Logiciel de sécurité de développement - Perspective un chapeau blanc de

"Si vous connaissez l'ennemi et vous savez que vous ne devez pas craindre les résultats d'une centaine de batailles. Si vous connaissez vous-même mais pas l'ennemi, pour chaque victoire vous devrez également subir une défaite. Si vous ne connaissez ni l'ennemi ni vous-même, succomberez à chaque bataille. " - Sun Tzu [1]

Introduction-

Comment connaître votre ennemi

Connaître votre ennemi est vital dans le combattre efficacement. La sécurité doit être appris non seulement par la défense du réseau, mais aussi en utilisant la vulnérabilité des logiciels et des techniques utilisées dans une intention malveillante. Comme outils d'attaque informatique et les techniques continuent d'avancer, nous verrons probablement majeur, impact des événements de vie dans un avenir proche. Cependant, nous allons créer un monde beaucoup plus sécurisé, avec une gestion du risque à un niveau acceptable. Pour y arriver, nous devons intégrer la sécurité dans nos systèmes dès le début, et la conduite de tests de sécurité approfondie tout au long du cycle de vie du logiciel du système. Une des façons les plus intéressantes de l'apprentissage de la sécurité informatique est d'étudier et d'analyser du point de vue de l'attaquant. Un hacker ou un pirate de programmation utilise diverses applications logicielles et des outils disponibles pour analyser et enquêter sur les faiblesses du réseau et des failles de sécurité logicielles et de les exploiter. Exploiter le logiciel est exactement ce que cela ressemble, profitant de quelques bug ou faille et la refonte pour le faire fonctionner à leur avantage.

De même, vos informations personnelles sensibles pourrait être très utile aux criminels. Ces assaillants pourraient être la recherche de données sensibles à l'utilisation en vol d'identité ou d'autres fraudes, un moyen pratique pour blanchir de l'argent, des informations utiles dans leurs démarches d'affaires criminelles, ou l'accès au système pour d'autres fins néfastes. Une des histoires les plus importantes de ces deux dernières années a été la ruée du crime organisé dans l'entreprise ordinateur attaquant. Ils font usage de processus d'affaires pour faire de l'argent dans les attaques informatiques. Ce type de crime peut être très lucrative pour ceux qui pourraient voler et de vendre des numéros de carte de crédit, de commettre le vol d'identité, ou même extorquer de l'argent d'une cible sous la menace d'inondations DoS. En outre, si les attaquants couvrir leurs traces attentivement, les possibilités d'aller en prison sont beaucoup plus faibles pour les crimes informatiques que pour de nombreux types de crimes physiques. Enfin, en opérant à partir d'une base à l'étranger, d'un pays avec un cadre juridique peu ou pas de poursuites concernant la criminalité informatique, les attaquants peuvent opérer en toute impunité virtuelle [1].

Sécurité actuelle

E'valuation des vulnérabilités des logiciels est la clé de l'amélioration de la sécurité en cours au sein d'un système ou application. Développer une telle analyse de la vulnérabilité devrait prendre en considération tous les trous dans le logiciel qui pourrait mener à bien une menace. Ce processus devrait mettre en évidence des points de faiblesse et d'aider à la construction d'un cadre pour une analyse ultérieure et les contre. La sécurité que nous avons en place aujourd'hui, y compris les pare-feu, logiciel de contre-attaquer, les bloqueurs IP, des analyseurs de réseau, protection contre les virus et la numérisation, le cryptage, les profils utilisateur et les clés de mot de passe. Elaborer les attaques sur ces fonctionnalités de base pour le logiciel et le système informatique qui héberge il est important de faire des logiciels et des systèmes de plus forts.

Vous avez peut être une tâche qui nécessite un module client-hôte qui, dans de nombreux cas, est le point de départ à partir de laquelle un système est compromise. Aussi la compréhension du cadre vous êtes en utilisant, ce qui inclut le noyau, est impérative pour prévenir une attaque. Un débordement de pile est une fonction qui est appelée dans un programme et accède à la pile pour obtenir des données importantes, telles que les variables locales, arguments de la fonction, l'adresse de retour, l'ordre des opérations au sein d'une structure, et le compilateur utilisé. Si vous obtenez cette information, vous pouvez l'exploiter pour écraser les paramètres d'entrée sur la pile qui est destiné à produire un résultat différent. Cela peut être utile pour le pirate qui veut obtenir toute information qui peut leur accorder l'accès au compte d'une personne ou quelque chose comme une injection SQL dans la base de votre entreprise. Une autre façon d'obtenir le même effet sans connaître la taille de la mémoire tampon est appelé un débordement de tas qui utilise les tampons alloués dynamiquement qui sont destinés à être utilisés lorsque la taille des données n'est pas connue et la mémoire des réserves lorsqu'il est attribué.

