Nors pažeidžiamumas Zoom platformoje buvo ištaisytas, atakos išlieka, nes daugelis vartotojų neatnaujino programos.
Įkeliamas kiekvienas Technologija, kuri organizacijai turi būti prieinama iš išorinės aplinkos, taip pat atneša infrastruktūros konfigūracijos ir nustatymų pokyčius. Reikšmingiausi pokyčiai vyksta organizacijos perimetro ugniasienėse ir kitose apsaugos priemonėse. Administratoriai dažnai leidžia taisyklių išimtis, kurios kenkia saugumui. Konkrečių prievadų, taip pat bendrų protokolų, tokių kaip RDP (kur pastarosiomis savaitėmis matėme atvirų KPP protokolų padidėjimą) ir VNC, atidarymas ir jų saugumo trūkumas atveria kelią užpuolikui organizacijos viduje. Trūkumai gali atsirasti ir dėl netinkamo paties vaizdo konferencijų sprendimo įdiegimo, pasenusių versijų įdiegimo ar nepakankamo serverio saugumo, dėl kurio gali būti ne tik jo sukompromitavimas, bet ir užpuoliko įsibrovimas į kitą įmonę. infrastruktūra.
Administratoriai taip pat palengvina darbą atidarant IP adresų ryšį visiems prievadams, kuriuose yra vaizdo konferencijų sprendimas, kad jiems nereikėtų ieškoti konkrečių prievadų, per kuriuos bendrauja sprendimas. Tokios procedūros net tiesiogiai reikalauja kai kurie sprendimai. Tačiau tai kelia didelę riziką ir niekada neturėtų atsitikti diegimo metu – ar atidaryti visus prievadus, ar įdiegti sprendimą, kuriam reikia atidaryti daug prievadų.
DoS ir DDoS atakos
Kitas būdas sutrikdyti arba visiškai užkirsti kelią vaizdo konferenciniam skambučiui yra užpulti faktinį vykstančio vaizdo konferencinio skambučio veikimą. Užpuolikas gali pasirinkti iš kelių parinkčių: tiesiogiai pulti aukos infrastruktūrą arba IPT infrastruktūrą, kurioje vyksta vaizdo konferencinis pokalbis.
Dauguma programų, naudojančių vaizdo konferencijas (pvz., Zoom, Webex, Skype), paprastai teikia tik debesų srautą, o veikimui nereikia turėti infrastruktūros tokia paslauga. Vaizdo konferencijų skambučių debesies sprendimas yra puiki atrakcija, nes eksploataciniu požiūriu tai pigus sprendimas, vartotojo požiūriu privalumas – greitis ir naudojimo paprastumas. Tačiau debesies režimas turi ir reikšmingų trūkumų – pokalbių konfidencialumo garantuoti niekada negalima, nes operaciją užtikrina išorinis operatorius, galintis įrašyti ir saugoti atskirus skambučius. Debesijos paslaugų atakos taip pat nėra niekuo ypatingos – kuo daugiau naudojama paslauga, tuo patrauklesnis taikinys užpuolikams.
Vaizdo konferencijų saugos rekomendacijos
Vaizdo konferencijų sistemos palengvina darbą ir gali būti geras įrankis siekiant užtikrinti, kad darbas būtų efektyvus. Tačiau nesaugios vaizdo konferencijos rizikingose platformose kelia didelę saugumo riziką. Todėl Nacionalinis kibernetinio saugumo centras SK-CERT rekomenduoja:
- Vaizdo konferencijoms naudokite gerai žinomą programinę įrangą su geros reputacijos ir tinkamomis saugos funkcijomis, tokiomis kaip tinklo ryšio šifravimas, dviejų veiksnių autentifikavimas prisijungiant ir kt.
- Ypač vyriausybėms nerekomenduojame naudoti mastelio keitimo. Rekomenduojame naudoti kitas, saugesnes alternatyvas
- Naudokite tik atnaujintą programinę įrangą ir neatidėliokite diegimo, jei bus išleisti saugos naujinimai
- Apsaugokite kiekvieną vaizdo konferencinį pokalbį naudodami išsamų, sunkiai atspėjamą slaptažodį. Nenaudokite to paties slaptažodžio keliuose vaizdo konferencijų skambučiuose
- Patikrinkite kiekvieną vaizdo konferencijos dalyvį, pageidautina tikrindami ir tvarkydami vaizdo konferencijos aplinkos įrašus (funkcija "laukiama")
- Padarykite vaizdo konferenciją privačią, o ne viešą
- Nebendrinkite vaizdo konferencijos nuorodos viešai per socialinius tinklus ar panašiai, bendrinkite nuorodą tik su konkrečiais žmonėmis, kurie turėtų dalyvauti vaizdo konferencijoje
- Jei norite perduoti neskelbtinus duomenis per telekonferencijas, darykite tai taip, kad būtumėte informacijos dalis o dalis pasakė pokalbio metu, o kitą dalį išsiuntė žinute per kitą programą
- Jei turite įtarimų dėl vaizdo konferencijų pažeidimo arba jei jūsų įrenginys elgiasi keistai, nedelsdami praneškite darbdaviui ir už kibernetinį saugumą jūsų organizacijoje atsakingam asmeniui. />
Dėl to, kad ne visos įmonės yra nusistovėjusios darbo namuose, jos net nėra parengusios saugumo gairių ir taisyklių, kaip kreiptis į namų biurą saugumo požiūriu.