Elakt i det sociala nätet Per Hellqvist

Elakt i det sociala nätet Per Hellqvist Senior Security Specialist

Symantecs Vision Confidence in the Connected World Säkra och hantera din informationsdrivna värld över fysiska, virtuella eller molnbaserade miljöer

Partners Dagens företag Mobilitet Molntjänster Anställda Kunder Samarbeten Samhället Media

Anställda arbetar på ett helt nytt sätt Laddar Byter Laddar Ändrar ned Uppdaterar status Gör upp senaste ROI reseräkningar en på modeller ny företagets leads presentationen produktdemo i salesforce.com. med i Concur. Facebook-sida. teamet från till YouTube. isharepoint. Office Live. Viktigt Lägger ut möte länken idag! på Facebook.

Säkerhet 2.0: Policy-baserad, informationscentrerad säkerhet Säkerhet 1.0 Säkerhet 2.0 Hindrar låser ned Möjliggör balanserar risk Sårbarhetsexploits Människobaserade exploits Segmenterade och fristående lösningar Operationaliserad säkerhet Fokus på infrastruktur Fokus på information

Information är det viktigaste vi har Lita på den Säkra den Hantera den Tänk efter innan

Information är allt För mycket Överallt Hela tiden Ostrukturerad Mycket värdefull Utsatt

Överallt och hela tiden

Costs Vad är det som kostar? Business Impairment Brand Equity Customer Confidence Share Holder Value Business Losses Response System Recovery Recovery Costs Monitoring Sensor Management Training Reporting & Auditing Operational Costs

Sociala nätverkssajter och bloggar Alla gör det De är här för att stanna IT hatar dem

Sociala nätverk i siffror 96% av Millennials finns i minst ett nätverk Facebook har mer trafik än Google Sociala medier har tagit över tronen från porr 1 av 8 nygifta par i USA träffades via sociala nätverk Om Facebook vore ett land vore det det 3 e största landet Efter Kina och Indien Kvinnor i 55-65 års åldern är Facebooks just nu mest växande grupp Britney Spears har fler följare på Twitter än Sverige har innevånare 50% av den mobila internettrafiken i England går till Facebook

År att nå 50 miljoner användare Radio 38 år TV - 13 år Internet 4 år ipod 3 år Facebook lade till över 200 miljoner användare på mindre än ett år Twitter fick just sin 100 000 000 användare

Risker med sociala nätverk Digitala identiteter Tidsspill Elak kod Spam Informationsläckage Social engineering Ryktesspridning Inbrott Och så vidare...

Utmaningar Digitala identiteter När är du du? Du företräder alltid din arbetsgivare Markera noga när det är dina personliga åsikter du framför Registrera dig inte med organisationens e-post Var försiktig med vad du skriver 20

Undersökning från Careerbuilder.com: 45% använder sociala nätverksplatser för att kolla upp sökande Facebook var den primära platsen 35% sa att de funnit information som gör att de väljer bort en sökande. Exempevis: Olämpliga bilder Information om dryckesvanor (läs: partyprat) Elaka ord om tidigare arbetsgivare/medarbetare/kunder 21

Please do not distribute; For workshop participants exclusively. 22

Jobbkandidat?

Tänk på: Det man skriver kan få allvarliga följder både på jobbet och privat Legala Social engineering Journalister Arbetsgivare Mobbare Brottslingar... Det du skriver kan ses som ett löfte 24

Faktakontroll på Internet I stort sett obefintlig Rykten/anklagelser/lögner sprids med Internets hastighet Blir snabbt fakta Lever kvar oerhört länge Plockas upp av eftervärlden...och journalister...och sökmotorer...och arbetsgivare Det du skriver kan ses som ett löfte

Sant eller falskt? Du kan hållas ansvarig för det du skriver på internet? Andra kan publicera information på din Facebook-sida? Andra kan få reda på var du bor och var du arbetar? Du kan av misstag läcka hemlig/känslig information? Det är julafton varje dag för sociala ingenjörer?

