Fem slutsatser om den mänskliga faktorn i IT-säkerhet

En sammanfattning från RSA Security Conference 2020

Den 24-28 februari ägde RSA Security Conference 2020 rum i San Francisco, USA. Conscia hade två deltagare på plats, här är en sammanfattning av våra upplevelser på plats.

Det första som slår en är bredden av sessioner. Allt från djupa tekniska sessioner om metodik för IoT-penetrationstestning till ledningssessioner om hur du sköter ditt IT-säkerhetsteam. För mig är detta mycket positivt, det gör det möjligt för mig att välja de sessioner som jag finner mest intressanta. Att välja de bästa sessionerna kan vara mycket utmanande. Det finns flera hundratals att välja bland och ibland kan det vara bättre ta några som utmanar dina förutfattade meningar. Så gå inte på dina vanliga leverantörspresentationer utan välj en från en konkurrerande leverantör för att höra deras synvinkel.

För det andra gav ingen av de sessioner jag besökte direkt konkreta råd men de var mer inspirerande för mig. Och med det menar jag att det inte är en kurs om att sätta upp ny teknik utan mer en konferens som ger dig mycket input och många nya tankar. Jag antar att det är det som är meningen med konferenser?

Eftersom konferensen lockar till sig mer än 40 000 IT-säkerhetsproffs finns det mycket att se i utställningen men också många att träffa. Vi tog chansen att träffa våra partners för att diskutera nyheter och möjligheter.

Temat i år var den mänskliga faktorn. Några av presentationerna syftade till att höja medvetenheten om denna, men för mig var detta inte det heltäckande temat. Sessionerna byggdes utifrån många andra perspektiv, vilket jag tyckte var fantastiskt.

#1 Den mänskliga faktorn

Som nämnts ovan var temat för RSA Security Conference 2020 den mänskliga faktorn. Några av huvudtalarna berörde detta och en av dem uppgav att vi borde demokratisera säkerheten och inse att användare inte är dumma. Vi kan fortsätta med åtgärder för att höja medvetenheten (Awareness Training), men de fungerar inte. Det beror inte på att användare är dumma eller försöker kringgå säkerheten. Så vi bör förenkla designen och ha en öppen kultur.

Det påpekades också att vi skulle sluta skylla på användarna. Ett exempel gavs med Typhoid Mary. Sluta skuldbelägga folket som äter maten utan granska kockarna istället. Det är alltså företagen som utvecklar programvaran som är ansvariga – inte slutanvändarna.

En annan huvudtalare tog upp att det nu är möjligt att producera två olika dokument med exakt samma SHA-1-hashvärde och att detta kan göras på en minut med Quad computing. Det är mycket dyrt (uppskattat till 50.000 USD) men fortfarande möjligt. Talaren menade att vi inte borde hålla våra krypterade dokument för att vara säkra. Inom 5-10 år kan de sannolikt dekrypteras.

#2 IoT / OT / ICS Security

Ett annat stort ämne på RSA Security Conference 2020 var IoT / OT / ICS-säkerhet. Jag deltog på en presentation av @Andy Greenberg – författaren till Sandworm. En bok som jag tidigare har rekommenderat som beskriver hans jakt på Sandworm-gruppen som legat bakom malware-attacker och som visat sig utgå från Ryssland.

Vi måste få ordning på OT-säkerheten och tillämpa grundläggande säkerhetsprinciper.

# 3 Berättelser från fronten

Detta var också en titel för en av sessionerna där ledande hotforskare diskuterade det senaste årets cyberhot.

Hackarna som sponsras av kinesiska staten beskrevs som de bästa, men Ryssland förväntas också komma tillbaka på grund av olympiskt förbud öka aktiviteten när det gäller OS.

Hackare fokuserar nu på tjänsteleverantörer eftersom dessa kommer att ha tillgång till hackarnas verkliga mål. Ibland är det lättare att hacka tjänsteleverantören och sedan förflytta sig till det verkliga målet.

Dessutom använder den ekonomiskt motiverade hackaren nu de statliga hackarnas verktyg och blir då mycket bra belönad med sex till åtta-siffriga belopp i ett hack.

Sättet att förhindra detta är att patcha dina sårbarheter och sedan testa dina system och inställningar. Många verktyg implementeras inte korrekt och tester som Red Teaming kan hjälpa till att identifiera detta.

# 4 En exposé av hacking

Trenderna från 2019 var ransomware, ransomware och ransomware! Nya länder äntrar nu scenen: Nordkorea, Iran, Vietnam och Pakistan.

Och de nya aktörerna gör det inte bara för pengarna. De stjäl också immateriella rättigheter (IP).

# 5 Hämta lösenordshanterares hemligheter

Om jag skulle nämna en teknisk presentation från RSA Security Conference 2020 skulle det vara den som beskrev säkerheten för lösenordshanterare. Talaren hade testat 1Password7, 1Password4, Dashlane, Keepass och Lastpass. Lösenordshanterarna testades i låst och olåst tillstånd samt kördes inte. Det var möjligt för honom att återställa huvudlösenordet i några av produkterna så håll koll på din lösenordshanterare och skydda din dator.

Blogginlägget relaterat till presentationen finns här:
https://www.ise.io/casestudies/password-manager-hacking/

RSA Security Conference 2021 kommer att äga rum i San Francisco den 8-12 februari. Vi kommer med all säkerhet att delta igen och om du skulle vilja delta ihop med oss så hör av dig till mig.

Läs mer om Conscia CyberSecurity

Kontakta oss!
Svar inom 24h