✖


Jump to content

Осведомленность о безопасности в Интернете

Осведомленность об интернет-безопасности или осведомленность о кибербезопасности означает, насколько конечные пользователи знают об угрозах кибербезопасности, с которыми сталкиваются их сети, о рисках, которые они создают, и снижения безопасности, которые определяют их поведение. о передовых методах [1] [2] Конечные пользователи считаются самым слабым звеном и основной уязвимостью в сети. [1] [3] [4] Поскольку конечные пользователи представляют собой серьезную уязвимость, технических средств для повышения безопасности недостаточно. Организации также могут стремиться снизить риск человеческого фактора (конечных пользователей). Этого можно достичь, предоставив рекомендации по передовому опыту обеспечения безопасности, чтобы конечные пользователи были осведомлены о кибербезопасности. Сотрудников можно было бы научить распространённым угрозам и тому, как их избежать или смягчить. [4]

Осведомленность о кибербезопасности, обучение, образование

[ редактировать ]

Программа снижения рисков кибербезопасности для конечных пользователей может состоять из комбинации нескольких подходов, включая осведомленность о кибербезопасности, обучение кибербезопасности и обучение кибербезопасности. Согласно и заимствовано из: [1] см. таблицу ниже, в которой представлено сравнение подходов.

ОСВЕДОМЛЕННОСТЬ ОБУЧЕНИЕ ОБРАЗОВАНИЕ
Атрибут "Что" "Как" "Почему"
Уровень Информация Знание Понимание
Цель Признание Навык Понимание
Способ доставки СМИ

В том числе: видео, информационные бюллетени, плакаты

Практическое обучение включает в себя: лекцию, практический семинар, практические занятия. Теоретическое обучение Включает: дискуссионный семинар, базовое чтение.
Срок воздействия Короткий срок Средний Долгосрочный

Угрозы

[ редактировать ]

Агенты угроз или субъекты угроз являются виновниками угрозы и обычно ищут самый простой способ получить доступ к сети, которая часто является человеческим фактором. [5] Однако эти киберугрозы можно смягчить. [6] Некоторые распространенные угрозы включают, помимо прочего, перечисленные ниже.

Социальная инженерия — это когда кто-то использует убедительную историю, авторитет или другие средства, чтобы убедить кого-то передать конфиденциальную информацию, такую ​​как имена пользователей и пароли. [7] [8] Конечный пользователь, осведомленный о кибербезопасности, сможет распознавать эти типы атак, что повышает его способность избежать их.

Фишинг – это форма социальной инженерии. [9] Это популярная атака, целью которой является заставить пользователей щелкнуть ссылку в электронном письме или на веб-сайте в надежде, что они разгласят конфиденциальную информацию. Эта атака обычно основана на массовом рассылке писем и низкой стоимости отправки фишинговых писем. Немногие цели обмануты, но их так много, что это по-прежнему прибыльный вектор.

Целевой фишинг — это электронное письмо, созданное и отправленное конкретному человеку, которому оно может показаться законным. [10] Это форма фишинга, но она более убедительна и имеет больше шансов на успех, чем традиционные фишинговые электронные письма, поскольку письмо адаптируется к жертве. Его развертывание может варьироваться от массового автоматизированного процесса, такого как доступ к адресной книге прошлой жертвы и отправка простых фишинговых атак на ее контакты (таким образом, создается впечатление, что исходит от признанного прошлого контакта), до более сложных рукописных сообщений для конкретных целей. получатели.

Вишинг или голосовой фишинг — это форма социальной инженерии. [9] это включает в себя контакт с людьми через традиционные стационарные телефоны, телефонию (т. е. передачу голоса по IP), автоматизированные системы преобразования текста в речь или другие формы голосовой связи, чтобы обманом заставить их разгласить конфиденциальную информацию, например данные кредитной карты.

Смишинг или СМС-фишинг – это социальная инженерия [9] который использует SMS или текстовые сообщения в качестве средства обмана, заставляя конечных пользователей разглашать конфиденциальную информацию.