Facebook och sociala nätverk

Facebook - snabbfakta 500 000 000 aktiva användare Hälften loggar in varje dag Snittanvändaren har 130 vänner Vi lägger ned 700 000 000 000 minuter per månad Snittanvändaren utför 90 aktiviteter per månad 30 000 000 000 nya aktiviteter per månad (status, bilder, länkar etc) 20 000 000 applikationer installeras per dag 200 000 000 användare besöker Facebook via mobilen De är dubbelt så aktiva som vanliga besökare I snitt integreras 10 000 nya webbplatser med Facebook varje dag

Skillnad på meddelande och meddelande

Exempel på elak kod: Koobface Sprids via Sociala nätverksplatser och Twitter Gör din dator till medlem i ett P2P botnät Installerar falska antivirusprodukter Kapar sökningar Stjäl information Visar reklam

Koobface in action: Via mejlen

Koobface in action: på din wall

Koobface in action: Via chatten

Koobface in action: Via Twitter

När du klickat

När du klickat 38

39 ISTR XIV

Koobface kan mer Injicerar reklam Styr om surfning till elaka sajter Blockerar vissa sajter Laddar ned ytterligare skräp Skapar Blogspot-konton Lurar dig att hjälpa dem!

Gå inte på vad som helst

Så här ser det ut under skalet

Du skickas först till tracker.cpaprosperity.net/affe?offer_id=500&aff_id=1161 Sen till : acaioptimum.com/?afil=az1007

Mystiskt bedrägeri på Facebook

1 miljard/200= 5 miljoner

Hotbilden Socialt nätverkande + social ingenjörskonst = intrång Förkortade URLer döljer elaka länkar, ökar infektioner Förkortade URLer på sociala nätverksplatser som leder till elaka sajter klickades i 73% av fallen 11 gånger eller mer Kort URL 65% Vanlig URL 35%

Flerstegsattacker Elakingarna kombinerar elak kod, phishing, spam, sårbarheter och webb-attacker 1. Spam innehållande länk till hackad server Servrar med ytterligare elak kod 5. Laddar ned och installerar andra hot 4. Nedladdare installerad via sårbarhet i webbläsaren 3. Omstyrning 2. Användare besöker legitim sida T ex Mpack/Neosploit Server Hackad server

Firesheep Point-click-hack

Vad säger lagen? Den som i annat fall än som sägs i 8 och 9 olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst två år. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Lag (2007:213).

Exempel på sajter Firesheep kan sniffa Amazon, bit.ly Facebook FourSquare Google Twitter Dropbox, Windows Live (live.com/bing.com/hotmail), Gowalla, Flickr, Yahoo, ebay, LinkedIn, Digg,Reddit, Wikipedia, Blogger, GoDaddy, Tumblr, Netflix,Youtube, Slashdot, MobileMe, Paypal, Salesforce.com, MySpace, Match.com, Craigslist, Tripit.

Minst sagt populär. +9000 nedladdningar per dag

Inte ett nytt problem $ sudo tcpdump -A -i en1 tcp port 80

Säkerhet är inte så svårt som du tror Tips från coachen:

Klicka inte på den där länken, du vet inte var den varit

Ditt lösenord är som din tandborste Byt den ofta och låna inte ut den

Varför är din chef så rädd? Elak kod Informationsläckage Hot och stalking Social engineering Tidsspill 79

Vad kan man göra som arbetsgivare? Förbjuda det helt Vitlista domäner som normalt används (.com,.se etc) Utbilda användarna Policy/guideline/ Skydda sig mot informationsförluster Data Loss prevention Utbildar användarna Blockerar informationsläckage

Vad kan du göra? Tänk på vad du skriver Förutsätt att allt finns kvar för evigt Tänk på vilka bilder du laddar upp Förutsätt att allt finns kvar för evigt Klicka inte på allt Det är bättre att fälla än att fria Frihet under ansvar Smart lösenordshantering 43% använder samma login/pw på flera sajter Netikett

