בעולם אבטחת המידע, רכיבי הזיכרון הניידים מוכרים בעיקר כאיום (ורוב הזמן בצדק!).

כל איש אבטחת מידע מתייחס להכנסת DISK ON KEY (או כרטיס זיכרון או CD או DVD) לרשת הארגונית כאל הכנסת מזיק פוטנציאלי (וירוס, סוס טרויאני, ROOTKIT …).

אבל האיום כפול : אם נכון לחשוש מהכנסת DISK ON KEY של גורם חיצוני למחשב של הרשת הארגונית, חשוב להבין שיש גם סיכון להכניס DISK ON KEY של הארגון במחשב חיצוני (גם רק לפעם אחת).

רכיבי הזיכרון הניידים של כולנו מאחסנים מסמכים לפעמים רגישים (אם מהצד העסקי או אם מהצד האישי) ויש סיכון גבוה לזליגת מידע.

דוגמא :

הדרך הפשוטה להוכיח את הטענה היא להכיר לכם את USB GRABBER (תוכנת OPEN SOURCE וחינמית כרגיל).

מדובר ביכולת פשוטה וקטלנית : כל DOK (קיצור של DISK ON KEY) שיוכנס למחשב בה מותקנת התוכנה "יגובה" ללא ידיעת המשתמש אל אותו המחשב.

תדמיינו שאתם מוזמנים אצל ספק חיצוני ושבגלל לחץ של זמן, אתם מחליטים לקחת איתכם לעבודה חלק מהמסמכים כדי לעבור עליהם בקשט. אתם מכניסים את ה-DISK ON KEY למחשב של הספק וזהו, החומר שיש על ה-DOK כבר מועתק למחשב (אם או בלי ידיעת בעל המחשב).

USB GRABBER הינה מאוד ידידותית ואין צורך בידעה מתקדמת בהאקינג כדי להפעיל אותה.

ניתן גם להגדיר העתקת סוג מסיים של קבצים וגם ניתן לסנן מקורות העתקה.

הפעלת התוכנה יכולה להיות אוטומאטית וניתן להסתיר את התוכנה מעין המשתמש.

איך אפשר להגן על זיכרונות ניידים ?

קשה מאוד להתגונן מפני האיום הזה כי גם אם ה-DOK מוצפן (ע"י TRUE CRYPT לדוגמא), ברגע שאתם "פותחים" את ההצפנה לצרכי שימוש ב-DOK, ה-DOK נגיש לתוכנה.

מומלץ מאוד להסתובב עם DOK "ריק" (או ללא מסמכים רגישים) כדי לאפשר עבודה על מחשבים חיצוניים.

כמובן, חשוב לבדוק טוב את ה-DOK לפני הכנסה לרשת הארגונית (יתכן והדיסק נדבק ע"י מזיק כלשהו ראו כאן עד כמה זה פשוט).

לסיכום :

חשוב להבין שהכנסת רכיבי זיכרון ניידים מהווה סיכון לזליגת מידע.

יש להדריך את המשתמשים ולהסביר למה יש סיכון (לא תמיד משתמש הקצה מודע לרמת הסיכון וליכולות הטכנולוגיות של "האנשים הרעים").

מומלץ גם לוודא שכל מי שמחזיק DOK בארגון מופקד על רכיב ספציפי ואישי.

ניתן לשקול יישום מערכות הגנה על DOK שלא מאפשרות שימוש בדיסקים הארגונים על מחשבים חיצוניים (כיום רוב מערכות DLP מאפשרות זאת).

קישורים :

הורדת USB GRABBER (לבדיקות בלבד – אל תגנבו מסמכים 🙂 )

מקור הכתבה

קטגוריות: אבטחת מידע | תגיות: Privacy, אבטחת מידע