Tailgating — это атака социальной инженерии на физическую безопасность, при которой неавторизованное лицо может получить доступ к месту, следуя за авторизованным пользователем в это место без ведома авторизованного пользователя. [11]

Piggybacking — это атака социальной инженерии на физическую безопасность, при которой неавторизованное лицо может получить доступ к месту, следуя за авторизованным пользователем в это место с ведома авторизованного пользователя. [11]

Вредоносное ПО — это программное обеспечение, созданное и используемое со злыми намерениями. Он включает в себя широкий спектр программного обеспечения, включая, помимо прочего, вирусы, трояны, черви, руткиты, шпионское ПО и крипто-джекинг. [12]

Программы-вымогатели — это еще одна киберугроза, при которой атаки осуществляются на компьютерную систему, но часто являются результатом атаки с использованием социальной инженерии. [13] [14] Этот тип вредоносного ПО шифрует данные и удерживает их с целью выкупа, что может парализовать всю компьютерную систему.

Атаки на основе Интернета вещей (IoT) представляют собой форму киберугроз в 21 веке и за его пределами. Они используют уязвимости во встроенных устройствах, например, в автомобилях, холодильниках, интеллектуальных колонках или цифровых помощниках.

Инсайдерские угрозы в области кибербезопасности (интернет-безопасности) — это риски безопасности, исходящие от отдельных лиц внутри организации, например сотрудников или подрядчиков, которые имеют доступ к ее системам и данным. [15] [16] [17] [18] Эти угрозы могут включать кражу данных, саботаж, мошенничество или шпионаж, что создает значительные риски из-за знаний и доступа инсайдера. [15] [16]

Темы

[ редактировать ]

В рамках программы снижения рисков кибербезопасности для конечных пользователей существуют различные подходы (см. таблицу выше). И хотя эта статья ориентирована на повышение осведомленности о кибербезопасности, следующие темы также могут быть использованы для обучения кибербезопасности и обучения кибербезопасности.

Как показано в приведенной выше таблице, существует несколько различных методов доставки, которые можно использовать для обеспечения осведомленности о кибербезопасности. [4] Некоторые из них включают использование плакатов, руководств, советов. [19] или даже видео и информационные бюллетени. [1] Некоторые возможные темы осведомленности о кибербезопасности согласно [20] [21] [22] включают, но не ограничиваются следующим.

Защита от вредоносного ПО . Антивирусное ПО иногда называют антивирусом . Этот тип приложений используется для защиты систем от вредоносного программного обеспечения путем предотвращения, обнаружения и удаления вредоносного ПО. Некоторые популярные вредоносные программы включают компьютерные вирусы , программы-вымогатели , руткиты , троянские кони и черви . Рекомендации по обеспечению безопасности конечных пользователей включают сканирование устройств на наличие вредоносных программ и обновление определений антивирусных приложений. [20]

Защита данных и конфиденциальность . Существуют различные типы данных, которые могут подлежать защите от несанкционированного раскрытия, включая личную информацию (PII), защищенную медицинскую информацию (PHI), интеллектуальную собственность (IP) и другую конфиденциальную информацию.   Рекомендации по обеспечению безопасности включают обучение, связанное с классификацией данных , шифрованием , анонимизацией данных , а также маскированием или запутыванием данных . Разрешения и то, кто может получить доступ к данным, включая обмен файлами через вложения электронной почты, являются дополнительными гарантиями, которые можно обсудить. Еще один элемент управления защитой данных, который можно включить, — это резервное копирование данных. [20] так как его можно будет восстановить, если оригинал станет недоступен.

Управление устройствами : предполагает знание того, как защитить мобильные устройства и компьютеры . Управление устройствами также связано с безопасностью, связанной с использованием собственного устройства ( BYOD ). Рекомендации по обеспечению безопасности включают шифрование , защиту системы с помощью пароля , PIN-кода или многофакторной аутентификации, а также других форм учетных данных. Дополнительные советы включают загрузку, установку и проверку приложений конечными пользователями, а также запрашиваемые разрешения из неизвестных источников. [21] [23] В соответствии с, [21] Еще один совет по повышению осведомленности — прочтите обзоры и комментарии о приложении перед его установкой. Кроме того, еще одним предметом обсуждения является использование общедоступного Wi-Fi. [21] Управление устройствами также связано с поддержанием точного учета активов от покупки до утилизации. Это включает в себя знание того, когда следует стирать данные с устройства, и очистку носителя .

