Autors: Techopedia Staff, 2017. gada 10. maijs
Izņemšana: Uzņēmējs Ēriks Kavanaghs apspriež drošību un atļaujas ar Dr. Robinu Blooru un IDERA Vicky Harp.
Pašlaik neesat pieteicies. Lai redzētu video, lūdzu, pierakstieties vai reģistrējieties.
Ēriks Kavanaghs: Labi, dāmas un kungi, sveiki un sveicināti vēlreiz. Ir trešdiena, tā ir četras austrumu valstis un biznesa tehnoloģiju pasaule, kas nozīmē, ka atkal ir laiks Hot Technologies! Jā, patiesi. Prezentēja, protams, Bloor grupa, kuru vadīja mūsu draugi Techopedia. Šodienas tēma ir patiešām forša: “Labāk jautāt atļauju: konfidencialitātes un drošības paraugprakse.” Tieši tā, tā ir sava veida grūtā tēma, par to runā daudz cilvēku, bet tā ir diezgan nopietna tēma, un tas tiešām kļūst nopietni katru dienu, atklāti sakot. Tas daudzās jomās ir nopietns jautājums daudzām organizācijām. Mēs par to runāsim un runāsim par to, ko jūs varat darīt, lai pasargātu savu organizāciju no bēdīgajiem personāžiem, kas mūsdienās šķiet visur.
Tātad šodienas vadītājs ir Vicky Harp, kurš piezvana no IDERA. IDERA programmatūru var redzēt vietnē LinkedIn - es mīlu jauno LinkedIn funkcionalitāti. Lai gan es varu pateikt, ka viņi noteiktā veidā velk dažas virknes, neļaujot jums piekļūt cilvēkiem, mēģina panākt, lai jūs iegādātos šīs prēmijas. Turp dodieties, mums ir savs Robins Bloors, kurš iezvanās - viņš faktiski šodien atrodas Sandjego apgabalā. Un patiesi kā moderators / analītiķis.
Ko tad mēs runājam? Datu pārkāpumi. Es tikko paņēmu šo informāciju no IdentityForce.com, tā jau ir paredzēta sacensībām. Mēs esam šī gada maija mēnesī, un ir tikai ļoti daudz datu pārkāpumu, ir daži patiešām milzīgi, protams, Yahoo! bija liels, un mēs dzirdējām par to, ka, protams, tika uzlauzta ASV valdība. Mums tikko bija uzlauztas Francijas vēlēšanas.
Tas notiek visur, tas turpinās un neapstāsies, tāpēc tā ir realitāte, tā ir jaunā realitāte, kā viņi saka. Mums patiešām ir jādomā par veidiem, kā panākt mūsu sistēmu un datu drošību. Un tas ir nepārtraukts process, tāpēc ir īstais laiks domāt par visiem dažādajiem jautājumiem, kas ir aktuāli. Šis ir tikai daļējs saraksts, taču tas sniedz jums nelielu skatījumu uz to, cik nestabila ir situācija mūsdienās ar uzņēmumu sistēmām. Un pirms šī šova mūsu pirmsizrādes banterā mēs runājām par izpirkšanas programmatūru, kas ir skārusi kādu, kuru es pazīstu, kas ir ļoti nepatīkama pieredze, kad kāds pārņem jūsu iPhone un pieprasa jums naudu, lai jūs varētu atkal piekļūt savam tālrunim. Bet tas notiek, tas notiek ar datoriem, tas notiek ar sistēmām, es redzēju tikai citu dienu, tas notiek ar miljardieriem ar viņu jahtām. Iedomājieties, ka kādu dienu dodieties uz savu jahtu, cenšoties atstāt iespaidu uz visiem saviem draugiem, un jūs pat to nevarat ieslēgt, jo kāds zaglis ir nozadzis piekļuvi vadības ierīcēm, vadības panelim. Es tikko teicu kādu dienu intervijā kādam, vienmēr manuālo ignorēšanu. Tāpat kā es neesmu liels visu savienoto automašīnu ventilators - pat automašīnas var uzlauzt. Var uzlauzt jebko, kas ir savienots ar internetu vai savienots ar tīklu, kuram var piekļūt.
Tātad, šeit ir tikai daži punkti, kas jāņem vērā, veidojot situācijas nopietnības kontekstu. Mūsdienās tīmekļa bāzes ir visur, un tās turpina izplatīties. Cik cilvēku tiešsaistē iegādājas lietas? Šajās dienās tas notiek tikai caur jumtu, tāpēc Amazon šajās dienās ir tik spēcīgs spēks. Tas notiek tāpēc, ka tik daudz cilvēku tiešsaistē pērk lietas.
Tātad, jūs atceraties toreiz, pirms 15 gadiem, cilvēki bija diezgan noraizējušies par savas kredītkartes ievietošanu tīmekļa formā, lai iegūtu viņu informāciju, un toreiz arguments bija: “Nu, ja jūs nododat savu kredītkarti viesmīlim plkst. restorāns, tad tā ir viena un tā pati lieta. ”Tātad, mūsu atbilde ir jā, tā ir viena un tā pati lieta, ir visi šie kontroles punkti vai piekļuves punkti, viena un tā pati lieta, vienas monētas atšķirīgā puse, kur var ievietot cilvēkus briesmām, kur kāds var paņemt jūsu naudu vai kāds var nozagt no jums.
Pēc tam IoT, protams, paplašina apdraudējumu skatu - es mīlu šo vārdu - pēc apjoma. Es domāju, padomājiet par to - ar visām šīm jaunajām ierīcēm visur, ja kāds var iekļūt sistēmā, kas tos kontrolē, viņi var visus šos robotprogrammatūras vērst pret jums un radīt daudz un daudz problēmu, tāpēc tā ir ļoti nopietna problēma. Mūsdienās mums ir globāla ekonomika, kas vēl vairāk paplašina draudu ainu, un kas vēl vairāk: citās valstīs jums ir cilvēki, kuri tīmeklim var piekļūt tāpat kā es un es, ja jūs nezināt, kā runāt krieviski. vai jebkuru citu valodu, jums būs grūti saprast, kas notiek, kad viņi uzlauž jūsu sistēmu. Tātad, mums ir panākumi tīklu veidošanā un virtualizācijā, labi, ka tas ir labi.
Bet man šeit ir šī attēla labajā pusē zobens, un iemesls, kāpēc man tas ir, ir tāpēc, ka katrs zobens griež abus virzienus. Tas, kā viņi saka, ir divstūrains zobens, un tā ir veca klišeja, bet tas nozīmē, ka manis turētais zobens var jums nodarīt kaitējumu vai arī man. Tas var atgriezties pie manis, vai nu atlecot atpakaļ, vai arī kāds to uzņemot. Tas patiesībā ir viens no Ezopa fabulām - mēs bieži saviem ienaidniekiem dodam paša iznīcināšanas rīkus. Tas tiešām ir diezgan pārliecinošs sižets, un tam ir sakars ar kādu, kurš izmantoja loku un bultu un notrieca putnu, un putns redzēja, bultiņai tuvojoties, ka viena no tā vistu draugiem spalva bija uz bultiņas malas, bultiņas aizmugurē, lai to vadītu, un viņš domāja sev: “Ak, cilvēk, šeit tas ir, manas spalvas, mana ģimene tiks izmantota, lai mani novilktu.” Tas notiek visu laiku, jūs dzirdat statistika par to, ka jums mājā ir lielgabals, zaglis var ņemt pistoli. Nu, tā ir taisnība. Tāpēc es to parādīju kā analoģiju, lai tikai apsvērtu, ka visām šīm dažādajām norisēm ir pozitīvās un negatīvās puses.
Un, runājot par konteineriem tiem no jums, kuri patiešām seko vismodernākajiem biznesa skaitļošanas procesiem, konteineri ir jaunākā lieta, jaunākais veids, kā nodrošināt funkcionalitāti, tā patiešām ir virtualizācijas laulība uz pakalpojumiem orientētā arhitektūrā, vismaz mikropakalpojumiem, un tas ir ļoti interesanti sīkumi. Jūs noteikti varat noklusēt savus drošības protokolus un lietojumprogrammu protokolus, kā arī datus un tā tālāk, izmantojot konteinerus, un tas dod jums laika posmu uz priekšu, bet agrāk vai vēlāk sliktie puiši to izdomās, un tad būs vēl grūtāk novērst to, ka viņi izmanto jūsu sistēmas. Tātad, tur ir globālais darbaspēks, kas sarežģī tīklu un drošību un no kurienes cilvēki piesakās.
Mums ir pārlūku kari, kas turpina ātri darboties un prasa pastāvīgu darbu, lai atjauninātu un paliktu virs lietas. Mēs turpinām dzirdēt par vecajiem Microsoft Explorer pārlūkiem, kā tie tika uzlauzti un pieejami tur. Tātad, mūsdienās ir nepieciešams nopelnīt vairāk naudas, lai uzlauztu, ir visa nozare, un to jau pirms astoņiem gadiem man iemācīja mans partneris Dr Bloor - es domāju, kāpēc mēs to redzam tik daudz, un viņš atgādināja mani, tā ir visa nozare, kas iesaistīta hakeru veidošanā. Un šajā ziņā stāstījums, kas ir viens no maniem vismazāk iecienītajiem vārdiem par drošību, patiešām ir ļoti negodīgs, jo stāstījums parāda jums visos šajos videoklipos un jebkāda veida ziņu atspoguļojumu, kurā ir parādīts kāds uzlauzums, kurā tiek parādīts kāds puisis kapuci, sēžot viņa pagrabā tumši apgaismotā telpā tas nebūt nav. Tas nepavisam neatspoguļo realitāti. Tas ir vientuļie hakeri, ir ļoti maz vientuļo hakeru, viņi ir tur, viņi rada zināmas nepatikšanas - viņi neradīs lielas nepatikšanas, bet viņi var nopelnīt daudz naudas. Tātad notiek tas, ka ienāks hakeri, kuri iekļūst jūsu sistēmā un pēc tam pārdod šo piekļuvi kādam citam, kurš apgriežas un pārdod to kādam citam, un tad kaut kur lejā pie līnijas kāds izmanto šo hakeru un izmanto jūs. Un ir neskaitāmi veidi, kā izmantot nozagtos datus.
