堵塞信任差距

每个企业和政府都依赖于加密密钥和证书为关键通信提供信任。这些信任技术支持现代业务世界,建立安全的交易和保护机密企业数据。

与之前的不同,当信任可以在锁定,保险箱和摄像机方面测量时,今天的信任是在能够的企业网络中的这种安全技术中建立’看看,只有管理。随着组织采用云计算和员工拥有的设备增加了对公司网络和敏感信息的访问,所以各地的公司数据的挑战是指数增长的。加密密钥和数字证书在企业中建立信任,确保公司数据仍然是安全的,无论是二楼的员工在二楼或新加坡的酒店房间的行政机构中是否访问。

攻击车辆
到那个时刻 高级持续威胁 (APTS),糟糕的演员将利用信任差距–使用任何和每一个利用,他们可以利用窃取您的组织’数据。他们将寻找安全系统中最薄弱的链接,并找到阻力最小的路径。在过去的几年中,犯罪组织和个人糟糕的演员发现,通过利用糟糕的关键和证书管理措施,他们可以违反带有信息 - 虹吸恶意软件的信任,以及在某些情况下甚至植入武器化的代码,可以造成物质设施损坏。

所有你所要做的就是在过去几年中回顾,实现基于影响的基于组织的攻击。有组织的团体一直在使用加密密钥和数字证书来窃取信息多年,因为它们是用于滑动过去防御系统的完美车辆。案例指出: stuxnet. 火焰 。这两个恶意软件的示例利用被盗和弱的证书。为什么演员选择这种方法?受损证书对网络上的恶意软件进行了身份验证,它看起来就像它是合法的代码一样。因此,受感染的操作系统允许安装恶意软件而没有任何警告。

基于证书的攻击问题正在进行和成长。 4月,共同计算安全标准(CCSS)论坛已记录与恶意软件相关的十六证明数字证书。在盛大的事情方面,这一点’听起来太糟糕了,但是当您考虑到每天平均找到2万次新的恶意计划时,合法证书的使用成为组织的一个非常真实的问题’准备好面对。对于建立假的公司来欺骗公证机关(CA)来发出可用于分发恶意软件的合法证书,网络犯罪分子已经消失,就像巴西银行管理恶意软件的情况一样,与有效的Digicert证书签名。

这是否意味着基于信任的技术被破坏了?不完全的。

问题的根源
虽然上述每个漏洞都展示了滥用数字证书,但它不是故障的根源,而是对技术的正确控制。这些漏洞背后的网络犯罪分子了解,在组织中部署的加密密钥和证书的每个非托管和未占用的证书是一个有价值的资产剥削。

问题是系统性的,并且曝光是显着的。超过一半的企业唐’例如,知道使用了多少键和证书。 RSA 2013年Venafi调查的超过60%的组织将需要一天或更长时间,以纠正CA Trust妥协,如果它们被数字签名恶意软件攻击;响应受损的SSH密钥至少需要很长时间。结合无法理解在缺失时能够快速响应的信任如何建立信任,并且您对APTS提供了完美的环境,并为复杂的攻击者启动他们的利用。这些漏洞的财务影响几乎无法夸大。

全球2000年的平均组织必须管理超过17,000个加密密钥–并且大部分时间都手动管理。自卫的第一步是知道自己。您的组织充分暴露于信任漏洞利用以及有针对性和持续攻击对知识产权的后果,如果没有明确了解其关键和证书库存。网络犯罪分子可以在网络中轻松收集未加密的数据,因此应以与外部数据相同的方式保护内部数据作为加密保护。

所有加密密钥的生命周期应使用企业密钥和证书管理解决方案进行安全管理。它’S毫不奇怪,庞蒙研究所对2013年度失败的信托报告年度成本调查的每个组织都必须在过去两年内至少回应一次对钥匙和证书的攻击。

2013年RSA的近60%的调查受访者表示,他们担心向IT控制之外的移动设备发出证书。相同百分比的受访者也扰乱了不一定安全专家的系统管理员负责加密密钥和证书。这种情况可能导致安全违规,计划生计划的中断或审计和合规失败。通过强制执行更长的关键长度,强大的算法,键频繁旋转和证书的有效期,您可以提高减少威胁表面的能力。

修复
只有通过自动化管理,您只能响应足够快,以妥协和限制重大的声誉和财务损害。随着apts利用信托技术的弱点,它’对具有企业密钥和证书库存的可见性至关重要。网络犯罪分子了解,易于目标是那些对其威胁表面有很小的能力,无法快速响应的组织。作为一个行业,我们需要获得控制的信任并插入与基于密钥和基于证书的利用相关的差距。

分享这个