گزارش تحقیقات انجام شده بر روی نشت داده توسط Verizon یازده سال متوالی است که ارائه میشود. در این نسخه، 53000 رویداد و 2216 نشت داده تائید شده از چندین منبع که اطلاعاتشان را به اشتراک گذاشته‌اند، پوشش داده شده است. پیشنهاد ما به شما این است که آن را دانلود کرده و از ابتدا تا انتهای آن را مطالعه بفرمائید. لطفاً توجه داشته باشید که تمامی آمارها و تصاویری که در ادامه این مطلب قرار دارند از این گزارش استخراج شده اند.
معمولاً در این سبک گزارشات دست‌کاری اعداد و ارقام و آمارها به منظور القای یک نتیجه‌گیری بخصوص مسئله عادی‌ای است و خود این گزارش نیز اذعان داشته است که مقداری جانب گیری و تعصب ذاتی در روند تهیه این گزارش وجود دارد (این مطلب در ضمیمه E به تفضیل توضیح داده شده است). فارغ از بحث تعصب، داده‌های موجود در این گزارش دید گسترده‌ای را در خصوص وضعیت امنیت سایبری نشان می‌دهند. نحوه استفاده از این داده‌ها به این پرسش بستگی دارد که در واقع شما قصد دارید چه چیزی بیاموزید. پیشنهاد ما این است که برای درک بهتر این گزارش، توصیه خود گزارش در خصوص نحوه دیدی که نسبت به یافته‌هایش می‌بایست داشته باشید را دنبال کنید:
“در نگاه اول، شاید این گزارش توصیفی از شهر پر از کابوس امنیت اطلاعات به نظر بیاید، چرا که پر از رویدادهایی است که در آن آدم‌های بد برنده می‌شوند، اما به نظر ما این دیدگاه خوبی نیست. به جای آنکه به این گزارش به چشم دنباله‌ای از حوادث زشت نگاه کنید که از قضا با موفقیت کارشان را علیه دیگران به انجام رسانده‌اند و در نتیجه احتمالاً به سراغ شما هم خواهند آمد، آن را به عنوان دستورالعمل و شاه‌راه رسیدن به موفقیت ببینید. اگر تمایل دارید برنامه امنیتی‌تان با موفقیت عمل کند، لایه‌های دفاعی بکار برده شده علیه تهدیدات عنوان شده در صفحات این گزارش را برای خود ایجاد کنید”.
1. تنها 17% از حملات کمپین‌های فیشینگ گزارش شده اند
توسعه و پیاده‌سازی یک طرح “واکنش به رویداد” در صدر لیست سرفصل‌های ضروری هر سازمانی است؛ اما اگر کارمندان رویدادهای امنیتی را گزارش نکنند این طرح فایده‌ای نخواهد داشت. علی‌رغم آنکه گزارش verison، اخبار خوبی را در خصوص درصد کلیک‌ها بیان می‌کند (78% افراد در طول سال بر روی لینک‌های فیشینگ کلیک نکرده‌اند!)، ولی همچنان تعداد کسانی که در گزارش رویدادهای فیشینگ عملکرد خوبی نداشته‌اند یک نگرانی بزرگ محسوب می‌شوند.
نرخ گزارش دهی کمپین‌های فیشینگ
تعداد کمپین‌ها
اغلب کمپین‌ها را تعداد کمی از افراد گزارش کرده‌اند و بسیاری از آن‌ها را نیز کسی گزارش نکرده است.
تعداد کمی از کمپین‌ها توسط بسیاری از مردم گزارش شده‌اند.
درصد افرادی که کمپین را گزارش کرده‌اند.
مشخصاً آموزش کارکنان با هدف جلوگیری از کلیک کردن بر روی لینک‌ها و ضمیمه‌های مخرب در اغلب برنامه‌های هشیاری امنیتی از اولویت بالایی برخوردار است؛ اما اگر قصد کم کردن خسارات ناشی از این کلیک‌ها را دارید، باید به کارکنان‌تان بیاموزید که چگونه و در چه زمانی این رویدادها را گزارش کرده و به اندازه‌ای شجاعت و جرات داشته باشند که این کار را بلافاصله انجام دهند. حق تقدم با زمان است. هر چه سریع‌تر موفق به شناسایی یک حمله فیشینگ شوید، زودتر می‌توانید آن را غیرفعال کنید.