: Реакция на инцидент Инцидент – это любое наблюдаемое событие со злым умыслом. Рекомендации по обеспечению безопасности для конечных пользователей включают, какие типы событий считаются подозрительными или вредоносными, с кем следует связаться в случае возникновения инцидента и какие действия следует предпринять в случае инцидента. [20]

Безопасность Интернета вещей : устройства с ограниченными ресурсами и возможностью дистанционного управления со встроенными сенсорными чипами, которые взаимодействуют с людьми и объектами для сбора данных и предоставления их удаленным источникам в Интернете для дополнительного анализа с целью персонализации и настройки взаимодействия с пользователем. Эти устройства включают, помимо прочего, интеллектуальные колонки, носимые устройства, такие как умные часы, камеры наблюдения, фонари, дверные замки, термостаты, бытовую технику и автомобили. Рекомендации включают ведение инвентаризации активов, контроль исправлений и изменение учетных данных по умолчанию. [24]

Управление паролями : пароль — это строка секретных символов, используемая для аутентификации учетной записи пользователя. Рекомендации по обеспечению безопасности предлагают представить требования по созданию надежного пароля или парольной фразы , как часто следует менять пароли и как защитить пароли. [20] Кроме того, рекомендации предполагают необходимость изменить все пароли по умолчанию и не сообщать пароли другим. [25] Дополнительные варианты защиты могут включать информирование конечных пользователей об использовании многофакторной аутентификации , менеджеров паролей и осведомленность о различных угрозах, связанных с паролями, таких как взлом паролей .

Исправления. Изменения в программном обеспечении и системе, направленные на обновление, улучшение или устранение недостатков, обычно выпускаются через патч. Рекомендации по обеспечению безопасности включают своевременную установку обновлений безопасности. [20] а также реализацию оценки уязвимостей и управления уязвимостями .

Съемные носители : это устройства хранения данных, которые можно добавлять или удалять из работающего компьютера, например компакт-диски, DVD-диски, съемные SD-карты и USB-накопители (включая флэш-накопители, флэш-накопители, внешние жесткие диски). Рекомендации по обеспечению безопасности включают в себя шифрование дисков и соблюдение политики и рекомендаций, представленных на уровне организации в отношении использования личных съемных носителей в системах организации. [25]

Безопасный просмотр веб-страниц . Рекомендации по безопасности, касающиеся безопасной навигации по веб-сайтам, включают поиск значка замка в строке URL-адреса перед вводом конфиденциальной информации, такой как учетные данные, данные кредитной карты или личную информацию. [21] Еще один визуальный индикатор — «https», отраженный в веб-адресе. [21] Замок и https означают, что введенная информация будет в безопасности. [21] Наконец, можно поделиться рекомендациями по настройке параметров конфиденциальности в браузере или использовать опцию инкогнито для ограничения передаваемой информации. [26] Еще одно руководство — рассмотреть возможность использования виртуальной частной сети (VPN). [26]

Социальная инженерия предполагает взаимодействие с людьми в надежде, что они раскроют конфиденциальную информацию. [9] Рекомендации по обеспечению безопасности включают в себя не открывать подозрительные электронные письма от неизвестных отправителей, не нажимать на подозрительные ссылки в электронных письмах или на веб-сайтах, не открывать вложения в электронных письмах, не раскрывать информацию и не отвечать на подозрительные электронные письма или контакты, указанные в них. [20] [25]

Кампании по повышению осведомленности общественности о кибербезопасности

[ редактировать ]

