Wawasan industri: bagaimana keyboard game favorit Anda dapat menjatuhkan seluruh bisnis

Awal bulan ini, serangan tebusan WannaCry menginfeksi lebih dari 300.000 PC Windows di seluruh dunia. Ketegangan ransomware menuntut agar bisnis dan individu yang terinfeksi membayar $ 300 untuk membuka kunci setiap mesin - serta data yang tersimpan di perangkat mereka. Meskipun WannaCry dengan cepat digagalkan, ada ancaman yang lebih besar, lebih menakutkan, dan tidak dikenal yang mengintai yang dapat merusak bisnis Anda.

Anda mungkin telah membaca puluhan artikel tentang bagaimana Anda dapat melindungi bisnis Anda dan diri Anda sendiri, dan Anda mungkin meminta bantuan perangkat lunak perlindungan endpoint untuk menjaga keamanan perusahaan Anda. Tetapi tahukah Anda bahwa bahkan perangkat yang paling mencolok yang dicolokkan ke jaringan Anda dapat memungkinkan peretas melakukan kerusakan besar pada bisnis Anda?

Saya berbicara dengan Yossi Appleboum, co-CEO Sepio Systems, tentang apa yang perlu Anda ketahui tentang serangan skala besar di industri jasa keuangan, apa yang perlu dilakukan perusahaan jasa keuangan kecil agar tetap siap, dan mengapa periferal seperti mouse dan keyboard dapat menjadi ancaman utama bagi bisnis Anda.

PCMag: Apa skenario terburuk, skenario mimpi buruk dalam hal seseorang atau kelompok meretas ke dalam lembaga keuangan?

Yossi Appleboum (YA): Setiap kali data dikompromikan, itu adalah skenario mimpi buruk, terutama ketika datang ke lembaga keuangan. Kehilangan kendali atas informasi keuangan hak milik pemegang saham mengancam integritas data dan berpotensi mata pencaharian para pemangku kepentingan yang memiliki kulit moneter dalam permainan, berakar pada asumsi bahwa data mereka akan selalu aman. Lebih penting lagi, dari sudut pandang keuangan, kebocoran informasi ini mengancam hubungan fidusia yang memayungi organisasi - masa lalu, sekarang, dan masa depan.

Kebocoran data sangat menakutkan karena seringkali tidak ada indikator yang jelas tentang ruang lingkup pelanggaran dan risiko terkait. Ini bisa sekecil pencurian catatan satu akun untuk pencurian yang lebih luas dari database lengkap yang menyimpan data pribadi dalam jumlah besar, seperti pelanggaran data di firma hukum Panama di mana lebih dari 11 juta dokumen kepemilikan bocor.

Kepala Petugas Keamanan Informasi (CISO) dari lembaga keuangan menyadari bahaya kebocoran data dan akan selalu memprioritaskannya dalam daftar ancaman dunia maya yang tak ada habisnya. Lembaga keuangan global menghabiskan ratusan juta dolar setahun untuk membangun sistem pencegahan kehilangan data (DLP) multi-layer. Beberapa CISO mampu membangun sistem yang tidak dapat dipecahkan yang melindungi bahkan terhadap serangan cyber yang paling umum. Di sisi lain dari persamaan itu, aktor-aktor jahat meningkatkan kompleksitas serangan, meningkatkan senjata cyber pemerintah yang bocor terhadap sasaran sipil seperti bank.

Penjahat menggunakan senjata cyber strategis - termasuk manipulasi, perangkat keras sehari-hari seperti keyboard dan Perangkat Antarmuka Manusia (HID) lainnya - melawan target komersial. Masalahnya adalah bahwa alat-alat serangan siber ini dapat ada dalam sistem yang sepenuhnya tidak terdeteksi oleh alat-alat pertahanan siber yang ada. Ini mungkin bentuk spionase data yang paling menakutkan dan paling berbahaya: perangkat yang tidak terdeteksi yang mengekstraksi informasi di bawah radar.

