Лекция "Безопасность мобильных устройств" для сотрудников
Download as PPTX, PDF0 likes655 views
Краткий курс об основах безопасности мобильных устройств для сотрудников Банка. Читается в рамках программы внутреннего обучения "Альфа-Опыт"
More Related Content
What's hot (20)
Similar to Лекция "Безопасность мобильных устройств" для сотрудников (20)
More from Denis Gorchakov (9)
Лекция "Безопасность мобильных устройств" для сотрудников
- 1. Безопасность мобильных устройств Денис Горчаков Управление информационной безопасности
- 2. О себе Управление информационной безопасности Блок «Безопасность» Отдел мониторинга и расследования инцидентов ИБ Противодействие мошенничеству на сети оператора, расследование финансовых инцидентов. Проекты по защите абонентов, борьба с мошенничеством в промышленных масштабах, маленькая антивирусная лаборатория. Исследование «Мошенничество в SMS-банкинге»
- 3. Всё наоборот
- 5. Кому нужны ваши данные? Обычный мошенник – финансовый интерес к вам: • SMS-спам • кража денег со счета телефона или банковских счетов • кража данных платежных карт и учетных записей • блокировка устройства или шифрование данных Продвинутый мошенник – интерес к данным Банка: • целенаправленная кража данных • слежка и получение всевозможных данных о вашей работе, в том числе данных ограниченного распространения
- 6. Какое отношение это имеет к нам? По статистике Lookout Security, более 50% всего вредоносного ПО для мобильных устройств в мире разработано против российских абонентов. Статистика мобильных вирусов (Лаборатория Касперского) Страна % атак* Россия 44,0% Индия 7,6% Германия 5,6% Иран 3,4% Вьетнам 3,1% Казахстан 3,1% Украина 2,7% Малайзия 1,9% Бразилия 1,7% США 1,7%
- 7. Не только Android Опасность представляют не только вирусы для телефонов, но и: • физический доступ (кража устройства) • уязвимости и новые вирусы для iOS (Win Phone - ?) • мошенничество через социальную инженерию (Wi-Fi) • ошибки в работе программ и браузеров • мошенники в салонах сотовой связи Что делать? Простые советы по «гигиене»
- 8. PIN-код Простейший совет, однако по разным данным от 30 до 60% пользователей не используют PIN-код. Надежно: • PIN • разблокировка отпечатком пальца Как включить? iOS: «Настройки» –> «Пароль» («Touch ID и пароль») Android: «Настройки» -> «Безопасность» -> «Блокировка экрана» - «Пароль» «Хитрости»: время до блокировки, пароли на отдельные приложения. Ненадежно: • жест разблокировки • разблокировка «значками»
- 9. «Взлом» (разблокировка) Оцените удобство от разблокировки, насколько оно необходимо? Опасность: • расширение доступа к устройству, в том числе отключение защитных механизмов • вирусам легче проникнуть на устройство, они уже научились проверять, разблокирован ли аппарат • никто не знает, что внутри установленных «фишек» • теряется возможность нормального обновления устройства • с помощью «adb» возможно скрытно устанавливать программы на Android-устройство при подключении к компьютеру. Для iOS – вирус Wirelurker становится опаснее, чем без jailbreak
- 10. Подключение к Wi-Fi сетям Поддельные Wi-Fi сети уже использовались в освещавшейся в прессе атаке под названием Darkhotel. Если вы не топ-менеджер, опасностей не меньше: • передаваемые по открытой сети данные можно перехватить • точку доступа может называться MosMetro_Free, TANUKI, и пр. – устройство подключится к ней автоматически • хакеры регулярно взламывают мобильные браузеры на конкурсах (Pwn2Own), можно вмешаться в данные. Такие же ошибки встречаются и в разных программах Android: «Настройки» -> «Wi-Fi», можно удалить сеть. «Расширенные настройки» -> «Всегда искать сети» отключить iOS: «Настройки» –> «Wi-Fi» –> Выбрать нужную беспроводную сеть –> «Забыть эту сеть» –> «Вернуться в Wi-Fi» –> «Подтверждать подключение: вкл.»
