Лекция "Безопасность мобильных устройств" для сотрудников
•Download as PPTX, PDF•
0 likes•653 views
Краткий курс об основах безопасности мобильных устройств для сотрудников Банка. Читается в рамках программы внутреннего обучения "Альфа-Опыт"
Recommended
More Related Content
What's hot
What's hot (20)
Similar to Лекция "Безопасность мобильных устройств" для сотрудников
Similar to Лекция "Безопасность мобильных устройств" для сотрудников (20)
More from Denis Gorchakov
More from Denis Gorchakov (9)
Лекция "Безопасность мобильных устройств" для сотрудников
- 1. Безопасность мобильных устройств Денис Горчаков Управление информационной безопасности
- 2. О себе Управление информационной безопасности Блок «Безопасность» Отдел мониторинга и расследования инцидентов ИБ Противодействие мошенничеству на сети оператора, расследование финансовых инцидентов. Проекты по защите абонентов, борьба с мошенничеством в промышленных масштабах, маленькая антивирусная лаборатория. Исследование «Мошенничество в SMS-банкинге»
- 3. Всё наоборот
- 5. Кому нужны ваши данные? Обычный мошенник – финансовый интерес к вам: • SMS-спам • кража денег со счета телефона или банковских счетов • кража данных платежных карт и учетных записей • блокировка устройства или шифрование данных Продвинутый мошенник – интерес к данным Банка: • целенаправленная кража данных • слежка и получение всевозможных данных о вашей работе, в том числе данных ограниченного распространения
- 6. Какое отношение это имеет к нам? По статистике Lookout Security, более 50% всего вредоносного ПО для мобильных устройств в мире разработано против российских абонентов. Статистика мобильных вирусов (Лаборатория Касперского) Страна % атак* Россия 44,0% Индия 7,6% Германия 5,6% Иран 3,4% Вьетнам 3,1% Казахстан 3,1% Украина 2,7% Малайзия 1,9% Бразилия 1,7% США 1,7%
- 7. Не только Android Опасность представляют не только вирусы для телефонов, но и: • физический доступ (кража устройства) • уязвимости и новые вирусы для iOS (Win Phone - ?) • мошенничество через социальную инженерию (Wi-Fi) • ошибки в работе программ и браузеров • мошенники в салонах сотовой связи Что делать? Простые советы по «гигиене»
- 8. PIN-код Простейший совет, однако по разным данным от 30 до 60% пользователей не используют PIN-код. Надежно: • PIN • разблокировка отпечатком пальца Как включить? iOS: «Настройки» –> «Пароль» («Touch ID и пароль») Android: «Настройки» -> «Безопасность» -> «Блокировка экрана» - «Пароль» «Хитрости»: время до блокировки, пароли на отдельные приложения. Ненадежно: • жест разблокировки • разблокировка «значками»
- 9. «Взлом» (разблокировка) Оцените удобство от разблокировки, насколько оно необходимо? Опасность: • расширение доступа к устройству, в том числе отключение защитных механизмов • вирусам легче проникнуть на устройство, они уже научились проверять, разблокирован ли аппарат • никто не знает, что внутри установленных «фишек» • теряется возможность нормального обновления устройства • с помощью «adb» возможно скрытно устанавливать программы на Android-устройство при подключении к компьютеру. Для iOS – вирус Wirelurker становится опаснее, чем без jailbreak
- 10. Подключение к Wi-Fi сетям Поддельные Wi-Fi сети уже использовались в освещавшейся в прессе атаке под названием Darkhotel. Если вы не топ-менеджер, опасностей не меньше: • передаваемые по открытой сети данные можно перехватить • точку доступа может называться MosMetro_Free, TANUKI, и пр. – устройство подключится к ней автоматически • хакеры регулярно взламывают мобильные браузеры на конкурсах (Pwn2Own), можно вмешаться в данные. Такие же ошибки встречаются и в разных программах Android: «Настройки» -> «Wi-Fi», можно удалить сеть. «Расширенные настройки» -> «Всегда искать сети» отключить iOS: «Настройки» –> «Wi-Fi» –> Выбрать нужную беспроводную сеть –> «Забыть эту сеть» –> «Вернуться в Wi-Fi» –> «Подтверждать подключение: вкл.»
