„Nová služba nese kódové označení Bouncer a v provozu je již několik měsíců,“ říká Hiroshi Lockheimer, vicepresident pro engineering Androidu. "Přínosné je to, že nikdo není touto službou oběžován – jak koncový uživatel, tak samotní vývojáři. Nemusí na to vlastně vůbec myslet.“

Pokud je software pro Android nahrán na stránky Googlu (ale ještě před tím, než je uveřejněn na Android Market, Bouncer skenuje odeslaný kód ohledně známého malwaru včetně spywaru či trojských koní, a také zkoumá chování aplikace, zda nepřekračuje určité limity, které Google považuje už za nepřijatelné.

„Některé programy, které Bouncer označí za rizikové, jsou okamžitě staženy a není jim povolen vstup do Android Marketu,“ říká Lockheimer. „ Další jsou podrobeny lidské analýze, aby bylo zaručeno, že fungují korektně a bezpečně.“

Bouncer rovněž zahrnuje simulátor, který dovoluje provozovat každou aplikaci, jako by byla umístěna ve smartphonu. "Tak můžeme prozkoumat aplikaci pro takzvané skryté chování a pokud jsou tam nějaké otazníky, je označena jako případně riziková,“ dodává Lockheimer.

Google rovněž umožnňuje provést analýzu i u už uveřejněných programů pro Android. „Jak rostou naše schopnosti kontrolovat aplikace, můžeme skenovat stále více softwaru,“ říká Lockheimer.

Analytici jsou novinkou Google příjemně překvapeni a tento krok vesměs oceňují. „ Bouncer určitě dává smysl. Někteří uživatelé by ale mohli být překvapeni, že se to dosud nedělalo, tvrdí Chet Wisniewski, výzkumník ze společnosti Sophos.

„Nová služba nese kódové označení Bouncer a v provozu je již několik měsíců,“ říká Hiroshi Lockheimer, vicepresident pro engineering Androidu. "Přínosné je to, že nikdo není touto službou oběžován – jak koncový uživatel, tak samotní vývojáři. Nemusí na to vlastně vůbec myslet.“

Pokud je software pro Android nahrán na stránky Googlu (ale ještě před tím, než je uveřejněn na Android Market, Bouncer skenuje odeslaný kód ohledně známého malwaru včetně spywaru či trojských koní, a také zkoumá chování aplikace, zda nepřekračuje určité limity, které Google považuje už za nepřijatelné.

„Některé programy, které Bouncer označí za rizikové, jsou okamžitě staženy a není jim povolen vstup do Android Marketu,“ říká Lockheimer. „ Další jsou podrobeny lidské analýze, aby bylo zaručeno, že fungují korektně a bezpečně.“

Bouncer rovněž zahrnuje simulátor, který dovoluje provozovat každou aplikaci, jako by byla umístěna ve smartphonu. "Tak můžeme prozkoumat aplikaci pro takzvané skryté chování a pokud jsou tam nějaké otazníky, je označena jako případně riziková,“ dodává Lockheimer.

Google rovněž umožnňuje provést analýzu i u už uveřejněných programů pro Android. „Jak rostou naše schopnosti kontrolovat aplikace, můžeme skenovat stále více softwaru,“ říká Lockheimer.

Analytici jsou novinkou Google příjemně překvapeni a tento krok vesměs oceňují. „ Bouncer určitě dává smysl. Někteří uživatelé by ale mohli být překvapeni, že se to dosud nedělalo, tvrdí Chet Wisniewski, výzkumník ze společnosti Sophos.

„Nová služba nese kódové označení Bouncer a v provozu je již několik měsíců,“ říká Hiroshi Lockheimer, vicepresident pro engineering Androidu. "Přínosné je to, že nikdo není touto službou oběžován – jak koncový uživatel, tak samotní vývojáři. Nemusí na to vlastně vůbec myslet.“

Pokud je software pro Android nahrán na stránky Googlu (ale ještě před tím, než je uveřejněn na Android Market, Bouncer skenuje odeslaný kód ohledně známého malwaru včetně spywaru či trojských koní, a také zkoumá chování aplikace, zda nepřekračuje určité limity, které Google považuje už za nepřijatelné.