Nous savons déjà un peu de débordements d'entiers (ou devrait au moins) et donc nous déborde Integer sont essentiellement des variables qui sont sujettes à des dépassements par des moyens d'inverser les bits pour représenter une valeur négative. Bien que cela semble bon, les entiers sont eux-mêmes changé radicalement ce qui pourrait être bénéfique pour les attaquants besoins tels que causer une attaque par déni de service. Je crains que si les ingénieurs et les développeurs ne vérifient pas les débordements tels que ceux-ci, cela pourrait signifier des erreurs résultant en écrasant une partie de la mémoire. Cela impliquerait que si quelque chose en mémoire est accessible, il pourrait fermer leur système tout entier et laisser vulnérable tard sur la route.

Vulnérabilités de chaîne de format sont en réalité le résultat d'une faible attention au code de la programmeurs qui l'écrire. S'il est écrit avec le paramètre de format tel que "x%", alors il renvoie le contenu hexadécimal de la pile si le programmeur a décidé de quitter les paramètres comme "printf (string);" ou quelque chose de similaire. Il ya beaucoup d'autres outils de tests et des techniques qui sont utilisées dans les tests de la conception de cadres et d'applications tels que «fuzzing» qui peut prévenir ce genre d'exploits en voyant où les trous mensonge.

Afin d'exploiter ces failles logicielles qu'elle implique, dans presque tous les cas, la fourniture des entrées incorrectes pour le logiciel afin qu'il agit d'une certaine manière ce qui n'était pas prévu ou prédit. Bad entrée peut produire de nombreux types de données renvoyées et les effets dans la logique du logiciel, qui peut être reproduit par l'apprentissage des défauts d'entrée. Dans la plupart des cas, cela implique d'écraser les valeurs d'origine dans la mémoire si elle est la manipulation de données ou l'injection de code. TCP / IP (Transfert Control Protocol / Internet Protocol) et des protocoles connexes sont incroyablement flexible et peut être utilisé pour toutes sortes d'applications. Cependant, la conception inhérente de TCP / IP offre de nombreuses opportunités pour les attaquants à saper le protocole, ce qui provoque toutes sortes de problèmes avec nos systèmes informatiques. En sapant le protocole TCP / IP et d'autres ports, les pirates peuvent violer la confidentialité de nos données sensibles, modifier les données à porter atteinte à son intégrité, faire semblant d'être d'autres utilisateurs et systèmes, et même se planter nos machines avec des attaques DoS. Beaucoup attaquants exploitent régulièrement les vulnérabilités du protocole TCP traditionnelle / IP pour accéder aux systèmes sensibles autour du globe avec une intention malveillante.

Les pirates d'aujourd'hui sont venus à comprendre les cadres d'exploitation et des failles de sécurité au sein de la structure d'exploitation lui-même. Windows, Linux et UNIX de programmation a été ouvertement exploité pour leurs défauts par des virus, des vers ou des attaques de Troie. Après avoir obtenu l'accès à une machine cible, les attaquants veulent maintenir cet accès. Ils utilisent des chevaux de Troie, backdoors, et root-kits pour atteindre cet objectif. Tout simplement parce que les environnements d'exploitation peuvent être vulnérables à des attaques ne signifie pas que votre système doit être aussi bien. Avec l'ajout de nouvelles de sécurité intégrés dans les systèmes d'exploitation comme Windows Vista, ou pour la règle de la source ouverte de Linux, vous n'aurez aucun mal à maintenir des profils de sécurité efficaces.

Enfin je veux discuter de ce type de technologie ont été voir au fait pirater le pirate, pour ainsi dire. Plus récemment, un professionnel de la sécurité nommé Joel Eriksson a présenté sa demande, qui infiltre les pirates attaquent à utiliser contre eux.

