Beveilig het netwerk van uw organisatie tegen menselijke fouten

Iedereen wil zichzelf beveiligen en daarvoor geven mensen enorme bedragen uit. Daarom zijn de investeringen in beveiliging de afgelopen decennia aanzienlijk toegenomen en zijn er diverse nieuwe technologieën en technieken ontdekt om beveiligingslekken aan te pakken. Toch worden menselijke fouten vaak over het hoofd gezien. Er is geen mens die nog nooit fouten heeft gemaakt; fouten maken is een fundamenteel onderdeel van de menselijke natuur – zo groeien en leren mensen.

Een aanvaller kan veel kwetsbaarheden van hoog niveau gebruiken om in te breken in een systeem. Volgens een studie door IBM, menselijke fouten zijn de hoofdoorzaak van 95% van de cyberbeveiligingsinbreuken. Data verlies, verkeerde bezorging en andere menselijke fouten werden daaronder vermeld. Dus als we deze fouten op de een of andere manier zouden elimineren, zouden 9.5 van de 10 cyberinbreuken mogelijk niet hebben plaatsgevonden.

Toch komt het succes van de aanvaller in veel gevallen neer op het uitlokken of uitbuiten van menselijke fouten, zoals het gebruiken van social engineering om wachtwoorden te raden of iets dergelijks.

Social engineering

Social engineering is een term die betrekking heeft op een breed scala aan aanvallen op menselijke interactie. Het maakt voornamelijk gebruik van psychologische manipulatie om gebruikers te misleiden tot beveiligingsfouten, zoals het verbergen van hun ware identiteit en motieven door zich voor te doen als vertrouwde personen. Het is een vrij populaire techniek onder aanvallers, omdat het vaak gemakkelijker is om mensen uit te buiten dan welk netwerk of welke software dan ook. De eerste stap bij social engineering-aanvallen is het verzamelen van informatie of het uitvoeren van onderzoek naar het doelwit. Het doelwit kan een onderneming zijn, dus in dat geval verzamelt de aanvaller informatie over de organisatiestructuur, interne activiteiten, werknemers, enzovoort. Een veelgebruikte tactiek is om te focussen op de gedragspatronen van werknemers die als eerste toegang krijgen door hun socialemediaprofielen of online gedrag te scannen. Er zijn verschillende soorten social engineering-technieken. Enkele van de meest voorkomende zijn:

1. baiting

   Zoals de naam al doet vermoeden, maakt een aanvaller bij dit type aanval gebruik van de hebzucht of nieuwsgierigheid van de gebruiker. Stel dat een aanvaller een met malware geïnfecteerd extern apparaat achterlaat op een plek waar een onschuldige gebruiker het zeker zal vinden. De gebruiker, of in dit geval het "doelwit", plaatst dit apparaat in zijn systeem en installeert onbedoeld de malware.

2. smoes

   Pretexting houdt in dat een aanvaller informatie verkrijgt via een reeks leugens of oplichting om toegang te krijgen tot de vertrouwelijke gegevens van het doelwit (de gebruiker). Pretextingfraude kan inhouden dat een aanvaller doet alsof hij financiële of persoonlijke gegevens nodig heeft om te verifiëren of de gebruiker al dan niet is geauthenticeerd. Op deze manier verkrijgt de aanvaller gegevens van de gebruiker.

3. scareware

   Bij deze techniek denkt de gebruiker dat zijn systeem geïnfecteerd is met malware, waarvoor een aanvaller een oplossing biedt. In werkelijkheid is dit een truc om toegang te krijgen tot het systeem van de gebruiker door de aangeboden oplossing te gebruiken.

4. Omleidingsdiefstal

   Dit houdt in dat je een bezorgbedrijf misleidt om naar het verkeerde ophaal- of afleveradres te gaan en de transactie te onderscheppen. Een bezorgbedrijf kan dit voorkomen door voorzichtiger te werk te gaan.

5. Quid pro quo

   Bij dit type aanval doet een aanvaller zich voor alsof hij het doelwit iets verstrekt in ruil voor informatie. Een aanvaller kan bijvoorbeeld een (willekeurig geselecteerd) doelwit bellen en zich voordoen als een medewerker van de technische ondersteuning. Op deze manier kan de aanvaller een echte gebruiker tegenkomen die hulp nodig heeft en deze malware laten starten of via interactie informatie van hem of haar laten verzamelen.

