Elakt i det sociala nätet Per Hellqvist

Transkript

1

2 Elakt i det sociala nätet Per Hellqvist Senior Security Specialist

3 Symantecs Vision Confidence in the Connected World Säkra och hantera din informationsdrivna värld över fysiska, virtuella eller molnbaserade miljöer

4 Partners Dagens företag Mobilitet Molntjänster Anställda Kunder Samarbeten Samhället Media

5 Anställda arbetar på ett helt nytt sätt Laddar Byter Laddar Ändrar ned Uppdaterar status Gör upp senaste ROI reseräkningar en på modeller ny företagets leads presentationen produktdemo i salesforce.com. med i Concur. Facebook-sida. teamet från till YouTube. isharepoint. Office Live. Viktigt Lägger ut möte länken idag! på Facebook.

6 Säkerhet 2.0: Policy-baserad, informationscentrerad säkerhet Säkerhet 1.0 Säkerhet 2.0 Hindrar låser ned Möjliggör balanserar risk Sårbarhetsexploits Människobaserade exploits Segmenterade och fristående lösningar Operationaliserad säkerhet Fokus på infrastruktur Fokus på information

7 Säkerhet 2.0: Policy-baserad, informationscentrerad säkerhet Säkerhet 1.0 Säkerhet 2.0 Hindrar låser ned Möjliggör balanserar risk Sårbarhetsexploits Människobaserade exploits Segmenterade och fristående lösningar Operationaliserad säkerhet Fokus på infrastruktur Fokus på information

8 Information är det viktigaste vi har Lita på den Säkra den Hantera den Tänk efter innan

9 Information är allt För mycket Överallt Hela tiden Ostrukturerad Mycket värdefull Utsatt

10 Överallt och hela tiden

11 Costs Vad är det som kostar? Business Impairment Brand Equity Customer Confidence Share Holder Value Business Losses Response System Recovery Recovery Costs Monitoring Sensor Management Training Reporting & Auditing Operational Costs

12 Sociala nätverkssajter och bloggar Alla gör det De är här för att stanna IT hatar dem

13 Sociala nätverk i siffror 96% av Millennials finns i minst ett nätverk Facebook har mer trafik än Google Sociala medier har tagit över tronen från porr 1 av 8 nygifta par i USA träffades via sociala nätverk Om Facebook vore ett land vore det det 3 e största landet Efter Kina och Indien Kvinnor i års åldern är Facebooks just nu mest växande grupp Britney Spears har fler följare på Twitter än Sverige har innevånare 50% av den mobila internettrafiken i England går till Facebook

14 År att nå 50 miljoner användare Radio 38 år TV - 13 år Internet 4 år ipod 3 år Facebook lade till över 200 miljoner användare på mindre än ett år Twitter fick just sin användare

15 Risker med sociala nätverk Digitala identiteter Tidsspill Elak kod Spam Informationsläckage Social engineering Ryktesspridning Inbrott Och så vidare...

16

17

18

19

20 Utmaningar Digitala identiteter När är du du? Du företräder alltid din arbetsgivare Markera noga när det är dina personliga åsikter du framför Registrera dig inte med organisationens e-post Var försiktig med vad du skriver 20

21 Undersökning från Careerbuilder.com: 45% använder sociala nätverksplatser för att kolla upp sökande Facebook var den primära platsen 35% sa att de funnit information som gör att de väljer bort en sökande. Exempevis: Olämpliga bilder Information om dryckesvanor (läs: partyprat) Elaka ord om tidigare arbetsgivare/medarbetare/kunder 21

22 Please do not distribute; For workshop participants exclusively. 22

23 Jobbkandidat?

24 Tänk på: Det man skriver kan få allvarliga följder både på jobbet och privat Legala Social engineering Journalister Arbetsgivare Mobbare Brottslingar... Det du skriver kan ses som ett löfte 24

25 Faktakontroll på Internet I stort sett obefintlig Rykten/anklagelser/lögner sprids med Internets hastighet Blir snabbt fakta Lever kvar oerhört länge Plockas upp av eftervärlden...och journalister...och sökmotorer...och arbetsgivare Det du skriver kan ses som ett löfte

26 Sant eller falskt? Du kan hållas ansvarig för det du skriver på internet? Andra kan publicera information på din Facebook-sida? Andra kan få reda på var du bor och var du arbetar? Du kan av misstag läcka hemlig/känslig information? Det är julafton varje dag för sociala ingenjörer?