Article de Wired sur la convention RSA avec Joel Eriksson:

"Eriksson, un chercheur à l'entreprise de sécurité Bitsec suédois, utilise l'ingénierie inverse des outils pour trouver des failles de sécurité exploitables à distance dans le logiciel de piratage. En particulier, il vise l'intrus applications côté client pour contrôler l'utilisation des chevaux de Troie de loin, trouver des vulnérabilités qui pourraient laissez-le charger ses propres logiciels voyous aux machines intrus ». [7]

Les pirates, en particulier en Chine, l'utilisation d'un programme appelé PCShare de pirater les machines de leurs victimes et de télécharger des fichiers ou des téléchargements. Le programme développé Eriksson appelé RAT (outils d'administration à distance) qui infiltre le bug des programmes dont les écrivains les plus susceptibles négligé ou n'a pas pensé à crypter. Ce bug est un module qui permet au programme d'afficher le temps de téléchargement et de télécharger des fichiers de temps. Le trou était assez pour Eriksson pour écrire des fichiers sous le système de l'utilisateur et même de contrôler le répertoire de démarrage automatique du serveur. Non seulement cette technique peut être utilisée sur PCShare mais aussi un certain nombre de différents botnet ainsi. Nouveau logiciel comme celui-ci sort tous les jours et ce sera bénéfique pour votre entreprise de savoir quelles seront celles qui aident à combattre l'intercepteur.

Processus d'atténuation et l'examen

Pratiques de génie logiciel pour la qualité et l'intégrité sont les modèles des logiciels de sécurité cadre qui sera utilisé. "La confidentialité, l'intégrité et la disponibilité se chevauchent préoccupations, alors quand vous les modèles de sécurité partition en utilisant ces concepts en tant que paramètres de classement, de nombreux modèles tombent dans les régions qui se chevauchent» [3]. Parmi ces domaines de sécurité il ya d'autres domaines de haute densité du motif qui inclut l'informatique distributive, tolérance aux pannes et de gestion, les processus et la structuration de l'organisation. Ces domaines sont assez pour faire un cours complet sur les tendances dans [3] la conception de logiciels.

Nous devons également mettre l'accent sur le contexte de l'application qui est où le modèle est appliqué et le point de vue des intervenants et des protocoles qui ils veulent servir. Les modèles de menaces telles que la CIA modèle (confidentialité, intégrité et disponibilité) va définir le domaine du problème pour les menaces et les classifications derrière les modèles utilisés dans le modèle de la CIA. Ces classifications sont définies dans la défense en profondeur, Minefield et Grey techniques Chapeaux.

Le système de classification de tableaux dans les modèles de sécurité, définit la classification basée sur leurs concepts du domaine, qui ne parvient pas à rendre compte de plusieurs des tendances générales qui couvrent plusieurs catégories. Ce qu'ils ont essayé de faire dans les habitudes de classer a été à la base des problèmes sur ce qui doit être résolu. Ils partitionné l'espace de problème de sécurité motif à l'aide du modèle de menace, en particulier de distinguer la portée. Un processus de classification basé sur des modèles menace est plus perspicace, car il utilise les problèmes de sécurité que les modèles de résoudre. Un exemple de ces modèles menace est STRIDE. STRIDE est un acronyme qui contient les notions suivantes:

Spoofing: Une tentative d'accéder à un système utilisant une fausse identité. Un système compromis donnerait un accès utilisateur non autorisé aux données sensibles.

Falsification: la corruption de données lors de la communication en réseau, où l'intégrité des données est menacée.

La répudiation: le refus d'un utilisateur de reconnaître la participation à une transaction.

Divulgation de l'information: L'exposition indésirables et la perte de confidentialité des données privé.

Déni de service: Une attaque sur la disponibilité du système.

Une élévation de privilèges: Une tentative d'élever le niveau de privilège en exploitant certaines vulnérabilités, où la confidentialité d'une ressource, l'intégrité et la disponibilité sont menacés. [3]

