Πώς μπορείτε να βρείτε τον κωδικό πρόσβασης;

Η συσσώρευση του κωδικού πρόσβασης περιλαμβάνει τον προσδιορισμό του πόσους λογαριασμούς έχουν παραβιαστεί λόγω διαρροής ή ραγισμένων κωδικών πρόσβασης. Είναι ένα κρίσιμο βήμα στην αξιολόγηση της επίδρασης μιας διαρροής παραβίασης δεδομένων ή κωδικού πρόσβασης. Ακολουθεί μια ανάλυση της διαδικασίας:

1. Απόκτηση δεδομένων:

* Συγκεντρωτές δεδομένων παραβίασης: Υπηρεσίες όπως έχω PWNED (HIBP) και παρόμοιες βάσεις δεδομένων που βασίζονται σε συνδρομές συλλέγουν δεδομένα από παραβιάσεις δεδομένων που αποκαλύπτουν δημόσια. Αναδεικνύουν το όνομα χρήστη/διευθύνσεις email και μερικές φορές συναφείς κωδικούς πρόσβασης.

* Εσωτερικά αρχεία καταγραφής: Εάν είστε εταιρεία, ενδέχεται να έχετε εσωτερικά αρχεία καταγραφής αποτυχημένων προσπαθειών σύνδεσης, αιτήματα επαναφοράς κωδικού πρόσβασης ή ανωμαλίες που υποδηλώνουν συμβιβασμένους λογαριασμούς.

* Παρακολούθηση σκοτεινού ιστού: Οι εξειδικευμένες υπηρεσίες ανιχνεύουν το σκοτεινό ιστό για αναφορές του τομέα, των ονομάτων της εταιρείας ή των διαπιστευτηρίων χρήστη που διαπραγματεύονται ή συζητήθηκαν.

* σαρώσεις ευπάθειας: Τα εργαλεία ασφαλείας που ελέγχουν για κοινές ευπάθειες και παρερμηνείες μπορούν μερικές φορές να αποκαλύψουν εκτεθειμένα διαπιστευτήρια σε αρχεία διαμόρφωσης, αποθήκες κώδικα ή βάσεις δεδομένων.

2. Επεξεργασία δεδομένων &Αποσυναρμολόγηση:

* Καθαρίστε τα δεδομένα: Οι χωματερές παραβίασης περιέχουν συχνά αντίγραφα, λανθασμένη μορφοποίηση και άσχετα δεδομένα. Αφαιρέστε τους εξωτερικούς χαρακτήρες, κανονικοποιήστε τις μορφές δεδομένων (π.χ. διευθύνσεις ηλεκτρονικού ταχυδρομείου) και εξασφαλίστε τη συνοχή των δεδομένων.

* Αποσυναρμολόγηση: Εξαλείψτε τις διπλές καταχωρίσεις σε πολλαπλές πηγές παραβίασης για να αποφύγετε την υπερπήδηση. Αυτό μπορεί να είναι δύσκολο, καθώς τα δεδομένα μπορεί να είναι διαφορετικά διαφορετικά (π.χ. παραλλαγές στην κεφαλαιοποίηση ηλεκτρονικού ταχυδρομείου). Χρησιμοποιήστε τεχνικές όπως ασαφή αντιστοίχιση ή σύνδεση εγγραφής.

* Καταπολέμηση και αλάτι: Εάν οι κωδικοί πρόσβασης στις παραβιάσεις βρίσκονται σε απλό κείμενο, αμέσως κατακερματίζουν και αλάτι χρησιμοποιώντας έναν ισχυρό αλγόριθμο (π.χ. Bcrypt, Argon2, Scrypt). Ποτέ μην αποθηκεύετε κωδικούς πρόσβασης σε απλό κείμενο! Εάν οι κωδικοί πρόσβασης έχουν ήδη χάσει, διατηρήστε τα υπάρχοντα hashes για σύγκριση αργότερα.

3. Τα αντίστοιχα διαπιστευτήρια:

* Συγκρίνετε με την υπάρχουσα βάση δεδομένων χρήστη: Ταιριάξτε τα συμβιβασμένα ονόματα χρήστη/διευθύνσεις ηλεκτρονικού ταχυδρομείου από τα δεδομένα παραβίασης με την υπάρχουσα βάση δεδομένων χρήστη. Αυτό είναι το κρίσιμο βήμα για τον εντοπισμό των επηρεαζόμενων λογαριασμών.

