Revenge of the 5th: 5 store cybersikkerhedsfejl, SMV'er begår

Ak, endnu en May the 4th er gået, og fejringen af alt, der har med Star Wars at gøre, er forbi. Eller… er den?

Her hos Devolutions elsker vi Star Wars så højt, at vi ville forlænge festen lidt. Vi ville også sætte spot på en film, der i årevis er blevet hårdt kritiseret, men som nu oplever noget af en renæssance — nogle fans regner den endda for en af de bedste (og helt sikkert den mørkeste og sørgeligste) i hele franchisen. Ja, vi taler om Star Wars: Episode III – Revenge of the Sith.

Og så dukkede idéen op, som Tatooines tvillingesole: hvad hvis vi gennemsøgte filmen for eksempler på cybersikkerhedsfejl, som små og mellemstore virksomheder (SMV’er) ofte begår — og derefter delte, hvordan du retter dem? Konceptet blev behørigt godkendt af Devolutions’ jediråd (alias vores nørdede kommunikationsgruppe).

Så gør det behageligt, skænk dig et glas Yoda Soda (ja, det findes virkelig!), og vær med, når vi henter cybersikkerhedsadvarsler og indsigter fra Anakin Skywalker, Supreme Chancellor Palpatine, Obi-Wan og resten af holdet fra Revenge of the Sith.

Manglende styring af adgang til privilegerede konti

Revenge of the Sith er fuld af små detaljer, og selv den mest ihærdige fan kan tilgives for at overse noget, der virkede ubetydeligt, men faktisk var afgørende. Tag for eksempel den episke scene, hvor Obi-Wan kæmper mod General Grievous på Utapau. Obi-Wan kunne bruge Kraften til at hente generalens tabte blaster, som han derefter brugte til at nedkæmpe ham. Det var medrivende og underholdende.

Men hvad hvis generalens blaster havde været beskyttet af en form for godkendelsesmekanisme, der skulle sikre våben tildelt officerer — våben, der ikke burde virke for enhver, der bare samler dem op fra jorden? I så fald havde Obi-Wan, i stedet for at skyde sig til sejr, måske skreget på Galactic Basic, twi’lek, amani, gammel alderaanisk og Shyriiwook.

På samme måde skal SMV’er identificere, beskytte og overvåge deres privilegerede konti. I modsætning til almindelige brugerkonti har privilegerede konti udvidede rettigheder og giver adgang til kritiske data, systemer og ressourcer i en organisation. Eksempler omfatter (men er ikke begrænset til) domæneadministratorkonti, lokale administratorkonti, nødadgangskonti, systemkonti og domænetjenestekonti.

Kun bestemte, autoriserede personer — for eksempel systemadministratorer (og måske jediriddere) — bør have adgang til privilegerede konti. Virkeligheden ser anderledes ud. Faktisk ved 55 % af organisationerne ikke, hvor mange privilegerede konti de har, eller hvor de befinder sig. Dertil kommer, at over 50 % af de privilegerede konti aldrig udløber eller bliver nedlagt — og 74 % af databrud starter med misbrug af privilegerede legitimationsoplysninger.

Den gode nyhed? SMV’er kan vende den svaghed til en styrke med en solid løsning til privilegeret adgangsstyring (PAM). Devolutions PAM er for eksempel et prisvenligt kraftcenter inden for cybersikkerhed, der styrer og overvåger privilegeret adgang til kritiske systemer og data. Den hjælper SMV’er med at beskytte „nøglerne til kongeriget“ og holde ondsindede aktører (hackertypen, ikke Hollywood-typen) ude. Læs mere om Devolutions PAM i den her FAQ.

Troen på, at adgangskodeadministratorer er selvstændige sikkerhedsløsninger

I Revenge of the Sith vender Anakin Skywalker sig, i stedet for at omfavne Kraften, mod den mørke side og bliver Darth Vader. Det var en levende og isnende påmindelse om, at ting — og mennesker — ikke altid er, hvad de ser ud til, eller hvad vi ønsker, de skal være.

Den samme forvirring findes på markedet for adgangskodeadministration. At pakke det ud er lidt kringlet (men bare rolig, det er slet ikke så komplekst som lyssværdbyttet mellem Palpatine og Anakin under duellen på Mustafar).

Generelt er det mere sikkert at bruge en god adgangskodeadministrator end at lade være — fordi slutbrugerne så (forhåbentlig) ikke gemmer adgangskoder i regneark, på gule lapper eller på andre måder, der holder cybersikkerhedsfolk vågne om natten.

Men på trods af navnet er adgangskodeadministratorer ikke selvstændige sikkerhedsløsninger. De er derimod værktøjer til forretningskontinuitet, der lader brugerne dele bokse med oplysninger som legitimationsoplysninger, kreditkortnumre, oplysninger om fjernforbindelser og mere.

Det smarte er, at hvis en bruger forlader organisationen, behøver de kolleger, der bliver tilbage, ikke at grave i e-mails eller dokumenter for at finde adgangskoder. De logger bare ind i den centrale adgangskodeadministrator, og så ligger det hele der.

