USB disker en sikkerhetsrisiko

[espman]

Bedrifter og ansatte er ikke flinke nok til å se sikkerhetsrisikoene ved bruk av USB minnepinner, ifølge sikkerhetsbransjen.

Les mer

[pertm]

Det burde jo ikke være noen nyhet egentlig. det samme gjaldt jo når en drev med disketter for mange år siden.

[CAT-scan]

Det var vel en noe syntestisk test. Hvor ofte løper det virusmakere rundt om kring i bedrifter og legger i fra seg USB-disker egentlig? Greit nok, det var bare for å finne ut om folk faktisk tar med seg USB-disker liggende slengt rundt om kring, men det som faktisk er essensielt er vel spørsmålet; hvorfor har skadelig programvare en tendens til å befinne seg på USB-disker/eksterne medier eller arbeidsstasjoner hos medarbeidere?

 

Problemet er ikke eksterne medier, problemet er at folk flest er IT-analfabeter, og det ser ikke ut til at det blir noe bedre med tiden. Innfør kjørekort/lisens for bruk av IT-utstyr sier nå jeg. Så kanskje IT-konsulenter og folk som driver med support kan få tatt seg av litt mer seriøse ting enn å plugge i støpsler og forklare enkle prinsipper til folk som "har gode IT-kunnskaper" oppført på CVen.

Endret 28. juni 2006 av CAT-scan

[Nedward]

Kan ikke sikkerhets risikoen ved USB disker og minnepenner elimineres ved at man bruker en server istedet for eksterne disker, også kan man jo bare lag en policy som sier at ansatte ikke har lov til å benytte seg av eksterne lagrings medium. Dermed vil problemet være løst.

[G]

Det finnes software løsninger som kan blokker USB porter på PC'en.

[CAT-scan]

... men det vil ikke ha noe for seg, ville det vel? Det er jo brukerenes feil at uønskede ting dukker opp på alle medier, og det kan ikke stoppes via at USB-medier blir forbudt på arbeidsplassen. Problemet er, og har alltid vært, at brukerne er nolduser.

 

Saken dreier seg vel bare om at folk generelt sett er ukritiske og uforsiktige når det gjelder hva de bruker sin arbeidsstasjon til. Å plugge inn en USB-disk som en har funnet på arbeidsplassen synes jeg er helt greit. Det løper normalt sett ikke folk rundt og planter USB-disker med virus/malware på en arbeidsplass uansett, det er jo ikke her problematikken ligger.

 

Hele eksempel-situasjonen er jo absurd. Hvis det er snakk om en bedrift som er så utsatt for angrep at folk løper inn med USB-disker med farlig innhold på og legger de i fra seg i håp om at en eller annen stakkar skal plukke den opp og kjøre innholdet, da har man gjort et eller annet fundamentalt feil når det gjelder både IT-sikkerhet og konvensjonell sikkerhet i utgangspunktet (store bedrifter med sensitiv informasjon lagret digitalt har generelt sett ganske gode rutiner).

 

Dette er nok bare antivirus-industrien som går ut med overhysteriske uttalelser for å få folk til å bruke mer penger på sikkerhet (som vanlig).

[Stigma]

Tullete... USB enheter er jo bare en av hundrevis av mulige vektorer. Om noe, så vil jeg påstå at risikoen for at ondsinnet kode skal "manuellt" plantes på dene måten er uednelig mye mindre enn at det kommer trojanere inn via nett-tilkobling. Det er tross alt alltid NOEN som er dum nok til å kjøre selv åpenlagte virus-filer fra .feks. mail.

 

Og om du virkelig vil infiltrere èn bestemt bedrift på denne måten, så er det da viterlig lettere måter enn å spre USB-disker rundt omkring og satse på at noen kobler dem inn i et kritisk system...

 

-Stigma

[roac]

Hysterisk morsomt. Jeg får bare si velkommen etter, hwb.no, og i samme slengen nevne at man skal sørge for en høy faglig kvalitet på innholdet.

 

Med Windows XP Service Pack 2 kom det støtte for å skrivebeskytte USB-disker, fordi det er kjent at de er en sikkerhetsrisiko. Allerede på NT4 (eller tidligere) var det mulig å sperre tilgang til diskbokstaver, fordi tilgang til media (f eks en CD-ROM eller diskett) er en sikkerhetsrisiko. USB Penner er i så måte bare en "ny diskettstasjon".

 

Med andre ord, dette er alt annet enn nytt, og det har vært løsninger på dette problemet i flere år.

Endret 28. juni 2006 av roac

[bjokys]

"Hmm, gratis minnepinne, lurer på hva den inneholder"

[roac]

"Hmm, gratis minnepinne, lurer på hva den inneholder"

6401754[/snapback]

Omtrent samme som "Umerket CD, montro hva den inneholder" ... "Jøss, en screensaver, kuult. Den må jeg prøve".

 

Jeg har sagt det før, og jeg sier det igjen. Trojanske hester i seg selv ikke et problem. Det er brukerene som er problemet. Og i samme slengen kan vi sitere Marcus Ranum:

 

"You can't solve social problems with software."

[cspace]

det er ikke bare å installere ondskapsfulle programmer som man har med på usben dersom maskinen er medlem av domene kontroller som er styrt av Active Directory. brukeren vil da bare kunne kopiere data han/hun har tilgang til, evt. delte disker som det er gitt tilgang til. synes nå derfor att denne trusselen er litt overdrevet.