„Některé programy, které Bouncer označí za rizikové, jsou okamžitě staženy a není jim povolen vstup do Android Marketu,“ říká Lockheimer. „ Další jsou podrobeny lidské analýze, aby bylo zaručeno, že fungují korektně a bezpečně.“

Bouncer rovněž zahrnuje simulátor, který dovoluje provozovat každou aplikaci, jako by byla umístěna ve smartphonu. "Tak můžeme prozkoumat aplikaci pro takzvané skryté chování a pokud jsou tam nějaké otazníky, je označena jako případně riziková,“ dodává Lockheimer.

Google rovněž umožnňuje provést analýzu i u už uveřejněných programů pro Android. „Jak rostou naše schopnosti kontrolovat aplikace, můžeme skenovat stále více softwaru,“ říká Lockheimer.

Analytici jsou novinkou Google příjemně překvapeni a tento krok vesměs oceňují. „ Bouncer určitě dává smysl. Někteří uživatelé by ale mohli být překvapeni, že se to dosud nedělalo, tvrdí Chet Wisniewski, výzkumník ze společnosti Sophos.

Výzkumníci zjistili, ze v 62 % stačí pro označení konkrétní stanice tzv. HTTP user-agent information. Pokud je tento údaj zkombinován s prefixem IP adresy, stoupá přesnost na 79 procent. A při využití celé IP addresy kombinované s výše uvedenými agentskými daty jde už o téměř 81% jistotu.

Nejvyšší přesnosti se dosahuje, pokud je ke konkrétnímu  PC přiřazeno více uživatelských účtů) například pokud jedno PC využívá více členů rodiny s vlastním ID). V takovém případě se přesnost zvyšuje na skoro 93 %.

Výsledky tohoto šetření vycházejí z dat ze srpna 2010, kdy byly prozkoumány anonymizované výsledky přístupu ke službám Hotmail a Bing stovek milionů uživatelů. Vědci z Microsoftu se podle svých slov snažili zjistit, zda jednotlivé údaje z logů mohou vést ke zjištění konkrétního počítače. Nesnažili se prý o sledování činností jednotlivých stanic.

Podle nich kroky uživatelů sledující omezení možnosti sledovat jejich PC k cíli příliš nevedou – i použití tzv. IP prefixů, pokud jsou kombinovány a dalšími zaznamenávanými uživatelskými daty například z aplikační úrovně mohou vést k vysoké pravděpodobnosti lokace tohoto PC.

Tady je doporučení od CSIRT.CZ:
Nástroje HOIC, LOIC a SLOWLORIS generují HTTP requesty, v nichž obvykle zároveň náhodně mění HTTP hlavičky (user-agent, if-modified-since, referer, atd.). V současné době nezpůsobuje hlavní problém přehlcení internetového připojení, ale spíše zahlcení samotných serverů.
To je mimo jiné způsobené tím, že některé z výše uvedených nástrojů umožňují předem vytipovat stránky, jejichž volání server co nejvíce zatíží (formuláře, skripty s přístupem do databáze apod.) a ty poté definovat jako vhodný cíl útoku.

Ke snížení dopadu útoků může vést:
1. Proti útoku SLOWLORIS lze například použít modul pro webový server apache mod-antiloris.Tento modul omezuje počet otevřených konexí ve stavu SERVER_BUSY_READ pro jednu IP adresu; dalším podobným projektem je mod_noloris. Pokud používáte webový server nginx, ten je proti útokům pomocí slowloris odolnější.
2. Proti ostatním útokům lze použít modul TARPIT pro iptables, který zpomaluje odpovědi zasílané zpět útočníkům, čímž zdržuje posílání dalších requestů. Další možností je omezovat příchozí spojení pomocí modulů limit či hashlimit.
3. Proti útokům lze také doporučit použití některého odolnějšího webového serveru, například již zmiňovaný nginx v módu reverzní proxy se zapnutou cache.
4. Doporučujeme také zkontrolovat, zda na webové stránkách nejsou zbytečně dostupné skripty, které již nejsou potřeba, dále doporučujeme kontrolu stránek na XSS a SQL injection zranitelnosti, například pomocí nástroje Nikto2. Doporučujeme také preventivně změnit hesla k databázím.
Akcí Anonymous se neúčastní takové množství lidí, které by dokázalo účinně zahltit dnešní linky, jimiž jsou servery obvykle připojeny. Do budoucna je však potřeba počítat i s takovouto variantou. Pro tento případ bude nutné filtrování přesunout na upstream.