Ce que cela couvre modèle de menace peut être discuté avec les quatre modèles suivants: défense en profondeur, Minefield, Enforcement Point politiques, et Grey Hats. Malgré cela tous les modèles appartenir à plusieurs groupes d'une façon ou d'une autre cause de classer les menaces abstraites serait difficile. La classification IEEE dans leur hiérarchie de classification est un arbre qui représente les nœuds sur la base du domaine verbatim précis. Motif de navigation sera plus facile et plus significative si vous l'utilisez dans ce format. Le système de classification basé sur le modèle STRIDE seul est limité, mais seulement parce que les modèles qui répondent à des concepts multiples ne peuvent pas être classés à l'aide d'un schéma à deux dimensions. Le schéma hiérarchique montre non seulement les noeuds feuille qui affichent les modèles, mais aussi de multiples menaces qui les affectent. Les nœuds internes sont dans le niveau de base plus élevé, qui se trouve de multiples menaces que tous le niveau de charge est affectée par. Schémas menace à la racine de l'arbre s'appliquent à des contextes multiples qui consistent de la carotte, le périmètre, et l'extérieur. Modèles qui sont plus fondamentaux, tels que défense en profondeur, résider à plus haut niveau de la hiérarchie de classification, car elles s'appliquent à tous les contextes. Utilisation d'outils de réseau, vous serez en mesure de trouver ces concepts menaces telles que l'usurpation, l'intrusion falsification, répudiation, déni de service, et sécurisé de pré-fork, permettra à l'équipe des développeurs de repérer les zones de faiblesse de la sécurité dans les domaines de base, le périmètre et l'extérieur de sécurité.

La défense contre le noyau fait root-kits devraient garder les attaquants d'accéder administratives en premier lieu en appliquant les correctifs du système. Outils pour Linux, UNIX et Windows rechercher des anomalies introduites sur un système par différents utilisateurs et du noyau root-kits. Mais même si un noyau parfaitement mis en œuvre et parfaitement installée root-kit peut esquiver un vérificateur d'intégrité des fichiers, des outils fiables de numérisation devrait être utile, car ils peuvent trouver des erreurs très subtile faite par un attaquant qu'un humain pourrait manquer. Aussi logiciels Linux fournit des outils utiles pour la réponse aux incidents et la criminalistique. Par exemple certains outils retourne sorties que vous pouvez faire confiance à plus de d'utilisateur et mode noyau root-kits.

Journaux qui ont été trafiqués sont moins inutiles à des fins d'enquête, et mène une enquête médico-légale sans contrôle l'exploitation forestière est comme le gâteau sans glaçage. Pour durcir un système, un montant élevé d'attention sera nécessaire afin de défendre connecter un système donné, qui dépendra de la sensibilité du serveur. Informatique sur le net qui contiennent des données sensibles, il faudra une grande quantité de soin de protéger. Pour certains systèmes sur un réseau intranet, l'exploitation forestière pourrait être moins impératif. Toutefois, pour les systèmes d'une importance vitale contenant des informations sensibles sur les ressources humaines, les questions de légalité, ainsi que les fusions et acquisitions, les journaux ne faire ou défaire la protection de la confidentialité de votre entreprise. Détecter une attaque et de trouver des preuves que numériques utilisent la criminalistique est vital pour la construction d'une affaire contre l'intrus. Alors crypter ces journaux, meilleur est le cryptage, le moins probable qu'ils seront jamais altérés.

Fuzz Protocoles

Protocole Le fuzzing est une technique de test de logiciel ce qui génère automatiquement, soumet ensuite, les données aléatoire ou séquentielle à divers domaines d'une application dans une tentative de découvrir des failles de sécurité. Il est plus couramment utilisé pour découvrir des failles de sécurité dans les applications et les protocoles qui gèrent le transport de données depuis et vers le client et l'hôte. L'idée de base est d'attacher les entrées d'un programme à une source de données aléatoires ou inattendus. Si le programme échoue (par exemple, en s'écrasant, ou en omettant des assertions de code intégré), puis il ya des défauts à corriger. Ce genre de fuzzing techniques ont d'abord été développé par le professeur Barton Miller et ses collaborateurs [5]. Il était destiné à changer la mentalité d'être trop confiant dans ses connaissances techniques, de mettre en cause la sagesse conventionnelle derrière la sécurité.

Luiz Eduardo sur le protocole fuzzing:

"La plupart du temps, lorsque la perception de la sécurité ne correspond pas à la réalité de la sécurité, c'est parce que la perception du risque ne correspond pas à la réalité du risque que nous inquiéter les mauvaises choses:. Accorder trop d'importance aux risques mineurs et pas assez d'attention aux plus importants. Nous ne sommes pas d'évaluer correctement l'ampleur des risques différents. Beaucoup de ce qui peut être écrit à la craie à une mauvaise information ou les mathématiques mauvais, mais il ya certaines pathologies générales qui reviennent encore et encore "[ 6].