Endret 28. juni 2006 av cspace

[CAT-scan]

Som jeg sier tidligere i tråden; dette er vel strengt tatt bare det normale hysteriet en ser fra sikkerhetsindustrien.

[b-real]

Som jeg sier tidligere i tråden; dette er vel strengt tatt bare det normale hysteriet en ser fra sikkerhetsindustrien.

6402994[/snapback]

Hysteri vil jeg ikke si at det er, men at folk tar i litt ekstra det ser man da. At dette er et problem for IT-ansatte rundt om kring i verden er ikke å nekte for i det hele tatt. Tar en del tid å rydde opp etter folk desverre og slike ting tar resurser som igjen koster penger.

[ryback]

Jeg vil ikke akkurat kalle dette en "nyhet". Jeg leste denne historien for en måneds tid siden på et annet nettsted. Ikke er problemstillingen ny heller. Som nevnt av noen over så har man hatt samme problem siden diskettene. Evt. kan man snu på det og si at man har hatt problemet siden man fikk "brukere".

Endret 29. juni 2006 av ryback

[reidar76]

Min erfaring er at sikkerhetstrusselen ved disketter, USB-pinner, Ipod, CDer eller andre eksterne lagringsmedium er svært lav sammenlignet med er store risikoen for at medarbeiderne sender ut sensitive data bevisst. Det er bare sikkerhetsindustrien som skal selge mer teknisk utstyr ved å fokusere på USB-pinner. Slik sikkerhetsutstyr mener jeg ofte bare gir en falsk trygghet. ("Da var sikkerheten i orden. Vi har jo kjøpt denne dyre lisensen.")

 

Det er svært mange ansatte i bedrifter som behandler store mengder sensitiv informasjon som gjerne ikke tenker på hvordan de behandler opplysningene (eller byr seg ikke). Spesielt i offentlig virksomhet har mange ansatte bi-engasjementer ved andre institusjoner. Noen ganger tar de med seg store mengder sensitiv informasjon andre virksomheter, f.eks. en lege som jobber på et sykehus med tilgang til journalopplysninger, men også jobber for et livsforsikringsselskap én dag i uken eller bruker journalopplysningene til forskning i sitt professorat på universitetet. Det er nærliggende å tro at det i slike sammenhenger ofte lekkes ut store mengder sensitive opplysninger. Ansatte tar gjerne også med seg data når de slutter i sin stilling og begynner å arbeide i en konkurrerende virksomhet.

 

Sikkerhet er også så mye mer enn å innføre tekniske sperrer for å sikre konfidensialitet. Sikkerhet angår også tilgjengelighet til dataene (at medarbeiderne har tilgang til opplysningene når de har behov for dem) og integritet (at opplysningene er korrekte og ikke f.eks. manipulerte).

 

I min erfaring er det beste tiltaket for å bedre sikkerheten å gjennomføre interne sikkerhetsrevisjoner av institusjonens ansatte (intervju og gransking av logger).

Endret 29. juni 2006 av reidar76

[- Slaktarn -]

hmm..

Dette er jo bare oversatt fra engelsk og nesten direkte "cut`n paste" (om man ser bort fra oversettelsen).. gammelt nytt er det også.

[Squeegie]

Sikkerhet er også så mye mer enn å innføre tekniske sperrer for å sikre konfidensialitet. Sikkerhet angår også tilgjengelighet til dataene (at medarbeiderne har tilgang til opplysningene når de har behov for dem) og integritet (at opplysningene er korrekte og ikke f.eks. manipulerte).

6404438[/snapback]

Sikkerhet er sjelden kompatibelt med tilgjengelighet.

I min erfaring er det beste tiltaket for å bedre sikkerheten å gjennomføre interne sikkerhetsrevisjoner av institusjonens ansatte (intervju og gransking av logger).

6404438[/snapback]

Det som er synd(eller ikke? ekspertene strides...) ved dette, er at det er særdeles lite logging som er lov i Norge.

[CAT-scan]

Som jeg sier tidligere i tråden; dette er vel strengt tatt bare det normale hysteriet en ser fra sikkerhetsindustrien.

6402994[/snapback]

Hysteri vil jeg ikke si at det er, men at folk tar i litt ekstra det ser man da. At dette er et problem for IT-ansatte rundt om kring i verden er ikke å nekte for i det hele tatt. Tar en del tid å rydde opp etter folk desverre og slike ting tar resurser som igjen koster penger.

6404182[/snapback]

 

Dette vil jeg glatt kalle hysteri. Den situasjonen som er beskrevet er jo så surrealistisk at jeg ikke har sett maken. Dette vil jeg si er misbruk av resultater som kommer fra undersøkelser som er laget for å finne ut noe helt annet enn nyhetssakene omtaler. Om det er mediene sin trang til å lage saker som er sensasjonspreget, eller om det er sikkerhetsindustrien selv, det kan man vel krange om (personlig tror jeg begge to klarer å samarbeide med å rote det til), men at saken er preget av hysteri vil jeg helt klart si.

[Mr-CEO]

"Brukere en sikkerhetsrisiko"

 

Ikke lenge før den kommer heller

[roac]

"Brukere en sikkerhetsrisiko"

 

Ikke lenge før den kommer heller

6405878[/snapback]

Den har vært ute lenge, og det er sågar kanskje den største sikkerhetsrisikoen som er. Men, det er en sikkerhetsrisiko som man med fornufitg opplæring kan gjøre mindre farlig.