Bár vannak árnyalatnyi eltérések, alapvetően az európai és az amerikai piacon is ugyanazok a kockázatok viszik a prímet. Ez derült ki a Balabit TOP 10 Hacking Methods című tanulmányából, amit a Black Hat USA-n és a Black Hat Europe-on készített közel 500 magasan képzett IT biztonsági szakember megkérdezésével. Bár a kutatás nem reprezentatív, jól mutatja a vállalatok e téren szerzett tapasztalatait.

Az ember megtéveszthető

A tanulmány szerint a bizalmas vállalati információkhoz, bankkártya és egyéb pénzügyi adatokhoz, államtitkokhoz legegyszerűbben és leggyorsabban a felhasználók megtévesztésével lehet hozzájutni. Pont ez történt február elején az Egyesült Államok Igazságügyi Minisztériuma elleni támadáskor is.

Február elején a Vice technológiai oldala, a Motherboard írta meg először, hogy egy hacker pofonegyszerű módszerrel jutott be az FBI rendszerébe. Felhívott egy telefonos ügyintézőt azzal, hogy új ember, és szeretne egy hozzáférési kódot, amit az ügyintéző simán meg is adott. Bár az FBI tagadta, hogy feltörték volna a rendszerét, a hacker 20 ezer munkatárs adatait tette közzé a neten. (Az infót egyébként maga a hacker juttatta el a laphoz.)

A jóhiszemű munkatársak manipulálása ráadásul gazdaságos is, ugyanis olcsó és gyors módja az adatlopásnak. Ezzel szemben egy exploit megírása, egy zero-day sebezhetőség megtalálása vagy a bonyolult felhasználói jelszavak feltörése komoly programozói tudást és rengeteg időt igényel. Ráadásul ez utóbbi incidensek időben történő felfedezésének a valószínűsége is sokkal nagyobb.

Nem lebecsülendő a többi kockázat sem

A szervezetek IT-biztonságának egyébként eleve az egyik legnagyobb problémája, hogy a belső támadások kockázata sokkal nagyobb, mint a kívülről érkezőké. Az USA-ban a válaszadók 30 százaléka, Európában 25 százaléka ítélte kockázatosabbnak a kívülről érkező támadásokat, mint a belülről érkezőket. Sok esetben a külső támadásokhoz is szükség van valami belső segítségre.

Bár a válaszokból az derül ki, hogy látványosan kevésbé, de szintén nagy kockázatnak tartották a válaszadók a például gyenge jelszó miatt kompromittált hozzáférések és a webalapú támadások kockázatait. Ezek még 50 százalék feletti értéket kaptak.

Érdekes ugyanakkor, hogy a kifinomult technikákat alkalmazó támadástípusok – szerverfrissítésekre írt expoit-ok (ilyen volt például Heartbleed), a saját eszközök használatának hiányos vagy rossz szabályzása stb. – kockázatait már a válaszadók egészen kis hányada tartotta magasnak.

A felhő és a kiszervezés kockázatai elenyészőek

A felhős megoldások elfogadottságának a növekedésére utal, hogy a felmérésben mind a felhős megoldások használata, akár az adatok felhőben történő tárolása is csak a válaszadók 6 százaléka szerint jelent komolyabb kockázati tényezőt. Ez persze betudható annak is, hogy ez a terület kívül esik a megkérdezett szakemberek fennhatóságán: tehát ha nem kell vele foglalkozniuk, nem az ő felelősségük, az kicsi kockázatot jelent – legalábbis számukra.

A válaszok azt is mutatják, de a fentebb említett incidens is azt mutatja, hogy a hagyományos védelmi eszközök még egy szigorú belső szabályzattal együtt is sérülékenyek lehetnek. Ugyanis mindenki hibázhat, és bárki megtéveszthető. A biztonságtudatosság növelése és a hagyományos védelmi technikák (tűzfal, végponti védelem stb.) mellett éppen ezért egyre fontosabbak azok a módszerek, melyek azt figyeli, hogy a belső felhasználók hogyan használják a szervezet infokommunikációs rendszereit (az ilyen megoldásokat legutóbb egy kattintásnyira foglaltuk össze). Ehhez a big data elemzések és a mesterséges intelligencia, a gépi tanulás terén elért eredmények már a technológiai alapot is megteremtették.