- 11. Установка приложений Устанавливайте приложения только из официальных каталогов! Это справедливо и для iOS, и для Android. Если очень необходимо поставить стороннее приложение, при установке обратите внимание, что спрашивает приложение – это недолго, но бдительность крайне важна. Зачем программа требует доступ к аккаунтам, SMS, микрофону, местоположению и неограниченный доступ в Интернет? Проверьте: «Настройки» -> «Безопасность», флажок «Неизвестные источники». «Проверять приложения» - да?
- 12. Уведомления на экране блокировки Уведомления могут содержать важную информацию – одноразовые пароли, личные данные, ошибки приложений могут помочь в обходе разблокировки злоумышленнику. Android: «Настройки» -> «Приложения», «Показать уведомления» для программы iOS: «Настройки» –> «Пароль» («Touch ID и пароль») –> «Доступ с блокировки экрана» и «Настройки» –> «Уведомления»
- 13. Облачные сервисы Обратите внимание, где вы в настройках iCloud, Dropbox, Google+, OneDrive установили автозагрузку. Подумайте, что доверять сервисам, что нет? Например, включив историю перемещений, вы можете подсказать «продвинутому» вору, когда вас нет дома или где вы чаще всего бываете в то или иное время. Такие вещи уже использовались. iOS: «Настройки» -> «iCloud» Android: «Настройки Google» -> «Мое местоположение»: «Отправка геоданных» и «История местоположений». «Google Фото»: «Настройки» -> «Автозагрузка»
- 14. Увеличьте безопасность своих данных в «облаке», включив эту функцию. Если злоумышленник каким-то способом завладеет вашим паролем, это ему не поможет, ведь для входа в аккаунт потребуется ввести одноразовый код. Для Android-устройств включить эту функцию можно по ссылке: https://accounts.google.com/SmsAuthConfig Для устройств на iOS - на сайте https://appleid.apple.com в разделе «Управлять Apple ID» - «Пароль и безопасность» - «Доверенные устройства» - «Управлять» - «Добавить номер телефона с возможностью приема SMS-сообщений» Если программа требует пароль для почтового ящика или аккаунта Apple/Google – используйте пароли приложений. Двухфакторная аутентификация
- 15. Поиск и удаленное управление Android: «Настройки Google» -> «Удаленное управление Android», «Удаленный поиск устройства» и «Удаленная блокировка и сброс настроек». Поможет удаленно сбросить все данные на потерянном телефоне или найти злоумышленника. Продвинутые решения могут делать фото человека, пытающегося разблокировать устройство. iOS: «Find my iPhone», поиск и блокировка устройства. Плюсы: безопасней Минусы: можно потерять все данные, если злоумышленник завладеет учетной записью. Уменьшить риски можно, включив двухфакторную аутентификацию.
- 16. Запрет контента Мегафон: Запрос: *105*801# Телефон: 0500 • «Стоп-контент» • «Отказ от SMS рассылок» МТС: Телефон: 0890 • «Запрет контента» • «Запрет приема информационных SMS и SMS/MMS с сайта МТС» • «Запрет приема SMS с новостями МТС» Билайн: Телефон: 0611 • «Черно-белые списки» • «Блокировка «Мобильной рекламы»» • «Запрет промо-акций»
- 17. Мошенничество в салонах Что делать владельцу? • Проверьте свои паспортные данные у оператора • Напишите заявление о запрете замены SIM по доверенности • Альфа-Чек: 2256 – pay off • Ограничение автоплатежа Стоимость замены вашей SIM-карты на «черном рынке» ~ 1 тыс. руб.
