디지털 보안에 대해 알아야 할 10 가지

지난 주, 전체 SecurityWatch 팀은 RSA 컨퍼런스를 통해 새로운 보안 혁신, 최신 기술 및 보안 커뮤니티에 대한 최신 정보를 얻었습니다. 대부분의 사람들이 전시회에서 일주일을 보내지 않을 정도로 제정신 이었으므로 보안에 대해 알아야 할 10 가지 사항이 있습니다.

10. RSA와 NSA

국가 안보국 (National Security Agency)은 올해 회의에서 모든 사람들의 마음에 있었고 지난해 가장 큰 안보 이야기였습니다. RSA 컨퍼런스는 RSA Security 회사와는 별개의 단체이지만 RSA와 NSA 간의 수백만 달러 연결은 자주 논의되는 주제였습니다. RSA 회장 Art Coviello는 기조 연설에서이 주장을 일축했지만 스파이 기관 내에서 개혁을 요구했다. 작년과는 대조적으로 중국에 대한 두려움이 뒷좌석을 차지했습니다.

9. 유행어

단어가 유행어에 도달하면 유용한 의미가 없어집니다. 슬프게도 RSAC에는 많은 사람들이 같은 단어를 사용했지만 그 정의에 동의 한 사람은 없었습니다. 위협 인텔리전스와 관련하여 우리는 타협의 지표에 대해 이야기하고 있었습니까, 아니면 타사 소스로 기존 데이터를 강화하는 것에 대해 이야기하고 있습니까? "차세대"는 더 이상 무엇을 의미합니까? 이 시점에서 우리는 차세대에 있어야합니다. 많은 제품이 어떻게 보안 혁명을 일으킬 수 있습니까? 업계는 더 이상 유망한 것을 알고 있습니까?

8. 토스터, 자동차 및 커피 머신이 공격 할 때

올해 사물 인터넷이 RSA 컨퍼런스에 참여했으며 모든 사람들이이를 확보 할 것으로 걱정하고 있습니다. 주요 문제는 매우 고통스럽게도 가전 제품, 의료 기기 또는 자동차에 대해 이야기하든 모든 장치를 보호 할 준비가되지 않았다는 것입니다. 그럼에도 불구하고 범죄자들은 ​​커넥 티드 카를 원격으로 제어하거나 추락하려고 시도하지 않을 것이라고 말하면서 일부는 걱정하지 않았습니다. 범죄자는 "업스트림"으로 이동하여 차량용 OnStar 서버와 같이 사물을 사용하는 서버를 손상시키고 수익을 창출 할 가능성이 높습니다.

7. 모든 것을 암호화

보안, 특히 모바일 보안을 개선하는 방법에 대한 모든 사람의 대답은 암호화, 암호화, 암호화였습니다. 모바일 앱은 인터넷을 통해 많은 양의 정보를 이동하고 있으며, 많은 개발자들이 이러한 거래를 암호화하지 않기로 선택하여 공격자와 국가 상태를 볼 수 있도록합니다. Co3의 CTO 인 Bruce Schneier는 NSA로 다시 돌아와서이 기관이 아마도 어떤 형태의 암호화를 깨뜨 렸지만 대량의 암호화 된 데이터를 처리 할 수는 없다고 주장했다. 그는 암호화되지 않은 수많은 정보가 단순히 데이터를 비축하고 싶어하는 사람들에게는 너무나 쉽게 만들 수 있다고 말했다.

6.은 총알이 없다

우리는 RSAC에서 프레젠테이션과 개인에 대해 많은 시간을 보냈지 만, 이 행사는 전시회이며 쇼 플로어는 구매자에게 그들의 제품이 최고라는 것을 확신시키기 위해 노력하는 벤더들로 가득차 있다는 것을 잊지 말아야합니다. 놀랍게도 많은 보안 회사는 여전히 모든 보안 문제에 대한 단일 서빙 솔루션 인은 총알에 대한 아이디어를 추진하고있었습니다. 작년에 공격에 대한 수많은 수단이 있음을 입증했으며, 공격의 배후와 후행에 따라 다를 수 있다는 점을 감안할 때 약간 놀랍습니다. HP의 Art Gilliland 수석 부사장은 기업들이 새로운 무기를 찾는 것을 멈추고 보안에 대해보다 총체적인 접근을하도록 제안했습니다. 그의 개선 목록에서 가장 중요한가? 개인에 투자하고 보안 교육을 개선하십시오.