Personuppgifter i sociala medier Kränkande uppgifter Inte publicera Hålla koll Ta bort Uppmana att rapportera Tala om syfte och avsändare Personuppgifter På Facebook Helt ansvarig På Twitter Bara ansvarig för egna tweets http://www.datainspektionen.se/documents/faktablad-sociala-medier.pdf

E-delegationen 1. Syfte, tid och resurser Har ni utgått från myndighetens uppdrag och klargjort hur det sociala mediet kan bidra till myndighetens verksamhet? Har ni analyserat vilka krav på funktion, teknik och säkerhet ni bör ställa? Har ni bedömt vilka insatser som behövs i tid och resurser för att hålla de sociala medierna under uppsikt? 2. Avtal Har ni gått igenom avtalsvillkoren för de sociala medierna? Har ni bedömt vilka avtalsvillkor som användarna ställs inför för att ta del av myndighetens inlägg eller för att kunna kommunicera med myndigheten? http://www.edelegationen.se/sites/default/files/imce/filer/publikationer/riktlinjer_sociala_medier_v1_0.pdf

E-delegationen 3. Interna regler Har ni tagit fram interna regler för bland annat vem som får uttala sig för myndighetens räkning i sociala medier och vilka ramarna är? Har ni tagit fram interna regler för hur anställda får använda arbetsgivarens utrustning? Rekommenderar ni anställda att undvika att använda privata konton när de kommunicerar via sociala medier i tjänsten? 4. Allmän handling, diarieföring och arkivering Har ni rutiner för att hantera allmänna handlingar i sociala medier (myndighetens inlägg, inlägg och kommentarer som kommer in till myndigheten)? Har ni rutiner för diarieföring? Har ni rutiner för arkivering? Har ni gallringsbeslut för sociala medier? http://www.edelegationen.se/sites/default/files/imce/filer/publikationer/riktlinjer_sociala_medier_v1_0.pdf

E-delegationen 5. Enskilda ärenden Hänvisar ni enskilda ärenden (personuppgifter, ekonomiska förhållanden) till en annan kanal än det sociala mediet, till exempel direkt till handläggare? Har ni rutiner för hur myndigheten ska hantera enskilda ärenden som eventuellt ändå kommer in via sociala medier? 6. Informationskrav Framgår det i det sociala mediet att användarna inte får göra inlägg med kränkande uppgifter, uppvigling, hets mot folkgrupp, barnpornografibrott, olaga våldsskildring eller upphovsrättsintrång eller intrång i andrarättigheter som skyddas i 5 kap. upphovsrättslagen? Har ni i det sociala mediet informerat om Myndighetens identitet syftet med att använda mediet i vilken mån inlägg blir tillgängliga för andra användare, att inlägg blir allmänna handlingar, vilka uppgifter som inte får publiceras på det sociala mediet (se ovan), Om myndigheten själv använder cookies, har ni också informerat om att webbplatsen innehåller sådana, för vilket ändamål dessa används och hur användaren kan förhindra dem? http://www.edelegationen.se/sites/default/files/imce/filer/publikationer/riktlinjer_sociala_medier_v1_0.pdf

Kort sagt: Fundera på syfte Gör inget dumt Se till att ingen annan gör något dumt Gör en riskanalys Betrakta sociala nätverk som e-post men med okända mottagare Bevaka och övervaka

Whistle blowers och informationsläckage är vardag Organisationer läcker dagligen information skvaller och rykten via bloggar, tweets, FB, e-post, SMS, chatt etc Wikileaks Vi är mer genomskinliga än någonsin tidigare På gott och ont

När en kris uppstår PR bör alltid ansvara för krishantering Potentiell eller faktiskt kris kontakta PR direkt Ge alltid PR så mycket information som möjligt PR tar fram ett uttalande PR bör avgöra om: Ska vi bemöta (vaddetnuär)? Behöver vi svara just nu? Är det ett känsligt ämne?...

Den heliga treenigheten Gör fel Mobila Säkerhet Tillgänglighet Människor Processer Teknik Utbildning Nyfikna Hantering Prestanda

Var lite misstänksam...

Tack för mig! Per_Hellqvist@symantec.com http://blog.perhellqvist.se