Lesezeit: 3 Minuten
Nachdem wir festgestellt haben, was passiert ist, müssen wir als nächstes unser Bedrohungsmodell neu bewerten.
Die Internetsicherheit ist viel schwieriger als in anderen Bereichen, da sich das Internet ständig ändert und die Toleranz der Benutzer gegenüber Sicherheitskontrollen sehr gering ist. Im Gegensatz zum Militär können wir den Menschen nicht befehlen, Sicherheitsverfahren zu befolgen. Akzeptanz muss bei der Gestaltung einer zivilen Sicherheitskontrolle oberste Priorität haben, sonst wird sie nicht verwendet.
Das SSL Der in Browsern verwendete Sicherheitsmechanismus wurde ursprünglich entwickelt, um die Verwendung von Kreditkarten zum Kauf von Waren bei Online-Händlern zu ermöglichen. Während andere Anwendungen und Anwendungsfälle besprochen wurden, durften diese die Anforderungen nicht steuern. Über fünfzehn Jahre später gilt das Internet als treibende Kraft hinter einer Welle von Volksaufständen in Nordafrika und am Golf. Die Anwendungsfälle haben sich geändert, daher müssen wir unser Bedrohungsmodell überarbeiten.
In der akademischen Forschung besteht die Tendenz, skeptisch zu sein und die am wenigsten überraschende Ursache vorzuschlagen. Hier geht es nicht darum, den tatsächlichen Täter oder das tatsächliche Motiv für den Angriff zu bestimmen, sondern die plausiblen Täter und die plausiblen Motive. Wir wissen nicht mit Sicherheit, wer der Täter war, es ist höchst unwahrscheinlich, dass wir es jemals erfahren werden. Um den nächsten Angriff zu verhindern, muss die Bandbreite der plausiblen Täter und plausiblen Motive ermittelt werden.
Indizien deuten darauf hin, dass der Angriff im Iran stattfand. Die ursprünglichen Zertifikatanforderungen wurden von einer iranischen IP-Adresse empfangen und ein Zertifikat wurde auf einem Server mit einer iranischen IP-Adresse installiert. Obwohl die Umstände stark auf eine iranische Verbindung hindeuten, wissen wir nicht, ob dies daran liegt, dass der Angreifer aus dem Iran stammt oder dass dies die Schlussfolgerung ist, die der Angreifer von uns beabsichtigt hat.
Die Umstände deuten auch darauf hin, dass das Motiv des Angriffs nicht finanziell war. Zwar gibt es sicherlich Möglichkeiten, wie der Angriff zu einem finanziellen Gewinn hätte führen können, aber es ist schwer zu erkennen, wie der Täter erwartet haben könnte, dass der Angriff eine einfachere, sicherere oder rentablere Rendite für seine Bemühungen bietet. Der schwierige Teil des Bankbetrugs besteht darin, Geld vom Konto abzuheben. Gestohlene Kreditkartennummern und Bankkontodaten sind auf dem Markt überfüllt.
Um die betrügerisch ausgestellten Zertifikate nutzen zu können, müsste der Täter die Möglichkeit haben, Internetnutzer auf ihre gefälschten und nicht auf die legitimen Websites zu verweisen. Dies erfordert wiederum die Kontrolle der DNS-Infrastruktur, für deren Erreichung Ressourcen auf Regierungsebene in großem Umfang oder über einen längeren Zeitraum erforderlich sind.
Zusammen mit anderen kürzlich gemeldeten und nicht gemeldeten Angriffen auf andere Ziele scheint es wahrscheinlich, dass dieser Vorfall Teil eines Angriffsmusters auf die Internetauthentifizierungsinfrastruktur ist und dass es zumindest sehr wahrscheinlich ist, dass die Täter hochentwickelt und staatlich sind gerichtet.
Es ist durchaus möglich, den einen oder anderen Vorfall zu erklären, der als Arbeit unabhängiger „Hactivists“ angesehen wird. Aber insgesamt lässt das Muster etwas anderes vermuten. Wenn wir dieser Bedrohung erfolgreich begegnen wollen, müssen wir davon ausgehen, dass unsere Gegner national finanzierte Teams für Informationsengagement sind und dass die Ressourcen, die sie tragen, erheblich sind.
Um eine solche Bedrohung jedoch erfolgreich zu bekämpfen, müssen wir einen eingehenden Verteidigungsansatz verfolgen. Wir müssen die Internet-Vertrauensinfrastruktur stärken, aber wir müssen auch die Mittel stärken, mit denen Anwendungen mit ihr interagieren. Die zugrunde liegende Schwachstelle, die hier aufgedeckt wird, ist die Tatsache, dass ein Angreifer durch das Erhalten eines betrügerischen Server-Berechtigungsnachweises Endbenutzer-Zugriffsdaten erhalten kann. Wir müssen es einem Angreifer erschweren, einen betrügerischen Server-Berechtigungsnachweis zu erhalten, aber wir müssen auch die zugrunde liegenden Schwachstellen in den Anwendungen und Diensten beheben, die sie verwenden.
Die Bemühungen zur Stärkung der Internet-Vertrauensinfrastruktur waren bereits im Gange, bevor dieser bestimmte Angriff entdeckt wurde. Diese werden im nächsten Beitrag erläutert. In dem folgenden Beitrag werde ich Maßnahmen zur Behebung der zugrunde liegenden Ursache untersuchen.