* Σύγκριση κωδικού πρόσβασης (απευθείας ή χαστούκι):

* Κωδικοί πρόσβασης απλού κειμένου (από παραβίαση):

* Ποτέ μην αποθηκεύετε τους τρέχοντες κωδικούς πρόσβασης χρήστη σε απλό κείμενο. Εάν το κάνετε, είναι ένας τεράστιος κίνδυνος ασφαλείας.

* Hash και αλάτι τους απλούς κωδικούς πρόσβασης κειμένου από την παραβίαση χρησιμοποιώντας τον ίδιο * αλγόριθμο * και αλάτι που χρησιμοποιούνται για τη βάση δεδομένων χρήστη σας.

* Συγκρίνετε το προκύπτον κατακερματισμό με τα hashes των τρέχουσων κωδικών πρόσβασης χρήστη. Ένας αγώνας υποδεικνύει έναν συμβιβασμένο λογαριασμό (ο χρήστης χρησιμοποίησε τον ίδιο κωδικό πρόσβασης).

* Κωδικοί πρόσβασης (από παραβίαση):

* Εάν η βάση δεδομένων χρήστη χρησιμοποιεί τον ίδιο * αλγόριθμο hashing * όπως η παραβίαση (απίθανο αλλά δυνατό), μπορείτε να συγκρίνετε άμεσα τα hashes. Ένας αγώνας σημαίνει έναν συμβιβασμένο λογαριασμό.

*Εάν οι αλγόριθμοι κατακερματισμού διαφέρουν, *δεν μπορείτε να συγκρίνετε άμεσα τα hashes *. Το Hashing είναι μια λειτουργία μονής κατεύθυνσης. Θα χρειαστεί να βασιστείτε σε άλλους δείκτες (αντιστοίχιση ονόματος χρήστη/ηλεκτρονικού ταχυδρομείου) και να ενθαρρύνετε τους χρήστες να αλλάξουν τους κωδικούς πρόσβασης.

* Μόνο το όνομα χρήστη/email (χωρίς κωδικό πρόσβασης): Ακόμη και αν μια παραβίαση περιέχει μόνο ονόματα χρήστη ή διευθύνσεις ηλεκτρονικού ταχυδρομείου, θεωρήστε τους λογαριασμούς αυτούς ενδεχομένως να παραβιαστούν. Ενθαρρύνετε τους χρήστες να αλλάξουν τους κωδικούς πρόσβασής τους, ειδικά αν ενδέχεται να χρησιμοποιούν τον ίδιο κωδικό πρόσβασης αλλού.

4. Συσχέτιση και αναφορά:

* Count Commromised Λογαριασμοί: Με βάση τη διαδικασία αντιστοίχισης, μετράνε τον αριθμό των λογαριασμών που προσδιορίστηκαν ως έχουν υποβαθμισμένους κωδικούς πρόσβασης.

* Κατηγοριοποιήστε με σοβαρότητα: Ίσως θελήσετε να κατηγοριοποιήσετε τους συμβιβασμένους λογαριασμούς με βάση την ευαισθησία των δεδομένων που έχουν πρόσβαση. Για παράδειγμα:

* Υψηλή:Λογαριασμοί με διοικητικά προνόμια ή πρόσβαση σε ευαίσθητα οικονομικά στοιχεία.

* Μεσαίο:Λογαριασμοί με πρόσβαση σε προσωπικά στοιχεία ή εμπιστευτικά επιχειρηματικά δεδομένα.

* Χαμηλή:Λογαριασμοί με περιορισμένη πρόσβαση ή δημόσια πληροφορίες.

* Αναφορά ευρήματα: Δημιουργήστε μια αναφορά που συνοψίζει τον αριθμό των συμβιβασμένων λογαριασμών, των επιπέδων σοβαρότητας και τυχόν τάσεις που παρατηρούνται. Αυτή η έκθεση θα πρέπει να μοιραστεί με τους σχετικούς ενδιαφερόμενους (π.χ. ομάδα ασφαλείας, Τμήμα Πληροφορικής, Διοίκηση).