Editor's Notes
- #4: У нас все наоборот – на этом занятии приветствуется использование своего мобильного телефона. Если в процессе моего объяснения вы что-то делаете в своем телефоне, я буду думать, что рассказываю всё это вам не зря :) Для технически подготовленных заранее скажу, что сложность освещаемых вопросов будет нарастать к концу презентации. Все вопросы можно задавать сразу, по мере их возникновения. Я буду делать небольшую паузу в конце каждого слайда специально для этого.
- #5: Современный смартфон делового человека порой хранит больше данных, чем компьютер: контакты, SMS (от друзей, коллег, партнеров по бизнесу, различных сервисов – например, информирование по счету), календарь встреч, фотографии, электронная почта, документы, доступы к корпоративным сервисам и многое другое. У кого подключена почта? SMS-информирование по картам? Сложно разделить личное и рабочее использование устройства, например: Общая адресная книга личных и рабочих контактов. На одном и том же устройстве переписка (почта, e-mail, мессенджеры) как по личным, так и по рабочим каналам. Они нередко смешиваются. Рабочие фотографии (презентации, слайды, заметки) соседствуют с личными. Размывается граница между сценариями использования устройства
- #6: Разумеется, вся эта информация очень ценна и становится объектом интереса мошенников, киберпреступников. Попробуйте отдать свой телефон соседу напротив. Готовы? Кто готов? SMS-спам: «Дорогая, я тебя люблю», а затем 50 раз реклама такси. Обход защиты от антиспама Кража денег – остановимся отдельно. Речь идет о вирусах и троянцах. Блокировка и шифрование – как на больших компьютерах. Вымогатели. Продвинутый мошенник – нацелен на кражу важных для банка данных, коммерческая тайна о проектах и заказах, потенциальных договоренностях, персональные данные клиентов и пр. Кража данных из электронной почты. Ввиду того, что размываются границы между личным и корпоративным использованием, злоумышленник может утащить SMS-переписку с клиентом, случайное фото договора и пр.
- #7: Топ-10 стран, атакуемых банковскими троянцами по статистике Лаборатории Касперского: Банковский троянец «Рейх» На ранних этапах было выявлено более 5 500 абонентов, заразившихся за несколько дней работы только одного сайта, распространявшего вирус. Более 850 из них пострадали – вирус украл деньги с их счетов. Только до возврата денег еще очень долго. Вирусы могут автоматически отвечать на SMS от многих финансовых сервисов, банков, имитировать окна популярных программ – «введите номер своей карты в Google Play». Репутационные риски – каково отправить рассылку по всей адресной книге с рекламой подвесных потолков, такси или суши?
- #8: Сейчас вы думаете: «У меня не Android-телефон, мне можно дальше не слушать» Однако злоумышленник может просто похитить ваше устройство Для iOS начинают писать вирусы: Wirelurker и Masque Attack – не последнее, что мы увидели. Для Windows Phone напишут когда-нибудь Атаки не ограничиваются вирусами на телефоне – это и социальная инженерия (фишинг, причем возможно целенаправленный на сотрудников банка). Обратите внимание на расследования современных атак, там сложные и хитрые схемы получения данных, заходящие издалека, как в шпионских фильмах. Например Darkhotel – когда для важных сотрудников подделывали точки доступа в гостинице, крали через них данные и немедленно их выключали. А если назвать сеть Tanuki, Yakitoria, BeelineWiFiFree? Телефон автоматически к ним подключится Многие программы не проверяют разные данные – подлинность адресов подключения и пр. На каждом хакерском конкурсе взламывают почти все телефонные браузеры.
- #9: Кто не использует? До этого вы не были готовы поделиться смартфоном со своими соседями. А что получает мошенник? Угроза потери всех данных в случае кражи смартфона – 100%. За небольшое удобство в виде отсутствия пароля (2-3 секунды на ввод) вы платите полной потерей всех данных. Это может быть не только финансовый ущерб и кража персональных данных, но и репутационные риски – попадание приватных данных в общий доступ. Предположите, почему? Жест разблокировки подбирается либо по следам на экране, либо программным подбором комбинаций опытным злоумышленником, потому что все варианты жестов уже записаны и подобраны злоумышленником, существуют методы взлома этого метода блокировки. Обходные маневры: программы, которые запрашивают PIN-код для доступа к своим данным, приватные хранилища.
