Bu Ücretsiz Araçla Ortamınızdaki LastPass Saldırı Yüzeyini Hafifletin

05 Ocak 2023Hacker HaberleriParola Yönetimi / BT İhlali

LastPass tarafından açıklanan en son ihlal, güvenlik paydaşları için önemli bir endişe kaynağı. Sıklıkla olduğu gibi, bir güvenlik arafındayız – bir yandan, LastPass’ın da belirttiği gibi, LastPass’in en iyi uygulamalarını izleyen kullanıcılar neredeyse sıfırdan son derece düşük riske maruz kalacak. Bununla birlikte, parola en iyi uygulamalarının takip edilmediğini söylemek çılgın bir ifadedir. Gerçek şu ki, bu uygulamaların gerçekten uygulandığı çok az kuruluş var. Bu, güvenlik ekiplerini tehlikeye maruz kalmanın neredeyse kesin olduğu, ancak bu açığa çıkmayı yaratan kullanıcıları tam olarak belirlemenin neredeyse imkansız olduğu en kötü konuma getirir.

Tarayıcı Güvenliği çözümü LayerX, bu zorlu süre boyunca onlara yardımcı olmak için platformunun ücretsiz bir sürümünü sunarak güvenlik ekiplerinin LastPass uzantısının kurulu olduğu tüm tarayıcılarda görünürlük elde etmesine ve LastPass ihlalinin ortamları üzerindeki olası etkilerini savunmasız kullanıcıları bilgilendirmek ve hesaplarına MFA uygulamalarını zorunlu kılmak ve gerekirse, düşmanların kötü amaçlı erişim için güvenliği ihlal edilmiş bir Ana Paroladan yararlanma yeteneklerini ortadan kaldırmak için özel bir Ana Parola sıfırlama prosedürü uygulayın (Ücretsiz araca erişim talebinde bulunmak için bu formu doldurun)

LastPass’ın Duyurusunun Özeti: Düşmanlar Hangi Verilere Sahiptir ve Risk Nedir?

LastPass’a göre İnternet sitesi‘Tehdit aktörü ayrıca, hem web sitesi URL’leri gibi şifrelenmemiş verileri hem de tam olarak şifrelenmiş hassas alanları içeren özel bir ikili biçimde depolanan şifreli saklama kabından müşteri kasası verilerinin bir yedeğini kopyalayabildi. web sitesi kullanıcı adları ve şifreleri, güvenli notlar ve formla doldurulmuş veriler.’

Ortaya çıkan risk, ‘tehdit aktörünün ana parolanızı tahmin etmek ve aldıkları kasa verilerinin kopyalarının şifresini çözmek için kaba kuvvet kullanmaya çalışabilmesidir. Müşterilerimizi korumak için kullandığımız karma ve şifreleme yöntemleri nedeniyle, en iyi parola uygulamalarımızı izleyen müşteriler için kaba kuvvetle ana parolaları tahmin etmeye çalışmak son derece zor olacaktır.’

LastPass Parolası En İyi Uygulamalarını Uygulamamak Ana Parolayı Kasaya Açığa Çıkarır

‘En iyi uygulamalar’ ile ilgili son bölüm en endişe verici olanıdır. Parola en iyi uygulamaları? Kaç kişi en iyi parola uygulamalarına sahiptir? Gerçekçi – ama talihsiz – cevap şu: çok değil. Bu, kurumsal yönetimli uygulamalar bağlamında bile geçerlidir. Kişisel uygulamalar söz konusu olduğunda, parolanın yeniden kullanımının aykırı değerden ziyade norm olduğunu varsaymak abartı olmaz. LastPass’ın ihlalinin getirdiği risk, her iki kullanım durumu için de geçerlidir. Nedenini anlayalım.

Gerçek Risk: Kurumsal Kaynaklara Kötü Amaçlı Erişim

Organizasyonları ikiye ayıralım:

Tip A: LastPass’ın, tüm kullanıcılar veya belirli departmanlar için kurumsal yönetimli uygulamalara erişim için parolaları kasaya kaydetmeye yönelik şirket politikasının bir parçası olarak kullanıldığı kuruluşlar. Bu durumda endişe açıktır – bir çalışanın LastPass Ana Parolasını kırmayı veya elde etmeyi başaran bir saldırgan, şirketin hassas kaynaklarına kolayca erişebilir.

Tip B: LastPass’in çalışanlar tarafından bağımsız olarak (kişisel veya iş amaçlı) veya kuruluştaki belirli gruplar tarafından BT bilgisi olmadan tercih edilen uygulamalar için kullanıldığı kuruluşlar. Bu durumda endişe, bir çalışanın LastPass Ana Parolasını kırmayı veya ele geçirmeyi başaran bir saldırganın, kullanıcıların parolayı yeniden kullanma eğiliminden yararlanacağı ve kasadaki parolaları ele geçirdikten sonra erişim için de kullanılan bir parola bulacağıdır. kurumsal uygulamalar.

CISO’nun Çıkmazı: Kesin Tehdit, Ancak Son Derece Düşük Azaltma Yetenekleri

Bir kuruluşun A veya B tipine girmesinden bağımsız olarak, risk açıktır. Bu durumda CISO için zorluğu yoğunlaştıran şey, çevresinde kullanıcı hesaplarının güvenliğinin tehlikeye girmesi muhtemel olan çalışanların bulunma olasılığı yüksek olsa da -kesinlik değil- olsa da, CISO’nun kim olduğunu bilme konusunda çok sınırlı yeteneği vardır. bu çalışanlar, bıraktıkları riski azaltmak için gerekli adımları atmaktadır.

LayerX Ücretsiz Teklifi: LastPass Saldırı Yüzeyinde %100 Görünürlük ve Proaktif Koruma Önlemleri

LayerX, güvenlik ekiplerinin kuruluşlarının LastPass ihlaline maruz kalma durumunu anlamalarına, savunmasız tüm kullanıcıları ve uygulamaları haritalamalarına ve güvenlik önlemlerini uygulamalarına yardımcı olan ücretsiz bir araç yayınladı.

LayerX’in aracı, çalışanlarınızın kullandığı tarayıcıya kurumsal bir uzantı olarak sunulur ve bu nedenle tüm tarayıcı uzantılarına ve her kullanıcının göz atma etkinliklerine anında görünürlük sağlar. Bu, CISO’ların aşağıdakileri kazanmasını sağlar:

• LastPass Kullanım Eşlemesi: İster şirket politikasının bir parçası (A tipi) isterse kişisel olarak kullanılmış (B tipi) olsun, LastPass uzantısının kurulu olduğu tüm tarayıcılarda uçtan uca görünürlük. Araç, kimlik bilgileri LastPass’ta saklanan tüm uygulamaları ve web hedeflerini eşler. B tipi kuruluşlar için görünürlük zorluklarının A tipi kuruluşlara göre çok daha ciddi olduğu ve LayerX’in aracı dışında herhangi bir çözümle ele alınamayacağı belirtilmelidir.

LayerX’in LastPass Raporu

Savunmasız kullanıcılara gönderilen LayerX bildirimi

• Risk Altındaki Kullanıcıları Belirleme: Bu bilgiden yararlanan güvenlik ekipleri, savunmasız kullanıcıları bilgilendirebilir ve hesaplarına MFA uygulamalarını zorunlu kılabilir. Ayrıca, düşmanların kötü amaçlı erişim için güvenliği ihlal edilmiş bir Ana Paroladan yararlanma yeteneklerini ortadan kaldırmak için özel bir Ana Parola sıfırlama prosedürü uygulayabilirler.

Ücretsiz araca erişmek için bu formu doldurun.