Παρόλο που τα τρωτά σημεία έχουν επιδιορθωθεί στην πλατφόρμα Zoom, οι επιθέσεις παραμένουν καθώς πολλοί χρήστες δεν έχουν ενημερώσει την εφαρμογή.
Φόρτωση καθενός Η τεχνολογία που πρόκειται να είναι προσβάσιμη από το εξωτερικό περιβάλλον στον οργανισμό φέρνει επίσης μαζί της αλλαγές στη διαμόρφωση και τις ρυθμίσεις της υποδομής. Οι πιο σημαντικές αλλαγές λαμβάνουν χώρα στην περίμετρο του οργανισμού σε τείχη προστασίας και άλλα χαρακτηριστικά ασφαλείας. Οι διαχειριστές συχνά επιτρέπουν εξαιρέσεις στους κανόνες που είναι επιζήμιες για την ασφάλεια. Το άνοιγμα συγκεκριμένων θυρών, καθώς και κοινών πρωτοκόλλων όπως το RDP (όπου έχουμε δει αύξηση των ανοιχτών πρωτοκόλλων RDP τις τελευταίες εβδομάδες) και το VNC και η έλλειψη ασφάλειας ανοίγουν το δρόμο για έναν εισβολέα εντός του οργανισμού. Αδυναμίες μπορεί επίσης να προκληθούν από λανθασμένη εφαρμογή της ίδιας της λύσης τηλεδιάσκεψης, εγκατάσταση ξεπερασμένων εκδόσεων ή ανεπαρκή ασφάλεια του διακομιστή, η οποία μπορεί να οδηγήσει όχι μόνο σε συμβιβασμό, αλλά και σε εισβολή του εισβολέα σε άλλη εταιρεία υποδομή.
Οι διαχειριστές διευκολύνουν επίσης τα πράγματα ανοίγοντας την επικοινωνία διεύθυνσης IP σε όλες τις θύρες στις οποίες βρίσκεται η λύση τηλεδιάσκεψης, ώστε να μην χρειάζεται να αναζητούν συγκεκριμένες θύρες μέσω των οποίων επικοινωνεί η λύση. Μια τέτοια διαδικασία μάλιστα απαιτείται άμεσα από κάποιες λύσεις. Ωστόσο, αυτό οδηγεί σε υψηλό κίνδυνο και δεν πρέπει ποτέ να συμβεί κατά την υλοποίηση - είτε θα ανοίξετε όλες τις θύρες είτε θα εφαρμόσετε μια λύση που απαιτεί το άνοιγμα μεγάλου αριθμού θυρών.
Επιθέσεις DoS και DDoS
Ένας άλλος τρόπος για να διακόψετε ή να αποτρέψετε εντελώς μια κλήση βιντεοδιάσκεψης είναι να επιτεθείτε στην πραγματική λειτουργία της τρέχουσας κλήσης τηλεδιάσκεψης. Ένας εισβολέας θα μπορούσε να επιλέξει από μια σειρά επιλογών για να επιτεθεί απευθείας στην υποδομή του θύματος ή να επιτεθεί στην υποδομή του ISP στον οποίο πραγματοποιείται η κλήση τηλεδιάσκεψης.
Οι περισσότερες εφαρμογές που χρησιμοποιούν τηλεδιάσκεψη (π.χ. Zoom, Webex, Skype) συνήθως παρέχουν μόνο κίνηση στο cloud, χωρίς να απαιτείται η κατοχή της υποδομής για τη λειτουργία μια τέτοια υπηρεσία. Η λύση cloud για κλήσεις τηλεδιάσκεψης είναι ένα μεγάλο πόλο έλξης, καθώς από λειτουργική άποψη είναι μια φθηνή λύση, από την πλευρά του χρήστη, το πλεονέκτημα είναι η ταχύτητα και η ευκολία χρήσης. Ωστόσο, ο τρόπος λειτουργίας cloud έχει επίσης σημαντικά μειονεκτήματα - το απόρρητο των συνομιλιών δεν μπορεί ποτέ να διασφαλιστεί, καθώς η λειτουργία παρέχεται από εξωτερικό χειριστή που μπορεί να καταγράφει και να αποθηκεύει μεμονωμένες κλήσεις. Οι επιθέσεις σε υπηρεσίες cloud δεν είναι επίσης τίποτα το ιδιαίτερο - όσο περισσότερο χρησιμοποιείται η υπηρεσία, τόσο πιο ελκυστικός είναι ο στόχος για τους εισβολείς.