Avec le courant dominant de fuzzing, nous avons vu de nombreux bugs dans un système qui a fait les nouvelles nationales ou même internationales. Les attaquants ont une liste de contacts, une poignée d'adresses IP pour votre réseau, et une liste de noms de domaine. En utilisant une variété de techniques de balayage, les attaquants ont maintenant acquis de précieuses informations sur le réseau cible, y compris une liste de numéros de téléphone avec des modems (plus obsolète mais encore viable), un groupe de points d'accès sans fil, les adresses des hôtes vivent, la topologie du réseau, les ports ouverts, et des ensembles de règles de pare-feu. L'attaquant a même recueilli une liste de vulnérabilités détectées sur votre réseau, tout en essayant d'échapper à la détection. A ce point, les attaquants sont prêts pour le tuer, prêt à prendre le relais des systèmes sur votre réseau. Cette croissance de fuzzing a montré que la livraison du logiciel du produit / service en utilisant des pratiques de test de base ne sont plus acceptables. Parce que l'Internet offre donc de nombreux outils de casser le protocole, il est très probable qu'un intrus se brisera le protocole de votre entreprise sur tous les niveaux de sa structure, la sémantique et les états du protocole. Donc à la fin, si vous n'avez pas fuzz c'est quelqu'un d'autre. Séance base, et même E'tat fondé, les pratiques fuzzing ont été utilisés pour établir les connexions utilisant le niveau de l'état d'une session de trouver une meilleure isolation faute. Mais le véritable défi derrière fuzzing fait de ces techniques, puis isoler l'environnement faute, les bugs, la mise en œuvre des protocoles et la surveillance de l'environnement.

Intégrations de systèmes

Il existe trois niveaux d'intégration de systèmes au développeur doit prendre en considération pour la sécurité. Le développeur de logiciels doivent considérer la révision de l'atténuation de la faille du logiciel et la fonder sur la mise en œuvre de conception. Ceci inclut le contrôle d'accès, détection d'intrusion et le compromis pour la mise en œuvre. L'intégration de ces contrôles dans le système est important dans la phase de mise en œuvre de développement. Les attaques sur ces systèmes peuvent même conduire à la sécurité sévères et les effets financiers. Sécurisation des systèmes informatiques est devenu une partie très importante du développement du système et de déploiement.

Puisque nous ne pouvons pas complètement enlever les menaces, nous devons minimiser leur impact à la place. Ceci peut être rendu possible par la création d'une compréhension des enjeux humains et techniques impliqués dans ces attaques. Cette connaissance peut permettre à un ingénieur ou développeur rendre la vie de l'intrus aussi dur que possible. Cela rend le défi encore plus grand dans la compréhension des motivations de l'agresseur et le niveau de compétence. Pensez-y comme le chef des pirates s'infiltrer en pensant comme eux psychologiquement.

Contrôle d'accès

Même si vous avez mis en place tous les contrôles que vous pouvez penser qu'il existe une variété de confinement aux cellules de sécurité qui doivent continuellement être complétée à des attaques constantes contre un système. Vous pouvez appliquer les correctifs de sécurité, utilisez un outil de vérification de l'intégrité du fichier, et l'exploitation forestière ont adéquats, mais avez-vous récemment regardé pour les modems non garantis, ou comment sur l'activation de la sécurité sur les ports ou sur les commutateurs de vos segments critiques du réseau pour éviter la dernière attaque sniffer ? Avez-vous envisagé la mise en œuvre non-exécutable piles afin de prévenir l'un des types les plus communs des attaques d'aujourd'hui, le débordement de la pile à base? Vous devez toujours être prêts à niveau du noyau root-kits avec ces autres attaques qui impliquent l'attaquant a la capacité de vous sortir de la commande de votre système.