Es pat esmu brīnījusies pie sevis par to, kā mēs esam glamūrējuši šo koncepciju. Jūs visur redzat šo terminu “izaugsmes uzlaušana”, piemēram, tā ir laba lieta. Datorurķēšana, jūs zināt, hakerēšana var būt laba lieta, ja jūs cenšaties strādāt labu puišu labā, lai runātu un iekļūtu sistēmā, piemēram, par ko mēs turpinām dzirdēt kopā ar Ziemeļkoreju un viņu raķešu palaišanu, kas, iespējams, tiek uzlauzta - tas ir labi. Bet Datorurķēšana bieži ir slikta lieta. Tāpēc tagad mēs to krāšņojam, gandrīz kā Robins Huds, kad mēs krāšņi uzmundrinājām Robinu Hudu. Un tad tur ir bezskaidras naudas sabiedrība, kas atklāti runā par dienasgaismu no manis. Es domāju tikai katru reizi, kad dzirdu: “Nē, lūdzu, nedariet to! Lūdzu, nedariet! ”Es nevēlos, lai pazūd visa mūsu nauda. Tātad, šie ir tikai daži jautājumi, kas jāņem vērā, un atkal tā ir kaķu un peļu spēle; tas nekad neapstāsies, vienmēr būs nepieciešami drošības protokoli un uzlaboti drošības protokoli. Un, lai uzraudzītu savas sistēmas, pat zināt un izjust, kas tur atrodas, saprotot, ka tas pat varētu būt iekšējs darbs. Tātad, tas ir pastāvīgs jautājums, tas būs aktuāls jautājums jau labu laiku - nekļūdieties par to.
Un līdz ar to es nodošu to Dr Bloor, kurš var dalīties ar mums dažās domās par datu bāzu drošību. Robin, atņem to.
Robins Bloors: Labi, viens no interesantiem hakatiem, es domāju, ka tas notika apmēram pirms pieciem gadiem, taču būtībā tas tika uzlauzts karšu apstrādes uzņēmums. Un tika nozagts liels skaits karšu datu. Bet man interesants bija fakts, ka viņi faktiski iekļuva testa datu bāzē, un, iespējams, bija tā, ka viņiem bija ļoti grūti iekļūt reālajā, reālajā karšu apstrādes datu bāzē. Bet jūs zināt, kā tas ir ar izstrādātājiem, viņi vienkārši noņem datu bāzi un ievieto to tur. Būtu vajadzējis daudz vairāk modrības, lai to apturētu. Bet ir daudz interesantu hakeru stāstu, tas veido vienā jomā, tas ir ļoti interesants temats.
Tāpēc es vienā vai otrā veidā faktiski atkārtošu dažas lietas, ko Ēriks teica, bet ir viegli domāt par datu drošību kā statisku mērķi; tas ir vieglāk tikai tāpēc, ka ir vieglāk analizēt statiskās situācijas un pēc tam domāt, kā ievietot aizsargmehānismus, tur aizsargfunkcijas, bet tas tā nav. Tas ir kustīgs mērķis, un tā ir viena no lietām, kas nosaka visu drošības telpu. Tas notiek tieši tā, kā attīstās visa tehnoloģija, attīstās arī slikto puišu tehnoloģija. Tātad, īss pārskats: Datu zādzības nav nekas jauns, faktiski datu spiegošana ir datu zādzība, un es domāju, ka tā notiek tūkstošiem gadu.
Lielākie dati, kas tika izteikti šajā ziņā, bija briti, kas pārkāpa vācu kodus, un amerikāņi, kas pārkāpa Japānas kodus, un abos gadījumos viņi diezgan ievērojami saīsināja karu. Viņi tikai nozaga noderīgus un vērtīgus datus, tas, protams, bija ļoti gudrs, bet, jūs zināt, tas, kas notiek šobrīd, ir ļoti gudrs daudzējādā ziņā. Kibernoziegumu zādzība radās ar interneta starpniecību un eksplodēja ap 2005. gadu. Es gāju un apskatīju visu statistiku, un, kad jūs sākat kļūt patiesi nopietni un savā vai citā veidā ārkārtīgi lieli skaitļi, sākot ar 2005. gadu. Tas ir tikai pasliktinājies, kopš tad. Ir iesaistīti daudzi dalībnieki, valdības, iesaistīti uzņēmumi, hakeru grupas un privātpersonas.
Es devos uz Maskavu - tam vajadzēja būt apmēram pieciem gadiem - un faktiski daudz laika pavadīju kopā ar puisi no Lielbritānijas, kurš pēta visu hakeru vietu. Un viņš teica, ka - un man nav ne mazākās nojausmas, vai tā ir taisnība, es esmu tikai uzklausījis viņa vārdu, bet tas izklausās ļoti iespējams - ka Krievijā ir kaut kas ar nosaukumu Biznesa tīkls, kas ir visu hakeru grupa, ziniet, viņi iznāca no VDK drupām. Viņi pārdod sevi, ne tikai, es domāju, es esmu pārliecināts, ka Krievijas valdība tos izmanto, bet viņi sevi pārdod jebkuram, un tika baumots vai viņš teica, ka tas bija baumas, ka dažādas ārvalstu valdības izmanto Biznesa tīklu ticams noliegums. Šiem puišiem bija miljoniem kompromitētu datoru tīkli, no kuriem viņi varēja uzbrukt. Viņiem bija visi rīki, kurus varat iedomāties.
Tātad attīstījās uzbrukuma un aizsardzības tehnoloģija. Un uzņēmumiem ir pienākums rūpēties par saviem datiem neatkarīgi no tā, vai tie viņiem pieder, vai ne. Un tas sāk kļūt daudz skaidrāks attiecībā uz dažādajiem noteikumiem, kas faktiski jau ir spēkā vai stājas spēkā. Un, iespējams, kāds uzlabosies, kāds tādā vai citādā veidā, kādam ir jāsedz uzlaušanas izmaksas tādā veidā, ka viņi tiek mudināti slēgt iespēju. Tā ir viena no lietām, kas, manuprāt, ir nepieciešama. Tātad par hakeriem tie var atrasties jebkur. Īpaši jūsu organizācijā - šausmīgi daudz ģeniālu hakeru, ko esmu dzirdējis, kā iesaistot kādu, kurš atvēra durvis. Jūs zināt, cilvēks, tā ir kā banku laupītāju situācija, gandrīz vienmēr labās banku aplaupīšanas gadījumos viņi mēdza teikt, ka ir iekšējā informācija. Bet iekšējai informācijai ir jāsniedz tikai informācija, tāpēc ir grūti viņus iegūt, zināt, kas tas bija utt. Un tā tālāk.
Un var būt grūti viņus saukt pie atbildības, jo, ja jūs esat uzlauzusi kāda cilvēku grupa Moldovā, pat ja jūs zināt, ka tā bija šī grupa, kā jūs plānojat panākt, lai ap viņiem notiktu kaut kādi juridiski notikumi? Tas ir veids, sākot no vienas jurisdikcijas līdz otrai, vienkārši, nav ļoti labu starptautisku vienošanos, kas ļautu noteikt hakerus. Viņi apmainās ar tehnoloģijām un informāciju; liela daļa no tā ir atvērtā koda avoti. Ja vēlaties izveidot savu vīrusu, tur ir daudz vīrusu komplektu - pilnīgi atvērts avots. Viņiem ir ievērojami resursi, vairākos gadījumos robottīkliem ir bijuši vairāk nekā miljons apdraudētu ierīču datu centros un personālajos datoros utt. Daži ir rentabli uzņēmumi, kas darbojas jau ilgu laiku, un tad ir valdības grupas, kā es minēju. Maz ticams, kā sacīja Ēriks, maz ticams, ka šī parādība kādreiz beigsies.
Tātad, tas ir interesants kapāt, es tikai domāju, ka to pieminēšu, jo tas bija diezgan nesen izveidots banalizācija; tas notika pagājušajā gadā. DAO līgumā, kas saistīts ar Etherium kripto monētu, bija ievainojamība. Un tas tika apspriests forumā, un vienas dienas laikā tika uzlauzts DAO līgums, precīzi izmantojot šo ievainojamību. Ēterī tika atdalīti 50 miljoni dolāru, kas DAO projektā izraisīja tūlītēju krīzi un to slēdza. Un Etherium faktiski cīnījās, lai mēģinātu neļaut hakerim piekļūt naudai, un viņi sava veida samazināja viņa uzņemšanu. Bet arī tika uzskatīts - nav droši zināms - ka hakeris faktiski pirms sabrukuma saīsināja ētera cenu, zinot, ka ētera cena sabruks, un tādējādi guva peļņu citā veidā.
Un tas ir vēl viens stratagem, ko hakeri var izmantot, ja jums patīk. Ja viņi var sabojāt jūsu akcijas cenu, un viņi zina, ka to izdarīs, viņiem būs nepieciešams tikai saīsināt akcijas cenu un veikt sakāvi, tāpēc tas ir sava veida, šie puiši ir gudri, jūs zināt. Un cena ir pilnīga naudas zādzība, darbības pārtraukšana un izpirkšana, ieskaitot ieguldījumus, ja jūs izjaucat un saīsināt krājumus, diversijas, identitātes zādzības, visa veida izkrāpšana, tikai reklāmas nolūkā. Un tā mēdz būt politiska vai acīmredzami informācijas izspiegošana, un ir pat cilvēki, kas iztiek no kļūdu krājumiem, ko varat iegūt, mēģinot uzlauzt Google, Apple, Facebook - pat Pentagons, faktiski piešķir kļūdu krājumus. Un jūs vienkārši kapāt; ja tas izdodas, tad jūs vienkārši ejat un pieprasāt savu balvu, un nekāds kaitējums netiek nodarīts, tāpēc, jūs zināt, tā ir jauka lieta.