Tidak ada cara untuk "un-spill the beans" begitu mereka telah tumpah. Setelah data bocor, tidak dapat diamankan secara surut. Oleh karena itu, manajer data dan CISO harus tetap waspada dan melakukan segala daya mereka untuk memastikan semua vektor tertutup rapat setiap saat, yang mencakup setiap titik akses potensial dalam sistem.

PCMag: Dalam hal apa yang telah terjadi, pelanggaran layanan keuangan terburuk apa yang pernah terjadi di negara ini dan bagaimana hal itu terjadi?

YA: "Yang terburuk" akan tergantung pada siapa Anda bertanya. Dari perspektif lembaga keuangan, pelanggaran besar seperti pelanggaran JPMorgan Chase 2014 muncul di benak, ketika serangan dunia maya memengaruhi sebanyak 76 juta rumah tangga dan 7 juta usaha kecil di antara jaringan pemangku kepentingan yang besar.

Namun, dari perspektif pelanggan individu, pelanggaran terburuk adalah pelanggaran yang secara permanen mengubah kehidupannya dan rasa keamanan finansial. Ini adalah salah satu hal paling penting untuk diingat: perlindungan yang tidak memadai terhadap penyerang cyber dapat merusak kehidupan orang-orang yang bergantung pada Anda untuk menjaga data mereka tetap aman, serta kepercayaan dan reputasi seluruh institusi.

Perlu dicatat juga bahwa banyak dari pelanggaran finansial yang kita saksikan adalah krisis kemarin. Tentu saja, banyak serangan dunia maya yang kompromistis telah menggunakan beberapa bentuk malware untuk mengakses dan mengekstrak informasi dari jaringan. Tetapi penyebut umum untuk semua pelanggaran yang dipublikasikan secara luas adalah bahwa seseorang telah menemukannya. Kebocoran yang belum ditemukan yang mungkin secara aktif mengekstraksi data sekarang adalah ancaman terbesar bagi keamanan data.

Salah satu pelanggan kami, bank internasional, menemukan perangkat perangkat keras kecil yang terhubung ke jaringannya yang tersembunyi di bawah meja. Perangkat ini terhubung ke jaringan; namun, tim keamanan siber tidak bisa melihatnya. Tidak ada alat yang ada yang merasakan atau mendeteksi keberadaannya, tetapi tetap ada di sana, mengirim data ke lokasi terpencil melalui koneksi seluler. Kuantitas dan jenis data yang tidak diketahui dikompromikan untuk periode waktu yang tidak diketahui dan tidak ada yang tahu tentang hal itu. Hari ini, satu tahun setelah penemuan mengejutkan ini, petugas keamanan masih tahu hampir tidak ada tentang siapa yang menanam perangkat dan berapa banyak data yang diambil.

Vektor serangan besar berikutnya akan datang dari perangkat perangkat keras hantu. Inilah sebabnya kami bekerja dengan rajin untuk mendeteksi dan mengurangi serangan ini.

PCMag: Untuk perusahaan jasa keuangan yang lebih kecil, apa yang harus mereka waspadai dalam hal ancaman, titik masuk, dan kesalahan umum?

YA: Lembaga keuangan yang lebih kecil, dalam banyak kasus, dalam bahaya yang lebih besar daripada yang besar. Dalam kebanyakan kasus, mereka tidak memiliki tim keamanan yang besar dan sistem keamanan siber mereka kurang canggih. Kami telah menyaksikan, dalam beberapa kasus, perusahaan jasa keuangan berukuran kecil yang menggunakan firewall berusia lima tahun dan perangkat lunak antivirus berusia tiga tahun untuk mengamankan aset digital mereka. Perusahaan ini mengelola investasi beberapa akun pribadi terbesar di Amerika Serikat.