- 11. Установка приложений Устанавливайте приложения только из официальных каталогов! Это справедливо и для iOS, и для Android. Если очень необходимо поставить стороннее приложение, при установке обратите внимание, что спрашивает приложение – это недолго, но бдительность крайне важна. Зачем программа требует доступ к аккаунтам, SMS, микрофону, местоположению и неограниченный доступ в Интернет? Проверьте: «Настройки» -> «Безопасность», флажок «Неизвестные источники». «Проверять приложения» - да?
- 12. Уведомления на экране блокировки Уведомления могут содержать важную информацию – одноразовые пароли, личные данные, ошибки приложений могут помочь в обходе разблокировки злоумышленнику. Android: «Настройки» -> «Приложения», «Показать уведомления» для программы iOS: «Настройки» –> «Пароль» («Touch ID и пароль») –> «Доступ с блокировки экрана» и «Настройки» –> «Уведомления»
- 13. Облачные сервисы Обратите внимание, где вы в настройках iCloud, Dropbox, Google+, OneDrive установили автозагрузку. Подумайте, что доверять сервисам, что нет? Например, включив историю перемещений, вы можете подсказать «продвинутому» вору, когда вас нет дома или где вы чаще всего бываете в то или иное время. Такие вещи уже использовались. iOS: «Настройки» -> «iCloud» Android: «Настройки Google» -> «Мое местоположение»: «Отправка геоданных» и «История местоположений». «Google Фото»: «Настройки» -> «Автозагрузка»
- 14. Увеличьте безопасность своих данных в «облаке», включив эту функцию. Если злоумышленник каким-то способом завладеет вашим паролем, это ему не поможет, ведь для входа в аккаунт потребуется ввести одноразовый код. Для Android-устройств включить эту функцию можно по ссылке: https://accounts.google.com/SmsAuthConfig Для устройств на iOS - на сайте https://appleid.apple.com в разделе «Управлять Apple ID» - «Пароль и безопасность» - «Доверенные устройства» - «Управлять» - «Добавить номер телефона с возможностью приема SMS-сообщений» Если программа требует пароль для почтового ящика или аккаунта Apple/Google – используйте пароли приложений. Двухфакторная аутентификация
- 15. Поиск и удаленное управление Android: «Настройки Google» -> «Удаленное управление Android», «Удаленный поиск устройства» и «Удаленная блокировка и сброс настроек». Поможет удаленно сбросить все данные на потерянном телефоне или найти злоумышленника. Продвинутые решения могут делать фото человека, пытающегося разблокировать устройство. iOS: «Find my iPhone», поиск и блокировка устройства. Плюсы: безопасней Минусы: можно потерять все данные, если злоумышленник завладеет учетной записью. Уменьшить риски можно, включив двухфакторную аутентификацию.
- 16. Запрет контента Мегафон: Запрос: *105*801# Телефон: 0500 • «Стоп-контент» • «Отказ от SMS рассылок» МТС: Телефон: 0890 • «Запрет контента» • «Запрет приема информационных SMS и SMS/MMS с сайта МТС» • «Запрет приема SMS с новостями МТС» Билайн: Телефон: 0611 • «Черно-белые списки» • «Блокировка «Мобильной рекламы»» • «Запрет промо-акций»
- 17. Мошенничество в салонах Что делать владельцу? • Проверьте свои паспортные данные у оператора • Напишите заявление о запрете замены SIM по доверенности • Альфа-Чек: 2256 – pay off • Ограничение автоплатежа Стоимость замены вашей SIM-карты на «черном рынке» ~ 1 тыс. руб.