Образование и повышение осведомленности в области кибербезопасности имеют решающее значение для современного общества, поскольку они позволяют людям защищаться от киберугроз и делать карьеру в области кибербезопасности, будучи при этом междисциплинарными и охватывая различные области, чтобы подготовиться к будущим трудностям и сэкономить ресурсы. [27] [28] [29] Исследования по повышению осведомленности о кибербезопасности показывают противоречивые результаты: некоторые исследования предполагают ограниченную эффективность, а эксперты выступают за индивидуализацию программ обучения для повышения осведомленности. [ нужна ссылка ] В открытом доступе проводится множество кампаний по повышению осведомленности о кибербезопасности. Вот некоторые из них:

Месяц осведомленности о кибербезопасности Microsoft: отмечая свое 20-летие в 2023 году, Microsoft заключила партнерские отношения с Национальным альянсом кибербезопасности и CISA для распространения передового опыта в области кибербезопасности во всем мире. В их сферу деятельности входит обучение организаций многофакторной аутентификации, обновлению программного обеспечения, распознаванию фишинга и проверке настроек конфиденциальности. Microsoft также предоставляет ресурсы для малого и среднего бизнеса, который часто уязвим для атак программ-вымогателей. [30]

Месяц осведомленности о кибербезопасности NIST. В 2023 году NIST подчеркнул четыре ключевых направления поведения: (1) включение многофакторной аутентификации, (2) использование надежных паролей и менеджеров паролей, (3) обновление программного обеспечения и (4) распознавание фишинга и сообщение о нем. [31] Это ежегодное мероприятие, отмечаемое каждый октябрь, начиная с 2004 года, является частью совместных усилий по предоставлению ресурсов и повышению осведомленности о кибербезопасности, тем самым повышая национальную устойчивость к киберинцидентам. [31]

Характер обучения по вопросам кибербезопасности предполагает, что это непрерывный процесс. [32] прежде всего потому, что векторы угроз — или методы и пути, с помощью которых хакеры атакуют системы — постоянно меняются. [ нужна ссылка ] Поскольку киберугрозы становятся все более изощренными, [33] стратегии и знания, необходимые для защиты от них, также должны развиваться. Непрерывное образование и адаптация необходимы для того, чтобы идти в ногу с новыми вызовами безопасности. Эта точка зрения согласуется с пониманием того, что до тех пор, пока технологии развиваются и все глубже интегрируются в повседневную жизнь, необходимость в современной осведомленности и обучении в области кибербезопасности будет оставаться критической. [ нужна ссылка ] Ансари и др. (2022) использовали обучение кибербезопасности на основе искусственного интеллекта в киберпространстве. [34]

См. также

[ редактировать ]