Asumsi bahwa lembaga keuangan berukuran kecil sama dengan risiko yang lebih kecil sepenuhnya mundur. Hedge fund yang mengelola beberapa miliar dolar biasanya adalah perusahaan yang sangat kecil. Kantor keluarga yang mengelola rekening uang pribadi besar juga kecil, seperti halnya untuk firma hukum di Panama yang menyimpan rahasia keuangan para pemimpin dunia kelas atas. Semua hal di atas telah dilanggar, dan sebagian besar tidak menyadari adanya pelanggaran untuk waktu yang sangat lama; beberapa masih tidak menyadarinya.

Para manajer perusahaan-perusahaan kecil ini dalam banyak kasus tidak memahami risiko yang mereka ambil, potensi kerusakan pada perusahaan mereka, dan, yang paling penting, potensi kerusakan pada pelanggan mereka. Banyak perusahaan percaya bahwa solusi pertahanan perangkat lunak top-of-the-line mereka dapat memberikan segel kedap air sistem melalui pemantauan real-time dan analitik prediktif. Ini mungkin benar di sisi perangkat lunak, tetapi apa yang CISO khas mungkin gagal untuk mengenali adalah bahwa aktor yang buruk telah membangun saluran langsung ke infrastruktur perangkat keras di mana data telah mengalir selama bertahun-tahun. Manajer data atau profesional keamanan cyber akan memberi tahu Anda tempat paling penting untuk mulai melindungi diri Anda dari kerentanan adalah memahami infrastruktur yang ada. Ini berarti mendapatkan pegangan yang kuat pada apa yang terhubung ke jaringan Anda.

Hal yang paling penting untuk diingat adalah bahwa rute apa pun ke data adalah potensi liabilitas. Tidak peduli berapa ukuran perusahaan jasa keuangan, mengambil tindakan pencegahan yang diperlukan dan melakukan inventarisasi perangkat dalam suatu sistem dapat membantu membatasi paparan Anda untuk menjaga keamanan data Anda.

PCMag: Anda biasanya tidak mengaitkan keyboard, mouse, dan periferal lainnya sebagai titik masuk untuk jenis serangan ini. Mengapa kita harus khawatir tentang perangkat semacam ini?

YA: Pikirkan tentang ini: Dapatkah Anda menginstal perangkat lunak yang telah Anda unduh dari internet di komputer perusahaan Anda? Mungkin tidak. Tetapi bisakah Anda membawa keyboard dari luar ke kantor Anda dan menghubungkannya? Mungkin iya.

Orang-orang benar untuk menganggap perangkat lunak yang tidak dikenal adalah risiko. Inilah sebabnya mengapa ada banyak alat keamanan untuk memantau dan mencegah pemasangan perangkat lunak di komputer perusahaan oleh siapa pun selain staf TI. Tetapi, untuk beberapa alasan, perangkat perangkat keras tidak memiliki standar yang sama.

Serangan cyber yang berasal dari perangkat lunak, dalam banyak kasus, dibatasi oleh alat pertahanan dunia maya yang ada, yang berarti bahwa semua alat dari suite keamanan titik akhir ke keamanan perimeter dan alat forensik disetel untuk mendeteksi titik masuk dan memblokirnya. Namun, satu keyboard dapat melakukan lebih banyak kerusakan daripada sebagian besar malware di dunia, exfiltrating data untuk jangka waktu yang lama.

Bayangkan profesional TI organisasi Anda mengirim email ke seluruh perusahaan yang mengatakan organisasi itu akan menerima keyboard baru besok. Berapa persentase karyawan Anda yang akan melihat papan ketik baru di meja mereka pada hari berikutnya dan memasangnya? 20 persen? 50 persen? 100 persen? Jawabannya adalah, lebih dekat ke 100 persen daripada yang ingin diakui siapa pun. Hanya perlu satu orang untuk menginstal salah satu perangkat ini, yang dimanipulasi untuk mengekstrak informasi, untuk membahayakan keseluruhan sistem.