Technologie jako třeba DKIM (DomainKeys Identified Mail) nebo SPF (Sender Policy Framework) už vlastníkům domén dovolují zaručit se za původnost odesilatele, ale nespecifikují, co se zprávou, která takovým testem originality neprošla.

DKIM kontroluje doménové jméno, z níž byla zpráva zaslána, pomocí analýzy kryptografického podpisu zprávy, SPF zase dovoluje vlastníkům domény specifikovat, které hostitelské systémy registrované v této doméně jsou oprávněny odesílat e-maily. Obě technologie jsou využívány již řadu let, ale často bylo jejich použití poměrně problematické.

DMARC je postaven na výše zmíněných technologiích, a vlastníkům domény umožňuje požádat přijímající poštovní servery, aby falešnou zprávu, která odpovídajícími testy neprošla,  vymazaly. Tak se výrazně sníží pravděpodobnost toho, že se ve schránce uživatele objeví nějaká zpráva vedoucí ke stránkám napodobujícím třeba PayPal či cokoliv jiného.

Specifikace DMARC (Domain-based Message Authentication, Reporting & Conformance) umožňuje organizacím posílat e-maily, které indikují, zda používají jednu nebo obě bezpečnostní technologie (DKIM a SPF) k tomu, aby autentizovaly odesilatele zprávy. Zahrnuje rovněž reportingové mechanizmy, kdy je odesilatel informován o tom, jak proběhl test jím poslaného e-mailu a jak bylo se zprávou naloženo.

Díky všem těmto informacím pak může vlastník domény vyladit proces přenosu e-mailů a odesílatelům jednoznačně říci o tom, že doručení jejich zprávy bylo odmítnuto, pokud nesplní příslušná pravidla.

DMARC by měl být v dohledné době odeslán ke standardizaci sdružením  Internet Engineering Task Force (IETF). Bližší informace o nových specifikacích DMARC naleznete na DMARC.org.

Kromě výše zmíněných firem DMARC podporují i Bank of America, Fidelity, Microsoft, Yahoo, LinkedIn, AOL, American Greetings, Cloudmark a Agari.

Technologie jako třeba DKIM (DomainKeys Identified Mail) nebo SPF (Sender Policy Framework) už vlastníkům domén dovolují zaručit se za původnost odesilatele, ale nespecifikují, co se zprávou, která takovým testem originality neprošla.

DKIM kontroluje doménové jméno, z níž byla zpráva zaslána, pomocí analýzy kryptografického podpisu zprávy, SPF zase dovoluje vlastníkům domény specifikovat, které hostitelské systémy registrované v této doméně jsou oprávněny odesílat e-maily. Obě technologie jsou využívány již řadu let, ale často bylo jejich použití poměrně problematické.

DMARC je postaven na výše zmíněných technologiích, a vlastníkům domény umožňuje požádat přijímající poštovní servery, aby falešnou zprávu, která odpovídajícími testy neprošla,  vymazaly. Tak se výrazně sníží pravděpodobnost toho, že se ve schránce uživatele objeví nějaká zpráva vedoucí ke stránkám napodobujícím třeba PayPal či cokoliv jiného.

Specifikace DMARC (Domain-based Message Authentication, Reporting & Conformance) umožňuje organizacím posílat e-maily, které indikují, zda používají jednu nebo obě bezpečnostní technologie (DKIM a SPF) k tomu, aby autentizovaly odesilatele zprávy. Zahrnuje rovněž reportingové mechanizmy, kdy je odesilatel informován o tom, jak proběhl test jím poslaného e-mailu a jak bylo se zprávou naloženo.

Díky všem těmto informacím pak může vlastník domény vyladit proces přenosu e-mailů a odesílatelům jednoznačně říci o tom, že doručení jejich zprávy bylo odmítnuto, pokud nesplní příslušná pravidla.

