Miesiąc: grudzień 2021

Wraz z zakupem nowego auta, zwłaszcza wyższego segmentu zyskujemy niekiedy nie tylko rozbudowany system elektroniki, ale również swoiste centrum zarządzania samochodem.
Dzięki temu na przykład za pomocą smartfona jesteśmy w stanie dostosować temperaturę wnętrza zanim jeszcze do niego wsiądziemy. Możemy również uzyskać wiele informacji o stanie samochodu, liczbie przejechanych kilometrów, czy ostatnio pokonanej trasie z wykorzystaniem GPS. Parując urządzenie bluetooth z autem możemy o wiele łatwiej nawiązywać połączenia, odczytywać SMS, czy na nie odpisywać. Czy jednak tak duże nagromadzenie elektroniki nie wpływa negatywnie na przetwarzanie naszych danych? Czy auta mogą stać się celem hakerów?
Branża motoryzacyjna osiągnęła ważny kamień milowy w 2020 roku: ponad połowa samochodów sprzedawanych na całym świecie była standardowo wyposażona w łączność z Internetem. Nowoczesne pojazdy zaczęły przypominać mobilne superkomputery, z których każdy zawiera miliony linijek kodu i może przetwarzać ogromne ilości danych.
Branża motoryzacyjna podwaja ilość danych, aby poprawić wrażenia z jazdy i zarabiać na informacjach. Ale ta hiperłączność wiąże się ze znacznym ryzykiem. Na początku roku 2021 dwóch badaczy zaprezentowało, jak Tesla – i prawdopodobnie inne samochody – mogą zostać zhakowane zdalnie, bez interakcji użytkownika, za pomocą drona.

Strach pomyśleć co mogłoby się stać gdyby nie były to wyłącznie testy.
Największe domniemane zagrożenia bezpieczeństwa dla przemysłu motoryzacyjnego to:

Kradzież samochodu
Informacje o użytkowniku pozyskane w wyniku naruszenia danych
Zdalna manipulacja lub kontrola pracy samochodu, która zagraża bezpieczeństwu fizycznemu kierowców, pasażerów i innych osób na drodze

Mając na uwadze powyższe, chcieliśmy zbadać niektóre z największych wyzwań związanych z bezpieczeństwem, przed którymi stoją producenci samochodów w dającej się przewidzieć przyszłości.
Ryzyko łańcucha dostaw
Hakerzy zwracają uwagę na samochody z dostępem do Internetu. Mają wiele punktów wejścia, więc istnieje kilka sposobów na czerpanie korzyści z ataków. Od 2016 r. liczba cyberataków na pojazdy połączone z internetem wzrosła o prawie 100% rocznie.
Kradzież i zdalny rozruch o wiele prostsze
Jednym z celów wprowadzania lepszej technologii do samochodów jest uczynienie ich wygodniejszymi i bezpieczniejszymi przed kradzieżą. Przykładem jest przejście z kluczy fizycznych na karty, które wykorzystują nadajnik radiowy krótkiego zasięgu. Jednak dzisiaj wystarczy para gadżetów radiowych za 11 dolarów, aby zhakować kartę i ukraść samochód. Zdalny rozruch to kolejna funkcja, która jest coraz częściej wykorzystywana przez złodziei samochodów.
Hakowanie systemów bezpieczeństwa w podłączonych samochodach i dostępność tanich urządzeń do kradzieży, nawet tych wykonanych przy użyciu starych Nintendo Game Boys , oznacza, że ​​złodzieje mogą uzyskać dostęp do niemal każdego podłączonego samochodu, jaki tylko chcą. 
Naruszenia danych
Dzięki rozwoju technologii nowoczesne pojazdy mogą zbierać więcej danych osobowych o swoich użytkownikach – to nie tylko ułatwienie, ale również niebezpieczeństwo. Były dyrektor generalny Intela, Brian Krzanich, przewiduje że tylko jeden autonomiczny samochód zużyje 4000 GB danych dziennie. 
Niestety, różne tryby łączności takie jak:

