Обов'язки працівників з безпеки

Що таке Обов'язки працівників з безпеки?

Той, хто дзвонить, видаючи себе за лікаря, потрапляє на прийом пацієнтів із вмираючим пацієнтом і заблокованим обліковим записом. Він пропонує перші цифри ідентифікаційного номера працівника як доказ, а потім проводить агента до схожого порталу, щоб авторизувати скидання пароля. Через три години тисячі записів пацієнтів зникли. Ви відстежите ланцюжок атак, точно визначите момент, коли її можна було зупинити, скинете пароль, зареєструєтесь у багатофакторній автентифікації та подасте звіт. Ідентифікатор абонента та частковий ідентифікаційний номер не є підтвердженням особи.

Що ви дізнаєтесь у Обов'язки працівників з безпеки

• Перевіряти особу несподіваного абонента за номером із внутрішнього довідника, а не за будь-якими даними, які надає сам абонент
• Розпізнавати терміновість, заявлені повноваження та звернення до співчуття як схему тиску, що передує проханню про облікові дані
• Розпізнавати підроблений домен порталу до введення облікових даних і вважати ворожим будь-яке скидання пароля, ініційоване вхідним дзвінком
• Стримати підтверджену компрометацію облікових даних, негайно змінивши пароль і налаштувавши багатофакторну автентифікацію через застосунок
• Подати звіт про інцидент із твердженнями абонента, підробленим доменом і даними під загрозою, щоб команда безпеки могла діяти

Обов'язки працівників з безпеки — Кроки навчання

1. Звичайний понеділок у Meridian Healthcare

   Це звичайний понеділковий ранок. Ви щойно випили каву та зайшли на портал керування пацієнтами.

2. Терміновий телефонний дзвінок

   У Аліси дзвонить телефон. Ідентифікатор абонента показує «Доктор Раджан Мехта – кардіологія». Лунає чоловічий голос — наполегливий, майже панікуючий. Він каже, що пацієнт кодує у відділенні невідкладної допомоги, і йому вкрай потрібен доступ до їхніх записів, але його обліковий запис на порталі заблоковано.

3. Трюк перевірки

   Той, хто дзвонить, пропонує «перевірити» його особу. Він дає Алісі кілька перших цифр ідентифікаційного номера свого працівника та просить її знайти та прочитати решту. Це схоже на доказ — але він просто обманом змусив Алісу завершити його особистість.

4. Спрямовано на "Інструмент швидкого скидання"

   Тепер, коли Аліса вважає, що абонент законний, він направляє її до «ІТ-інструменту швидкого відновлення» на meridianhc-portal.net/reset. Він каже, що їй потрібно ввести власні облікові дані, щоб авторизувати скидання його облікового запису.

5. Введення облікових даних на сторінці фішингу

   Аліса відкриває URL-адресу, надану абонентом. Сторінка виглядає як ІТ-інструмент Meridian Healthcare, але домен — meridianhc-portal.net, а не справжній meridianhc.com. Вона не помічає різниці у своєму поспіху допомогти «вмираючому».

6. «Обробка» авторизації

   На сторінці відображається повідомлення «Авторизація обробки» та повідомляється, що Аліса отримає електронний лист із підтвердженням протягом 24 годин. Це виглядає звично, але зловмисник щойно заволодів її обліковими даними.

7. Розкрито наслідки

   Через три години приходить терміновий лист від CISO. У системі керування пацієнтами виявлено несанкціонований доступ. 2300 записів пацієнтів — імена, номери соціального страхування, страхові дані, історії хвороби — експортовано на зовнішній сервер. Використані облікові дані: Аліси.

8. Розслідування порушення

   У Аліси опускається живіт. Вона натискає посилання на інформаційну панель розслідування порушень і авторизується, щоб побачити повний обсяг збитку.

9. Розуміння ланцюга атак

   Інформаційна панель зламу показує повний ланцюжок атак. Прописаний кожен крок: підроблений ідентифікатор абонента, фальшивий трюк перевірки, фішингова URL-адреса на зовнішньому домені та перехоплення облікових даних.

10. Що повинна була зробити Аліса?

    Тепер, коли видно повний ланцюжок нападу, давайте поміркуємо над критичним моментом, коли Аліса могла це зупинити.