Незаблоковані робочі місця
Увімкнений екран означає сеанс із виконаним входом і чиїмось ім'ям.
Що таке Незаблоковані робочі місця?
Увімкнений екран означає не бездіяльний монітор, а активний сеанс, який більше ніколи не спитає пароль. У цій вправі колега виходить, залишивши робоче місце з виконаним входом, поки вечірня прибиральниця працює біля його столу, а спільні облікові дані написані на дошці команди, де їх може прочитати вся кімната. Ви вчитеся блокувати чужий комп'ютер, стирати облікові дані й просити автоблокування, яке працює у вечори, коли ніхто не дивиться.
Що ви дізнаєтесь у Незаблоковані робочі місця
- Сприймати незаблокований екран як автентифікований сеанс, а не як монітор, що випадково увімкнений
- Блокувати робоче місце колеги, залишене без нагляду, і казати йому про це, а не вирішувати, що це чиясь інша справа
- Відокремлювати довіру до людини поруч від ризику відкритого сеансу на порожньому поверсі
- Вважати скомпрометованими спільні облікові дані, записані в спільному приміщенні, тобто змінювати їх, а не лише стирати
- Просити автоматичне блокування екрана як захід, що працює, коли поруч немає нікого, хто помітить
Незаблоковані робочі місця — Кроки навчання
-
За десять сьома
Четвер, вечір в Orrowdale Studios. Більшість пішла додому о шостій, і Аліса доробляє останні макети для Brindlewick, коли світло вже наполовину вимкнене. Приходить лист від Тома Еллербі, арт-директора, який сидить навпроти неї.
-
Що він залишив увімкненим
Крісло Тома відсунуте, пальта немає, але його монітор досі світиться в іншому кінці кімнати. Ні екрана блокування, ні запиту пароля, лише його робочий стіл, яким він його залишив. За спиною в Аліси на дошці студії досі маркером написані завдання цього тижня.
-
Поверх не порожній
Крізь двері в передній частині студії заїжджає візок. Прибиральниця обходить кімнату, спорожнює кошики, протирає поверхні й зупиняється біля столу навпроти Аліси. Біля столу Тома. З увімкненим екраном Тома.
-
Хто вона
Спершу варто глянути на картку, прикріплену до її фартуха, бо вона відповідає на запитання, яке більшість людей воліє не ставити вголос.
-
Вівторки й четверги
Вона прибирає цей поверх двічі на тиждень від весни і цілком звикла о сьомій заставати когось за столом.
-
Екран поруч із нею
Роза не становить жодної загрози, і поводитися з нею як із загрозою було б і неввічливо, і не по суті. А на столі поруч із нею досі відкритий сеанс Тома, і він буде відкритим і тоді, коли вона піде нагору, світло вимкнуть, а поверх належатиме будь-кому, хто має ключ.
-
Два кроки через кімнату
Роза каже «звісно» і відкочує візок на середину кімнати, щоб Аліса могла підійти до столу. Аліса блокує комп'ютер Тома. Це займає приблизно стільки ж часу, скільки сказати про це, і на екрані з'являється екран блокування. Том нічого не втрачає, а за десять хвилин знову сидітиме перед ним.
-
У дальній кінець
Роза закінчує зі столами й котить візок студією до скляної стіни в дальньому кінці. І опиняється перед дошкою.
-
Прочитайте дошку
Аліса проходить повз цю дошку двічі на день від березня і вже кілька місяців як перестала її читати. Варто прочитати її зараз так, як прочитала б людина, що бачить її вперше: Brindlewick Foods, пакування, макет до друку 2 грудня. Клієнт на ім'я і дата, якої ніхто поза студією не знає. Verrow Gardens, ребрендинг, огляд логотипа в п'ятницю. Другий клієнт і те, що його айдентику зараз перемальовують. Спільні облікові дані бібліотеки ресурсів, червоним, між ними.
-
Зітріть рядок
Завдання можуть лишитися. Рядок посередині ні: це пароль, яким четверо фрилансерів і всі в цій кімнаті користуються, щоб дістатися до бібліотеки макетів, написаний маркером на рівні очей. Роза за метр від нього з ганчіркою і сама сказала, що ніколи не чіпає написаного.
Охоплення стандартів безпеки
CWE
- CWE-522 Insufficiently Protected Credentials
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
- CIS 4 Secure Configuration of Enterprise Assets and Software
- CIS 14.3 Train Workforce Members on Authentication Best Practices
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.PS Platform Security