Es arī varētu pieminēt atbilstību un regulējumu. Papildus nozaru iniciatīvām ir arī daudz oficiālo noteikumu: HIPAA, SOX, FISMA, FERPA un GLBA ir visi ASV tiesību akti. Ir standarti; PCI-DSS ir kļuvis par diezgan vispārīgu standartu. Un tad ir ISO 17799 par datu īpašumtiesībām. Nacionālie noteikumi dažādās valstīs atšķiras, pat Eiropā. Un šobrīd GDPR - globālie dati, ko tas nozīmē? Es domāju, ka tā ir Globālā datu aizsardzības regula, bet tā stājas spēkā nākamgad, teica. Un interesanta lieta ir tā, ka tā ir piemērojama visā pasaulē. Ja jums ir 5000 vai vairāk klientu, par kuriem esat ieguvis personīgu informāciju un viņi dzīvo Eiropā, tad Eiropa faktiski jūs aizvedīs pie uzdevuma, neatkarīgi no tā, vai jūsu korporācijas galvenā mītne atrodas vai kur tā darbojas. Un sodi, maksimālais sods ir četri procenti no gada ieņēmumiem, kas ir tikai milzīgi, tāpēc, kad tas stāsies spēkā, tas būs interesants pagrieziens uz pasauli.
Lietas, par kurām jādomā, labi, par DBVS ievainojamībām, lielākā daļa vērtīgo datu faktiski atrodas datu bāzēs. Tas ir vērtīgs, jo mēs ieguldījām šausmīgi daudz laika, lai to padarītu pieejamu un labi organizētu, un tas padara to neaizsargātāku, ja jūs faktiski neizmantojat pareizos DBVS vērtspapīrus. Acīmredzot, ja jūs plānojat tādas lietas kā šī, jums jāidentificē neaizsargātie dati visā organizācijā, paturot prātā, ka dati dažādu iemeslu dēļ var būt neaizsargāti. Tas var būt klientu dati, bet tie varētu būt arī iekšēji dokumenti, kas būtu vērtīgi spiegošanas vajadzībām utt. Drošības politika, jo īpaši attiecībā uz piekļuves drošību - kas pēdējā laikā, manuprāt, ir bijusi ļoti vāja jaunajā atvērtā koda saturā - šifrēšanu arvien vairāk izmanto, jo tā ir diezgan cieta.
Drošības pārkāpuma izmaksas, par kurām vairums cilvēku nezināja, taču, ja patiesībā paskatās, kas notika ar organizācijām, kuras ir cietušas no drošības pārkāpumiem, izrādās, ka drošības pārkāpuma izmaksas bieži ir daudz augstākas, nekā jūs domājat. . Un tad otra lieta, kas jādomā, ir uzbrukuma virsma, jo jebkurš programmatūras elements, kas darbojas visur, kur darbojas jūsu organizācijas, rada uzbrukuma virsmu. Dariet jebkuru no ierīcēm, tāpat kā datus, neatkarīgi no tā, kā tie tiek glabāti. Tas ir viss, uzbrukuma virsma pieaug ar lietu internetu, uzbrukuma virsma, iespējams, dubultosies.
Visbeidzot, DBA un datu drošība. Datu drošība parasti ir daļa no DBA lomas. Bet tas ir arī sadarbībā. Un tas ir jāpakļauj korporatīvajai politikai, pretējā gadījumā tas, iespējams, netiks labi īstenots. To sakot, es domāju, ka varu pasniegt bumbu.
Ēriks Kavanaghs: Labi, ļaujiet man dot atslēgas Vicky. Un jūs varat dalīties ar savu ekrānu vai pāriet uz šiem slaidiem. Tas ir atkarīgs no jums, noņemiet to.
Vicky Harp: Nē, es sākšu ar šiem slaidiem, liels paldies. Jā, es tikai gribēju ātri pievērsties un iepazīstināt ar sevi. Es esmu Vicky Harp. Es esmu menedžeris, IDERA programmatūras SQL produktu menedžments, un tiem no jums, kuri, iespējams, mūs nepazīstat, IDERA ir vairākas produktu līnijas, bet es šeit runāju par lietu SQL Server pusi. Tātad, mēs veicam veiktspējas uzraudzību, drošības ievērošanu, dublēšanu, administrēšanas rīkus - un tas ir tikai veids, kā tos uzskaitīt. Un, protams, tas, par ko šodien esmu šeit runājis, ir drošība un atbilstība.
Lielākā daļa no tā, par ko šodien gribu runāt, ne vienmēr ir mūsu produkti, lai gan es plānoju vēlāk parādīt dažus tā piemērus. Es gribēju ar jums vairāk runāt par datu bāzu drošību, dažiem draudiem datu bāzes drošības jomā šobrīd, dažām lietām, par kurām jādomā, un dažām ievada idejām par to, kas jums jāaplūko, lai nodrošinātu savu SQL Kā jau tika minēts, serveru datu bāzes un pārliecinieties, ka tās atbilst normatīvajam regulējumam, kas uz jums varētu attiekties. Vietā ir daudz dažādu noteikumu; viņi darbojas dažādās nozarēs, dažādās vietās visā pasaulē, un par tām ir jādomā.
Tāpēc es gribētu veltīt laiku un runāt par datu pārkāpumu stāvokli - un neatkārtot pārāk daudz no šeit jau apspriestā - es nesen izskatīju šo Intel drošības pētījumu pētījumu un visā to laikā - es domāju Aptuveni 1500 organizāciju, ar kurām viņi runāja - tām bija vidēji seši drošības pārkāpumi attiecībā uz datu zaudēšanas pārkāpumiem, un 68 procenti no tiem kaut kādā ziņā bija pieprasījuši atklāt informāciju, tāpēc tie ietekmēja akciju cenu vai arī viņiem bija jāveic kādi kredīti klientu vai darbinieku uzraudzība utt.
Daži citi interesanti statistikas dati ir tādi, ka iekšējie dalībnieki, kas bija atbildīgi par 43 procentiem no tiem. Tātad, daudzi cilvēki daudz domā par hakeriem un šāda veida neērtām kvazi-valdības organizācijām vai organizēto noziedzību utt., Bet iekšējie dalībnieki joprojām diezgan lielā skaitā gadījumu tieši rīkojas pret saviem darba devējiem. Tos dažreiz ir grūtāk aizsargāt, jo cilvēkiem var būt likumīgi iemesli piekļūt šiem datiem. Apmēram puse no tā, 43 procenti, kaut kādā ziņā bija nejauši zaudējumi. Tā, piemēram, gadījumā, kad kāds aizveda datus uz mājām un pēc tam pazaudēja šos datus, kas mani ved pie šī trešā punkta, proti, 40 procentos pārkāpumu joprojām bija iesaistīti materiāli fiziskajos nesējos. Tātad, tas ir USB taustiņi, tas ir cilvēku klēpjdatori, tas ir faktiskais datu nesējs, kas tika sadedzināts uz fiziskiem diskiem un izvests no ēkas.
Ja domājat par to, vai jums ir izstrādātājs, kura klēpjdatorā ir jūsu ražošanas datu bāzes dev kopija? Tad viņi dodas iekāpt lidmašīnā un izkāpj no lidmašīnas, kā arī saņem reģistrēto bagāžu un viņu klēpjdators tiek nozagts. Jums tagad ir bijis datu pārkāpums. Varbūt nedomājat, ka tieši tāpēc klēpjdators tika uzņemts, iespējams, tas nekad netiks parādīts savvaļā. Bet tas joprojām ir kaut kas uzskatāms par pārkāpumu, un tas prasīs izpaušanu, un jums būs visi pakārtotie efekti, kad pazaudēsit šos datus tikai šī fiziskā nesēja zaudēšanas dēļ.
Otra interesanta lieta ir tā, ka daudzi cilvēki domā par kredītvērtībām un kredītkartes informāciju kā visvērtīgāko, bet tas tā vairs nav. Šie dati ir vērtīgi, kredītkaršu numuri ir noderīgi, taču, ja godīgi, šie skaitļi tiek mainīti ļoti ātri, turpretī cilvēku personīgie dati netiek mainīti ļoti ātri. Kaut kas tik nesenajā, salīdzinoši nesenajā, rotaļlietu izgatavotājā VTech, bija rotaļlietas, kas bija paredzētas bērniem. Un cilvēki gribētu, lai viņiem būtu bērnu vārdi, viņiem būtu informācija par to, kur bērni dzīvo, viņiem bija viņu vecāku vārdi, viņiem bija bērnu fotogrāfijas. Neviena no tām nebija šifrēta, jo to neuzskatīja par svarīgu. Bet viņu paroles tika šifrētas. Kad pārkāpums neizbēgami notika, jūs sakāt: “Labi, tāpēc man ir saraksts ar bērnu vārdiem, viņu vecāku vārdiem, kur viņi dzīvo - visa šī informācija ir tur, un jūs domājat, ka parole vai tā bija visvērtīgākā daļa? ”Tā nebija; cilvēki nevar mainīt šos aspektus attiecībā uz viņu personas datiem, adresi utt. Un tā, ka informācija patiesībā ir ļoti vērtīga un tā ir jāaizsargā.
