Top Banner
Безопасность мобильных устройств Денис Горчаков Управление информационной безопасности
19

Лекция "Безопасность мобильных устройств" для сотрудников

Jul 19, 2015

Download

Education

Denis Gorchakov
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
Page 1: Лекция "Безопасность мобильных устройств" для сотрудников

Безопасность мобильных устройств

Денис ГорчаковУправление информационной безопасности

Page 2: Лекция "Безопасность мобильных устройств" для сотрудников

О себе

Управление информационной безопасностиБлок «Безопасность»Отдел мониторинга и расследования инцидентов ИБ

Противодействие мошенничеству на сети оператора, расследование финансовых инцидентов.Проекты по защите абонентов, борьба с мошенничеством в промышленных масштабах, маленькая антивирусная лаборатория.

Исследование «Мошенничество в SMS-банкинге»

Page 3: Лекция "Безопасность мобильных устройств" для сотрудников

Всё наоборот

Page 4: Лекция "Безопасность мобильных устройств" для сотрудников

Актуальность темы

Page 5: Лекция "Безопасность мобильных устройств" для сотрудников

Кому нужны ваши данные?

Обычный мошенник – финансовый интерес к вам:

• SMS-спам

• кража денег со счета телефона или банковских счетов

• кража данных платежных карт и учетных записей

• блокировка устройства или шифрование данных

Продвинутый мошенник – интерес к данным Банка:

• целенаправленная кража данных

• слежка и получение всевозможных данных о вашей работе, в том числе данных ограниченного распространения

Page 6: Лекция "Безопасность мобильных устройств" для сотрудников

Какое отношение это имеет к нам?

По статистике Lookout Security, более 50% всего вредоносного ПО для мобильных устройств в мире разработано против российских абонентов.

Статистика мобильных вирусов (Лаборатория Касперского)

Страна % атак*

Россия 44,0%

Индия 7,6%

Германия 5,6%

Иран 3,4%

Вьетнам 3,1%

Казахстан 3,1%

Украина 2,7%

Малайзия 1,9%

Бразилия 1,7%

США 1,7%

Page 7: Лекция "Безопасность мобильных устройств" для сотрудников

Не только Android

Опасность представляют не только вирусы для телефонов, но и:

• физический доступ (кража устройства)

• уязвимости и новые вирусы для iOS (Win Phone - ?)

• мошенничество через социальную инженерию (Wi-Fi)

• ошибки в работе программ и браузеров

• мошенники в салонах сотовой связи

Что делать? Простые советы по «гигиене»

Page 8: Лекция "Безопасность мобильных устройств" для сотрудников

PIN-код

Простейший совет, однако по разным данным от 30 до 60% пользователей не используют PIN-код.

Надежно:

• PIN• разблокировка

отпечатком пальца

Как включить?iOS: «Настройки» –> «Пароль» («Touch ID и пароль»)Android: «Настройки» -> «Безопасность» -> «Блокировка экрана» -«Пароль»

«Хитрости»: время до блокировки, пароли на отдельные приложения.

Ненадежно:

• жест разблокировки• разблокировка «значками»

Page 9: Лекция "Безопасность мобильных устройств" для сотрудников

«Взлом» (разблокировка)

Оцените удобство от разблокировки, насколько оно необходимо?

Опасность:

• расширение доступа к устройству, в том числе отключение защитных механизмов

• вирусам легче проникнуть на устройство, они уже научились проверять, разблокирован ли аппарат

• никто не знает, что внутри установленных «фишек»

• теряется возможность нормального обновленияустройства

• с помощью «adb» возможно скрытно устанавливать программы на Android-устройство при подключении к компьютеру.Для iOS – вирус Wirelurker становится опаснее, чем без jailbreak

Page 10: Лекция "Безопасность мобильных устройств" для сотрудников

Подключение к Wi-Fi сетям

Поддельные Wi-Fi сети уже использовались в освещавшейся в прессе атаке под названием Darkhotel.

Если вы не топ-менеджер, опасностей не меньше:

• передаваемые по открытой сети данные можно перехватить

• точку доступа может называться MosMetro_Free, TANUKI, и пр. –устройство подключится к ней автоматически

• хакеры регулярно взламывают мобильные браузеры на конкурсах (Pwn2Own), можно вмешаться в данные. Такие же ошибки встречаются и в разных программах

Android: «Настройки» -> «Wi-Fi», можно удалить сеть. «Расширенные настройки» -> «Всегда искать сети» отключить

iOS: «Настройки» –> «Wi-Fi» –> Выбрать нужную беспроводную сеть –> «Забыть эту сеть» –> «Вернуться в Wi-Fi» –> «Подтверждать подключение: вкл.»