Pojazd do sieci (V2N)
Pojazd do infrastruktury (V2I)
Pojazd do pojazdu (V2V)
Pojazd do chmury (V2C)
Pojazd do pieszego (V2P)
Pojazd do urządzenia (V2D)
Pojazd do sieci (V2G)

oraz przechowywanie informacji w niezabezpieczonych repozytoriach, to duża szansa na ich wykradzenie. Na przykład śledztwo Washington Post ujawniło, ile danych osobowych można wydobyć z używanego komputera informacyjno-rozrywkowego z Chevrolet. Ponieważ coraz więcej modeli jest dostarczanych z łącznością 4G lub 5G, hakerzy nie potrzebują nawet fizycznego dostępu do pojazdu, aby go infiltrować i wydobyć prywatne informacje.
 
Samochody wykonujące niepożądane czynności
Utopijna możliwość odebrania kontroli kierowcy przeniosła się z filmów akcji do świata rzeczywistego. Jednym z najbardziej znanych przykładów było to, że badacze włamywali się i wyłączali skrzynię biegów w Jeepie Cherokee, gdy jechał on na autostradzie z prędkością 70 mil na godzinę. To ostatecznie doprowadziło do tego, że Chrysler wycofał 1,4 miliona pojazdów. 
Zdalne przejmowanie funkcji systemu jest poważnym problemem dla pojazdów autonomicznych. Naukowcy wykazali, w jaki sposób zaawansowane systemy wspomagania jazdy (ADAS) w Tesli Model X mogą zostać oszukane, aby zmienić kierunek jazdy. By pojazdy podłączone do sieci osiągnęły swój pełny potencjał, producenci samochodów muszą przekonać organy regulacyjne i klientów, że są naprawdę bezpieczne.
Połączone aplikacje samochodowe
Aplikacje mobilne zastępujące karty to kolejny znaczący postęp, którego zaczynamy być świadkiem. Obecnie te aplikacje mogą wykonywać proste funkcje, takie jak odblokowywanie samochodu, po zaawansowane czynności, takie jak samodzielne parkowanie lub wzywanie samochodu. Wszystkie te funkcje wymagają przechowywania i przekazywania poufnych informacji z poziomu aplikacji. Dlatego zabezpieczenie danych w spoczynku i w ruchu ma kluczowe znaczenie dla zdobycia zaufania klientów.
Aby tak się stało, twórcy aplikacji muszą nadać najwyższy priorytet cyberbezpieczeństwu połączonego samochodu. Ale to nie jest takie proste, jak się wydaje. Posiadanie wystarczająco dużego wewnętrznego zespołu ds. bezpieczeństwa, aby utrzymać bezpieczeństwo aplikacji na wymaganym poziomie, może nie zawsze być realną opcją dla producentów samochodów.
Aplikacje są już trzecim najpopularniejszym wektorem ataków wykorzystywanym do infiltracji podłączonych samochodów. Wraz z rosnącą liczbą kradzieży aplikacje samochodowe mogą stać się jeszcze większym i lukratywnym celem.
Droga przed nami: lepsze bezpieczeństwo nowoczesnych, smart samochodów
Wzmocnienie cyberbezpieczeństwa samochodów połączonych do sieci i zabezpieczenie powiązanych aplikacji motoryzacyjnych przed włamaniem wymaga wielu technik blokowania i udaremniania wysiłków hakerów.
Firma Zimperium dysponuje narzędziami pozwalającymi chronić nie tylko wielkie koncerny, kody źródłowe i zaawansowane aplikacje, ale także nasze mobilne urządzenia wykorzystywane w różnego rodzaju organizacjach.
Zimperium oferuje jedyną ochronę w czasie rzeczywistym na urządzeniu opartą na uczeniu maszynowym. Rozwiązania Zimperium chronią mobilne punkty końcowe i aplikacje przeciwko atakom na urządzenia, sieć, phishing i złośliwe aplikacje.
Zimperium zapewnia jedyne rozwiązania MTD (Mobile Threat Defense), które:

zapewniają ochronę przed atakami rozpoznanych i nierozpoznanych urządzeń, sieci, złośliwych aplikacji i phishingiem;
bazują na systemach Android, iOS i Chromebook;
mogą być zarządzane z każdego systemu chmurowego i on-prem;
posiadają certyfikację FedRAMP “Authority to Operate”;
mogą chronić prywatność bez wysyłania żadnych danych umożliwiających identyfikację użytkownika;

Jeśli chcesz dowiedzieć się więcej o rozwiązaniach Zimperium skontaktuj się z nami.