* Ιστορική παρακολούθηση: Διατηρήστε ένα αρχείο του προηγούμενου κωδικού πρόσβασης Βρείτε ταχύπλοες για να παρακολουθείτε τις τάσεις στη στάση της ασφάλειας και την αποτελεσματικότητα των προσπαθειών μετριασμού.

5. Αποκατάσταση και μετριασμός:

* Πολιτικές επαναφοράς κωδικού πρόσβασης: Η επιβολή του κωδικού πρόσβασης επαναφέρει για συμβιβασμένους λογαριασμούς. Στην ιδανική περίπτωση, αναγκάστε μια επαναφορά κωδικού πρόσβασης στην επόμενη προσπάθεια σύνδεσης.

* Έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA): Εφαρμόστε το MFA για όλους τους λογαριασμούς, ειδικά εκείνους με αυξημένα προνόμια. Το MFA μειώνει σημαντικά τον κίνδυνο εξαγοράς λογαριασμών, ακόμη και αν ένας κωδικός πρόσβασης διακυβεύεται.

* Απαιτήσεις πολυπλοκότητας κωδικού πρόσβασης: Επιβάλλουν ισχυρές απαιτήσεις πολυπλοκότητας κωδικού πρόσβασης (μήκος, τύποι χαρακτήρων). Εξετάστε τη χρήση της βαθμολογίας εντροπίας κωδικού πρόσβασης για να μετρήσετε τη δύναμη του κωδικού πρόσβασης.

* Κωδικός πρόσβασης Blacklisting: Εφαρμόστε μια μαύρη λίστα κωδικών πρόσβασης για να εμποδίσετε τους χρήστες να επιλέξουν κοινούς ή εύκολα υποτιμημένους κωδικούς πρόσβασης. Επίσης, εξετάστε τους κωδικούς πρόσβασης μαύρης λίστας που βρίσκονται σε γνωστές παραβιάσεις.

* Παρακολούθηση κωδικού πρόσβασης &Ειδικότητες: Παρακολουθεί συνεχώς τα παραβιαζόμενα διαπιστευτήρια και τους χρήστες ειδοποίησης, εάν οι λογαριασμοί τους βρίσκονται σε παραβίαση. Αρκετές εμπορικές υπηρεσίες προσφέρουν αυτό το είδος παρακολούθησης.

* Εκπαίδευση χρηστών: Εκπαιδεύστε τους χρήστες σχετικά με τις βέλτιστες πρακτικές ασφαλείας κωδικού πρόσβασης, συμπεριλαμβανομένης της σημασίας της χρήσης ισχυρών, μοναδικών κωδικών πρόσβασης, της αποφυγής της επαναχρησιμοποίησης του κωδικού πρόσβασης και της χρήσης του MFA.

* Τακτικοί έλεγχοι ασφαλείας: Διεξάγετε τακτικούς ελέγχους ασφαλείας και αξιολογήσεις ευπάθειας για τον εντοπισμό και την αντιμετώπιση πιθανών αδυναμιών ασφάλειας.

Σημαντικές εκτιμήσεις:

* Προστασία της ιδιωτικής ζωής: Να είστε εξαιρετικά προσεκτικοί όταν χειρίζεστε ευαίσθητα δεδομένα όπως κωδικούς πρόσβασης. Συμμορφώνονται με όλους τους σχετικούς κανονισμούς απορρήτου (π.χ. GDPR, CCPA). Εφαρμογή κατάλληλων ελέγχων πρόσβασης και μέτρα ασφαλείας για την προστασία των δεδομένων.

* Νομική: Συμβουλευτείτε τον νομικό σύμβουλο για να διασφαλίσετε τη συμμόρφωση με όλους τους ισχύοντες νόμους και κανονισμούς σχετικά με την ειδοποίηση παραβίασης των δεδομένων και την αποκατάσταση.

* ψευδώς θετικά/αρνητικά: Η διαδικασία αντιστοίχισης δεν είναι τέλεια. Μπορεί να υπάρχουν ψευδώς θετικά (λογαριασμοί που αναγνωρίζονται εσφαλμένα ως συμβιβασμένα) και ψευδώς αρνητικά (οι διακυβευόμενοι λογαριασμοί που χάθηκαν). Διερευνήστε ύποπτους αγώνες και βελτιώστε τις διαδικασίες σας.