- #10: После jailbreak – пароль администратора пустой или заранее известный. Сомнительные источники приложений. Вирусы и бэкдоры в прошивках устройств – уже не первый раз. Highscreen, другие вендоры. Если действительно крайне необходимо – постарайтесь использовать антивирус для мобильных устройств, который умеет использовать особенности разблокированных устройств.
- #11: Darkhotel: зная о том, что важное лицо остановится в гостиничном номере, злоумышленники имитировали гостиничную точку доступа и похищали его данные через перехват всей передаваемой через их поддельную точку информации. Сразу после атаки точки доступа выключались, следов почти нет. Постарайтесь не передавать по Wi-Fi сети важные данные (загрузка файлов, ввод логина и пароля). Подумайте, перед тем, как входить в какой-то программе в сеть через открытую сеть – не все программы спроектированы безопасно, они могут не знать, к какому серверу подключаются. Подумайте, какие ещё варианты опасности могут быть? Например, плохо написанный интернет-магазин, где вводятся данные пластиковой карты.
- #12: До недавних событий с атакой “Masque Attack” для iOS (кто читал нашу статью?), которая позволяет установить приложение по ссылке и подменить настоящее приложение в устройств, угроза была только для Android. Это может быть и ссылка на приложение в SMS, и рекламное окно, и рассылка от друзей, и многое другое. Это самое опасное «Настройки» – «Безопасность» – «Разрешить установку приложений из неизвестных источников»
- #14: Удобно, однако оцените риски. Вручную загрузить несколько фотографий несложно, а так в случае кражи данных хакером все данные из «облака» окажутся у него. Подумайте, что вы действительно хотите там хранить.
- #15: http://support.apple.com/ru-ru/HT6186 Создание паролейприложений Прежде чем выполнять вход в iCloud через приложение сторонних разработчиков, создайте для него пароль приложения по инструкции ниже: Перейдите на веб-сайтМой AppleID. Нажмите кнопку «Управлять AppleID» и войдите в систему. Выберите пункт «Пароль и безопасность». Нажмите «Создание пароля приложения» и следуйте инструкциям на экране. После создания пароля приложения введите или вставьте его в поле пароля в приложении сторонних разработчиков как обычно. https://support.google.com/accounts/answer/185833?hl=ru Вход с помощью паролей приложений Пароль приложения– это код из 16 символов, который нужен для входа в аккаунт Google через некоторые приложения и устройства. Если вы включилидвухэтапную аутентификацию, то при попытке войти в аккаунт может появиться сообщение "Неверный пароль". Проблему решит пароль приложения. Как правило, его достаточно ввести один раз. Перейдите на страницупаролей приложений. Если потребуется, войдите в аккаунт Google. НажмитеПриложениев нижней части страницы и выберите нужное приложение. НажмитеУстройствои выберите нужную модель. НажмитеСоздать. Следуя инструкциям, введите пароль приложения (код из 16 символов в желтой строке) на своем устройстве. Нажмите "Готово".
- #17: Контент-услуги – скрытые платежи. Сами случайно щелкнули или ребенок нажал.
- #18: Целевые атаки – видят ваш баланс, пример (несколько лет назад сотрудники салона оператора увели со счетов клиентов Альфа-Банка крупные суммы). Стоимость замены SIM-карты на «черном рынке» ~ 1000 рублей. <примеры инцидентов>
- #19: Используйте банковские приложения, и отключите платежи в Чеке. Оставьте только информирование.
- #20: В качестве бонуса – что делать, если на телефоне вирус, блокировщик и пр.? Включите безопасный режим – зажать в меню выключения пункт выключения или тапать по кнопке меню в Samsung, или две клавиши громкости при загрузке. Чистая загрузка только с системными приложениями.