27 Facebook och sociala nätverk

28 Facebook - snabbfakta aktiva användare Hälften loggar in varje dag Snittanvändaren har 130 vänner Vi lägger ned minuter per månad Snittanvändaren utför 90 aktiviteter per månad nya aktiviteter per månad (status, bilder, länkar etc) applikationer installeras per dag användare besöker Facebook via mobilen De är dubbelt så aktiva som vanliga besökare I snitt integreras nya webbplatser med Facebook varje dag

29 Skillnad på meddelande och meddelande

30

31 Exempel på elak kod: Koobface Sprids via Sociala nätverksplatser och Twitter Gör din dator till medlem i ett P2P botnät Installerar falska antivirusprodukter Kapar sökningar Stjäl information Visar reklam

32 Koobface in action: Via mejlen

33 Koobface in action: på din wall

34 Koobface in action: Via chatten

35 .tk?

36 Koobface in action: Via Twitter

37 När du klickat

38 När du klickat 38

39 39 ISTR XIV

40 Koobface kan mer Injicerar reklam Styr om surfning till elaka sajter Blockerar vissa sajter Laddar ned ytterligare skräp Skapar Blogspot-konton Lurar dig att hjälpa dem!

41 Gå inte på vad som helst

42 42

43 .cc?

44

45 45

46 Gå inte på vad som helst

47

48 Så här ser det ut under skalet

49

50 Du skickas först till tracker.cpaprosperity.net/affe?offer_id=500&aff_id=1161 Sen till : acaioptimum.com/?afil=az1007

51

52 .tv?

53

54 Mystiskt bedrägeri på Facebook

57 1 miljard/200= 5 miljoner

58

59

60

61

62

63

64 Hotbilden Socialt nätverkande + social ingenjörskonst = intrång Förkortade URLer döljer elaka länkar, ökar infektioner Förkortade URLer på sociala nätverksplatser som leder till elaka sajter klickades i 73% av fallen 11 gånger eller mer Kort URL 65% Vanlig URL 35%

65 Flerstegsattacker Elakingarna kombinerar elak kod, phishing, spam, sårbarheter och webb-attacker 1. Spam innehållande länk till hackad server Servrar med ytterligare elak kod 5. Laddar ned och installerar andra hot 4. Nedladdare installerad via sårbarhet i webbläsaren 3. Omstyrning 2. Användare besöker legitim sida T ex Mpack/Neosploit Server Hackad server

66

67 Firesheep Point-click-hack

70 Vad säger lagen? Den som i annat fall än som sägs i 8 och 9 olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst två år. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Lag (2007:213).

71 Exempel på sajter Firesheep kan sniffa Amazon, bit.ly Facebook FourSquare Google Twitter Dropbox, Windows Live (live.com/bing.com/hotmail), Gowalla, Flickr, Yahoo, ebay, LinkedIn, Digg,Reddit, Wikipedia, Blogger, GoDaddy, Tumblr, Netflix,Youtube, Slashdot, MobileMe, Paypal, Salesforce.com, MySpace, Match.com, Craigslist, Tripit.

