Обов'язки працівників у сфері безпеки

Що таке Обов'язки працівників у сфері безпеки?

Той, хто телефонує, видає себе за лікаря й каже, що у нього помирає пацієнт, а обліковий запис заблоковано. Як доказ він називає перші цифри ідентифікатора працівника, а потім скеровує працівницю служби обслуговування пацієнтів на схожий портал, щоб вона «підтвердила» скидання пароля. Через три години тисячі записів пацієнтів викрадено. Ви простежите ланцюг атаки, знайдете момент, коли її ще можна було зупинити, зміните пароль, налаштуєте багатофакторну автентифікацію й подасте звіт. Номер на екрані та частина ідентифікатора — це не перевірка особи.

Що ви дізнаєтесь у Обов'язки працівників у сфері безпеки

• Перевіряйте особу того, хто неочікувано телефонує, за номером із корпоративного довідника, а не за тим, що назвав він сам
• Розпізнавайте терміновість, посилання на авторитет і заклик до співчуття як схему тиску, що передує проханню про облікові дані
• Помічайте схожий домен порталу, перш ніж вводити облікові дані, і будь-яке скидання пароля на прохання з вхідного дзвінка вважайте потенційною атакою
• Локалізуйте підтверджену компрометацію облікових даних: негайно змініть пароль і налаштуйте багатофакторну автентифікацію через застосунок
• Подавайте звіт про інцидент, у якому є слова того, хто телефонував, схожий домен і записи, що опинилися під загрозою, щоб служба безпеки могла діяти

Обов'язки працівників у сфері безпеки — Кроки навчання

1. Звичайний понеділок у Meridian Healthcare

   Звичайний понеділковий ранок. Ви щойно влаштувалися за столом із кавою й увійшли в портал обліку пацієнтів.

2. Терміновий телефонний дзвінок

   Алісі дзвонить телефон. На екрані — «Раджан Мехта — Кардіологія». Чоловік на тому кінці лінії говорить поспіхом, майже панічно, і просить допомогти йому дістатися до записів пацієнтів.

3. Фальшива перевірка

   Той, хто телефонує, пропонує «підтвердити» свою особу. Він називає початок свого ідентифікатора працівника — перші цифри — і просить Алісу знайти решту та зачитати її. Це схоже на доказ, але насправді він обманом домігся, щоб Аліса сама дописала його ідентифікатор.

4. Скерування до «ІТ-інструмента швидкого скидання»

   Тепер, коли Аліса вірить, що той, хто телефонує, справжній, він скеровує її до «ІТ-інструмента швидкого скидання» і просить підтвердити скидання власними обліковими даними.

5. Введення облікових даних на фішинговій сторінці

   Аліса переходить за адресою, яку їй назвали. Сторінка схожа на ІТ-інструмент Meridian Healthcare, але домен — meridianhc-portal.net, а не справжній meridianhc.com. У поспіху допомогти «пацієнтові, який помирає», Аліса не помічає різниці.

6. Підтвердження у статусі «Processing»

   На сторінці з'являється повідомлення «Обробка авторизації», а нижче сказано, що протягом 24 годин Аліса отримає лист із підтвердженням. Усе виглядає буденно, але зловмисник щойно викрав її облікові дані.

7. Наслідки стають відомі

   Через три години надходить терміновий лист від директора з інформаційної безпеки. У системі обліку пацієнтів виявлено несанкціонований доступ: на зовнішній сервер вивантажено 2 300 записів пацієнтів — імена, номери соціального страхування (SSN), страхові дані, медичні історії. Увійшли за обліковими даними Аліси.

8. Розслідування витоку

   В Аліси все обривається всередині. Вона переходить за посиланням на панель розслідування витоку й входить, щоб побачити, наскільки велика шкода.

9. Розбір ланцюга атаки

   Панель розслідування показує весь ланцюг атаки, крок за кроком: спуфінг номера на екрані, фальшиву перевірку, фішингову адресу на зовнішньому домені та викрадення облікових даних.

10. Що мала зробити Аліса?