Luka w oprogramowaniu Log4j (nazwana też Log4Shell) może stanowić krytyczne zagrożenie dla wielu organizacji! Ten artykuł pomoże Ci zrozumieć zagrożenie i przedstawi najlepsze praktyki w zakresie bezpieczeństwa tożsamości.

 
Od kiedy o tym wiemy i o co w tym chodzi?
W listopadzie 2021 roku Fundacja Apache otrzymała zgłoszenie naruszenia bezpieczeństwa w stworzonej przez siebie bibliotece log4j. A dokładniej chodzi o funkcję, którą można wykorzystać w „złośliwym” celu. Okazało się, że gdy do bibliotek przekaże się odpowiednio przygotowany tekst z adresem strony, wtedy biblioteka spróbuje pobrać plik a następnie go uruchomić. Dalej już chyba nie trzeba wyjaśniać co można zrobić.
 
Jakiego rodzaju jest to zagrożenie?
Specjaliści od cyberbezpieczeństwa nazwali ten incydent Log4Shell i mówią nawet o największym zagrożeniu od dekad. Luka w oprogramowaniu stwarza wielkie możliwości hakerom. Bez wiedzy użytkownika mogą mieć dostęp do tysięcy wrażliwych danych.
„Aby przeprowadzić atak, osoba, która chce wykorzystać lukę, musi uzyskać kod tego ataku odczytany przez bibliotekę log4j. W tym celu może wprowadzić dane w polu formularza lub w danych technicznych połączenia, zmieniając np. nazwę swojej przeglądarki internetowej lub swojego klienta poczty e-mail.” – Eric Freyssinet, Specjalista ds. Cyberbezpieczeństwa we francuskiej Żandarmerii.

Co dalej?
Apache wydał już oficjalną poprawkę dostępną dla wszystkich. Instalacja aktualizacji nie jest procesem scentralizowanym i każdy użytkownik musi ją indywidualnie pobrać i zainstalować na swoim komputerze. Proces ten może zatem potrwać.
Warto dodać, że potencjalne ataki prawdopodobnie nie będą wymierzone w zwykłych użytkowników. Według ekspertów, hakerzy najpewniej powinni zaatakować największe organizacje korzystające z log4j i będące jednocześnie podatne na zagrożenie.
 
Najlepsze praktyki cyberbezpieczeństwa
Nasz wieloletni Partner i ekspert od dostępu uprzywilejowanego, firma CyberArk, zaproponował 6 zasad, którymi powinniśmy się kierować, by zmniejszyć ryzyko Log4Shell. Zachęcamy do przeczytania i wdrożenia tych zasad w swojej organizacji.
 
6 najlepszych praktyk w zakresie bezpieczeństwa tożsamości w celu zmniejszenia ryzyka Log4Shell

Instalacja poprawek: Jeśli jeszcze tego nie zrobiłeś, podejmij natychmiastowe kroki i zainstaluj aktualizację oprogramowania Log4J wydaną przez Apache. Ważne jest również, aby zapoznać się z zaleceniami dostawców dotyczących aktualizacji dla używanych platform.
Zabezpieczenia peryferyjne: Zastosuj reguły zapory aplikacji internetowych (WAF), aby złagodzić typowe próby wykorzystania danych w ramach kompleksowej strategii obrony organizacji przed cyberzagrożeniami.
Dane uwierzytelniające: Ogranicz dostęp do zmiennych środowiskowych i lokalnych tożsamości przechowywanych w CI/CD, aby zminimalizować bezpośrednie ryzyko stwarzane przez atakujących.
Zasoby poziomu 0: Zezwalaj tylko na uprzywilejowany dostęp do określonych hostów, aby ograniczyć dostęp do zasobów warstwy 0, takich jak Active Directory i DevOps. To znacznie utrudni atakującemu włamanie do sieci.
Polityka minimalnych uprawnień: Ograniczenie dostępu do wymaganego minimalnego poziomu – i odebranie go, gdy nie jest potrzebny – może znacznie spowolnić lub zatrzymać atakującego.
Uwierzytelnianie wieloskładnikowe: Atakujący ma znacznie większe szanse na sukces, gdy nie muszą zapewnić drugiego czynnika uwierzytelniającego ani innego elementu potwierdzenia tożsamości, aby zaaplikować swój złośliwy kod.