In 2013 de Syrisch elektronisch leger kon toegang krijgen tot het Twitter-account van Associated Press via een phishingmail, die een kwaadaardige e-mail bevatte. Een aanvaller stuurde deze e-mail naar een medewerker van AP, vermomd als een andere collega. Op deze manier kon de hacker nepnieuws versturen via de Twitter-account van AP. AP had dit kunnen voorkomen als de technische afdeling routinematige controles op medewerkers had uitgevoerd en over een beveiligde e-mailgateway had beschikt.

Wat betekent menselijke fout in cyberbeveiliging?

Menselijke fouten zijn onbedoelde handelingen, zoals een verkeerde bezorging van e-mail (e-mail verzonden naar een verkeerde ontvanger of adres) of een gebrekkige wachtwoordhygiëne (zwakke wachtwoorden zijn relatief gemakkelijker te kraken of te raden) door medewerkers of gebruikers, die een beveiligingsinbreuk veroorzaken, verspreiden of mogelijk maken. Dit omvat dus een breed scala aan activiteiten, van het downloaden van een met een virus geïnfecteerde applicatie tot het niet gebruiken van een sterk wachtwoord. Dit zijn enkele redenen waarom menselijke fouten zo lastig aan te pakken zijn. Met zoveel websites, tools en diensten hebben medewerkers en gebruikers verschillende gebruikersnamen en wachtwoorden nodig, waardoor ze kiezen voor shortcuts om het leven wat makkelijker te maken. Dit vergroot de dreiging van cybercriminele activiteiten en andere soorten beveiligingsinbreuken.

Waarom zijn menselijke fouten zo gevaarlijk?

Beveiligingsinbreuken maken misbruik van de zwakste schakel, die in veel gevallen de mens zelf is en niet zozeer de code die hij schrijft. Deze menselijke fouten kunnen zich op verschillende manieren uiten – van het niet kunnen stoppen van een phishingaanval (door op een link van een anonieme bron te klikken en het netwerk bloot te stellen aan de aanvaller) tot het gebruiken van zwakke wachtwoorden. Het leidt ook tot datalekken.

Een cybercrimineel kan het wachtwoord raden of social engineering gebruiken om een ​​werknemer ertoe te bewegen een betaling te doen op een transactiewebsite die door de crimineel wordt beheerd, als er geen goede technische beveiligingsmaatregelen zijn getroffen (SSL-certificaat of goede firewall).

Welke factoren leiden tot menselijke fouten?

Er zijn verschillende factoren die een rol spelen bij menselijke fouten, maar de meest voorkomende zijn deze drie:

• kansen

  Fouten kunnen optreden wanneer de kans zich voordoet. Dit proces lijkt in eerste instantie misschien vanzelfsprekend, maar als er meer mogelijkheden zijn om iets fout te laten gaan, is de kans groot dat gebruikers een fout maken.

• Tekort aan oplettendheid

  De meeste menselijke fouten worden veroorzaakt doordat gebruikers niet weten wat de juiste handelwijze is. Gebruikers die zich bijvoorbeeld niet bewust zijn van de risico's van phishing, zijn veel kwetsbaarder voor phishingaanvallen, en iemand die de risico's van openbare wifi niet kent, loopt al snel het risico dat zijn sessie wordt gehackt of zijn inloggegevens worden gestolen.

• Milieu

  Er zijn veel omgevingsfactoren die leiden tot menselijke fouten. De fysieke omgeving van een werkplek kan het aantal fouten vergroten. Ook cultuur speelt hierbij een belangrijke rol. Een eindgebruiker weet vaak wel wat de juiste handelwijze is, maar kan deze nalaten uit te voeren omdat er een makkelijkere manier is of omdat hij/zij vindt dat het niet essentieel is. Een cultuur waarin beveiliging altijd op de achtergrond blijft, leidt tot meer fouten.

Enkele voorbeelden van menselijke fouten

Menselijke fouten kunnen de beveiliging op talloze manieren in gevaar brengen, maar sommige soorten fouten vallen meer op dan andere.

• Verkeerde levering

  Het versturen van informatie naar de verkeerde ontvanger vormt een alomtegenwoordige bedreiging voor de gegevensbeveiliging. Een van de ernstigste datalekken ontstond toen een NHS-praktijk de e-mailadressen (identiteit) onthulde van meer dan 800 patiënten die hiv-klinieken hadden bezocht. De medewerker die deze e-mails naar hiv-patiënten stuurde, had per ongeluk zijn e-mailadres in het veld 'Aan' ingevoerd in plaats van in het veld 'Bcc'.

