Një stërvitje me bisedë

Çfarë është ky

Kjo është një stërvitje me bisedë, në fushën e sigurisë njihet si ushtrim tabletop (TTX): një histori që e bisedon, jo një provim. Askush nuk prek një sistem të vërtetë. Lexon një situatë, vendos çfarë do të bëje, dhe sheh se çfarë ndodh më pas. Kështu ekipet e vërteta e provojnë një incident para se ta kenë ndonjëherë.

Ky mbështetet te gjithçka në kurs. Emrat dhe kompania janë të trilluar. Çdo ngjashmëri me një biznes të vërtetë është rastësi.

Skena

Adria Verde sh.p.k. është një shpërndarës ushqimesh i mesëm. Ka dyzet punonjës, një magazinë dhe një disk të përbashkët ku ruhen faturat, kontratat e furnitorëve dhe listëpagesa. Ti je pjesë e një grupi të vogël që do të merrej me një problem: Besa në financë, Ardit që kujdeset për kompjuterët dhe Blerta, menaxherja. Nuk ka ekip të posaçëm sigurie. Kjo është normale dhe pikërisht ky është thelbi.

Mbaje një pyetje në mendje në çdo hap: cila është gjëja e qetë e e thjeshtë për t'u bërë këtu?

Injekti 1, të hënën në mëngjes

Besa hap një email që duket sikur vjen nga një furnitor i zakonshëm, NovaByte. Thotë se një faturë është bashkëngjitur dhe pagesa ka kaluar afatin. Ajo klikon lidhjen, që hap një faqe hyrjeje me pamje të njohur, dhe fut fjalëkalimin e email-it për të "parë dokumentin". Faqja pastaj shfaq një PDF të thjeshtë pa asgjë të pazakontë.

Besa nuk mendon më për të.

Diskutoni (në grup; nëse je vetëm, shkruaji përgjigjet):

• Çfarë sapo ndodhi, në gjuhën e kursit? Cila dobësi u shfrytëzua?
• Besa nuk vuri re asgjë të gabuar. A pati një çast ku përfundimi mund të kishte ndryshuar?
• A ka nevojë ta dijë dikush këtë tashmë? Kush, dhe pse?

Injekti 2, të martën para agimit

Ardit merr një sinjalizim në orën 3 të mëngjesit: llogaria e Besës ka kërkuar të miratojë një hyrje katër herë brenda dhjetë minutash. Besa është në gjumë dhe nuk bëri gjë. Kërkesat po vijnë nga një vend i largët.

Diskutoni:

• Lidhe këtë me të hënën. Çfarë të tregon për atë "faqe hyrjeje"?
• Po të ishe Besa dhe telefoni të dridhej me një kërkesë miratimi që nuk e nise ti, çfarë duhet të bësh, dhe çfarë nuk duhet të bësh kurrë?
• Vërtetimi me shumë faktorë (MFA) po bën diçka të dobishme këtu edhe pse fjalëkalimi është vjedhur tashmë. Çfarë, saktësisht?

Injekti 3, të mërkurën

Vjen një email, sërish me pamjen e NovaByte. Është i sjellshëm dhe i shkruar mirë. Shpjegon se NovaByte ka ndërruar bankë, dërgon një kërkesë në stilin e mashtrimit me email biznesi (BEC): ju lutemi, përditësoni të dhënat tona bankare, dhe kërkon që pagesa e këtij muaji, një shumë e madhe, të shkojë te llogaria e re. Numri i faturës përputhet me një porosi të vërtetë, sepse vetë NovaByte ishte thyer disa javë më parë dhe sulmuesi ka qenë duke lexuar faturat dhe email-et e saj të vërteta që atëherë.

Blerta është gati ta miratojë për ta mbajtur furnitorin të kënaqur.

Diskutoni:

• Cili është hapi i vetëm që e kthen këtë nga një rrezik i lartë në një të ulët?
• Kë kontaktoni, dhe si, për të konfirmuar ndryshimin? Çfarë nuk duhet të bëni?
• Pse numri i saktë është ai që e kishit tashmë në dosje, jo ai në email?

Injekti 4, të enjten

Punonjësit vijnë dhe e gjejnë diskun e përbashkët që nuk hapet. Një shënim i shkurtër rri në çdo dosje: skedarët janë të enkriptuar, dhe ka një kërkesë për pagesë për t'i zhbllokuar. Ky është ransomware. Rruga e hyrjes ishte e zakonshme: të mërkurën një punonjës i dytë, jo Besa, hapi një bashkëngjitje "faturë" nga i njëjti fill i NovaByte, dhe programi i dëmshëm që u fut u përhap te disku i përbashkët gjatë natës. Puna ndalon. Kopja e fundit rezervë, mendon Ardit, u bë "ca kohë më parë".

Diskutoni:

• Rendit kostot që Adria Verde po përballon tani. Cila prej tyre është shpërblesa, dhe cilat janë më të mëdha?
• Gjëja më e dobishme tani është një kopje rezervë. Cilat dy veti duhet të ketë që të të shpëtojë vërtet?
• A e zhduk problemin pagesa? Çfarë thotë kursi për mbështetjen te ajo?