72 Minst sagt populär nedladdningar per dag

73 Inte ett nytt problem $ sudo tcpdump -A -i en1 tcp port 80

74 Säkerhet är inte så svårt som du tror Tips från coachen:

75

76 Klicka inte på den där länken, du vet inte var den varit

77 Ditt lösenord är som din tandborste Byt den ofta och låna inte ut den

78 Varför är din chef så rädd? Elak kod Informationsläckage Hot och stalking Social engineering Tidsspill 79

79 Vad kan man göra som arbetsgivare? Förbjuda det helt Vitlista domäner som normalt används (.com,.se etc) Utbilda användarna Policy/guideline/ Skydda sig mot informationsförluster Data Loss prevention Utbildar användarna Blockerar informationsläckage

80 Vad kan du göra? Tänk på vad du skriver Förutsätt att allt finns kvar för evigt Tänk på vilka bilder du laddar upp Förutsätt att allt finns kvar för evigt Klicka inte på allt Det är bättre att fälla än att fria Frihet under ansvar Smart lösenordshantering 43% använder samma login/pw på flera sajter Netikett

81 Personuppgifter i sociala medier Kränkande uppgifter Inte publicera Hålla koll Ta bort Uppmana att rapportera Tala om syfte och avsändare Personuppgifter På Facebook Helt ansvarig På Twitter Bara ansvarig för egna tweets

82 E-delegationen 1. Syfte, tid och resurser Har ni utgått från myndighetens uppdrag och klargjort hur det sociala mediet kan bidra till myndighetens verksamhet? Har ni analyserat vilka krav på funktion, teknik och säkerhet ni bör ställa? Har ni bedömt vilka insatser som behövs i tid och resurser för att hålla de sociala medierna under uppsikt? 2. Avtal Har ni gått igenom avtalsvillkoren för de sociala medierna? Har ni bedömt vilka avtalsvillkor som användarna ställs inför för att ta del av myndighetens inlägg eller för att kunna kommunicera med myndigheten?

83 E-delegationen 3. Interna regler Har ni tagit fram interna regler för bland annat vem som får uttala sig för myndighetens räkning i sociala medier och vilka ramarna är? Har ni tagit fram interna regler för hur anställda får använda arbetsgivarens utrustning? Rekommenderar ni anställda att undvika att använda privata konton när de kommunicerar via sociala medier i tjänsten? 4. Allmän handling, diarieföring och arkivering Har ni rutiner för att hantera allmänna handlingar i sociala medier (myndighetens inlägg, inlägg och kommentarer som kommer in till myndigheten)? Har ni rutiner för diarieföring? Har ni rutiner för arkivering? Har ni gallringsbeslut för sociala medier?

84 E-delegationen 5. Enskilda ärenden Hänvisar ni enskilda ärenden (personuppgifter, ekonomiska förhållanden) till en annan kanal än det sociala mediet, till exempel direkt till handläggare? Har ni rutiner för hur myndigheten ska hantera enskilda ärenden som eventuellt ändå kommer in via sociala medier? 6. Informationskrav Framgår det i det sociala mediet att användarna inte får göra inlägg med kränkande uppgifter, uppvigling, hets mot folkgrupp, barnpornografibrott, olaga våldsskildring eller upphovsrättsintrång eller intrång i andrarättigheter som skyddas i 5 kap. upphovsrättslagen? Har ni i det sociala mediet informerat om Myndighetens identitet syftet med att använda mediet i vilken mån inlägg blir tillgängliga för andra användare, att inlägg blir allmänna handlingar, vilka uppgifter som inte får publiceras på det sociala mediet (se ovan), Om myndigheten själv använder cookies, har ni också informerat om att webbplatsen innehåller sådana, för vilket ändamål dessa används och hur användaren kan förhindra dem?

85 Kort sagt: Fundera på syfte Gör inget dumt Se till att ingen annan gör något dumt Gör en riskanalys Betrakta sociala nätverk som e-post men med okända mottagare Bevaka och övervaka

86 Whistle blowers och informationsläckage är vardag Organisationer läcker dagligen information skvaller och rykten via bloggar, tweets, FB, e-post, SMS, chatt etc Wikileaks Vi är mer genomskinliga än någonsin tidigare På gott och ont

87 När en kris uppstår PR bör alltid ansvara för krishantering Potentiell eller faktiskt kris kontakta PR direkt Ge alltid PR så mycket information som möjligt PR tar fram ett uttalande PR bör avgöra om: Ska vi bemöta (vaddetnuär)? Behöver vi svara just nu? Är det ett känsligt ämne?...