2. باج افزارها و Botnetها با فاصله زیادی از سایر بدافزارها در قلمرو جرائم سایبری حکم‌فرمائی می‌کنند
در 1379 رویدادی که نوع خاصی از بدافزار را شامل می‌شوند، باج افزارها بیش از نیمی از این رقم (56%) را به خود اختصاص داده‌اند. حملات بدافزارها به صورت ویژه صنعت بهداشت و سلامت را هدف قرار داده بود که 85% این حملات بوسیله باج افزارها انجام شده بود. با وجود اینکه این ارقام بسیار هشداردهنده هستند، خیلی عجیب و تعجب‌برانگیز نیستند. همان‌طور که گزارش اشاره کرد، باج افزارها، بدافزارهای فرصت‌طلب، ارزان، کم ریسک و پربازده‌ای برای مجرمان سایبری به شمار می‌روند.
ارقام هشداردهنده‌تری در حوزه Botnet ها به چشم می‌خورد. بنا به گزارش ” بیش از 43000 نشت داده‌ها با استفاده از اطلاعات محرمانه کاربرانی انجام شده بود که از سیستم آلوده به botnet شان سرقت شده بود. ” این حمله در تمامی حوزه‌های پرجمعیت ظاهر شده و در 91% موارد سازمان‌های بانکی را هدف قرار می‌داد.
12% از نشت‌های داده‌ای ناشی از استفاده نادرست از مجوزها بوده است
بنا به توضیح گزارش، استفاده نادرست از مجوزها ” در واقع هرگونه استفاده تائید نشده یا خرابکارانه از منابع سازمان ” محسوب میشود و اعداد خود گویای این وضعیت هستند. هرچند اغلب نشت‌ها مرتبط با هک‌هایی هستند که توسط افراد بیرون از سازمان انجام شده‌اند، اما تهدیدات داخل سازمانی نیز ارقام ناخوشایندی را به خود اختصاص داده‌اند. این آمار 12% ی شاید در ابتدا منجر به ترس شما نشود اما اگر در نظر بگیرید که این حوزه یکی از ساده‌ترین متودهای امنیتی است (رعایت مقررات و احترام به مجوزهای دسترسی)، می‌توانید درک کنید که این آمار تا چه اندازه برای سازمان‌ها ناامیدی به همراه خواهند داشت.
یکی از ناامید کننده‌ترین آمارها، آمار 17% حاصل از نشت‌هایی است که از خطاهای انسانی نشات گرفته‌اند. بر اساس گزارش، نیمی از این خطاها ناشی از ارسال اطلاعات به گیرنده نادرست هستند. این احتمال نیز وجود دارد که برخی از رویدادهایی که همراه با این آمار ارائه شده‌اند در آمار مربوط به استفاده نادرست از مجوزها نیز در نظر گرفته شده باشند اما نتایج صریح این گزارشات جدیت تهدیدات داخل سازمانی و نیاز به کاهش آن‌ها را کاملاً روشن می‌کند.
3. تکنیک Pretext مالی از 61 رویداد به 170 رویداد افزایش داشته است
تکنیک Pretext به معنای ایجاد یک روایت غلط برای بدست آوردت اطلاعات یا تأثیر بر سیستم رفتاری افراد، مسئول ایجاد 170 رویداد و 140 نشت داده تائید شده در حملات اجتماعی بوده است. مشخصاً فیشینگ بار دیگر با ایجاد 1192رویداد و 236 شکاف داده‌ای تائید شده، در رأس حملات اجتماعی قرار گرفت .