DMARC by měl být v dohledné době odeslán ke standardizaci sdružením  Internet Engineering Task Force (IETF). Bližší informace o nových specifikacích DMARC naleznete na DMARC.org.

Kromě výše zmíněných firem DMARC podporují i Bank of America, Fidelity, Microsoft, Yahoo, LinkedIn, AOL, American Greetings, Cloudmark a Agari.

Jednoznačně upřednostňovaným způsobem přístupu ke službám Exchange z veřejné sítě je obecně webový klient. Stále bohatší možnosti dynamicky generovaných webových stránek dovolují přiblížit se komfortu plné klientské aplikace, a to i v případě jiných prohlížečů, než je „nativní“ Internet Explorer z dílny Microsoftu. Takový způsob přístupu k datům pak vyžaduje odpovídající mechanizmus pro přihlášení, jenž bude co možná nejlépe stavět na webové technologii.
Zhruba před osmi lety představil Microsoft implementaci nové koncepce přihlašování na základě tzv. form-based authentication, tedy volně přeloženo, ověření na základě formuláře (a především formulářových dat). Jde o obecnější koncept, který byl Microsoftem adoptován ruku v ruce s vývojem služeb IIS a dalších produktů, jako je třeba ISA Server (dnes Threat Management Gateway).
V zásadě jde o poněkud vylepšený mechanizmus předávání dat mezi klientskou webovou stránkou a serverem, jenž data zpracovává – přináší mimo jiné možnost přihlášenou relaci po časovém limitu odhlásit či přihlašovací stránku volně upravovat. Z pohledu přihlašovacích mechanizmů zde však zůstáváme u ověřených a prošlapaných cest: stavebním kamenem je především tunel SSL, po jeho sestavení lze bez obav posílat přihlašovací údaje ve formě, která by jinak na veřejné síti neobstála.
Klíčový krok pak nastává ve chvíli, kdy takto odeslaný požadavek a formulářová data dorazí na webový server – vzpomeňme zde minulé pojednání o distribuci služeb Exchange na jednotlivé serverové role. Přijatá ověřovací data dále mohou být přeposlána jako žádost protokolu Kerberos do Active Directory, čímž vlastně provádíme přihlášení na vnitřní síti pro uživatele přistupujícího vzdáleně. Tento mechanizmus můžeme dále posílit až po nejstriktnější variantu, při které bude přijímací webový server vyžadovat od uživatele jeho přihlašovací certifikát.

Mobilní přístup
Mobilní zařízení, tedy především telefony, dnes mohou přistupovat k elektronické poště podle úrovně své „vybavenosti“ – ty chytřejší s plnou podporou webového prohlížení si mohou dovolit plnou Outlook Web App (OWA), skromněji vybaveným je pak určen především protokol ActiveSync.
Abychom nevnášeli do věci zmatek, rychle dodejme, že ActiveSync je v podstatě také webová aplikace a přístup k datům je zajištěn prostřednictvím přenosu HTTP. Možnosti ověření jsou pak dány především touto výchozí technologií – z klientské strany tedy zasíláme ověřovací data prostřednictvím přirozené metody samotného protokolu HTTP, metodou Basic, a tyto zranitelné informace chráníme tunelem SSL.
Pokud vyžadujeme striktní ověření ze strany klientu, lze si zvolit klientský certifikát jako povinný. Za zmínku jistě stojí i některé další prvky zabezpečení poštovních dat na mobilních zařízeních. Ačkoliv ActiveSync je značně odlehčeným protokolem, dnes již zahrnuje možnosti jako vynucení šifrování dat na mobilním zařízení pomocí odpovídajících politik, vzdálené vymazání dat uložených tamtéž či třeba prosazení pravidel pro udržování silného a bezpečného hesla. Veškeré možnosti však pochopitelně těsně souvisejí s vybaveností mobilního zařízení jako takového.