Page 11: Лекция "Безопасность мобильных устройств" для сотрудников

Установка приложений

Устанавливайте приложения только из официальных каталогов!

Это справедливо и для iOS, и для Android.

Если очень необходимо поставить стороннее приложение, при установке обратите внимание, что спрашивает приложение – это недолго, но бдительность крайне важна. Зачем программа требует доступ к аккаунтам, SMS, микрофону, местоположению и неограниченный доступ в Интернет?

Проверьте: «Настройки» -> «Безопасность», флажок «Неизвестные источники». «Проверять приложения» - да?

Page 12: Лекция "Безопасность мобильных устройств" для сотрудников

Уведомления на экране блокировки

Уведомления могут содержать важную информацию – одноразовые пароли, личные данные, ошибки приложений могут помочь в обходе разблокировки злоумышленнику.

Android: «Настройки» -> «Приложения», «Показать уведомления» для программы

iOS: «Настройки» –> «Пароль» («Touch ID и пароль») –> «Доступ с блокировки экрана» и«Настройки» –> «Уведомления»

Page 13: Лекция "Безопасность мобильных устройств" для сотрудников

Облачные сервисы

Обратите внимание, где вы в настройках iCloud, Dropbox, Google+, OneDrive установили автозагрузку.

Подумайте, что доверять сервисам, что нет?

Например, включив историю перемещений, вы можете подсказать «продвинутому» вору, когда вас нет дома или где вы чаще всего бываете в то или иное время. Такие вещи уже использовались.

iOS: «Настройки» -> «iCloud»

Android: «Настройки Google» -> «Мое местоположение»: «Отправка геоданных» и «История местоположений».«Google Фото»: «Настройки» -> «Автозагрузка»

Page 14: Лекция "Безопасность мобильных устройств" для сотрудников

Увеличьте безопасность своих данных в «облаке», включив эту функцию.Если злоумышленник каким-то способом завладеет вашим паролем, это ему не поможет, ведь для входа в аккаунт потребуется ввести одноразовый код.

Для Android-устройств включить эту функцию можно по ссылке: https://accounts.google.com/SmsAuthConfig

Для устройств на iOS - на сайте https://appleid.apple.com в разделе «Управлять Apple ID» - «Пароль и безопасность» - «Доверенные устройства» - «Управлять» - «Добавить номер телефона с возможностью приема SMS-сообщений»

Если программа требует пароль для почтового ящика или аккаунта Apple/Google – используйте пароли приложений.

Двухфакторная аутентификация

Page 15: Лекция "Безопасность мобильных устройств" для сотрудников

Поиск и удаленное управление

Android: «Настройки Google» -> «Удаленное управление Android», «Удаленный поиск устройства» и «Удаленная блокировка и сброс настроек».

Поможет удаленно сбросить все данные на потерянном телефоне или найти злоумышленника. Продвинутые решения могут делать фото человека, пытающегося разблокировать устройство.

iOS: «Find my iPhone», поиск и блокировка устройства.

Плюсы: безопасней

Минусы: можно потерять все данные, если злоумышленник завладеет учетной записью.Уменьшить риски можно, включив двухфакторную аутентификацию.

Page 16: Лекция "Безопасность мобильных устройств" для сотрудников

Запрет контента

Мегафон: Запрос: *105*801#Телефон: 0500• «Стоп-контент»• «Отказ от SMS рассылок»

МТС:Телефон: 0890• «Запрет контента»• «Запрет приема информационных SMS и

SMS/MMS с сайта МТС»• «Запрет приема SMS с новостями МТС»

Билайн:Телефон: 0611• «Черно-белые списки»• «Блокировка «Мобильной рекламы»»• «Запрет промо-акций»

Page 17: Лекция "Безопасность мобильных устройств" для сотрудников

Мошенничество в салонах

Что делать владельцу?• Проверьте свои паспортные данные у оператора• Напишите заявление о запрете замены SIM по

доверенности• Альфа-Чек: 2256 – pay off• Ограничение автоплатежа

Стоимость замены вашей SIM-карты на «черном рынке»~ 1 тыс. руб.

Page 18: Лекция "Безопасность мобильных устройств" для сотрудников

Пользуйтесь приложениями!

Page 19: Лекция "Безопасность мобильных устройств" для сотрудников

Вопросы? Помощь?

[email protected]