Ссылки

[ редактировать ]
  1. ^ Перейти обратно: а б с д «NIST SP 800-12: Глава 13: Информированность, обучение и образование» . csrc.nist.rip .
  2. ^ Ким, Ли (апрель 2017 г.). «Осведомленность о кибербезопасности: защита данных и пациентов» . Управление сестринским делом . 48 (4): 16–19. дои : 10.1097/01.NUMA.0000514066.30572.f3 . ISSN   0744-6314 . ПМИД   28353477 . S2CID   9518792 .
  3. ^ Кемпер, Грейсон (01 августа 2019 г.). «Повышение осведомленности сотрудников о кибербезопасности» . Компьютерное мошенничество и безопасность . 2019 (8): 11–14. дои : 10.1016/S1361-3723(19)30085-5 . ISSN   1361-3723 . S2CID   201901451 .
  4. ^ Перейти обратно: а б с «Что такое тренинг по кибербезопасности и почему это так важно?» . FraudWatch International . 21 декабря 2018 г. Архивировано из оригинала 29 апреля 2019 года.
  5. ^ Абаваджи, Джемаль (04 марта 2014 г.). «Предпочтения пользователей в отношении методов доставки информации о кибербезопасности» . Поведение и информационные технологии . 33 (3): 237–248. дои : 10.1080/0144929X.2012.708787 . ISSN   0144-929X . S2CID   12289090 .
  6. ^ «10 основных угроз кибербезопасности и их смягчение» . Технические блоги vCloud — ваш поставщик ИТ-решений и услуг . 2020-11-23.
  7. ^ Фрулингер, Джош (25 сентября 2019 г.). «Социальная инженерия объяснила: как преступники эксплуатируют человеческое поведение» . ЦСО онлайн .
  8. ^ «Что такое социальная инженерия? Примеры и» . www.webroot.com .
  9. ^ Перейти обратно: а б с д «Как избежать социальной инженерии и фишинговых атак | CISA» . us-cert.cisa.gov . Февраль 2021.
  10. ^ «Что такое целевой фишинг? - Определение» . США.kaspersky.com . 13 января 2021 г.
  11. ^ Перейти обратно: а б Охрана, Митник. «6 типов атак социальной инженерии» . www.mitnicksecurity.com .
  12. ^ Фрулингер, Джош (17 мая 2019 г.). «Что такое вредоносное ПО: определение, примеры, обнаружение и восстановление» . ЦСО онлайн .
  13. ^ Фрулингер, Джош (19 июня 2020 г.). «Объяснение программы-вымогателя: как она работает и как ее удалить» . ЦСО онлайн .
  14. ^ «Что такое программы-вымогатели? | Методы и профилактика | Terranova Security» . terranovasecurity.com .
  15. ^ Перейти обратно: а б Агентство кибербезопасности и безопасности инфраструктуры. «Определение инсайдерских угроз | CISA» . www.cisa.gov . Проверено 15 января 2024 г.
  16. ^ Перейти обратно: а б Агентство кибербезопасности и безопасности инфраструктуры. «Информационный бюллетень об инсайдерской угрозе 101» (PDF) . www.cisa.gov . Проверено 15 января 2024 г.
  17. ^ Национальный институт стандартов и технологий. «инсайдерская угроза - Глоссарий | CSRC» . csrc.nist.gov . Проверено 15 января 2024 г.
  18. ^ Министерство внутренней безопасности США. «Инсайдерская угроза кибербезопасности | Национальная безопасность» . www.dhs.gov . Проверено 15 января 2024 г.
  19. ^ Тасевский, Предраг (2016). «Информированность об ИТ и кибербезопасности – кампании по повышению» . Информация и безопасность . 34 (1): 7–22. дои : 10.11610/isij.3401 .
  20. ^ Перейти обратно: а б с д и ж г Уилсон, М.; Хэш, Дж. (2003). «Специальная публикация NIST 800-50: Компьютерная безопасность» (PDF) .
  21. ^ Перейти обратно: а б с д и ж г Обучение сотрудников вопросам безопасности , июнь 2017 г.
  22. ^ «Создание программы повышения осведомленности о безопасности» . www.gideonrasmussen.com .
  23. ^ «Безопасное использование мобильных приложений — SANS OUCH! Информационный бюллетень — июнь 2021 г.» . www.sans.org .
  24. ^ Форрест, Коннер. «Десять лучших практик по обеспечению безопасности Интернета вещей в вашей организации» . ЗДНет .
  25. ^ Перейти обратно: а б с «Распространенные киберугрозы: индикаторы и меры противодействия» (PDF) .
  26. ^ Перейти обратно: а б «Конфиденциальность — защита вашего цифрового следа — SANS OUCH! Информационный бюллетень — апрель 2021 г.» . www.sans.org .