Tāpēc vēlējās runāt par dažām notiekošajām lietām, dot savu ieguldījumu tajā, ka datu pārkāpumi notiek šobrīd. Viens no lielajiem karstajiem punktiem, telpas šobrīd ir sociālā inženierija. Tāpēc cilvēki to sauc par pikšķerēšanu, par uzdošanos par personālu utt., Kur cilvēki iegūst piekļuvi datiem, bieži izmantojot iekšējos dalībniekus, vienkārši pārliecinot viņus, ka viņiem ir paredzēts tam piekļūt. Tātad, tikai citu dienu, mums bija šis Google Docs tārps, kas apritēja. Un kas tas notiks - un es faktiski saņēmu tā kopiju, lai arī par laimi es uz tā neuzklikšķināju - jūs saņemat e-pastu no kolēģa, sakot: “Šeit ir Google Doc saite; jums ir jānoklikšķina uz šī, lai apskatītu to, ko es tikko kopīgoju ar jums. ”Labi, ka organizācijā, kas izmanto Google dokumentus, kas ir ļoti ierasts, jūs saņemsit desmitiem šādu pieprasījumu dienā. Ja jūs uz tā noklikšķinājāt, tas lūgs jums atļauju piekļūt šim dokumentam, un varbūt jūs teiktu: “Ei, tas izskatās mazliet dīvaini, bet, jūs zināt, tas izskatās arī likumīgi, tāpēc es iešu uz priekšu un noklikšķiniet uz tā ”, un, tiklīdz jūs to izdarījāt, jūs šai trešajai pusei piešķīrāt piekļuvi visiem saviem Google dokumentiem, tādējādi izveidojot šo saiti, lai ārējais dalībnieks varētu piekļūt visiem jūsu dokumentiem Google diskā. Tas visu laiku satracināja. Tas dažu stundu laikā skāra simtiem tūkstošu cilvēku. Un tas būtībā bija pikšķerēšanas uzbrukums, kuru pati Google galu galā nācās pārtraukt, jo tas tika ļoti labi izpildīts. Cilvēki par to kritās.
Šeit es pieminu SnapChat HR pārkāpumu. Tas bija tikai vienkāršs jautājums, kad kāds sūta e-pastu, uzdodas par izpilddirektoru un sūta e-pastu uz HR departamentu, sakot: “Man vajag, lai jūs man atsūtītu šo izklājlapu.” Un viņi viņiem ticēja, un viņi uzlika izklājlapu ar 700 dažādiem darbiniekiem. Kompensācijas informācija, viņu mājas adreses utt., nosūtīja to pa e-pastu šai otrai pusei, tas faktiski nebija izpilddirektors. Tagad dati nebija pieejami, un visa viņu personīgā, privātā informācija bija tur un bija pieejama izmantošanai. Tātad sociālā inženierija ir kaut kas tāds, ko es pieminu datu bāzu pasaulē, jo tas ir kaut kas tāds, pret kuru jūs varat mēģināt aizsargāt, izmantojot izglītību, bet jums arī vienkārši jāatceras, ka jebkur citur jums ir cilvēks, kurš mijiedarbojas ar jūsu tehnoloģiju, un ja paļaujaties uz viņu labo lēmumu, lai novērstu apstāšanos, jūs prasāt no viņiem daudz.
Cilvēki pieļauj kļūdas, cilvēki uzklikšķina uz lietām, kuras viņiem nevajadzētu būt, cilvēki izveicīgi rīkojas. Jūs varat ļoti mēģināt aizsargāt viņus pret to, taču tas nav pietiekami spēcīgs, jums ir jācenšas ierobežot cilvēku iespējas nejauši sniegt šo informāciju jūsu datu bāzu sistēmās. Otra lieta, ko es gribēju pieminēt, ka acīmredzami mēs runājam par daudz, ir programmaware, robottīni, vīrusi - visi šie dažādie automatizētie veidi. Un tāpēc, manuprāt, ir svarīgi saprast par ransomware, vai tas tiešām maina uzbrucēju peļņas modeli. Gadījumā, ja jūs runājat par pārkāpumu, viņiem savā ziņā ir jāiegūst dati, tie ir jāpatur sev un jāizmanto. Un, ja jūsu dati ir neskaidri, ja tie ir šifrēti, ja tie ir specifiski nozarei, varbūt viņiem tas nav nekāda vērtība.
Līdz šim brīdim cilvēki varēja justies kā viņu aizsardzība. “Man nav jāsargā sevi no datu pārkāpumiem, jo, ja viņi nokļūs manā sistēmā, viss, kas viņiem būs ir, es esmu fotografēšanas studija, man ir saraksts ar to, kas ieradīsies kādās nākamā gada dienās. Kam tas rūpējas? ”Nu, izrādās, ka atbilde ir tāda, ka tev tas rūp; jūs glabājat šo informāciju, tā ir jūsu uzņēmējdarbībai būtiska informācija. Tātad, izmantojot ransomware, uzbrucējs teiks: “Nu, neviens cits man par to naudu neiedos, bet jūs to darīsit.” Tātad, viņi izmanto faktu, ka viņiem pat dati nav jāiegūst, viņi to nedara. t pat nav jābūt pārkāpumam, viņiem vienkārši ir jāizmanto pret jums aizskaroši drošības rīki. Viņi nonāk jūsu datu bāzē, viņi šifrē tās saturu, un tad viņi saka: “Labi, mums ir parole, un jums būs jāmaksā mums 5000 USD, lai saņemtu šo paroli, vai arī jums vienkārši nav šie dati vairs nav pieejami. ”
Un cilvēki maksā; viņiem liekas, ka tas jādara. MongoDB bija sava veida milzīga problēma pirms pāris mēnešiem, es domāju, ka tas bija janvārī, kad ransomware hit, manuprāt, vairāk nekā miljonam MongoDB datu bāzu, kuras viņiem ir publiski pieejams internetā, pamatojoties uz dažiem noklusējuma iestatījumiem. Un tas, kas vēl vairāk pasliktināja, ir tas, ka cilvēki maksā un tāpēc citas organizācijas ienāks un atkārtoti šifrēs vai apgalvos, ka ir bijušas tās, kuras sākotnēji to bija šifrējušas, tāpēc, kad jūs maksājāt savu naudu, un es domāju, ka tādā gadījumā viņi Ja viņi prasītu kaut ko līdzīgu 500 ASV dolāriem, cilvēki teiktu: “Labi, es maksātu vairāk, nekā samaksātu pētniekam par iekļūšanu šeit, lai palīdzētu man saprast, kas nogāja greizi. Es samaksāšu tikai USD 500. ”Un viņi to pat nemaksāja pareizajam aktierim, tāpēc viņi saplūda desmit dažādās organizācijās, sakot viņiem:“ Mēs esam ieguvuši paroli ”vai“ Mēs esam dabūjāt veidu, kā atbloķēt savus izpirktos datus. ”Un jums visiem būtu jāmaksā, lai tas varētu darboties.
Ir bijuši arī gadījumi, kad ransomware autoriem bija kļūdas, es domāju, mēs nerunājam par to, ka tā ir pilnīgi virs klāja esoša situācija, tāpēc pat pēc tam, kad tam ir uzbrukuši, pat ja esat samaksājis, nav garantijas, ka esat lai iegūtu visus savus datus atpakaļ, daļu no tiem sarežģī arī ieročoti InfoSec rīki. Tātad Ēnu brokeri ir grupa, kas izlaida instrumentus, kas bija no NSA. Tie bija instrumenti, kurus valdības organizācija izstrādāja spiegošanai un faktiski strādā pret citām valdības struktūrām. Daži no tiem ir bijuši patiešām augsta līmeņa nulles dienu uzbrukumi, kas būtībā padara zināmos drošības protokolus vienkārši malā. Un tāpēc SMB protokolā bija liela ievainojamība, piemēram, vienā no nesenajām ēnu brokeru izgāztuvēm.
Un tāpēc šie šeit parādītie rīki dažu stundu laikā patiešām var mainīt spēli uz jums, ņemot vērā jūsu uzbrukuma virsmu. Tāpēc, kad es par to domāju, tas ir kaut kas tāds, ka organizatoriskā līmenī drošības InfoSec funkcija ir pati, tā ir jāuztver nopietni. Ikreiz, kad mēs runājam par datu bāzēm, es to mazliet varu mazināt. Jums kā datubāzes administratoram nav obligāti jābūt pilnīgai izpratnei par to, kas notiek ar Shadow Brokers šonedēļ, bet jums jāzina, ka visi no tām notiek pāreja, notiek lietas, un tāpēc tas, cik lielā mērā tu savu domēnu turēsi stingri un droši, tas tev patiešām palīdzēs, ja kaut kas no tevis tiek izspiests.
Tāpēc es gribēju šeit veltīt kādu laiku, pirms pāriet uz konkrētu SQL Server, lai patiesībā mazliet atvērtu diskusiju ar mūsu paneļistiem par dažiem apsvērumiem saistībā ar datu bāzes drošību. Tātad, es esmu nokļuvis līdz šai punktam, par dažām lietām, kuras mēs neesam pieminējuši, es gribēju runāt par SQL injekciju kā vektoru. Tātad, šī ir SQL injekcija, acīmredzot, tas ir veids, kā cilvēki ievieto komandas datu bāzes sistēmā pēc veida nepareizas ievades.
Ēriks Kavanaghs: Jā, es tiešām satiku puisi - es domāju, ka tas bija Andrews gaisa spēku bāzē - apmēram pirms pieciem gadiem konsultants, ar kuru es runāju ar viņu gaitenī, un mēs vienkārši dalījāmies kara stāstos - neviens pun nebija paredzēts - un viņš pieminēja, ka viņu ir ievedis kāds, lai konsultētos ar diezgan augsta ranga militārpersonu, un puisis viņam jautāja: “Nu, kā mēs zinām, ka tu esi labs tajā, ko dari?” Un tas un tas . Un, runājot ar viņiem, kurus viņš izmantoja savā datorā, viņš bija iekļuvis tīklā, viņš izmantoja SQL injekciju, lai iekļūtu e-pasta reģistrā šai bāzei un šiem cilvēkiem. Un viņš atrada personas e-pastu, ar kuru viņš sarunājās, un viņš vienkārši parādīja viņam savu e-pastu savā mašīnā! Un puisis bija tāds: “Kā jūs to izdarījāt?” Viņš sacīja: “Es izmantoju SQL injekciju.”
