Najděte rovnováhu mezi zabezpečením a ochranou soukromí ve světě BYOD

Vedoucí představitelé zabezpečení podniků museli přehodnotit tradiční organizační procesy, aby během pandemie zůstali funkční. Vedoucí organizací to původně dosáhli širším přijetím postupů BYOD (Bring Your Own Device), aby zaměstnanci mohli lépe zůstat produktivní bez ohledu na jejich geografickou polohu. Rychlá snaha usnadnit to však vždy vedla k tomu, že společnosti obětovaly bezpečnost zařízení koncových uživatelů pro lepší použitelnost v prostředí práce z domova.

Statistiky mluví samy za sebe. Zjištění z výzkumu technické poroty zdůrazňují, jak se BYOD zvýšil v roce 2020:

• 67% zaměstnanců používá při práci osobní zařízení
• BYOD generuje hodnotu 350 $ ročně na zaměstnance
• Zaměstnanec přepravující BYOD pracuje další dvě hodiny
• 87% podniků je závislých na schopnosti svých zaměstnanců přistupovat k mobilním obchodním aplikacím ze svého smartphonu
• 69% osob s rozhodovací pravomocí v oblasti IT v USA tvrdí, že BYOD je dobrá věc
• 59% organizací přijalo BYOD

Podle studie trhu publikované společností Global Industry Analysts se očekává, že globální trh s BYOD a podnikovou mobilitou odhadovaný na 61,4 miliardy USD v roce 2020 dosáhne do roku 2026 157,3 miliardy USD. Výhody, jako je vyšší spokojenost zaměstnanců, flexibilita rozvrhů a vyšší produktivita, jsou zdůrazněny jako klíčovými hybateli tohoto trendu. BYOD také přispěl k tomu, že se organizace přesouvají na cloudové aplikace ke správě různých funkcí a množství mobilních zařízení z jednoho kontrolovaného prostředí.

S tím, jak se více zaměstnanců obrací k práci na svá osobní zařízení, bude narůstat i potřeba řešení pro lepší správu vzdáleného prostředí. Očekává se, že na konci roku 2025 dosáhne trh s těmito řešeními pro správu podnikové mobility 11,96 miliardy USD. Podobně se očekává, že trh s řešeními a službami pro správu mobilních zařízení do roku 2025 vzroste na 15,7 miliardy USD.

Bezpečnostní výzvy narůstají

Jak ale roste počet koncových zařízení připojujících se k firemním aktivům v datovém centru, roste i povrch útoku. A kyberzločinci, jako vždy, rychle vymysleli nové způsoby, jak využít každodenní výzvy v oblasti zabezpečení informací, kterým organizace v tomto prostředí čelí.

Ve skutečnosti pouze 41% podniků má úplnou kontrolu nad soubory sdílenými uživateli v aplikacích pro podnikové zasílání zpráv na mobilních zařízeních. Výzkum dále zdůrazňuje, že pouze 9% společností má nástroje pro detekci malwaru v těchto aplikacích. A přestože 42% organizací uvedlo, že pro zabezpečení BYOD používají ochranu před koncovým malwarem, nejedná se o jeden z nejnebezpečnějších vektorů útoků na současném trhu - o hackování lidí a sociálním inženýrství.

Nemělo by proto být žádným překvapením, že podle údajů společnosti Verizon se průměrné náklady na úspěšné narušení dat v amerických podnicích za posledních 16 měsíců zvýšily na téměř 22 000 USD za incident. Ale možná ještě významněji, téměř 85% těchto porušení spoléhalo na sociální inženýrství. To ukazuje, jak se prodejci zabezpečení stali dobrými v detekci malwaru, což vedlo k poklesu těchto typů zranitelností.

Organizace samozřejmě musí i nadále nasazovat antivirová řešení nebo AV řešení NextGen koncových bodů. Ty jsou však zaměřeny na ochranu před malwarem a nezohledňují vývoj phishingu, který zahrnuje sofistikovanější taktiky sociálního inženýrství. Přestože cílem zůstanou i osobní zařízení, zejména v prostředí práce z domova, kde se nacházejí mimo relativní bezpečnost podnikové infrastruktury a obranná opatření, je nyní prostředí hrozeb více zaměřeno na lidské hackování.

Obcházení obrany

Za tímto účelem aktéři hrozeb neustále identifikují jedinečné způsoby, jak obejít automatizovanou obranu a školení v oblasti kybernetické bezpečnosti. Útočníci mohou například použít veřejně dostupná rozhraní API firmy k dynamickému načtení vzhledu a dojmu přizpůsobené přihlašovací stránky organizace pro Microsoft 365. Když tedy uživatel klikne na škodlivou adresu URL, první požadavek přejde na stránku Microsoft, kde útočníci vytáhnou snímek obrazovky a loga z původního webu. To oklame automatizovanou obranu poskytnutím 100% přesného srovnání mezi skutečnými a falešnými stránkami a navodí pocit důvěry v uživatelích, kteří jsou obeznámeni s přihlašovací stránkou společnosti.

Další používanou metodou je vkládání phishingových odkazů do dokumentů PDF nahraných na oblíbené cloudové platformy, jako je Google Drive, Dropbox nebo Adobe Spark. Jakmile si uživatel přečte dokument a klikne na odkaz, otevře se skutečná phishingová stránka. Protože k tomu dochází na úrovni domény a je obtížné extrahovat phishingový text z dokumentu PDF, může to také oklamat automatizované systémy a uživatele.