Mot de passe attaques sont très communes dans l'exploitation des protocoles d'autorisation du logiciel. Les attaquants essaient souvent de deviner les mots de passe pour les systèmes d'accéder soit à la main ou par l'utilisation de scripts qui sont générés. Mot de passe fissuration impliquera de prendre le mots de passe cryptés ou hachés à partir d'un système de cache ou de registre et en utilisant un outil automatisé pour déterminer les mots de passe d'origine. Mot de passe des outils de fissuration de créer devine mot de passe, chiffrer ou de hachage les conjectures, et comparez le résultat avec le mot de passe crypté ou hachés aussi longtemps que vous avez le fichier de cryptage pour comparer les résultats. Les suppositions de passe peuvent provenir d'un scanner dictionnaire, des routines force brute, ou de techniques hybrides. C'est pourquoi les contrôles d'accès doivent protéger la santé humaine, les actifs physiques et intellectuels contre la perte, dommage ou un compromis en autorisant ou en refusant l'entrée dans l'intérieur et de la zone protégée. Les contrôles seront également refuser ou accorder des droits d'accès et le temps de celui-ci de la zone protégée. Les contrôles d'accès sont gérés par des ressources humaines en utilisant du matériel physique et / ou électroniques en conformité avec les politiques. Pour se défendre contre les attaques de mot de passe, vous devez avoir une politique de mot de passe fort qui oblige les utilisateurs à avoir des mots de passe non trivial. Vous devez rendre les utilisateurs conscients de la politique, employer un logiciel de filtrage de passe et, périodiquement, le crack de mots de passe des utilisateurs de votre propre (avec autorisation appropriée de la gestion) pour appliquer la politique. Vous pourriez aussi envisager des outils d'authentification plus fortes que les mots de passe, comme l'authentification PKI, les jetons matériels ou [1] du logiciel d'audit.

Mais malgré cela, un autre développeur pourrait être intéressé à authentifier uniquement. Cet utilisateur devrait d'abord créer des points d'accès minimal, où le modèle sera authentificateur appliquer des politiques d'authentification. Le descripteur de l'objet sera de définir les données utilisées pour accorder ou refuser la décision d'authentification. Un modèle de gestion de mot de passe synchroniseur effectue le mot de passe distribué. Authenticator et mot de passe synchroniseur ne sont pas directement liés. Les utilisateurs auront besoin d'appliquer d'autres modèles, après authentificateur avant de pouvoir utiliser un synchroniseur de passe.

Intrusion Detection

Détection d'intrusion est utilisé pour la surveillance et la journalisation de l'activité des risques de sécurité. Un réseau efficace de détection d'intrusion système devrait indiquer que quelqu'un a trouvé les portes, mais personne n'a vraiment essayé de les ouvrir encore. Ce sera d'inspecter l'activité du réseau entrant et sortant et identifier des modèles utilisés qui peuvent indiquer un réseau ou d'attaquer le système de quelqu'un tenter de compromettre le système. En détectant les abus du système des protocoles utilisés, tels que les scanners, analyse les informations qu'il recueille et qu'il compare à de grandes bases de signatures d'attaque qu'il offre. En substance, la détection de sécurité ressemble à une attaque spécifique qui a déjà été documenté. Comme un système de détection de virus, le système de détection est seulement aussi bon que l'indice de signatures d'attaque qu'il utilise pour comparer les paquets contre. Dans la détection d'anomalies, l'administrateur du système définit l'état normal de répartition du trafic du réseau, la charge, des protocoles et la taille des paquets typiques. Détection des anomalies de segments est utilisé pour comparer leur état actuel à l'état normal et chercher des anomalies. Concevoir la détection d'intrusion doit aussi mettre en compte, et à détecter, les paquets malveillants qui sont destinés à être dominé par un pare-feu de base générique des règles de filtrage. Dans un système basé sur l'hôte, le système de détection devrait examiner l'activité sur chaque ordinateur individuel ou d'un hôte. Tant que vous êtes la sécurisation de l'environnement et autorisant des transactions, puis la détection d'intrusion devrait s'accélérer aucune activité d'une faille dans le système de flux de données.