Editor's Notes
- У нас все наоборот – на этом занятии приветствуется использование своего мобильного телефона. Если в процессе моего объяснения вы что-то делаете в своем телефоне, я буду думать, что рассказываю всё это вам не зря :) Для технически подготовленных заранее скажу, что сложность освещаемых вопросов будет нарастать к концу презентации. Все вопросы можно задавать сразу, по мере их возникновения. Я буду делать небольшую паузу в конце каждого слайда специально для этого.
- Современный смартфон делового человека порой хранит больше данных, чем компьютер: контакты, SMS (от друзей, коллег, партнеров по бизнесу, различных сервисов – например, информирование по счету), календарь встреч, фотографии, электронная почта, документы, доступы к корпоративным сервисам и многое другое. У кого подключена почта? SMS-информирование по картам? Сложно разделить личное и рабочее использование устройства, например: Общая адресная книга личных и рабочих контактов. На одном и том же устройстве переписка (почта, e-mail, мессенджеры) как по личным, так и по рабочим каналам. Они нередко смешиваются. Рабочие фотографии (презентации, слайды, заметки) соседствуют с личными. Размывается граница между сценариями использования устройства
- Разумеется, вся эта информация очень ценна и становится объектом интереса мошенников, киберпреступников. Попробуйте отдать свой телефон соседу напротив. Готовы? Кто готов? SMS-спам: «Дорогая, я тебя люблю», а затем 50 раз реклама такси. Обход защиты от антиспама Кража денег – остановимся отдельно. Речь идет о вирусах и троянцах. Блокировка и шифрование – как на больших компьютерах. Вымогатели. Продвинутый мошенник – нацелен на кражу важных для банка данных, коммерческая тайна о проектах и заказах, потенциальных договоренностях, персональные данные клиентов и пр. Кража данных из электронной почты. Ввиду того, что размываются границы между личным и корпоративным использованием, злоумышленник может утащить SMS-переписку с клиентом, случайное фото договора и пр.
- Топ-10 стран, атакуемых банковскими троянцами по статистике Лаборатории Касперского: Банковский троянец «Рейх» На ранних этапах было выявлено более 5 500 абонентов, заразившихся за несколько дней работы только одного сайта, распространявшего вирус. Более 850 из них пострадали – вирус украл деньги с их счетов. Только до возврата денег еще очень долго. Вирусы могут автоматически отвечать на SMS от многих финансовых сервисов, банков, имитировать окна популярных программ – «введите номер своей карты в Google Play». Репутационные риски – каково отправить рассылку по всей адресной книге с рекламой подвесных потолков, такси или суши?
- Сейчас вы думаете: «У меня не Android-телефон, мне можно дальше не слушать» Однако злоумышленник может просто похитить ваше устройство Для iOS начинают писать вирусы: Wirelurker и Masque Attack – не последнее, что мы увидели. Для Windows Phone напишут когда-нибудь Атаки не ограничиваются вирусами на телефоне – это и социальная инженерия (фишинг, причем возможно целенаправленный на сотрудников банка). Обратите внимание на расследования современных атак, там сложные и хитрые схемы получения данных, заходящие издалека, как в шпионских фильмах. Например Darkhotel – когда для важных сотрудников подделывали точки доступа в гостинице, крали через них данные и немедленно их выключали. А если назвать сеть Tanuki, Yakitoria, BeelineWiFiFree? Телефон автоматически к ним подключится Многие программы не проверяют разные данные – подлинность адресов подключения и пр. На каждом хакерском конкурсе взламывают почти все телефонные браузеры.
- Кто не использует? До этого вы не были готовы поделиться смартфоном со своими соседями. А что получает мошенник? Угроза потери всех данных в случае кражи смартфона – 100%. За небольшое удобство в виде отсутствия пароля (2-3 секунды на ввод) вы платите полной потерей всех данных. Это может быть не только финансовый ущерб и кража персональных данных, но и репутационные риски – попадание приватных данных в общий доступ. Предположите, почему? Жест разблокировки подбирается либо по следам на экране, либо программным подбором комбинаций опытным злоумышленником, потому что все варианты жестов уже записаны и подобраны злоумышленником, существуют методы взлома этого метода блокировки. Обходные маневры: программы, которые запрашивают PIN-код для доступа к своим данным, приватные хранилища.