Injekti 5, të premten

Një gazetar vendas i telefonon Blertës. Ka dëgjuar një thashethem se Adria Verde u "hakua" dhe kërkon një koment. Ndërkohë ekipi po vendos nëse ta raportojë incidentin te Autoriteti Kombëtar për Sigurinë Kibernetike (AKSK, aksk.gov.al) dhe si t'u thotë punonjësve e furnitorëve se çfarë ndodhi.

Diskutoni:

• Çfarë fitohet duke raportuar herët e duke qenë i ndershëm, dhe çfarë humbet duke heshtur?
• Besimi ishte një nga katër kostot. Si e prekin vendimet e sotme, në njërin drejtim ose në tjetrin?
• Kush në Adria Verde duhej të ishte informuar, dhe kur, duke shkuar deri të hënën?

Përgjigje model

1. Phishing: një faqe hyrjeje e rreme mblodhi fjalëkalimin e Besës. Dobësia e shfrytëzuar ishte një person që i besoi një email-i dhe një faqeje me pamje të njohur, jo një e metë e programit.
2. Po: para se të shkruante fjalëkalimin, të kontrollonte adresën e dërguesit dhe adresën e vërtetë të faqes, ose ta hapte portalin e furnitorit nga një faqerojtës i ruajtur, jo nga lidhja.
3. Po. Arditi duhet ta marrë vesh tani, sepse një fjalëkalim i shkruar në një faqe të panjohur duhet trajtuar si i vjedhur dhe duhet ndryshuar, edhe pse asgjë nuk duket ende e gabuar.
4. "Faqja e hyrjes" ishte e rreme: ajo kapi fjalëkalimin e Besës, dhe dikush larg po e përdor tani për të provuar të hyjë.
5. Refuzoje kërkesën, ndrysho fjalëkalimin menjëherë dhe thuaji Arditit. Mos e mirato kurrë një hyrje që nuk e nise vetë, as "që të ndalojë".
6. MFA-ja është arsyeja pse fjalëkalimi i vjedhur nuk mjafton më vete: sulmuesit i duhet ende faktori i dytë i Besës, ndaj marrja e llogarisë ngec te kërkesa e miratimit.
7. Verifikoje ndryshimin përmes një kanali që nuk ta dha email-i, para se të paguash çfarëdo.
8. Telefono NovaByte në numrin që e ke tashmë në dosje (ose një kontakt të njohur atje), me telefon, jo duke iu përgjigjur email-it as duke përdorur ndonjë numër që ndodhet brenda tij.
9. Sulmuesi e kontrollon fillin e email-it, ndaj çdo gjë brenda tij, përfshirë një numër telefoni, mund të jetë e tija. Numri në dosje u mor në mënyrë të pavarur, para thyerjes.
10. Ndalimi i punës dhe shitjet e humbura, kostot e rikuperimit dhe të IT-së, gjoba ose detyrime ligjore të mundshme, dhe besimi i humbur i furnitorëve e klientëve. Shpërblesa është vetëm një zë, dhe zakonisht jo më i madhi.
11. E freskët dhe e provuar: e bërë aq së fundi sa të humbësh pak punë, dhe e rikthyer të paktën një herë që ta dish se funksionon vërtet, e mbajtur aty ku ransomware nuk e arrinte dot.
12. Jo. Pagesa i financon kriminelët, nuk jep asnjë garanci për kthimin e skedarëve dhe nuk e mbyll rrugën e hyrjes; kursi thotë të mbështetesh te kopjet rezervë, jo te pagesa.
13. Raportimi i hershëm sjell ndihmë, kufizon dëmin ndaj të tjerëve si furnitorët, dhe mund të jetë detyrim ligjor; heshtja rrezikon që historia të dalë gjithsesi, me besimin e humbur në krye.
14. Komunikimi i ndershëm dhe i hershëm e mbron besimin; të kapesh duke fshehur një thyerje, ose t'i lësh furnitorët të mashtrohen në heshtje, e shkatërron atë.
15. Arditi të hënën, sapo Besa shkroi fjalëkalimin në një faqe të çuditshme; Blerta dhe financa deri të martën; dhe gjithë stafi të mërkurën, që askush tjetër të mos e hapte "faturën".

Rishikimi

Ecni prapa nëpër javë. Thuajse çdo kthesë përputhet me diçka në këtë kurs:

• E hëna ishte phishing dhe një fjalëkalim i vjedhur.
• E marta ishte një marrje llogarie që MFA-ja dhe një raportim i shpejtë mund ta ndalnin.
• E mërkura ishte mashtrim pagese, i mundur duke verifikuar përmes një kanali të veçantë e të besuar.
• E enjtja ishte ransomware, ku një kopje rezervë e freskët e e provuar është mbrojtja e vërtetë.
• E premtja ishte raportim dhe besim, ku ndershmëria e hershme kushton më pak se heshtja.

Vër re sa shpesh zgjidhja ishte e vogël dhe e qetë: kontrollo dërguesin, mos u nxito, konfirmo në një numër që e ke tashmë, mbaj një kopje rezervë që e ke provuar, thuaji dikujt herët. Asgjë nga këto nuk kërkoi një ekip sigurie. E gjitha kërkoi një zakon.

Tani vlerëso sërish nga 1 deri në 5 besimin tënd se do ta përballoje mirë një incident të vërtetë. Nëse një numër u ngjit, ky është kursi që po punon. Nëse njëri është ende i ulët, ke gjetur pikërisht se ku të shohësh më pas.