Compromis

Compromis sur la mise en œuvre doit également être pris en considération lors du développement de ces contrôles et les logiciels de détection. Le développeur doit également tenir compte de la gravité du risque, la probabilité du risque, l'ampleur des coûts, l'efficacité de la contre-mesure est d'atténuer les risques et comment les risques disparates et les coûts peuvent être analysés à ce niveau, malgré le fait que l'analyse des risques a été complète, car les changements réels doivent être considérés et l'évaluation de la sécurité doit être réévaluée à travers ce processus. Le seul domaine qui peut causer le sentiment de sécurité à s'écarter de la réalité de la sécurité est la notion de risque elle-même. Si nous obtenons la gravité du risque mal, nous allons obtenir le compromis mal, qui ne peut arriver à un niveau critique. Nous pouvons le faire pour savoir les implications de deux manières. Tout d'abord, nous ne pouvons sous-estimer les risques, comme le risque d'un accident d'automobile sur votre façon de travailler. Deuxièmement, nous pouvons surestimer certains risques, tels que le risque de certains gars vous savez, la traque, vous ou votre famille. Lorsque nous surestimons et quand nous avons sous-estimé est régi par une heuristique quelques particuliers. Un domaine heuristique est l'idée que «la sécurité mauvais arbitrages est la probabilité. Si nous obtenons la probabilité faux, nous obtenons le compromis mauvais» [6]. Ces heuristiques ne sont pas spécifiques à risque, mais de contribuer à l'évaluation du risque de mauvaise. Et comme les humains, notre capacité à évaluer rapidement et de cracher une certaine probabilité dans notre cerveau se heurte à toutes sortes de problèmes. Lorsque nous nous organisons pour analyser correctement un problème de sécurité, il devient de simples statistiques. Mais quand il descend à lui, nous avons encore besoin de comprendre la menace du risque qui peut être trouvé lorsque "la liste des cinq régions où la perception peut diverger de la réalité:«

-La gravité du risque.

-La probabilité du risque.

-L 'ampleur des coûts.

-Quelle est l'efficacité de la contre-mesure est d'atténuer les risques.

-Le compromis lui-même [6].

Pour penser un système est entièrement sécurisé est absurde et illogique, au mieux, sauf si la sécurité matérielle était plus répandue. Sentiment de la parole et la réalité de la sécurité sont différents, mais ils sont étroitement liés. Nous faisons de notre mieux la sécurité des compromis envisage la perception noté. Et ce que je veux dire par là qu'il nous donne une véritable sécurité pour un coût raisonnable et quand notre sentiment réel de sécurité correspond à la réalité de la sécurité. C'est lorsque les deux sont hors de l'alignement que nous obtenons de sécurité erroné. Nous ne sommes pas aptes à faire de la sécurité cohérente des arbitrages, en particulier dans le contexte d'un grand nombre d'informations auxiliaires qui vise à nous persuader que dans un sens ou un autre. Mais quand nous atteindrons l'objectif de verrouillage complet sur le protocole de sécurité qui est quand vous savez que l'évaluation était en vaut la chandelle.

Sécurité physique

La sécurité physique est toute information qui peuvent être disponibles et utilisés afin d'obtenir des renseignements précis sur les données société liée qui peut inclure de la documentation, des renseignements personnels, les biens et les personnes sensibles à l'ingénierie sociale.

Dans sa forme la plus largement pratiquée, l'ingénierie sociale implique un attaquant à l'aide des employés à l'organisation cible sur le téléphone et les exploiter à révéler des informations sensibles. L'aspect le plus frustrant, d'attaques d'ingénierie sociale pour les professionnels de la sécurité, c'est qu'ils sont presque toujours réussi. En se faisant passer pour un autre employé, un client ou un fournisseur, l'attaquant tente de manipuler la personne cible à révéler certains des secrets de l'organisation. L'ingénierie sociale est la tromperie pure et simple. Les techniques utilisées par les ingénieurs sociaux sont souvent associés à des attaques informatiques, probablement parce que le terme «ingénierie sociale» appliqué à la fantaisie des techniques lorsqu'il est utilisé dans les intrusions informatiques. Toutefois, les escrocs, les enquêteurs privés, l'application des lois, et même des gens déterminés de vente emploient pratiquement les mêmes techniques chaque jour.

Utilisez organismes publics et privés pour aider à la sécurité de personnel dans et autour de paramètres complexes aussi installer des alarmes sur toutes les portes, les fenêtres et les conduits du plafond. Faire une déclaration claire aux employés au sujet d'attribuer des rôles et des responsabilités claires pour les ingénieurs, employés et personnes en entretien des bâtiments et le personnel qu'ils doivent toujours avoir l'autorisation avant de pouvoir divulguer toute information données d'entreprise. Ils doivent prendre des contacts essentiels et une communication continue tout au long d'un produit logiciel et la divulgation de documents. Des ressources mobiles doivent être donnés aux employés qui voyagent et il doit être installé sur leurs appareils mobiles les protocoles de sécurité correct pour communiquer dans les deux sens à partir d'une connexion Internet. L'entreprise doit utiliser des locaux, étatiques et des installations à distance aux données de sauvegarde ou d'utiliser les services pour plus de sécurité et de protection des ressources de données. Ces sécurité supplémentaire pourrait inclure la surveillance des déchets des entreprises de sorte qu'il n'est pas susceptible de fouille de poubelles. Pour ne pas dire un assaillant pourrait être la recherche pour le déjeuner d'hier, mais votre aura plus de chances à la recherche de papier déchiqueté, d'autres importants mémo ou les rapports d'entreprise que vous voulez garder confidentiels.