اما تمایل به بکارگیری تکنیک Pretext در صنعت مالی همچنان برجسته و چشمگیر است. بر خلاف فیشینگ، pretext برای کلاهبرداری موفق از هدف‌هایش، به بدافزار یا کلیک کردن افراد وابسته نیست. در عوض این تکنیک از روش‌های مهندسی اجتماعی کلاسیک قدیمی استفاده می‌کند. حمله کنندگان با ساخت یک سناریوی غلط و تکرار آن با قربانی، اعتماد قربانی را بدست آورده و از آن‌سو استفاده می‌کنند و در نهایت موفق به سرقت اطلاعات و سرمایه‌های مالی قربانی می‌شوند. این فرآیند به خوبی مشخص می‌کند که چگونه ایمیل تجاری مدیرعامل یک کمپانی در معرض خطر قرار گرفته (BEC) باعث میشود تنها در طی چند سال 5 میلیارد دلار از سرمایه‌های یک شرکت به فنا رود.
4. افراد داخلی باعث وقوع بخش عمده‌ای از نشت‌ها در صنعت بهداشت و سلامت هستند
از میان 9 صنعتی که به طور مشخص توسط این گزارش مورد بررسی قرار گرفته‌اند، صنعت بهداشت و سلامت تنها بخشی بود که آمار رویدادهای ایجاد شده توسط افراد داخلی در آن بیش از میزان رویدادهای ایجاد شده توسط افراد خارجی بود. اشتباهات و استفاده نادرست 56% این آمار را به خود اختصاص داده اند.
در حوزه استفاده نادرست، مطالعات نشان می‌دهند که سو استفاده از مجوزها (به عنوان مثال دسترسی غیر مجاز) در 74% موارد به چشم می‌خورد. چرا این رقم انقدر بالاست؟ ظاهراً 47% از انگیزه‌های سو استفاده از این مجوزها برای ” تفریح یا از سر کنجکاوی ” بوده است. گزارش به این موضوع نیز اشاره دارد:
” نمونه‌هایی از این سو استفاده‌ها مربوط به زمانی می‌شوند که برای مثال فردی که با آن کارمند قرار می‌گذاشته برای معاینه نزد او می‌آمده یا یک فرد مشهور سری به بیمارستان زده و به این ترتیب کنجکاوی جای منطق را گرفته است”.
جدای از کنجکاوی، عواید مالی نیز در 40% مواقع انگیزه این نشت‌های ناشی از سو استفاده بوده است که این امر ضرورت تمرکز سازمان‌ها بر روی تهدیداتی که می‌توانند توسط کارکنان داخلی رخ دهند را تصریح می‌کند.
5. 58% قربانیان از کسب و کارهای کوچک بودند
بیایید از این فرصت برای تأکید بر یکی از مهم‌ترین مفاهیم امنیت سایبری استفاده کنیم: مجرمان هیچ‌گونه تعصب یا جانبگیری ندارند. در حقیقت، شاید مشاغل کوچک نسبت به سازمان‌های بزرگی که برای مقابله با جرائم سایبری و حملات خارجی منابع بزرگ‌تری در اختیار دارند، هدف‌های بهتری به حساب بیایند. سازمان‌های بزرگ نه تنها توان مالی برای راه‌اندازی دوره‌های آموزشی در مقیاس وسیع دارند، بلکه قادرند تکنولوژی‌های مستحکم امنیتی و راهکارهای شرکت‌های شخص ثالث را نیز بکار ببندند. آیا آن منابع باعث مقاوم شدن سازمان در برابر حملات سایبری می‌شوند؟ نتیجه برای هر سازمان بسته به سطوح امنیتی آن ممکن است متفاوت باشد؛ اما ممکن است باعث شود این کسب‌وکارها کمتر مورد توجه مجرمان سایبری قرار بگیرند، به عنوان مثال یک مطب پزشکی کوچک یا رستوران کوچک مادر و پدر توانایی تخصیص منابعی برای آگاهی امنیتی و سطوح دفاعی را ندارد.
اگر بحث منابع را کنار بگذاریم، در صورتی که شما صاحب یا مدیر یک کسب‌وکار کوچک هستید، این فرض که مجرمان سایبری تجارت کوچک شما را هدف قرار نخواهند داد یک فرهنگ بسیار غلط است. مطمئن باشید که خلاف این امر درست است.
اگر تجربیاتی در مورد نشت داده دارید خوشحال می‌شویم آن را با ما درمیان بگذارید.