- После jailbreak – пароль администратора пустой или заранее известный. Сомнительные источники приложений. Вирусы и бэкдоры в прошивках устройств – уже не первый раз. Highscreen, другие вендоры. Если действительно крайне необходимо – постарайтесь использовать антивирус для мобильных устройств, который умеет использовать особенности разблокированных устройств.
- Darkhotel: зная о том, что важное лицо остановится в гостиничном номере, злоумышленники имитировали гостиничную точку доступа и похищали его данные через перехват всей передаваемой через их поддельную точку информации. Сразу после атаки точки доступа выключались, следов почти нет. Постарайтесь не передавать по Wi-Fi сети важные данные (загрузка файлов, ввод логина и пароля). Подумайте, перед тем, как входить в какой-то программе в сеть через открытую сеть – не все программы спроектированы безопасно, они могут не знать, к какому серверу подключаются. Подумайте, какие ещё варианты опасности могут быть? Например, плохо написанный интернет-магазин, где вводятся данные пластиковой карты.
- До недавних событий с атакой “Masque Attack” для iOS (кто читал нашу статью?), которая позволяет установить приложение по ссылке и подменить настоящее приложение в устройств, угроза была только для Android. Это может быть и ссылка на приложение в SMS, и рекламное окно, и рассылка от друзей, и многое другое. Это самое опасное «Настройки» – «Безопасность» – «Разрешить установку приложений из неизвестных источников»
- Удобно, однако оцените риски. Вручную загрузить несколько фотографий несложно, а так в случае кражи данных хакером все данные из «облака» окажутся у него. Подумайте, что вы действительно хотите там хранить.
- http://support.apple.com/ru-ru/HT6186 Создание паролей приложений Прежде чем выполнять вход в iCloud через приложение сторонних разработчиков, создайте для него пароль приложения по инструкции ниже: Перейдите на веб-сайт Мой Apple ID. Нажмите кнопку «Управлять Apple ID» и войдите в систему. Выберите пункт «Пароль и безопасность». Нажмите «Создание пароля приложения» и следуйте инструкциям на экране. После создания пароля приложения введите или вставьте его в поле пароля в приложении сторонних разработчиков как обычно. https://support.google.com/accounts/answer/185833?hl=ru Вход с помощью паролей приложений Пароль приложения – это код из 16 символов, который нужен для входа в аккаунт Google через некоторые приложения и устройства. Если вы включили двухэтапную аутентификацию, то при попытке войти в аккаунт может появиться сообщение "Неверный пароль". Проблему решит пароль приложения. Как правило, его достаточно ввести один раз. Перейдите на страницу паролей приложений. Если потребуется, войдите в аккаунт Google. Нажмите Приложение в нижней части страницы и выберите нужное приложение. Нажмите Устройство и выберите нужную модель. Нажмите Создать. Следуя инструкциям, введите пароль приложения (код из 16 символов в желтой строке) на своем устройстве. Нажмите "Готово".
- Контент-услуги – скрытые платежи. Сами случайно щелкнули или ребенок нажал.
- Целевые атаки – видят ваш баланс, пример (несколько лет назад сотрудники салона оператора увели со счетов клиентов Альфа-Банка крупные суммы). Стоимость замены SIM-карты на «черном рынке» ~ 1000 рублей. <примеры инцидентов>
- Используйте банковские приложения, и отключите платежи в Чеке. Оставьте только информирование.
- В качестве бонуса – что делать, если на телефоне вирус, блокировщик и пр.? Включите безопасный режим – зажать в меню выключения пункт выключения или тапать по кнопке меню в Samsung, или две клавиши громкости при загрузке. Чистая загрузка только с системными приложениями.