Tātad, tas ir tikai pirms pieciem gadiem, un tas bija gaisa spēku bāzē, vai ne? Tāpēc es domāju, ka kontekstā šī lieta joprojām ir ļoti reāla, un to varētu izmantot ar patiešām drausmīgiem efektiem. Es domāju, es būtu ieinteresēts uzzināt par visiem kara stāstiem, kas Robinam ir par tēmu, taču visi šie paņēmieni joprojām ir spēkā. Viņi joprojām tiek izmantoti daudzos gadījumos, un tas ir jautājums par sevis izglītošanu, vai ne?
Robins Bloors: Nu, jā. Jā, darbu ir iespējams aizstāvēt pret SQL ievadīšanu. Ir viegli saprast, kāpēc tad, kad ideja tika izgudrota un pirmo reizi izplatīta, ir viegli saprast, kāpēc tā bija tik goddīta veiksmīga, jo jūs to vienkārši varējāt ievietot tīmekļa lapas ievades laukā un saņemt, lai atgrieztu datus par jums, vai lai izdzēstu datus datu bāzē vai jebko citu - jūs to vienkārši varētu ievadīt SQL kodā. Bet tas, kas mani ieinteresēja, ir tas, ka jūs zināt, ka jums būtu jādara mazliet par katru ievadīto datu parsēšanu, taču ir diezgan iespējams pamanīt, ka kāds mēģina to darīt. Un tas tiešām ir, es domāju, ka tas tiešām ir tāpēc, ka cilvēki joprojām no tā izvairās, es domāju, ka tas ir tiešām dīvaini, ka nav bijis vienkāršs veids, kā to apkarot. Jūs zināt, ka visi varēja ērti izmantot, es domāju, cik zinu, tur, Vicky, nav bijis?
Vicky Harp: Nu, patiesībā, daži no ķīlnieku risinājumiem, piemēram, SQL Azure, es domāju, ka ir dažas diezgan labas atklāšanas metodes, kuru pamatā ir mašīnmācība. Droši vien tas, ko mēs redzēsim nākotnē, ir kaut kas tāds, ko mēģina nākt klajā ar visiem piemērotu. Es domāju, ka atbilde ir tāda, ka nav viens izmērs, kas der visiem, bet mums ir mašīnas, kas var uzzināt, kāds ir jūsu lielums, un pārliecināties, ka jūs to pieskaņojat, vai ne? Un tā, ka, ja jums ir nepatiesi pozitīvs rezultāts, tas notiek tāpēc, ka jūs faktiski darāt kaut ko neparastu, tas nav tāpēc, ka jums nācās iziet cauri un centīgi noteikt visu, ko jūsu lietojumprogramma varētu kādreiz darīt.
Es domāju, ka viens no iemesliem, kāpēc tas joprojām ir tik ražīgs, ir tas, ka cilvēki joprojām paļaujas uz trešo personu pieteikumiem, un ISV pieteikumi, un tie laika gaitā tiek izsmelti. Tātad, jūs runājat par organizāciju, kas ir iegādājusies inženierzinātņu lietojumprogrammu, kas tika uzrakstīta 2001. gadā. Viņi to nav atjauninājuši, jo kopš tā laika nav notikušas lielas funkcionālās izmaiņas, un sākotnējais tās autors bija tāds, viņi nebija inženieri, viņi nebija datu bāzu drošības eksperti, viņi lietojumprogrammā nedarīja lietas pareizi, un viņi bija vektori. Es saprotu, ka - es domāju, ka tas bija patiešām lielais Target datu pārkāpums - uzbrukuma vektors bija caur vienu no viņu gaisa kondicionēšanas piegādātājiem, vai ne? Tātad, problēma ar šīm trešajām pusēm, ja jums ir savs izstrādes veikals, jums var būt daži no šiem noteikumiem, kas katru reizi tiek veikti vispārīgi. Jums kā organizācijai, iespējams, darbojas simtiem vai pat tūkstošiem lietojumprogrammu ar visiem dažādiem profiliem. Es domāju, ka tieši šeit notiks mašīnmācība un mums sāks daudz palīdzēt.
Mans kara stāsts bija izglītojoša dzīvošana. Es saņēmu redzēt SQL injekcijas uzbrukumu, un kaut kas man nekad nebija noticis, ir tas, ka tiek izmantots vienkārši salasāms SQL. Es daru šīs lietas, kuras sauc par apmulstām P SQL svētku kartēm; Man patīk darīt, jūs padarīsit šo SQL pēc iespējas mulsinošāku. Tur ir aizmirsts C ++ koda konkurss, kas notiek jau gadu desmitiem, un tas ir identisks idejai. Tātad, tas, ko jūs faktiski ieguvāt, bija SQL injekcija, kas atradās atvērtā virknes laukā, tā aizvēra virkni, ielika semikolu un pēc tam ievietoja komandā exec, kurai pēc tam bija skaitļu virkne, un pēc tam pamatā izmantoja liešanas komanda, lai ievietotu šos skaitļus bināros, un pēc tam tos, savukārt, ievada rakstzīmju vērtībās un pēc tam izpilda. Tātad, tas nav tāds, kā jūs redzējāt kaut ko, kas teica: “Dzēst startēšanu no ražošanas tabulas”. Tas faktiski tika ievietots ciparu laukos, kas padarīja to daudz grūtāk redzamu. Un pat tad, kad jūs to redzējāt, lai identificētu notiekošo, vajadzēja dažus reālus SQL kadrus, lai varētu saprast, kas notiek, līdz kuram, protams, darbs jau bija paveikts.
Robins Bloors: Un viena no lietām, kas ir tikai fenomens visā hakeru pasaulē, ir tāda, ka, ja kāds atrod vājumu un tas notiek programmatūrā, kas parasti tiek pārdota, jūs zināt, viena no agrīnajām problēmām ir datu bāzes parole, kas jums tika piešķirta, kad tika instalēta datu bāze, daudz datu bāzu faktiski bija tikai noklusējums. Un daudz DBA to nekad nav mainījis, un tāpēc jums toreiz izdevās iekļūt tīklā; jūs vienkārši varētu izmēģināt šo paroli, un, ja tā darbotos, labi, jūs tikko uzvarējāt loterijā. Un interesanti ir tas, ka visa šī informācija ir ļoti efektīvi un rezultatīvi izplatīta starp hakeru kopienām darknet vietnēs. Un viņi zina. Tātad viņi var diezgan daudz veikt tur notiekošo, atrast dažus gadījumus un vienkārši automātiski atmest hakeru izmantošanu, un viņi ir iekšā. Un tas, manuprāt, ir tas, ka daudzi cilvēki, kas vismaz ir tā visa perifērijā, patiesībā nesaprot, cik ātri uzlaušanas tīkls reaģē uz ievainojamību.
Vicky Harp: Jā, tas patiesībā parāda vēl vienu lietu, kuru es gribēju pieminēt pirms pāreju, kas ir šis akreditācijas datu pildīšanas jēdziens - tas ir kaut kas tāds, kas daudz uzpludina, tas ir, ka reiz jūsu akreditācijas dati kādam ir nozagti jebkur, jebkurā vietā šos akreditācijas datus mēģinās izmantot atkārtoti. Tātad, ja jūs izmantojat paroļu dublikātus, teiksim, ja jūsu lietotāji ir, pat pieņemsim, tā sakot, tad kāds, iespējams, varēs piekļūt caur to, kas, šķiet, ir pilnīgi derīgs akreditācijas datu komplekts. Tātad, pieņemsim, ka esmu izmantojis to pašu paroli Amazon un manā bankā, kā arī forumā un ka foruma programmatūra ir uzlauzta, labi, ka viņiem ir mans lietotājvārds un mana parole. Pēc tam viņi var izmantot to pašu lietotājvārdu Amazon vai arī bankā. Un, ciktāl tas attiecas uz banku, tā bija pilnīgi derīga pieteikšanās. Tagad, izmantojot pilnībā autorizētu piekļuvi, varat veikt nevērīgas darbības.
Tātad šāda veida atgriešanās pie tā, ko es teicu par iekšējiem pārkāpumiem un iekšējo izmantošanu. Ja jūsu organizācijā ir cilvēki, kas izmanto to pašu paroli iekšējai piekļuvei, ko viņi izmanto ārējai piekļuvei, jums ir iespēja, ka kāds ienāks un uzdodas par jums, pārkāpjot kādu citu vietni, kurā jūs nezināt. par to pat nezina. Un šie dati tiek izplatīti ļoti ātri. Ir saraksti ar, manuprāt, jaunāko Troy Hunt slodzi, kuru “esmu saņēmis”, viņš teica, ka viņam ir pusmiljards pilnvaru kopums, kas ir - ja ņem vērā cilvēku skaitu uz planētas - tas ir patiešām liels skaits akreditācijas datu, kas ir pieejami akreditācijas datu pildīšanai.