* αλάτι: Χρησιμοποιείτε πάντα μοναδικά άλατα όταν κατακερματίζετε κωδικούς πρόσβασης. Εάν χρησιμοποιείτε το ίδιο αλάτι για όλους τους κωδικούς πρόσβασης, ένας εισβολέας μπορεί να προκαταλάβει ένα τραπέζι ουράνιου τόξου και να σπάσει τους πολλαπλούς κωδικούς πρόσβασης γρήγορα.

* Αλγόριθμος Hashing: Επιλέξτε έναν ισχυρό και ενημερωμένο αλγόριθμο κατακερματισμού όπως το BCrypt, το Argon2 ή το Scrypt. Αποφύγετε παλαιότερους αλγόριθμους όπως MD5 ή SHA-1, οι οποίοι θεωρούνται ανασφαλείς.

* Αυτοματισμός: Αυτοματοποιήστε όσο το δυνατόν περισσότερη διαδικασία χρησιμοποιώντας γλώσσες δέσμης ενεργειών (π.χ. Python) και εργαλεία ασφαλείας. Ο αυτοματισμός βελτιώνει την αποτελεσματικότητα και μειώνει τον κίνδυνο ανθρώπινου σφάλματος.

Παράδειγμα σεναρίου (απλοποιημένο):

1. Αποκτήστε δεδομένα παραβίασης: Κατεβάστε μια χωματερή παραβίασης δεδομένων από μια αξιόπιστη πηγή.

2. Καθαρίστε και αποσυνδεθείτε: Καταργήστε τις διπλές καταχωρήσεις και τις διευθύνσεις ηλεκτρονικού ταχυδρομείου μορφής με συνέπεια.

3. Ταιριάξτε ονόματα χρήστη: Συγκρίνετε τις διευθύνσεις ηλεκτρονικού ταχυδρομείου στα δεδομένα παραβίασης με τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των χρηστών στη βάση δεδομένων χρήστη. Ας υποθέσουμε 100 αντιστοιχίες διευθύνσεων ηλεκτρονικού ταχυδρομείου.

4. Hash και συγκρίνετε κωδικούς πρόσβασης: Τα δεδομένα παραβίασης περιέχουν απλούς κωδικούς πρόσβασης κειμένου. Hash και αλάτι αυτούς τους κωδικούς πρόσβασης χρησιμοποιώντας τον ίδιο αλγόριθμο και αλάτι που χρησιμοποιείτε για τη βάση δεδομένων χρήστη σας. Συγκρίνετε τα προκύπτοντα hashes με τους κωδικούς πρόσβασης Hashed στη βάση δεδομένων χρήστη. Ας πούμε ότι 30 από τους 100 αντιστοιχισμένους λογαριασμούς έχουν τον ίδιο κωδικό πρόσβασης.

5. Tally: Έχετε 30 επιβεβαιωμένους συμβιβασμένους λογαριασμούς (οι κωδικοί πρόσβασης αντιστοιχούν). Έχετε επίσης 70 ενδεχομένως συμβιβασμένους λογαριασμούς (τα ονόματα χρήστη/μηνύματα ηλεκτρονικού ταχυδρομείου ταιριάζουν, αλλά οι κωδικοί πρόσβασης δεν μπορούσαν να επιβεβαιωθούν).

6. Αποκατάσταση: Η Force Password επαναφέρεται για τους 100 λογαριασμούς και ενθαρρύνει τους χρήστες να ενεργοποιήσουν το MFA.

Ακολουθώντας αυτά τα βήματα, μπορείτε αποτελεσματικά να διαπιστώσετε τον κωδικό πρόσβασης, να αξιολογήσετε τον αντίκτυπο στον οργανισμό σας και να λάβετε τα κατάλληλα μέτρα για να μετριάσετε τους κινδύνους. Θυμηθείτε ότι πρόκειται για μια συνεχιζόμενη διαδικασία που απαιτεί επαγρύπνηση και προληπτική προσέγγιση για την ασφάλεια.