Pêche dans les poubelles est une variation sur la santé physique de rodage qui implique fouiller dans les déchets d'une organisation pour rechercher des informations sensibles. Les attaquants utilisent la fouille de poubelles de trouver du papier mis au rebut, CD, DVD, disquettes (plus obsolète mais encore viables), les cassettes et les disques durs contenant des données sensibles. Dans l'underground informatique, la fouille de poubelles est parfois appelé saccage, et il peut être une affaire malodorante. Dans la poubelle massifs derrière votre immeuble, un attaquant pourrait découvrir un schéma complet de votre architecture réseau, ou un employé pourrait avoir négligemment jeté sur une note collante avec un ID utilisateur et mot de passe. Bien qu'il puisse sembler dégoûtant dans la plupart des égards, un plongeur benne bonne peut souvent récupérer l'or d'information à partir de déchets d'une organisation [1].

Conclusion

Sécurité développement implique l'examen minutieux de la valeur de l'entreprise et la confiance. Avec le monde tel qu'il existe aujourd'hui, nous comprenons que la réponse aux attaques électroniques ne sont pas aussi indulgents qu'ils devraient l'être, mais non moins inévitable. Criminels professionnels, mercenaires, et même les initiés, pour n'en nommer que quelques-unes des menaces qui nous guettent aujourd'hui, ne peut être comparé au pirate adolescent boutonneux assis à son ordinateur prêt à lancer son / sa nouvelle attaque à votre système. Leurs motivations peuvent inclure la vengeance, le gain monétaire, la curiosité, ou la petitesse commune pour attirer l'attention ou à se sentir accomplie en quelque sorte. Leurs niveaux de compétences vont de la script kiddies simples en utilisant des outils qu'ils ne comprennent pas, à des maîtres d'élite qui savent la technologie mieux que leurs victimes et même les vendeurs eux-mêmes.

Les médias, en rétrospective, a fait un point distinct que la menace du terrorisme numérique est dans l'âge d'or du piratage informatique. Comme nous charger plus de nos vies et la société sur les ordinateurs en réseau, les attaques sont devenus plus courants et dommageable. Mais ne vous découragez pas par le nombre et la puissance des outils informatiques qui nuisent à votre système, comme nous vivons aussi dans l'âge d'or de la sécurité des informations. Les défenses mises en œuvre et maintenues sont certainement ce qu'il vous faut. Bien qu'ils soient souvent pas facile, ils ajoutent une bonne dose de sécurité de l'emploi pour les administrateurs système efficace, les gestionnaires de réseau, et le personnel de sécurité. Ordinateur attaquants sont excellents dans le partage et la divulgation de l'information entre eux sur la façon d'attaquer votre infrastructure spécifié. Leur efficacité sur la distribution des informations concernant l'infiltration de leurs victimes peut être impitoyable et brutal. La mise en œuvre et maintenir un programme complet de sécurité n'est pas trivial. Mais ne vous découragez pas, nous vivons une époque très excitante, avec des technologies évolue rapidement, offrant de grandes opportunités pour l'apprentissage et la croissance.

Si la technologie en soi n'est pas assez excitant, il suffit de penser la sécurité d'emploi grande donnée aux administrateurs système, des analyseurs de sécurité, et les gestionnaires de réseau qui a une expérience bien informés sur la façon de sécuriser leurs systèmes de façon appropriée. Mais aussi garder à l'esprit qu'en restant assidu, vous ne pouvez vraiment défendre votre information et des systèmes tout en ayant un emploi stimulant et excitant pour vous donner plus d'expérience. Pour faire face à des assaillants et de défendre nos systèmes, nous devons comprendre leurs techniques.

2e éd.