Det, der ikke er smart, er, at der ikke er noget iboende sikkert ved adgangskodeadministratorer. En fratrædende bruger skal blot kopiere følsomme oplysninger over i en anden fil. Ja, i teorien ville den sårbarhed forsvinde, hvis en organisation skiftede alle adgangskoder, hver gang nogen stoppede — men det er højst upraktisk. Og at adgangskoder automatisk nulstilles efter hver brug, påvirker ikke tredjepartsapps eller websteder.

Heldigvis kan SMV’er løse problemet ved at supplere adgangskodeadministratoren med en løsning, der også giver administration af privilegerede sessioner (PSM) eller privilegeret adgangsstyring (PAM). Den kombination giver omfattende sikkerhedsfunktioner som:

• Sikker indsprøjtning af legitimationsoplysninger
• Kontoopdagelse
• Automatisk adgangskoderotation
• Advarsler og notifikationer
• Godkendelsesproces for check-out-anmodninger

Hvis du vil vide mere om forskellen mellem adgangskodeadministratorer og PSM-/PAM-løsninger, kan du læse den her gode artikel af Gabriel, vores Sales Ops Manager.

Manglende brug af multifaktorgodkendelse (MFA)

Når det gælder garderobe, slagfærdige replikker og fed, tung metalmusik, fortjener Det Galaktiske Imperium 10 ud af 10. Men når det gælder grundlæggende cybersikkerhed, fortjener de et skybrud af Kraftlyn — for deres praksis er ekstraordinært, og til tider komisk, dårlig. Kort sagt står Imperiets netværk åbne for enhver, der har lyst til at koble sig på. Sith-fyrstens adgangskode er sikkert „123456“.

På samme måde bruger mange SMV’er, trods konstante overskrifter om cyberangreb, stadig ikke en af de enkleste og klogeste måder at mindske risikoen på: MFA.

MFA tilføjer et ekstra sikkerhedslag, der kræver, at brugerne bekræfter deres identitet ved at angive loginoplysninger plus en anden faktor, som kan være:

• Noget, de ved (for eksempel en adgangskode, en PIN-kode eller svaret på et hemmeligt spørgsmål)
• Noget, de har (for eksempel en smartphone eller et hardwaretoken)
• Noget, de er (for eksempel fingeraftryk, stemmegenkendelse eller scanning af nethinden)

MFA er ikke 100 % skudsikker (men den er stadig stærkere end det, klonstormtrooper-panser er lavet af — hvad er det, flamingo?). Alligevel er det et meget klogt træk. I Devolutions’ løsninger sættes MFA på datakildeniveau, undtagen i Devolutions Server, hvor den sættes på brugerniveau. Gå til det her afsnit i vidensbasen for at læse mere og finde konfigurationstrin.

Troen på, at de er for små til at blive hacket

I Revenge of the Sith forstår Yoda, at hans beskedne størrelse (blot 66 cm) ikke stopper nogen fra at prøve at sende ham på tidlig pension. Spørg bare kansler Palpatine, som besejrede ham i holdingkontoret i Det Galaktiske Senatskammer.

Desværre er nogle SMV’er ikke lige så vise som Yoda. De tror, de ikke er sårbare over for et databrud, fordi hackere har for travlt med at gå efter store virksomheder. Det er ønsketænkning. Sandheden er, at hackere i stigende grad går efter SMV’er, netop fordi de forventer svage — eller slet ingen — forsvar. Se bare her:

• 43 % af alle cyberangreb på verdensplan rammer nu SMV’er
• Den gennemsnitlige omkostning ved et databrud for SMV’er er steget til 2,98 millioner USD pr. hændelse
• 69 % af SMV’erne har oplevet mindst ét cyberangreb det seneste år

Konklusionen? SMV’er skal gøre det til en topprioritet at styrke deres cybersikkerhedsprofil — ellers risikerer de at ende på den tabende side af en meget dyr kamp.

Forsøget på at klare det hele selv

I Revenge of the Sith søger Obi-Wan vejledning hos Yoda, efter at han har hørt om Anakin Skywalkers fald til den mørke side. Det er en tydelig illustration af, at selv de mest kompetente nogle gange har brug for hjælp.

På samme måde har mange SMV’er brug for støtte til at styrke deres cybersikkerhedsforsvar. Her er to måder at mindske risikoen på:

• Vælg leverandører, der er dedikeret til SMV’er. De leverandører tilbyder stærke, men prisvenlige cybersikkerhedsløsninger og værktøjer, der er nemme at administrere. I mere end 15 år har Devolutions været stolte af at betjene, støtte og styrke SMV’er verden over.

• Samarbejd med en udbyder af administrerede tjenester (MSP), der ligesom Devolutions er forpligtet til at hjælpe SMV’er på en meningsfuld og omkostningseffektiv måde. Læs den her artikel for råd om at vælge den rigtige MSP-partner.

Husk: at erkende, at du ikke har specialisterne eller teknologien internt til at forsvare dig mod sith-agtige hackere, er ikke svaghed. Det er visdom.

Hvad mener du?

Hvad synes du om vores kig på fem store cybersikkerhedsfejl, som SMV’er begår — og hvordan du retter dem? Er der én fejl (eller flere), som du synes er særligt alvorlig? Er der andre, du ville føje til listen? Bliv ved med at mærke Kraften, og del dine tanker nedenfor.