложения сторонних производителей. Возможно
кто-то перепрошивает свои устройства специально, чтобы установить системы
защиты или файрволл, но другие, скорее всего, ищут дешевый путь установки
нужных приложений. В этом случае пользователи принимают дополнительные риски
безопасности, обходя установленные производителем ограничения приложений, что
повышает риск взлома и проникновения вредоносных приложений. Более того,
перепрошитые устройства могут не получить уведомления от производителей о новых
патчах и обновлениях программ.
Каналы информации плохо защищены. Информационные каналы, например связь по
блютуз, обычно открыты или находятся в режиме поиска, что позволяет устройству
быть видимым для других устройств с целью подключения к ним. Это позволяет
злоумышленнику установить вредоносные программы или активировать микрофон или
камеру и проследить за пользователем. Кроме того, незащищенные публичные сети
или точки доступа WiFi позволяют злоумышленнику подключиться к устройству и
достать конфиденциальные данные.
В отчете GAO также говорится, что незащищенные WiFi сети позволяют
злоумышленнику также добраться до данных личного характера, что позволит
совершить более серьезнее преступления с помощью поддельной личности. Одна из
стратегий такой кражи предполагает нахождение злоумышленника между
взаимодействующими устройствами, что позволяет перехватить информацию.
Что можно сделать, чтобы защитить свое устройство? Отчет GAO дает несколько
советов:<
Включите
аутентификацию пользователя: Для устройств, на которых можно
установить требование пароля или
PIN
кода перед
использованием, нужно это сделать. Кроме того, поле для введения пароль должно
быть замаскировано, чтобы наблюдающий извне не мог увидеть введенное.
Устройства также могут блокироваться во время периода
бездействия.
Пользуйтесь двухфакторной аутентификацией во время важных
транзакций: Двухфакторная аутентификация предлагает более высокий
уровень защиты, чем просто пароль. Само мобильное устройство может
использоваться как второй фактор в подобной схеме. Двухфакторная аутентификация
оказывается крайне важна при совершении банковских
транзакций.
Убедитесь
в аутентичности скачанных приложений: Этому помогает цифровой
сертификат скачанных приложений, указывая на то, что в них не внедрен
вредоносный код.
Установите антивирус: Антивирус защитит вас от
троянов, вредоносных приложений, зараженных программ и атак. В дополнение он
может защищать вас от спама голосовых и текстовых сообщений и вложений в
электронную почту.
Установите файрволл: Персональный файрволл
защитит вас от нежеланных подключений, перехватив как входящий, так и исходящий
сигнал и закрыв попытки подключения, руководствуясь набором
правил.
Инсталлируйте обновления безопасности: Софт
можно установить автоматически на устройство прямо от производителя или
провайдера связи. Необходимо убедиться,
что обновление получено
и установлено правильно.
Удаленное
отключение потерянных или украденных устройств: Удаленное отключение –
это функционал для потерянных или украденных устройств, он позволяет полностью
стереть содержимое из памяти устройства удаленно. Заблокированные устройства
можно разблокировать, если пользователь нашел потерянный
аппарат.
Включите
шифрование для данных, хранимых на карте памяти устройства: Шифровка
файлов на карте памяти защитит важные данные. Устройства могут иметь встроенную
функцию шифрования, либо такой инструмент можно приобрести.
Включите
белый список: Белый список это контроль за тем, чтобы на вашем
устройстве активировались только те программы, которые точно известны как
безопасные.
Установите политики безопасности: Политики
безопасности представляют собой правила, принципы и практики, которые
определяют, как организация работает с мобильными устройствами, не важно, кто
эти правила установил: предприятие или индивидуум. Политики должны определять
роли и ответственности, инфраструктурную безопасность, безопасность устройства,
исследование безопасности устройства. Создание политик, которые определяют эти
сферы, поможет обезопасить беспроводную сеть организации.
Обеспечьте тренинг сотрудников организации:
Такой тренинг в области мобильной безопасности поможет сотрудникам усвоить
политики и правильно установить нужные приложения на своем мобильном
устройстве. А также использовать их
соответствующим образом.
Разработайте план
развития: Последующий за
планом установки план
развития поможет убедиться,
что цели системы
безопасности достигнуты.
Проведите
исследование рисков: Анализ рисков определяет уязвимости и угрозы,
показывает, какими могут быть потенциальные атаки, просчитывает возможность их
успешного завершения и потенциальный вред от успешной атаки
злоумышленника.
Проводите
контроль конфигурации и управления: Управление конфигурацией
обеспечивает мобильное устройство защитой против несанкционированных
модификаций во время и после внедрения систем безопасности.
Подготовлено НП
«СОДЕЙСТВИЕ»