KOSTENLOS TESTEN ERHALTEN SIE IHRE SOFORTIGE SICHERHEITSKORECARD KOSTENLOS
- SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
- PlatoData.Network Vertikale generative KI. Motiviere dich selbst. Hier zugreifen.
- PlatoAiStream. Web3-Intelligenz. Wissen verstärkt. Hier zugreifen.
- PlatoESG. Kohlenstoff, CleanTech, Energie, Umwelt, Solar, Abfallwirtschaft. Hier zugreifen.
- PlatoHealth. Informationen zu Biotechnologie und klinischen Studien. Hier zugreifen.
- Quelle: https://blog.comodo.com/other/the-changing-threat-model/
- :Ist
- :nicht
- a
- Fähigkeit
- akademisch
- akademische Forschung
- Zugang
- Konto
- Erreichen
- über
- präsentieren
- Adresse
- adoptieren
- Afrika
- gegen
- erlaubt
- erlaubt
- bereits
- ebenfalls
- an
- und
- Ein anderer
- erscheint
- Anwendungen
- Ansatz
- SIND
- Bereiche
- AS
- annehmen
- At
- Attacke
- Anschläge
- Authentifizierung
- Bank
- Bankkonto
- BE
- Denken Sie
- weil
- Bevor
- hinter
- Sein
- Blog
- beide
- Browsern
- aber
- Kaufe
- by
- kann keine
- Karte
- Karten
- Fälle
- Verursachen
- sicherlich
- Sicherheit
- Bescheinigung
- Zertifikate
- geändert
- Ändern
- Umstände
- klicken Sie auf
- Abschluss
- Verbindung
- ständig
- Smartgeräte App
- Steuerung
- könnte
- KREDENTIAL
- Referenzen
- Kredit
- Kreditkarte
- Geldkarten
- Militär
- Tiefe
- Design
- entworfen
- Details
- Festlegung
- schwer
- Direkt
- gerichtet
- entdeckt
- diskutiert
- dns
- do
- Antrieb
- Fahren
- einfacher
- Anstrengung
- ermöglichen
- Ende
- Engagement
- Event
- ÜBERHAUPT
- Beweis
- erwartet
- Erklären
- erklärt
- ausgesetzt
- Tatsache
- Fälschung
- Fünfzehn
- Revolution
- folgen
- Folgende
- Aussichten für
- Zwingen
- Formen
- Betrug
- betrügerisch
- Frei
- für
- kapitalgedeckten
- Gewinnen
- gewinnen
- bekommen
- gehen
- Waren
- der Regierung
- passiert
- hart
- Schwerer
- Haben
- hier
- hoch
- Ultraschall
- aber
- HTTPS
- i
- identifiziert
- identifizieren
- if
- in
- Zwischenfall
- unabhängig
- Information
- Informationen Engagement
- Infrastruktur
- installiert
- sofortig
- beabsichtigt
- interagieren
- Internet
- IP
- IP Address
- Iran
- iranisch
- Herausgegeben
- IT
- jpg
- Wissen
- grosse
- später
- am wenigsten
- legitim
- Niveau
- wahrscheinlich
- aussehen
- Sneaker
- um
- Markt
- Angelegenheiten
- Mittel
- Maßnahmen
- Mechanismus
- Kaufleute
- Militär
- Model
- Modell
- Geld
- mehr
- Motiv
- viel
- sollen
- landesweit
- Need
- weiter
- Norden
- jetzt an
- nt
- Zahlen
- erhalten
- of
- on
- EINEM
- Einsen
- Online
- or
- Auftrag
- Original
- ursprünglich
- entstand
- Andere
- Andernfalls
- UNSERE
- übrig
- Teil
- besondere
- Schnittmuster
- Personen
- Zeit
- Plato
- Datenintelligenz von Plato
- PlatoData
- plausibel
- Beliebt
- möglich
- Post
- verhindern
- Prioritätsliste
- Verfahren
- profitabel
- die
- ganz
- Angebot
- lieber
- Received
- kürzlich
- verstärken
- Berichtet
- Zugriffe
- Voraussetzungen:
- erfordert
- Forschungsprojekte
- Downloads
- Rückkehr
- überarbeiten
- s
- Sicherheit
- Skalieren
- Scorecard
- Sicherheitdienst
- sehen
- gesehen
- senden
- Server
- Lösungen
- signifikant
- Seiten
- skeptisch
- So
- anspruchsvoll
- SSL
- Schritt
- gestohlen
- starker
- Erfolgreich
- so
- vorschlagen
- Schlägt vor
- überraschend
- Nehmen
- gemacht
- Ziele
- Teams
- als
- zur Verbesserung der Gesundheitsgerechtigkeit
- Das
- ihr
- Sie
- Dort.
- Diese
- vom Nutzer definierten
- fehlen uns die Worte.
- Bedrohung
- Zeit
- zu
- gemeinsam
- Toleranz
- Top
- Vertrauen
- WENDE
- zugrunde liegen,
- Unterwegs
- nicht wie
- unwahrscheinlich
- us
- -
- benutzt
- Mitglied
- Nutzer
- sehr
- wurde
- Wave
- Wege
- we
- Schwäche
- waren
- Was
- welche
- während
- WHO
- ganze
- werden wir
- mit
- Arbeiten
- würde
- Jahr
- Ihr
- Zephyrnet