Online formuláře, jako jsou Google Forms nebo Survey Monkey, také poskytují útočníkům způsoby, jak tyto obrany obejít, protože tyto formuláře mohou maskovat phishingové útoky. Formulář lze například nastavit tak, aby vypadal jako standardní stránka podpory IT, která požaduje, aby uživatel změnil své heslo kvůli potenciálnímu narušení zabezpečení. Poté bude uživatel požádán o své původní heslo a nové heslo, což útočníkům poskytne informace potřebné ke kompromitaci systému.

Ochrana zařízení

Významně pro prostředí BYOD nemá většina mobilních zařízení žádnou speciální bezpečnostní ochranu kromě funkcí nativně zabudovaných do operačního systému. To je umocněno skutečností, že ochrana procházení na těchto zařízeních je zlomkem ochrany dostupné v prohlížečích pro stolní počítače. A přestože je škodlivý mobilní malware stále vzácný, mobilní phishing řádí.

Ke zvýšení komplexnosti kybernetické bezpečnostní stopy potřebné ke správě BYOD se phishing již neomezuje pouze na e-maily. Smishing (textové zprávy) a vishing (telefonní hovory) jsou stále oblíbenější. A pak jsou tu nebezpečí sociálních sítí jako Facebook, LinkedIn a Instagram, kde phishingové podvody pokročily. Je to díky tomu, že uživatelé se zlými úmysly přijali technologii umělé inteligence (AI) k těžbě uživatelských profilů pro osobní informace k zahájení cílových útoků typu spear phishing, které je stále obtížněji identifikovatelné i pro toho nejzkušenějšího člověka.

Nedávno uniklo 700 milionů záznamů LinkedIn, aby se přidalo k 500 milionům profilů nabízených k prodeji na populárním hackerském fóru na začátku tohoto roku. A přestože LinkedIn uvedl, že nejnovější problém byl přičítán seškrábání dat a nikoli porušení, situace zdůrazňuje, jak se staly významné kompromisy v sociálních sítích.

Phishingové kampaně se stále častěji spouští pomocí legitimních cloudových služeb, jako je Google, Dropbox nebo SharePoint. S organizacemi, které mají tyto služby na seznamu povolených, může phishingová stránka hostovaná na legitimní infrastruktuře obejít zabezpečení a školení uživatelů, které učí lidi hledat podezřelé domény. S hrozbami přicházejícími z těchto legitimních cloudových služeb a ohrožených účtů je pro běžné lidi nemožné přesně identifikovat potenciální útok bez ohledu na jejich školení v oblasti kybernetické bezpečnosti.

Zmírnění rizika

Vzhledem k růstu BYOD za poslední zhruba rok musí odborníci v oblasti bezpečnosti přezkoumat své aktuální strategie zabezpečení koncových bodů. Otázky zabezpečení musí klást otázky, například: má každé uživatelské zařízení nainstalováno software pro kybernetickou bezpečnost, mají zaměstnanci přístup k průběžnému školení o kybernetické bezpečnosti a jak mohou organizace nejlépe vyvážit potřebu udržovat přísné bezpečnostní prostředí, aniž by bylo nutné kompromitovat osobní údaje zaměstnanců, kteří jsou při práci závislí na svých osobních zařízeních?

Kromě zabezpečení zařízení - nového koncového bodu v jakékoli síti - je důležité informovat zaměstnance o šíři a náročnosti dnešních hackerských útoků na lidi. Víme, že lidé jsou nejslabším článkem bezpečnostního procesu, přičemž lidská chyba nevyhnutelně vede ke kompromisu. Varování zaměstnanců, že útoky jsou téměř běžné, a na všech komunikačních kanálech a kanálech spolupráce, včetně textových zpráv SMS a sociálních médií, může být dalším krokem, který pomůže vyhnout se potenciálnímu výskytu těchto porušení.

Neexistuje však žádný spolehlivý způsob, jak posílit firemní obranu, aby se rozptýlil po široké geografické stopě. Protože je rychlost malwarových a phishingových útoků tak vysoká, budou organizace potřebovat více obran, které kombinují různé techniky. Nejlepší obrana je vrstvená, která obsahuje software pro kybernetickou bezpečnost, zabezpečení na koncových bodech všech sítí, včetně mobilních zařízení, a školení uživatelů. Ale co víc, společnosti musí přijmout AI a strojové učení (ML) k dalšímu posílení jejich prostředí BYOD.

Realisticky je téměř nemožné splnit požadavky na lidské zdroje potřebné k obraně proti rostoucímu počtu automatizovaných útoků ručně. Společnosti musí bojovat s příslovečnou palbou ohněm, protože BYOD se stane novým bojištěm. Kombinací stávajících přístupů ke kybernetické bezpečnosti s algoritmy AI a ML získají firmy přístup k automatizované analýze, která porozumí tomu, co dělá aplikaci, rozšíření, webovou stránku a falešnou stránku škodlivou.

Žádný lockdown

To samozřejmě neznamená, že organizace mohou odfiltrovat osobní údaje z osobních zařízení zaměstnanců. Endpoint Protection lze použít k zajištění soukromí a zabezpečení a zároveň pokračovat v přístupu BYOD. To znamená, že firma má úplnou viditelnost prostředí hrozeb, aniž by bylo ohroženo soukromí jejich zaměstnanců. Tím, že data neopustí zařízení, společnost nemůže vidět například chování uživatele při procházení.

Nakonec nejlepší způsob, jak zaručit soukromí při poskytování požadované úrovně ochrany, je udělat to na samotném zařízení. Zaměřením se na infekci a nikoli na přenos osobních údajů zpět do podnikového prostředí může organizace získat to nejlepší z obou světů. Efektivní prostředí BYOD, kde je povolena produktivita a přitom je stále co nejbezpečnější, aniž by byla ohrožena zkušenost zaměstnanců.

Autor původního článku: Patrick Harr
Překlad: Ondřej Strachota