5. 모바일 AV가 작동하지 않습니다

그는 안드로이드와 함께 그리고 더 나은 보안을 위해 일하는 보안 커뮤니티를 축하했지만 구글의 안드로이드 보안 담당 수석 엔지니어는 지금까지 모바일 보안을 어둡게 보았습니다. 그는 구글의 목표는 조용하고 보이지 않는 보안을 제공하는 것이 었으며 보안 회사는 관심을 끌고 판매를 늘리는 것에 더 많은 관심을 가지고 있다고 제안했다. 법의학 CEO이자 공동 설립자 인 Andrew Hoog도 모바일의 기존 보안 모델에 대해 문제를 제기했습니다. 그는 모바일 운영 체제의 앱 샌드 박싱이 앱 보안을 잘 수행하지만 보안 앱이 위협을 처리하는 기능도 제한한다고 지적했습니다. 그의 해결책? 보안 개발자에게 루트 권한에 대한 액세스 권한을 부여하십시오.

나는 두 입장에 전적으로 동의하지 않지만, 모바일 위협의 증가로 새로운 장치 보안 방법이 필요합니다. 악의적 인 앱으로부터 보호하는 것만으로는 충분하지 않으며, 보안 회사가 모바일 앱에 추가하는 도구는 유용하지만 영원히 충분하지는 않습니다.

4. 운전석의 보안

우리는 보안이 조직의 DNA의 일부가되어야하는 방법과 보안 팀이 위기 나 소방 모드에 항상 대응할 수없는 방법에 대해 많이 이야기합니다. 일반적인 공격 합의를 막기 위해 더 나은 보안 관행을 갖추거나 다른 팀과 통합하여 보안 문제가 처음부터 올바르게 고려되는지 여부에 대한 일반적인 합의가 위협보다 앞서 가고있는 것 같습니다.

3. 보안에 더 많은 사람들이 필요합니다

우리가 계속 들었던 것 중 하나는 보안 전문가가 부족한 방법이었습니다. 전통적으로 보안에 대해 생각할 필요가 없었던 (데이터 보호 또는 제품의 보안 유지) 기업은 이제 숙련 된 보안 전문가를 찾는 데 어려움을 겪고 있습니다. 정부 기관은 가장 밝은 해커를 끌어 모 으려고 노력하고 있습니다. 보안 전문 인력이 충분하지 않고 회사가 채용을 잘하지 못하기 때문에 부분적으로 기술 격차가 있습니다.

기술과 정보 보안 분야에서 더 많은 여성이 필요합니다. RSAC의 세션은 infosec에 관심이있는 여성을 장려하기위한 지원 구조를 만드는 데 중점을 두 었으며 성과도 강조했습니다.

2. 유출 된 앱은 모바일 멀웨어보다 더 나쁘다

멀웨어에 대한 방어는 많은 모바일 보안 회사에 계속 초점을 맞추고 있지만, 이것이 유일한 위협은 아닙니다. RSAC 회의의 많은 참석자들은 유출 된 앱 (즉, 암호화없이 또는 대량으로 사용자의 개인 데이터를 전송하는 앱)이 사용자에게 훨씬 더 큰 위협이라고 제안했습니다. 우리의 모바일 위협 월요일 보도의 독자들에게 이것은 놀라운 일이 아닙니다. 올해 우리는 viaProtect와 같은 새로운 도구를 사용하여 소비자가 자신의 앱이 실제로 무엇을하고 있는지 확인할 수 있도록 노력하고 있습니다. 즉, 누군가 5 분 안에 안드로이드 앱을 찢고, 수정하고, 재 포장하는 것을 보는 것은 멀웨어가 여전히 문제라는 것을 상기시켜줍니다.

1. 감시가 사라지지 않습니다

새로 나온 FBI의 제임스 코메이 (James Comey)는 RSAC 2014 프레젠테이션에서 두 가지 사실을 분명히 밝혔습니다. FBI는 사이버 위협에 대항하기 위해 비즈니스와의 협력이 필요하지만 전자 감시는 여기에 있습니다. 한 단계에서 우리는 모두 이것을 알고 있습니다. 악당이 이메일 및 기타 도구와 통신 할 때 스파이와 경찰이 계속 전화를 두드리기를 기대할 수 없습니다. 사회로서, 우리는 디지털 커뮤니케이션이 대상 일 수 있고 합법적 인 것임을 인정해야합니다. 마찬가지로, 미국 정보 기관 내부의 흥미로운 원탁 회의에서 패널리스트들은 NSA가 "불량 기관"이 아니며 다른 모든 국가가 전자 감시에 참여하고 있다고 강조했다. 그들은 또한 국내 스파이가 개인 정보 보호와 더 나은 균형을 유지해야하며, 선출 된 공무원들이 정보 운영을 위해 그럴듯한 거부 가능성에 대한 "표적 이야기"를 사용하도록 허용해서는 안된다고 말했다.

Flickr 사용자 Niko Notibär를 통한 이미지