• patchen

  Cyberaanvallers zijn voortdurend op zoek naar nieuwe exploits in softwaretechnologieën. Wanneer deze exploits worden ontdekt, lossen de ontwikkelaars deze op en sturen ze de patch of updates naar alle gebruikers voordat cybercriminelen kunnen aanvallen. Daarom is het essentieel om beveiligingsupdates zo snel mogelijk te installeren. In 2017 trof WannaCry-ransomware wereldwijd vele computers, met miljoenen dollars aan schade. Toch werd de exploit, 'EternalBlue' genaamd, al maanden voor de aanvallen door Microsoft gepatcht.

• Wachtwoordproblemen

  Deze uitspraak – "Mensen en wachtwoorden gaan gewoon niet samen", klinkt misschien grappig, maar is tot op zekere hoogte wel waar. Het rapport van het National Centre for Cyber ​​Security uit 2019 bracht een trieste waarheid aan het licht: 123456 blijft wereldwijd het populairste wachtwoord en 45% van de mensen gebruikt het wachtwoord van hun primaire e-mailaccount opnieuw voor andere diensten.

• Phishing aanval

  Soms laten aanvallers een externe schijf (zoals een USB-stick) binnen handbereik van de gebruiker of het doelwit. De gebruiker of het doelwit zou deze externe schijf uit nieuwsgierigheid op zijn of haar systeem kunnen aansluiten. Op deze manier zou de aanvaller een succesvolle phishingaanval kunnen uitvoeren. De gebruiker moet daarom voorzichtig zijn en goed nadenken voordat hij of zij dergelijke acties uitvoert.

Soorten menselijke fouten

Er zijn veel kansen en situaties voor menselijke fouten. Toch kunnen mensen ze grofweg in twee verschillende typen indelen. Het verschil zit hem in de vraag of de gebruiker of persoon in kwestie over de benodigde kennis beschikt om de juiste handeling uit te voeren.

1. Vaardigheidsgebaseerde fout

   Dit zijn kleine fouten, zoals uitglijders en vergissingen tijdens het uitvoeren van bekende taken en activiteiten. Deze kunnen optreden wanneer een medewerker of gebruiker moe is, niet oplet, afgeleid is, enz. Hierbij kent de eindgebruiker de juiste aanpak, maar verzuimt deze door een fout of nalatigheid.

2. Beslissingsgebaseerde fout

   Deze fouten ontstaan ​​wanneer een gebruiker een verkeerde beslissing neemt. Dit kan in twee scenario's voorkomen: de gebruiker beschikt niet over de vereiste kennis, heeft niet voldoende informatie of realiseert zich niet dat zijn actie tot een beslissing leidt.

Hoe voorkomen we menselijke fouten?

Door de volgende werkwijzen en oplossingen toe te passen, kunt u beveiligingsinbreuken effectief voorkomen:

• Bedrijfsbeveiligingsbeleid bijwerken

  Het beveiligingsbeleid van een organisatie moet duidelijk beschrijven hoe er met kritieke gegevens moet worden omgegaan (inclusief wachtwoorden), wie er toegang toe heeft en welke beveiligingssoftware voor deze gegevens moet worden gebruikt.

• Gebruik het principe van de minste privileges

  De eenvoudigste manier om toegang tot gegevens te beveiligen, is om standaard alle toegang te weigeren. Zero Trust-beveiliging Het gebruik van een netwerk om een ​​IT-systeem te ontwerpen is een zeer veilige aanpak waarbij gebruikers en medewerkers van een organisatie worden geauthenticeerd, geautoriseerd of continu worden gevalideerd voor beveiligingsdoeleinden. Geprivilegieerde toegang kan echter op individuele basis worden verleend. Zo kunnen organisaties onbedoelde datalekken voorkomen.

• Bied regelmatig training en persoonlijke ontwikkeling aan

  Technologie ontwikkelt zich voortdurend, waardoor de eisen van klanten en opdrachtgevers ook toenemen. Training en mogelijkheden om nieuwe vaardigheden te verwerven, kunnen medewerkers helpen om up-to-date te blijven.

• Overweeg cloudopslag en documentbeheer

  De cloud Het opslaan van documenten betekent dat de bestanden regelmatig worden geback-upt en dat meer dan één persoon er toegang toe heeft.

Conclusie

Mensen hoeven echter niet de zwakste schakel te zijn. Hoe minder kans op fouten, hoe minder gebruikers op hun kennis worden getest; hoe meer kennis gebruikers bezitten, hoe kleiner de kans dat ze fouten maken. Statistieken tonen aan dat 95% van de beveiligingsinbreuken te wijten is aan menselijke fouten. Toch laat het ook zien dat zelfs de kleinste stap in de richting van het oplossen van menselijke fouten uiteindelijk de grootste kan zijn voor het waarborgen van robuuste beveiliging.