Webové aplikace v kurzu
Z předcházejících odstavců je jasně patrné, že kdykoliv se klient poštovních služeb ocitá mimo vnitřní síť, je jeho přístup k datům v zásadě chráněn technologií SSL, resp. TLS. A připočteme-li fakt, že i terminálová spojení a připojení pomocí VPN jsou Microsoftem posouvána k SSL/TLS, dá se říci, že tento mechanizmus stojí za vším tím vzdáleným přístupem. A je to právě prověřená schopnost bezpečně sestavit chráněný komunikační kanál, která jej předurčuje k takto všestrannému použití.
Toto shrnutí nás začíná pomalu posouvat od aplikační platformy Exchange k obecně webovým aplikacím na bázi služby Internet Information Services, s nimiž jsou spojeny jak autentizační metody společné s těmi, které jsme dnes představili, tak další zajímavé mechanizmy zabezpečení. Řada aplikací Microsoftu je v současné době koncipována jako služby webové, a tudíž nacházíme stejné pojítko – zabezpečení přenosu a ověření uživatele.
Navíc systém Windows obsahuje i jiné služby, jež užívají SSL a jeho zabezpečení k přenosu; za všechny tentokrát zmíníme Windows Remote Management, tedy službu zprostředkovávající vzdálenou správu, o níž se ještě v naší sérii zmíníme.
Shrnutí v posledních odstavcích lze však chápat také jinak: server webových služeb a jeho technologie jsou klíčovým prostředkem pro zpřístupnění aplikací uživatelům. Znalost jeho chování a správy je nezbytně nutná pro úspěšnou administraci široké škály aplikačních platforem, a to nejen v oblasti zabezpečení.

6. Člověk jako trojský kůň: Podobně jako trojský kůň se může zachovat člověk, který přichází do firmy v nějaké formě přestrojení. Může být v obleku nebo na sobě může mít oděv legitimního opraváře (zařízení, telekomunikací, klimatizace). Je známo, že tito podvodníci pronikají do velmi zabezpečených prostředí včetně samotných serveroven.
Díky sociálním návykům máme v sobě zakořeněnu tendenci nezastavovat a neptat se odpovídajícím způsobem oblečené osoby, kterou neznáme a je v našem kancelářském prostředí. Zaměstnanec zpravidla nebude moc přemýšlet nad použitím své přístupové karty, aby umožnil uniformovanému pracovníkovi vstup do prostředí za účelem servisu. Nekontrolovaná osoba v serverové místnosti dokáže nakazit síť za méně než minutu.

Co dělat: Zaměstnanci by měli být upozorněni na potřebu autorizace třetích stran. Zjišťujte totožnost osob pomocí otázek – a nikoli na základě předpokladů.

7. Optická média: V roce 2010 byl jeden analytik zpravodajské služby uvězněn po svém propuštění ze zaměstnání kvůli odcizení důvěrných dat a jejich vyzrazení do veřejných sítí. Tento analytik realizoval krádež s využitím zástěrky pomocí hudebního disku CD se štítkem oblíbené zpěvačky. Jakmile měl přístup k pracovní stanici v síti, mohl pracovat s tajnými informacemi, ke kterým měl povolen přístup -- a data uložil na hudebním disku CD v šifrovaných souborech.
Aby navíc lépe zakryl své stopy, prozpěvoval si analytik u své pracovní stanice slova písniček údajně uložených na disku CD. Média s možností zápisu, která vypadají legitimně, mohou být a bývají používána k odnášení dat ze sítí a také k jejich přinášení. Stejně jako USB disky zmíněné výše mohou být použity jako zdroj nákazy sítě.

Co dělat: Stejně jako u tipu pro USB je důležité implementovat a vynucovat zásady a kontroly vybavení, určující, která zařízení se mohou připojit do prostředí a kdy. Poté to doplňte častým upozorňováním na zásady.

8. Po bitvě je každý generálem: Zatímco se většina rad z tohoto seznamu zaměřuje na zmírnění hrozeb využívajících digitální technologie, neměli bychom zapomínat, že lidská mysl je také velmi efektivní při ukládání informací. Kdo vás sleduje při přihlašování k desktopu? Kde jsou uloženy tištěné kopie? Jaké tajné dokumenty čtete ve svém notebooku, když jste v kavárně, v letadle atd.?

Co dělat: Nejlepší ochranou je uvědomovat si tuto hrozbu a upozornit na ni, kdykoli se pracuje s citlivými materiály – i když to znamená přestat na chvíli pracovat a prozkoumat své okolí.