Tātad, es došos mazliet dziļāk un runāšu par SQL Server drošību. Tagad es gribu teikt, ka nemēģināšu dot jums visu, kas jums jāzina, lai nākamajās 20 minūtēs nodrošinātu savu SQL Server; tas šķiet mazliet par garu. Tāpēc, lai pat sāktu, es gribu teikt, ka tiešsaistē ir grupas un resursi tiešsaistē, kurus jūs noteikti varat Google, ir grāmatas, ir Microsoft labākās prakses dokumenti, tur ir virtuāla drošības sadaļa profesionālajiem partneriem SQL Server, Viņi atrodas vietnē security.pass.org, un, manuprāt, viņiem ir ikmēneša tīmekļa apraides un tīmekļa pārraižu ieraksti, lai pārietu reālā, padziļinātā veidā par SQL Server drošību. Bet šīs ir dažas lietas, par kurām es runāju ar jums kā datu profesionāļiem, kā IT profesionāļiem un kā DBA, es vēlos, lai jūs zināt, kas jums jāzina par SQL Server drošību.
Tātad pirmais ir fiziskā drošība. Tātad, kā jau teicu iepriekš, fizisko datu nesēju nozagšana joprojām ir ārkārtīgi izplatīta parādība. Un tātad scenārijs, kuru es devu ar dev mašīnu, ar jūsu datu bāzes kopiju, kas atrodas dev mašīnā, kura tiek nozagta - tas ir ārkārtīgi izplatīts vektors, tas ir vektors, kas jums jāapzinās un jāmēģina veikt darbības pret. Tas attiecas arī uz dublējuma drošību, tāpēc, katru reizi dublējot savus datus, jums tas jāpadara šifrēts, tas jāveido drošā vietā. Daudzas reizes šie dati, kas patiešām tika aizsargāti datu bāzē, tiklīdz tie sāk izkļūt perifērijas vietās, uz izstrādes mašīnām, uz testa mašīnām, mēs mazliet mazāk uzmanāmies ar labošanu, mēs mazliet mazāk uzmanieties pret cilvēkiem, kuriem tas ir pieejams. Nākamā lieta, ko jūs zināt, jums ir nešifrēti datu bāzes dublējumi, kas tiek glabāti jūsu organizācijas publiskā akcijā un ir pieejami izmantošanai no daudziem dažādiem cilvēkiem. Tātad, padomājiet par fizisko drošību un tikpat vienkārši, kā kāds var uzkāpt un vienkārši ievietot USB atslēgu jūsu serverī? Jums to nevajadzētu atļaut.
Nākamais postenis, par kuru es domāju, ka jūs domājat, ir platformas drošība, tātad aktuāla OS, atjaunināti ielāpi. Ir ļoti nogurdinoši dzirdēt cilvēkus runājam par uzturēšanos vecākās Windows versijās, vecākās SQL Server versijās, domājot, ka vienīgās spēles izmaksas ir licencēšanas jaunināšanas izmaksas, kas tā nav. Mēs esam drošībā, tā ir straume, kas turpina iet lejā no kalna, un, laikam ejot, tiek atrasti vēl citi ieguvumi. Šajā gadījumā Microsoft un, iespējams, citas grupas, viņi līdz noteiktai vietnei atjauninās vecākās sistēmas, un galu galā tās vairs netiks atbalstītas un vairs tās neatjauninās, jo tas ir tikai nebeidzams process uzturēšana.
Tātad jums ir jāatrodas atbalstītajā operētājsistēmā un jābūt atjauninātai ar saviem ielāpiem, un nesen esam secinājuši, piemēram, ar Shadow Brokers, dažos gadījumos Microsoft, iespējams, pirms ieskatīšanās ir ieskats gaidāmajos nozīmīgos drošības pārkāpumos. pirms publiskošanas tiek publiskots, tāpēc neļaujiet sev visu izkļūt no kārtības. Es labprātāk neuzņemos dīkstāvi, es drīzāk gaidīšu un izlasīšu katru no tiem un izlemjam. Jūs, iespējams, nezināt, kāda ir tā vērtība, pirms dažām nedēļām, kad uzzinājāt, kāpēc radās šis plāksteris. Tātad, palieciet līdz tam visam.
Jums vajadzētu būt konfigurētam ugunsmūrim. SNB pārkāpumā bija šokējoši, kā daudzi cilvēki izmantoja vecākas SQL Server versijas ar pilnībā atvērtu ugunsmūri, lai ikviens varētu ar saviem serveriem iekļūt un darīt visu, ko viņi vēlējās. Jums vajadzētu izmantot ugunsmūri. Fakts, ka jums laiku pa laikam ir jākonfigurē noteikumi vai jāizdara īpaši izņēmumi veidam, kādā veicat savu biznesu, ir piemērota cena, kas jāmaksā. Jums ir jākontrolē datu bāzes sistēmu virsmas laukums - vai jūs vienlaikus instalējat pakalpojumus vai tīmekļa serverus, piemēram, IIS, tajā pašā mašīnā? Vai tiek kopīgota viena un tā pati vieta diskā, koplietota tāda pati vieta kā jūsu datu bāzēm un privātajiem datiem? Centieties to nedarīt, mēģiniet to izolēt, samaziniet virsmas laukumu, lai jums nebūtu tik daudz jāuztraucas par to, lai pārliecinātos, ka tas viss ir drošs datu bāzes augšpusē. Jūs varat tos fiziski atdalīt, novietot uz platformas, nodalīt, nedaudz atvēlēt sev elpas telpu.
Jums nevajadzētu būt, ka superadministri, kas darbojas visur, var piekļūt visiem jūsu datiem. Iespējams, OS administratora kontiem nav jābūt piekļuvei jūsu datu bāzei vai datu bāzes pamatā esošajiem datiem, izmantojot šifrēšanu, par ko mēs runāsim minūtes laikā. Un tas ir jāierobežo arī attiecībā uz piekļuvi datu bāzes failiem. Tas ir diezgan muļķīgi, ja jūs teiktu: labi, kāds nevar piekļūt šīm datu bāzēm, izmantojot datu bāzi; Pats SQL Server viņiem neļaus tai piekļūt, taču, ja viņi var apiet, paņemt faktiskā MDF faila kopiju, vienkārši pārvietot to, pievienot to savam SQL Server, jūs to vēl neesat paveicis. daudz.
Šifrēšana, tāpēc šifrēšana ir tas slavenais divvirzienu zobens. Ir daudz dažādu šifrēšanas līmeņu, ko varat veikt OS līmenī, un mūsdienu veids, kā rīkoties ar SQL un Windows, ir ar BitLocker, un datu bāzes līmenī to sauc par TDE vai caurspīdīgu datu šifrēšanu. Šie ir abi veidi, kā saglabāt datu šifrēšanu miera stāvoklī. Ja vēlaties, lai jūsu dati tiktu šifrēti visaptverošāk, varat to darīt šifrēti - atvainojiet, es esmu kaut kā solis uz priekšu. Varat veikt šifrētus savienojumus, lai arī tranzīta laikā tie joprojām būtu šifrēti, tāpēc, ja kāds klausās vai ja kāds ir uzbrukuma vidū, jums ir šo datu aizsardzība, izmantojot vadu. Jūsu dublējumi ir jāšifrē, kā es teicu, tie varētu būt pieejami citiem, un tad, ja vēlaties, lai tie tiktu šifrēti atmiņā un lietošanas laikā, mēs esam ieguvuši kolonnu šifrēšanu, un tad SQL 2016 ir šis jēdziens “vienmēr šifrēts ”, kur tas faktiski tiek šifrēts diskā, atmiņā, vadā līdz pat lietojumprogrammai, kas faktiski izmanto datus.
Tagad visa šī šifrēšana nav bezmaksas: tur ir centrālais procesors, dažreiz kolonnu šifrēšana un vienmēr šifrētais gadījums, tas ietekmē veiktspēju, ņemot vērā jūsu spēju veikt meklēšanu pēc šiem datiem. Tomēr šī šifrēšana, ja tā ir pareizi salikta, nozīmē, ka, ja kādam vajadzētu piekļūt jūsu datiem, kaitējums tiek ievērojami samazināts, jo viņi to varēja iegūt, un tad viņi neko ar to nespēj izdarīt. Tomēr tas ir arī veids, kā darbojas ransomware, ja kāds ieiet un ieslēdz šos vienumus ar savu sertifikātu vai savu paroli, un jums tam nav piekļuves. Tāpēc tas ir svarīgi, lai pārliecinātos, ka jūs to darāt, un jums ir pieeja tam, bet jūs to nedodat, atveriet to citiem un uzbrucējiem.
Un pēc tam - drošības principi - es nedomāšu par šo jautājumu, bet pārliecinieties, vai jums nav neviena lietotāja, kurš darbojas SQL Server kā superadministrs. Jūsu izstrādātāji to var vēlēties, dažādi lietotāji to var vēlēties - viņi ir satracināti, jo viņiem ir jāpieprasa piekļuve atsevišķiem priekšmetiem -, taču jums par to jābūt rūpīgam un, kaut arī tas varētu būt sarežģītāk, dodiet piekļuvi objektiem un datu bāzes un shēmas, kas ir derīgas notiekošajam darbam, un tur ir īpašs gadījums, varbūt tas nozīmē īpašu pieteikšanos, vidusmēra gadījuma lietotājam tas nebūt nenozīmē tiesību paaugstināšanu.
Un tad ir normatīvo aktu ievērošanas apsvērumi, kas to saskaņo, un daži gadījumi patiesībā var aiziet savā veidā - tātad tur ir HIPAA, SOX, PCI - ir visi šie dažādie apsvērumi. Kad jūs apmeklēsit auditu, jums būs jāparāda, ka jūs veicat darbības, lai turpinātu to ievērot. Un tā, tas ir daudz, kas jāseko, es teiktu kā DBA uzdevumu saraksts, jūs mēģināt nodrošināt drošības fiziskās šifrēšanas konfigurāciju, jūs cenšaties pārliecināties, ka piekļuve šiem datiem tiek auditēta lai nodrošinātu atbilstību, pārliecinieties, ka slepenās slejas zina, kas tās ir, kur tās atrodas, kuras jums vajadzētu šifrēt un skatīties, kā tām piekļūt. Un pārliecinieties, ka konfigurācijas atbilst normatīvajām vadlīnijām, kuras jums ir pakļautas. Un jums tas viss ir jāatjaunina, jo lietas mainās.