Chcesz wdrożyć rozwiązania chroniące Twoją organizację przed potencjalnymi atakami? Skontaktuj się z nami, by dobrać odpowiedni produkt.

W dobie pandemii i coraz popularniejszej pracy hybrydowej, firmy z sektora SMB (Small and Medium Business) muszą szybko przystosować się do nowej sytuacji. Postępująca transformacja cyfrowa pociąga za sobą szereg wyzwań, ale i otwiera zupełne nowe możliwości rozwoju. Microsoft Teams Essentials to odpowiedź na tę sytuację.
Teams Essentials – Dedykowana oferta dla małych i średnich firm

W odpowiedzi na potrzeby małych i średnich przedsiębiorstw Microsoft przygotował nowy produkt w swojej ofercie. Microsoft Teams Essentials to nowa licencja standalone dla Microsoft Teams skierowana do firm korzystających ze spotkań online, które nie są jeszcze gotowe na całkowitą migrację do chmury Microsoft. Dostęp do Teams Essentials wygląda bardzo korzystnie cenowo, można powiedzieć wręcz, że jest skrojony na miarę SMB. To co może przyciągnąć właścicieli tych firm, to fakt, że nie trzeba mieć wykupionego całego pakietu Microsoft 365. Wystarczy mieć pakiet Teams Essentials żeby używać opcji spotkań w ramach Microsoft Teams.
Otrzymuj powiadomienia Teams na każdym mailu
Nie wszystkie firmy są gotowe na przejście o poziom wyżej z rozwiązaniami pocztowymi. Korzystając z obecnego adresu mailowego pracownicy mogą otrzymywać powiadomienia z Teams i kalendarza. Cała firma może otrzymywać informacje o zbliżającym się spotkaniu, a organizator ma podgląd kto zaakceptował zaproszenie, a kto jeszcze się waha. Pozostając przy istniejącej już poczcie można podnieść produktywność i współpracę wewnątrz organizacji poprzez opcje Teams.
Pracuj zespołowo i produktywnie

Dzięki możliwościom Teams Essentials możesz przeprowadzać spotkania dla swoich pracowników i klientów. Współpraca w trybie pracy zdalnej lub hybrydowej jest niezwykle istotna, więc warto ją uskuteczniać w najlepszy możliwy sposób. Podczas spotkań możesz prezentować nawet dla kilkuset osób. Każdy użytkownik może dzielić się swoimi projektami w ramach współdzielonego miejsca na dysku. Nagrywane spotkania możesz później udostępniać uczestnikom. Te i inne opcje w ramach licencji Teams Essential pomogą Twojej firmie zrobić pierwszy krok do transformacji cyfrowej.
W ramach Teams Essentials klienci otrzymują szereg opcji, które są dostępne w Microsoft Teams:
– organizacja spotkań online do 300 uczestników
– 10 GB współdzielonego miejsca na dysku
– możliwość integracji z kalendarzem Google
– nagrywanie spotkań
– czat i udostępnianie ekranu
– dostęp do aplikacji mobilnej
– integracja z ponad 800 aplikacjami
– i wiele więcej …
Wszystko to sprawia, że każda, nawet mała organizacja będzie miała szansę na produktywne spotkania w rozsądnej cenie. Poniżej przedstawiamy porównanie pakietów Microsoft Teams.
[caption id="attachment_2025" align="aligncenter" width="556"] Powyższy cennik może się zmienić.[/caption]
 
Zachęcamy do kontaktu, gdyby któraś z opcji była interesująca dla Twojej organizacji.