  27. ^ Триплетт, Уильям Дж. (1 января 2023 г.). «Решение проблем кибербезопасности в образовании» . Международный журнал STEM-образования для устойчивого развития . 3 (1): 47–67. дои : 10.53889/ijses.v3i1.132 . ISSN   2798-5091 .
  28. ^ Сафа, Надер Сохраби; Сукхак, Мехди; Фон Зольмс, Россоу; Фернелл, Стивен; Гани, Норджихан Абдул; Хераван, Тутут (1 сентября 2015 г.). «Формирование сознательного поведения в сфере информационной безопасности в организациях» . Компьютеры и безопасность . 53 : 65–78. дои : 10.1016/j.cose.2015.05.012 . ISSN   0167-4048 .
  29. ^ Ван, Ю; Ци, Бин; Цзоу, Хун-Ся; Ли, Цзи-Син (01 октября 2018 г.). «Система повышения осведомленности о кибербезопасности» . 2018 IEEE 18-я Международная конференция по коммуникационным технологиям (ICCT) . IEEE. стр. 865–869. дои : 10.1109/ICCT.2018.8599967 . ISBN  978-1-5386-7635-6 .
  30. ^ Джаккал, Васу (2 октября 2023 г.). «Отпразднуйте 20-летие Месяца осведомленности о кибербезопасности вместе с Microsoft и давайте вместе защитим наш мир» . Блог Microsoft по безопасности . Проверено 3 апреля 2024 г.
  31. ^ Перейти обратно: а б Национальный институт стандартов и технологий (NIST) (25 октября 2023 г.). «Месяц осведомленности о кибербезопасности» . НИСТ .
  32. ^ Цвиллинг, Моти; Клиен, Галит; Лесяк, Душан; Вечетек, Лукаш; Четин, Фатих; Басим, Хамдулла Неджат (02 января 2022 г.). «Осведомленность, знания и поведение в области кибербезопасности: сравнительное исследование» . Журнал компьютерных информационных систем . 62 (1): 82–97. дои : 10.1080/08874417.2020.1712269 . ISSN   0887-4417 .
  33. ^ Аманович, Марек (30 сентября 2021 г.). «Общая платформа осведомленности о кибербезопасности» . Журнал телекоммуникаций и информационных технологий . 3 (2021): 32–41. дои : 10.26636/jtit.2021.154421 . ISSN   1899-8852 .
  34. ^ Ансари, Мерадж Фархин; Шарма, Паван Кумар; Даш, Бибху (01 марта 2022 г.). «Предотвращение фишинговых атак с использованием обучения кибербезопасности на основе искусственного интеллекта» . Международный журнал интеллектуальных датчиков и специальных сетей. : 61–72. doi : 10.47893/IJSSAN.2022.1221 (неактивен 13 апреля 2024 г.). ISSN   2248-9738 . {{cite journal}}: CS1 maint: DOI неактивен по состоянию на апрель 2024 г. ( ссылка )
Retrieved from "https://en.wikipedia.org/w/index.php?title=Internet_security_awareness&oldid=1232788008"
Arc.Ask3.Ru: конец переведенного документа.
Arc.Ask3.Ru
Номер скриншота №: 10396500ddb759ebbff141c77f029770__1720184700
URL1:https://arc.ask3.ru/arc/aa/10/70/10396500ddb759ebbff141c77f029770.html
Заголовок, (Title) документа по адресу, URL1:
Internet security awareness - Wikipedia
Данный printscreen веб страницы (снимок веб страницы, скриншот веб страницы), визуально-программная копия документа расположенного по адресу URL1 и сохраненная в файл, имеет: квалифицированную, усовершенствованную (подтверждены: метки времени, валидность сертификата), открепленную ЭЦП (приложена к данному файлу), что может быть использовано для подтверждения содержания и факта существования документа в этот момент времени. Права на данный скриншот принадлежат администрации Ask3.ru, использование в качестве доказательства только с письменного разрешения правообладателя скриншота. Администрация Ask3.ru не несет ответственности за информацию размещенную на данном скриншоте. Права на прочие зарегистрированные элементы любого права, изображенные на снимках принадлежат их владельцам. Качество перевода предоставляется как есть. Любые претензии, иски не могут быть предъявлены. Если вы не согласны с любым пунктом перечисленным выше, вы не можете использовать данный сайт и информация размещенную на нем (сайте/странице), немедленно покиньте данный сайт. В случае нарушения любого пункта перечисленного выше, штраф 55! (Пятьдесят пять факториал, Денежную единицу (имеющую самостоятельную стоимость) можете выбрать самостоятельно, выплаичвается товарами в течение 7 дней с момента нарушения.)