Kita sekarang tahu bahwa banyak alat yang digunakan untuk menyusup dan meretas pusat keuangan global sebenarnya dicuri dari prototipe pemerintah di negara-negara di seluruh dunia. Misalnya, keyboard yang awalnya dikembangkan oleh Badan Keamanan Nasional AS (NSA) untuk melacak penekanan tombol dan mengumpulkan data dari jaringan melalui port USB komputer yang terhubung sekarang digunakan oleh peretas jahat untuk memperoleh data untuk serangan pemerasan dan ransomware.

Selain itu, dengan pertumbuhan alat peretasan jahat yang dijual di web gelap, teknologi paling mutakhir untuk pengumpulan data berbahaya kini dapat berakhir di tangan seorang peretas dalam beberapa hari, tanpa cara yang jelas bagi pihak berwenang untuk melacak pembeli, penjual, atau lokasi perangkat. Ini berarti bahwa perangkat pengumpulan data yang paling canggih dan tidak terdeteksi sekarang mungkin ada dalam sistem data yang tak terhitung jumlahnya, bahkan tanpa CISO mengetahuinya.

Perangkat ini sebanding dengan bug parasit seperti kutu atau kutu. Mereka tampaknya biasa dan tidak berbahaya ketika melayang di sekitar Anda secara umum. Namun, mereka sulit untuk merasakan ketika mereka menginstal sendiri ke dalam sistem Anda dan dapat ada di sana tanpa diketahui untuk jangka waktu yang lama. Selain itu, mereka adalah tanggung jawab utama dan dapat menyebabkan kerusakan permanen pada data dan pemangku kepentingan Anda.

PCMag: Tanpa menggembar-gemborkan layanan Anda secara khusus, bagaimana perusahaan dapat memastikan bahwa mereka aman, terutama jika mereka sangat bergantung pada perangkat yang terhubung untuk melakukan pekerjaan mereka?

YA: Ada banyak elemen yang tidak bisa dikendalikan. Seperti yang telah saya bahas, pasar digital web gelap tanpa batas hampir tidak mungkin untuk dihentikan. Karena anonimitas pembeli dan penjual, perdagangan bebas untuk semua perangkat keras menghadirkan tantangan yang belum pernah terjadi sebelumnya untuk tetap selaras dengan ancaman peretasan yang memengaruhi sistem dari luar.

Namun, pengelola data harus mengendalikan ancaman peretasan yang berasal dari perangkat keras. Ini dimulai dengan memiliki kesadaran komprehensif tentang semua perangkat perangkat keras yang berinteraksi dengan sistem Anda. Secara tradisional, petugas teknologi organisasi menetapkan bahwa mereka memiliki sejumlah titik akhir X yang terhubung ke sejumlah server dan perangkat eksternal. Dalam zona perang pertahanan dunia maya modern, sangat penting bahwa mereka pergi lebih dalam, ke tingkat perangkat.

Kabel jaringan yang mengirim informasi antara dua perangkat harus benar-benar diperiksa, antara setiap dua tepi, melalui semua titik koneksi. Ada perangkat yang dapat mencegat data pada titik-titik ini dan mengeksfiltrasinya ke lokasi yang jauh tanpa dikenali.

Untuk menyelamatkan sistem dari jenis pemerasan ini, jaringan yang berat perangkat perlu disortir dengan sisir bergigi halus. CISO perlu melakukan segala daya mereka untuk memastikan integritas perangkat sistem mereka. Memastikan bahwa perangkat Anda benar-benar milik Anda - dan bukan perangkat keras yang disamarkan dengan jahat - adalah cara terbaik untuk bertahan terhadap ancaman perangkat keras cyber.

Mulailah dengan kesadaran. Jangan abaikan risiko potensial dari perangkat perangkat keras yang tampak tidak bersalah ini. Ancaman itu nyata dan relevan bagi kita semua.