Συστάσεις ασφαλείας για τηλεδιάσκεψη
Τα συστήματα τηλεδιάσκεψης διευκολύνουν την εργασία και μπορούν να είναι ένα καλό εργαλείο για τη διατήρηση της αποτελεσματικότητας της εργασίας. Ωστόσο, η μη ασφαλής τηλεδιάσκεψη σε επικίνδυνες πλατφόρμες ενέχει υψηλό κίνδυνο ασφάλειας. Ως εκ τούτου, το Εθνικό Κέντρο Κυβερνοασφάλειας SK-CERT συνιστά:
- Χρησιμοποιήστε γνωστό λογισμικό με καλή φήμη και επαρκή χαρακτηριστικά ασφαλείας, όπως κρυπτογράφηση επικοινωνίας δικτύου, έλεγχος ταυτότητας δύο παραγόντων κατά τη σύνδεση και ούτω καθεξής για τηλεδιάσκεψη
- Ειδικά για την κυβέρνηση, δεν συνιστούμε τη χρήση του Zoom. Συνιστούμε να χρησιμοποιήσετε άλλες, ασφαλέστερες εναλλακτικές λύσεις
- Χρησιμοποιείτε μόνο ενημερωμένο λογισμικό και μην καθυστερείτε την εγκατάσταση εάν κυκλοφορήσουν ενημερώσεις ασφαλείας
- Προστατέψτε κάθε κλήση τηλεδιάσκεψης με έναν ολοκληρωμένο, δύσκολο να μαντέψει κανείς κωδικό πρόσβασης. Μην χρησιμοποιείτε τον ίδιο κωδικό πρόσβασης σε πολλές κλήσεις τηλεδιάσκεψης
- Επαληθεύστε κάθε συμμετέχοντα βιντεοδιάσκεψης, κατά προτίμηση ελέγχοντας και διαχειρίζεστε τις καταχωρίσεις στο περιβάλλον της βιντεοδιάσκεψης (λειτουργία "αναμονή")
- Κάντε τη βιντεοδιάσκεψη ιδιωτική, όχι δημόσια
- Μην κοινοποιείτε το σύνδεσμο της τηλεδιάσκεψης δημόσια μέσω κοινωνικών δικτύων ή παρόμοιων δικτύων, κοινοποιήστε το σύνδεσμο μόνο με συγκεκριμένα άτομα που θα πρέπει να συμμετάσχουν στην τηλεδιάσκεψη
- Εάν θέλετε να επικοινωνήσετε ευαίσθητα δεδομένα με τηλεδιασκέψεις, κάντε το έτσι ώστε να είστε μέρος των πληροφοριών και ένα μέρος είπε κατά τη διάρκεια της κλήσης και έστειλε το άλλο σε μήνυμα μέσω άλλης εφαρμογής
- Εάν έχετε υποψίες ότι διακυβεύεται η τηλεδιάσκεψη ή εάν η συσκευή σας συμπεριφέρεται παράξενα, ενημερώστε αμέσως τον εργοδότη σας και τον υπεύθυνο για την ασφάλεια στον κυβερνοχώρο στον οργανισμό σας. />
Λόγω του γεγονότος ότι δεν έχουν όλες οι εταιρείες καθιερωμένη εργασία από το σπίτι, δεν έχουν καν αναπτύξει οδηγίες και κανονισμούς ασφαλείας σχετικά με τον τρόπο προσέγγισης του γραφείου στο σπίτι από την άποψη της ασφάλειας .