Tātad, tas ir daudz darāms, un tāpēc, ja es to atstātu tikai tur, es teiktu, ka jādara. Bet tam ir daudz dažādu rīku, un tāpēc, ja es dažās pēdējās minūtēs to vēlos, es gribēju jums parādīt dažus no rīkiem, kas mums ir IDERA rīcībā. Un divi, par kuriem es šodien gribēju runāt, ir SQL Secure un SQL Compliance Manager. SQL Secure ir mūsu rīks, kas palīdz noteikt konfigurācijas ievainojamības. Jūsu drošības politikas, lietotāja atļaujas, jūsu virsmas laukuma konfigurācijas. Tam ir veidnes, kas palīdzēs ievērot dažādus normatīvos aktus. Tas pats par sevi, šī pēdējā rindiņa, varētu būt iemesls, lai cilvēki to apsvērtu. Tā kā ir jāizlasa šie dažādie noteikumi un jāidentificē to nozīme, PCI, un pēc tam visu līdz manam veikala SQL serverim, tas ir daudz darba. Tas ir kaut kas, par ko jūs varētu samaksāt daudz konsultāciju naudas; mēs esam pagājuši un paveikuši šo konsultāciju, esam sadarbojušies ar dažādām auditorfirmām utt., lai nākt klajā ar to, kas ir šīs veidnes - kaut kas, iespējams, iziet revīziju, ja tās ir izveidotas. Un tad jūs varat izmantot šīs veidnes un redzēt tās savā vidē.
Mums ir arī cits sava veida māsas rīks SQL atbilstības pārvaldnieka formā, un šeit SQL Secure ir par konfigurācijas iestatījumiem. SQL atbilstības pārvaldnieks domā redzēt, kas un kad izdarīja. Tātad, tas ir audits, tāpēc tas ļauj jums uzraudzīt aktivitātes, kad tās notiek, un ļauj atklāt un izsekot tam, kurš piekļūst lietām. Vai kāds, prototipa piemērs kā slavenība, tika pārbaudīts jūsu slimnīcā, vai kāds devās un meklēja viņu informāciju tikai no ziņkārības? Vai viņiem bija iemesls to darīt? Varat ielūkoties audita vēsturē un redzēt, kas notiek, kurš piekļūst šiem ierakstiem. Un jūs varat noteikt, ka tam ir rīki, kas palīdz identificēt slepenas kolonnas, tāpēc jums tas nav obligāti jāizlasa un jādara pats.
Tāpēc, ja atļaušos, es piedāvāšu jums parādīt dažus no šiem rīkiem šeit dažās pēdējās minūtēs - un, lūdzu, neuzskatiet to par padziļinātu demonstrāciju. Es esmu produktu menedžeris, nevis pārdošanas inženieris, tāpēc es jums parādīšu dažas lietas, kuras, manuprāt, attiecas uz šo diskusiju. Tātad, šis ir mūsu SQL Secure produkts. Un kā jūs varat redzēt šeit, man ir sava veida šī augsta līmeņa ziņojumu karte. Es to domāju, es domāju, vakar. Un tas parāda man dažas no lietām, kas nav pareizi iestatītas, un dažas lietas, kas ir iestatītas pareizi. Tātad, jūs varat redzēt, ka šeit ir diezgan daudz vairāk nekā 100 dažādu pārbaužu. Un es redzu, ka mana dublējuma šifrēšana dublējumos, ko esmu darījusi, es neesmu izmantojis rezerves šifrēšanu. Mans SA konts, kas skaidri nosaukts par “SA kontu”, netiek atspējots vai pārdēvēts. Publiskā servera lomai ir atļauja, tāpēc tās ir visas lietas, kuras es varētu vēlēties apskatīt mainīšanā.
Man šeit ir iestatīta politika, tāpēc, ja es vēlētos izveidot jaunu politiku, kas attiecas uz maniem serveriem, mums ir visas šīs iebūvētās politikas. Tātad, es izmantošu esošo politikas veidni, un jūs varat redzēt, ka man ir CIS, HIPAA, PCI, SR, un mēs faktiski nepārtraukti pievienojam papildu politikas, pamatojoties uz lietām, kas cilvēkiem ir vajadzīgas šajā jomā. . Un jūs varat arī izveidot jaunu politiku, tāpēc, ja zināt, ko meklē jūsu revidents, varat to izveidot pats. Un tad, kad jūs to darāt, jūs varat izvēlēties starp visiem šiem dažādajiem iestatījumiem, kuri jums ir jāiestata, dažos gadījumos jums tie ir - ļaujiet man atgriezties un atrast vienu no iepriekš izveidotajiem. Tas ir ērti, es varu izvēlēties, teiksim, HIPAA - man jau ir HIPAA, mans sliktais - PCI, un pēc tam, kad es šeit noklikšķinu, es faktiski redzu ārēju savstarpēju norādi uz sadaļu regulējums, ar kuru tas ir saistīts. Tas jums vēlāk palīdzēs, kad mēģināt saprast, kāpēc es to iestatu? Kāpēc es cenšos to aplūkot? Ar kuru sadaļu tas ir saistīts?
Tam ir arī jauks rīks, kas ļauj ieiet un pārlūkot savus lietotājus, tāpēc viena no sarežģītākajām lietām, kas saistītas ar jūsu lietotāja lomu izpēti, ir tāda, ka patiesībā es šeit apskatīšu. Tātad, ja es parādīšu atļaujas manam, redzēsim, šeit izvēlēsimies lietotāju. Rādīt atļaujas. Es redzu šim serverim piešķirtās atļaujas, bet tad es varu noklikšķināt šeit un aprēķināt efektīvās atļaujas, un tas man sniegs pilnu sarakstu, pamatojoties uz, tāpēc šajā gadījumā tas ir admin, tāpēc tas nav tik aizraujoši, bet gan Es varētu iziet cauri un izvēlēties dažādus lietotājus un redzēt, kādas ir viņu efektīvās atļaujas, balstoties uz visām dažādajām grupām, kurām viņi varētu piederēt. Ja jūs kādreiz mēģināt to izdarīt pats par sevi, tas patiesībā var radīt mazliet apgrūtinājumus, lai izdomātu, OK, šis lietotājs ir šo grupu dalībnieks, un tāpēc tam ir piekļuve šīm lietām caur grupām utt.
Tātad, kā šis produkts darbojas, tas prasa momentuzņēmumus, tāpēc tas tiešām nav ļoti grūts process, lai regulāri veiktu servera momentuzņēmumu, un pēc tam tas saglabā šos momentuzņēmumus laika gaitā, lai jūs varētu salīdzināt izmaiņas. Tātad, tas nav nepārtraukts monitorings tradicionālajā izpratnē, piemēram, veiktspējas uzraudzības rīks; tas ir kaut kas, ko jūs, iespējams, esat iestatījis palaist vienu reizi naktī, reizi nedēļā - lai arī cik bieži jūs domājat, ka tas ir derīgi - tā, ka tad, kad jūs veicat analīzi un jūs darāt mazliet vairāk, jūs patiesībā esat vienkārši strādājam mūsu rīka ietvaros. Jūs tik daudz neveicat savienojumu ar serveri, tāpēc šis ir diezgan jauks, mazs rīks, ar kuru strādāt, lai panāktu atbilstību šiem statiskajiem iestatījumiem.
Otrs rīks, kuru es vēlos jums parādīt, ir mūsu rīks Compliance Manager. Atbilstības pārvaldnieks pārraudzīs nepārtrauktāk. Un tas redzēs to, kas dara ko jūsu serverī, un ļaus jums to apskatīt. Tātad, ko es šeit esmu izdarījis, pēdējās pāris stundās es patiesībā esmu mēģinājis radīt dažas nelielas problēmas. Tātad, šeit es apskatīju, vai tā ir problēma, vai ne, es varbūt par to zinu, kāds ir faktiski izveidojis pieteikuminformāciju un pievienojis to servera lomai. Tātad, ja es ieeju un to apskatīšu, es redzu - es domāju, ka es tur nevaru noklikšķināt ar peles labo pogu, es redzu, kas notiek. Tātad, šis ir mans informācijas panelis, un es redzu, ka šodien nedaudz agrāk man bija vairāki neveiksmīgi pieteikumi. Man bija ķekars drošības pasākumu, DBL aktivitātes.
Tātad, ļaujiet man pāriet uz maniem revīzijas pasākumiem un apskatīties. Šeit audita notikumi ir sagrupēti pēc kategorijas un mērķa objekta, tāpēc, ja es apskatīšu šo drošību no iepriekšējiem, es redzu DemoNewUser, notika šī izveidotā servera pieteikšanās. Un es redzu, ka login SA izveidoja šo DemoNewUser kontu šeit, pulksten 14:42. Tad es redzu, ka, savukārt, pievienojiet pieteikšanos serverim, šis DemoNewUser tika pievienots servera administratora grupai, viņi tika pievienoti iestatīšanas admin grupa, viņi tika pievienoti sysadmin grupai. Tātad, tas ir kaut kas, ko es gribētu zināt, ka tas ir noticis. Esmu arī to iestatījis, lai slepenās slejas manās tabulās tiktu izsekotas, lai es redzētu, kas tam ir piekļuvis.
