A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézete (NBSZ-NKI) heti rendszerességgel összeállít egy válogatást az adott időszak információbiztonsági híreiből. Azonban nem csak az NKI által közzétett válogatásban szereplő cikkekből szemezgetünk, mivel azt tapasztaltuk, hogy olvasóink azokra a hírekre is nyitottak, amelyek hatásai túlmutatnak a szűkebb kibervédelmi és technikai aktualitásokon.
Az NKI a sajtószemle mellett tájékoztatást és riasztásokat is küld, ha úgy ítéli meg, hogy azok olyan súlyú fenyegetéseket tartalmaznak, amelyeket érdemes közzétenni az érintetti körben. A legszerencsésebb (és utólag mindig kiderül, a legköltséghatékonyabb) megelőzni a bajt: azok a szervezetek, ahol az információbiztonsági felelős élő kapcsolatot ápol a rendszer üzemeltetőivel, fejlesztőivel és használóival, az érintettek megerősödött immunrendszerükkel könnyebben állnak ellen a vírusoknak, zsarolási kísérleteknek és egyéb rosszindulatú kódok mesterkedéseinek!
Aki a teljes anyagra kíváncsi, itt találja meg a forrást: https://nki.gov.hu/it-biztonsag/kiadvanyok/sajtoszemle/.
Továbbra se feledjük: a kibertérben a biztonság csak egy hamis illúzió...
Forrás: https://nki.gov.hu/it-biztonsag/kiadvanyok/sajtoszemle/sajtoszemle-2023-51-het/
Szép átvezetés: az óév utolsó NKI-s hírlevelét az új év első hetében tálaljuk, megfűszerezve némi "idegen" forrásból gyűjtött különlegességgel. Kezdjük rögtön egy ilyen - nem az újévi menüben megszokott - előétellel:
"Új törvény a nemzeti adatvagyonról - Alig két évvel a nemzeti adatvagyon törvény (2021. évi XCI. törvény) elfogadása és hatálybalépése után, rövidesen lényegesen megújul a nemzeti adatvagyon hasznosításának keretrendszere, miután a Parlament elfogadta »A nemzeti adatvagyon hasznosításának rendszeréről és az egyes szolgáltatásokról« szóló törvényt."
Már épp fellélegeztem, hogy az EDPB - az uniós adatvédelmi testület - úgy döntött: nem kell piszkálni a GDPR-t, jól van az úgy, ahogy kitalálták - erre itt ez a remek nemzeti jogszabály, ami a DPO-kon kívül feltételezhetően minden olyan kollégának ad majd feladatot, akiknek a nemzeti adatvagyon körébe tartozó elektronikus információs rendszerekhez van kapcsolódása. Nem keserítem azok életét a részletekkel, akiket ez nem érint, de a többieknek itt egy link: https://hirlevel.egov.hu/2024/01/01/uj-torveny-a-nemzeti-adatvagyonrol/. Még a köztársasági elnök aláírására vár, de az valószínűleg még ezen a héten rákerül.
No, de térjünk vissza az NKI hivatalos gyűjtéséhez: a vezető hír érdekes technikát ismertet.
"A BILLENTYŰZET GÉPELÉSÉNEK HANGJA ELÁRULHATJA A JELSZAVÁT - A Durham University, a University of Surrey és a Royal Holloway University of London által kifejlesztett technika a jelszó kitalálásának még pontosabb módját kínálja a billentyűzeten történő gépelés hangjának meghallgatásával."
Mindig irigyeltem azokat a kollégákat, akik ilyen témákra lelnek és még jobban azokat, akik ezek kutatására erőforrásokat kapnak. Van az a szint, ahol ennek a területnek van létjogosultsága, de amíg a 2023-as év dokumentált incidenseinek egyik gyakori törése az "123123" jelszóval történő sikeres próbálkozások eredménye volt, addig nem a billentyűzetek csendesítése lesz az idei év legmagasabb prioritással kezelt megelőző védelmi intézkedése. (Néhány gondolatot még idézek, de a részletekért érdemes a forrásban kutatni: https://nki.gov.hu/it-biztonsag/hirek/a-billentyuzet-gepelesenek-hangja-elarulhatja-a-jelszavat/).
"Az egyes billentyűk hangjainak enyhe különbségei az információk nem szándékos kiszivárgását jelentik, amit »mellékcsatornának« neveznek. A számítógépeknek általában rengeteg mellékcsatornája van, például zajok, hő és az elektromágneses sugárzás változásai, amelyeket a fenyegetettségi szereplők összegyűjthetnek és elemezhetnek, hogy többet tudjanak meg arról, mi történik a számítógépen. Jelszó begépelésekor az emberek rendszeresen elrejtik a képernyőjüket, de keveset tesznek a billentyűzetük hangjának elfedése érdekében."
A második NKI-s hír a válogatásban összegzi az orosz APT28 tevékenységét - hiába: ha a szervezet éves jelentést nem tesz közzé, kénytelenek ezt mások összeállítani helyettük.
- 32/33 -
"AZ OROSZ APT28 HACKEREI 13 NEMZETET VETTEK CÉLBA - A megfigyelések szerint az APT28 néven ismert orosz nemzetállami szereplő a folyamatban lévő Izrael-Hamász háborúval kapcsolatos csalikat használt fel a HeadLace nevű backdoor kihasználásának megkönnyítésére."
Érdekes összefoglaló - és bár csak érintőlegesen tartozik a napi feladataink közé - ennek a területnek a tevékenységét érdemes megfigyelni, milyen támadási vektorok erősödtek meg az elmúlt időszakban. Gyanakszom, hogy ennek a trendnek az erősödésére számíthatunk 2024-ben is. Részletek: https://nki.gov.hu/it-biztonsag/hirek/az-orosz-apt28-hackerei-13-nemzetet-vettek-celba/.
"RCE SEBEZHETŐSÉGET JAVÍTOTTAK A WORDPRESS 6.4.2-ES VERZIÓJÁBAN - Javítottak egy biztonsági sebezhetőséget a WordPress 6.4.2-es verziójában, ami által egy másik hibával összekapcsolva távoli kódvégrehajtás válik lehetővé. A WordPress hivatalos útmutatója szerint a hiba önmagában közvetlenül nem kihasználható, viszont egy másik sérülékenységgel együtt már kritikus szintű, különösen multisite telepítések esetén."
Ugye első dolgunk volt a hír olvasásakor ellenőrizni, hogy az általunk menedzselt oldalak érintettek-e a sérülékenységben? (Az enyém 6.1.4-es, de az ördög nem alszik: amint ezt a szemlét befejezem rákeresek, hogy a korábbi verziókkal mi a helyzet.) Javaslom a követőimnek, hogy hasonlóan járjanak el, sőt: akik nem önkéntes figyelői a történéseknek, azoknál a következő auditon biztosan lesz ilyen - megválaszolandó - kérdés. Még egy "apróság", amit kiemelnék a hírből:
A Jogkódex-előfizetéséhez tartozó felhasználónévvel és jelszóval is be tud jelentkezni.
Az ORAC Kiadó előfizetéses folyóiratainak „valós idejű” (a nyomtatott lapszámok megjelenésével egyidejű) eléréséhez kérjen ajánlatot a Szakcikk Adatbázis Plusz-ra!
Visszaugrás