Tātad, šeit ir pāris atlasīti, kas ir bijuši uz mana cilvēka galda, no Piedzīvojumu darbiem. Un es varu palūkoties un redzēt, ka lietotāja SA uz Piedzīvojumu darbu tabulas atlasīja desmit labākās zvaigznes no personas, kas ir persona. Tāpēc varbūt manā organizācijā es nevēlos, lai cilvēki izvēlas zvaigznes no personas, kas atzīmē personu, vai arī es to gaidu tikai daži lietotāji, un tāpēc es to redzēšu šeit. Tātad - to, kas jums nepieciešams jūsu revīzijas jomā, mēs varam to iestatīt, pamatojoties uz ietvaru, un tas ir mazliet vairāk par intensīvu instrumentu. Atkarībā no versijas tas izmanto SQL Trace vai SQLX notikumus. Un tas ir kaut kas tāds, kas jums būs nepieciešams, lai jūsu serverī būtu brīva telpa, lai to pielāgotu, bet tā ir viena no tām lietām, piemēram, apdrošināšana, kas ir patīkami, ja mums nebūtu jābūt automašīnas apdrošināšanai - tā būtu izmaksas, kas mums nebūtu jāuzņemas, bet, ja jums ir serveris, kurā jums jāseko līdzi tam, kas ko dara, jums, iespējams, būs nepieciešams mazliet papildu telpas un šāda veida rīka. Neatkarīgi no tā, vai izmantojat mūsu rīku vai pats to velmējat, jūs pats būsit atbildīgs par šīs informācijas pieejamību normatīvo aktu ievērošanas vajadzībām.
Tā kā es teicu, tas nav padziļināts demonstrācija, tikai ātrs, mazs kopsavilkums. Es arī gribēju parādīt ātru, nelielu bezmaksas rīku šīs SQL sleju meklēšanas veidā. Tas ir kaut kas tāds, ko varat izmantot, lai identificētu, kuras slejas jūsu vidē šķiet sensitīva informācija. Tātad, mums ir vairākas meklēšanas konfigurācijas, kurās tiek meklēti dažādi kolonnu nosaukumi, kas parasti satur sensitīvus datus, un tad es esmu ieguvis visu šo identificēto kolonnu sarakstu. Man ir 120 no tiem, un pēc tam es tos eksportēju uz šejieni, lai es varētu tos izmantot, lai pateiktu: iesim paskatīties un pārliecināmies, ka es sekoju piekļuvei vidējam vārdam, vienai personai, kas norāda punktu, vai tirdzniecības nodoklim likme utt.
Es zinu, ka mēs šeit nonākam tieši sava laika beigās. Un tas ir viss, kas man patiesībā jums bija jāparāda, tāpēc kādi jautājumi man ir?
Ēriks Kavaņahs: Man jums ir pāris labi. Ļaujiet man to ritināt šeit. Viens no klātesošajiem uzdeva patiešām labu jautājumu. Viens no tiem ir jautājums par veiktspējas nodokli, tāpēc es zinu, ka tas atšķiras atkarībā no risinājuma, bet vai jums ir vispārējs priekšstats par to, kas ir veiktspējas nodoklis par IDERA drošības rīku izmantošanu?
Vicky Harp: Tātad, kā es teicu, SQL Secure ir ļoti zems, tas vienkārši uzņems dažus gadījuma momentuzņēmumus. Pat ja jūs diezgan bieži skrienat, tas iegūst statisku informāciju par iestatījumiem, tāpēc tas ir ļoti zems, gandrīz nenozīmīgs. Runājot par atbilstības pārvaldītāju, tas ir -
Ēriks Kavaņahs: Kā viens procents?
Vicky Harp: Ja man būtu jādod procenta skaitlis, jā, tas būtu viens procents vai mazāks. Tā ir pamatinformācija par SSMS lietošanas kārtību, kā arī nokļūšanu drošības cilnē un lietu izvēršanu. Runājot par atbilstību, tas ir daudz augstāks - tieši tāpēc es teicu, ka tam ir vajadzīgs mazliet brīvas vietas - tas ir kā tāds, kas daudz pārsniedz to, kas jums ir veiktspējas uzraudzības ziņā. Tagad es nevēlos nobiedēt cilvēkus no tā prom, tas ir triks ar atbilstības uzraudzību, un, ja tas ir audits, pārliecinieties, ka revidējat tikai to, ko darīsit. Tātad, tiklīdz jūs filtrēsit, sakot: “Ei, es gribu zināt, kad cilvēki piekļūst šīm konkrētajām tabulām, un es gribu zināt, kad cilvēki piekļūst, veikt šīs īpašās darbības”, tad tas tiks pamatots ar to, cik bieži šīs lietas notiek notiek un cik daudz datu jūs ģenerējat. Ja jūs sakāt: “Es vēlos pilnu SQL tekstu par katru atlasi, kas kādreiz notiek kādā no šīm tabulām”, tas būs iespējams, tikai gigabaiti un gigabaiti datu, kas jāatsāk parsēt, izmantojot SQL Server, kurš tiek pārvietots uz mūsu produktu, utt.
Ja to neatzīsiet līdz - tas būs arī vairāk informācijas, nekā jūs, iespējams, varētu tikt galā. Ja jūs varētu to samazināt līdz mazākam komplektam, lai jūs dienā iegūtu pāris simtus notikumu, tad tas acīmredzami ir daudz zemāks. Tātad patiešām savā ziņā debesis ir robeža. Ja ieslēdzat visu iestatījumu uzraudzību visam, tad jā, tas būs 50% veiktspējas rezultāts. Bet, ja jūs to pārvērtīsit par mērenāku, uzskatīto līmeni, es acs ābolu varbūt par 10 procentiem? Tas tiešām ir viena no tām lietām, kas būs ļoti atkarīga no jūsu darba slodzes.
Ēriks Kavaņahs: Jā, pareizi. Ir vēl viens jautājums par aparatūru. Pēc tam aparatūras pārdevēji iesaistās spēlē un patiešām sadarbojas ar programmatūras pārdevējiem, un es atbildēju caur jautājumu un atbilžu logu. Es zinu par vienu konkrētu gadījumu, kad Cloudera strādā ar Intel, kur Intel tajos veica tik lielus ieguldījumus, un daļa no aprēķiniem bija tāda, ka Cloudera agrīni piekļūs mikroshēmas dizainam un tādējādi spēs ieviest drošību ķēdes līmenī. arhitektūra, kas ir diezgan iespaidīga. Bet tas tomēr ir kaut kas, kas tur nonāks, un to joprojām var izmantot abas puses. Vai jūs zināt kādas tendences vai tendences aparatūras pārdevējiem sadarboties ar programmatūras pārdevējiem drošības protokola izstrādē?
Vicky Harp: Jā, patiesībā es uzskatu, ka Microsoft ir sadarbojies, lai daži no šifrēšanas darbiem, piemēram, atmiņas vietas, faktiski notiek atsevišķās mikroshēmās mātesplatēs, kas atrodas atsevišķi no jūsu galvenās atmiņas, tāpēc daži no šī materiāla tiek fiziski atdalīts. Un es uzskatu, ka tas patiešām bija kaut kas no Microsoft viedokļa, dodoties pie pārdevējiem, lai pateiktu: “Vai mēs varam nākt klajā ar veidu, kā to panākt, būtībā tā ir nepieejama atmiņa, es nevaru caur bufera pārpildījumu nokļūt šo atmiņu, jo kaut kādā ziņā tās pat tur nav, tāpēc es zinu, ka daži no tā notiek. ”
Ēriks Kavaņahs: Jā.
Vicky Harp: Visticamāk, ka tie būs patiešām lielie pārdevēji.
Ēriks Kavaņahs: Jā. Es to vēlos skatīties, un varbūt Robinam, ja jums ir ātrs sekundes laiks, es gribētu zināt, kāda ir jūsu pieredze gadu gaitā, jo atkal, runājot par aparatūru, attiecībā uz faktisko materiālu zinātni, kas iet ņemot vērā to, ko jūs saliekat no pārdevēja puses, šī informācija varētu nonākt abās pusēs, un teorētiski mēs diezgan ātri dodamies uz abām pusēm, tāpēc vai ir kāds veids, kā rūpīgāk izmantot aparatūru, sākot no dizaina viedokļa, lai pastiprinātu drošību? Ko tu domā? Robin, vai tu esi mēms?
Robins Bloors: Jā, jā. Es atvainojos, es esmu šeit; Es tikai apdomāju jautājumu. Godīgi sakot, es neesmu saņēmis atzinumu, tā ir joma, kurā es neesmu izpētījis pietiekami padziļināti, tāpēc es esmu veida, jūs zināt, es varu izdomāt viedokli, bet es īsti nezinu. Es dodu priekšroku tam, lai programmatūrā būtu drošība, galvenokārt tas ir veids, kā es spēlēju.
Ēriks Kavaņahs: Jā. Mēs, ļaudis, esam nodedzinājuši stundu un maināmies šeit. Liels paldies Vicky Harp par viņas laiku un uzmanību - par visu jūsu laiku un uzmanību; pateicamies, ka parādījāties šajās lietās. Tas ir liels darījums; tas drīz nezudīs. Tā ir kaķu un peļu spēle, kas turpinās iet un iet un iet. Un tāpēc mēs esam pateicīgi, ka daži uzņēmumi darbojas tur, koncentrējoties uz drošības nodrošināšanu, bet, tā kā Vicky savā prezentācijā pat pieminēja un mazliet par to runāja, dienas beigās tie ir cilvēki organizācijās, kuriem ļoti rūpīgi jādomā par šiem pikšķerēšanas uzbrukumiem, šāda veida sociālo inženieriju un turieties pie klēpjdatoriem - neatstājiet to kafejnīcā! Nomainiet paroli, veiciet pamatus, un jūs nokļūsit 80 procentos ceļa.
Tātad, ļaudis, mēs ar jums atvadīsimies, vēlreiz pateicamies par jūsu veltīto laiku un uzmanību. Mēs ar jums nākamreiz uzzināsim, parūpēsimies. Labdien!
Vicky Harp: Bye, paldies.