9. Smartphony a další digitální zařízení: V současné době dokážou telefony mnohem více než jen zavolat komukoli ve světě odkudkoli. Jsou to plně funkční počítače s kompletní konektivitou Wi-Fi, vícevláknovými operačním systémy, vysokou kapacitou úložiště, fotoaparáty s vysokým rozlišením a obrovskou podporou aplikací. S dalšími přenosnými zařízeními, jako jsou tablety, začínají dostávat svolení pro používání ve firemních prostředích.
Tato nová zařízení mají potenciál představovat stejné hrozby, jako vidíme u notebooků a USB disků, a navíc mají potenciál vyhnout se tradičním řešením pro ochranu před únikem dat. Co zabrání uživateli ofotit si obrázek s vysokým rozlišením z obrazovky počítače a poté ho zaslat e-mailem přes mobilní síť třetí generace?

Co dělat: Použít zde stejná pravidla jako pro USB zařízení a optická média. Implementujte a vynucujte zásady a kontroly vybavení, určující, která zařízení mohou vstoupit do prostředí vaší firmy a kdy.

10. E-mail: E-mail je často používán ve firmách k zasílání a přijímání dat, ale často bývá zneužit. Zprávy s důvěrnými informacemi lze snadno přeposlat na libovolnou externí adresu. Navíc samotné zprávy elektronické pošty mohou přenášet ošklivé viry. Jeden cílený e-mail se může snažit získat phishingovým útokem přihlašovací údaje zaměstnance. Tyto ukradené přihlašovací údaje pak mohou být použity k druhé fázi útoku.

Co dělat: U zabezpečení e-mailu je klíčové identifikovat odesílatele. Zjistěte si odesílatele pomocí technologie jako PGP nebo jednoduchým seznamem otázek před zasláním citlivých informací. Mělo by být vynucováno řízení přístupu ke všeobecným poštovním adresám s aliasem. Zaměstnancům by měly být pravidelně zasílány zásady a připomenutí.

Pořizovací cena jednotlivých řešení:
Základní pořizovací cena SD karty se šifrovacím softwarem Cryptosmart  26 000 Kč.
Základní cena telefonu S:Phone 54 000 Kč.
Startovací cena šifrovacího USB disku 8 600 Kč.
Pořizovací cena vlastního datového serveru od 116 000 Kč

Pořizovací cena jednotlivých řešení:
Základní pořizovací cena SD karty se šifrovacím softwarem Cryptosmart  26 000 Kč.
Základní cena telefonu S:Phone 54 000 Kč.
Startovací cena šifrovacího USB disku 8 600 Kč.
Pořizovací cena vlastního datového serveru od 116 000 Kč

Uživatel totiž neví, co se za takovým QR kódem skrývá, dokud se malware nenainstaluje a nespustí. Vložení QR kódu do již existujícího marketingového materiálu nebo webové stránky bude stačit k tomu, aby bylo podvedeno velké množství nic netušících lidí.
Uvádí to ve své zprávě „Community Powered Threat Report – Q4 2011“ společnost AVG Technologies. Podle ní jsou byly největší hrozbou v uplynulém čtvrtletí QR kódy, ukradené digitální certifikáty, kterými lze překonat zabezpečení mobilních telefonů, a také rootkity.
V roce 2011 došlo i k nárůstu malwaru vytvořeného pro Android. Například v prosinci Google odstranil z Android Marketu 22 škodlivých aplikací, celkově se počet za rok 2011 přehoupnul přes 100. Pro hackery se stal telefon zajímavým cílem.
Dalším znamením, že jsou mobilní telefony čím dál více podobné počítačům, je to, že se i kradení certifikátů přesouvá do mobilní oblasti. Digitální certifikáty jsou často používány pro ověření totožnosti autora aplikace. Pokud se zločinec dostane k certifikátu, který patří velkému výrobci softwaru, může svým malwarem obejít bezpečnostní nastavení a navíc dát uživateli falešný pocit bezpečí.
V současné době jsme podle AVG i svědky první fáze vývoje rootkitů na mobilních přístrojích (CarrierIQ). Stále se vyvíjejí a jsou čím dál více sofistikovanější, každých pár měsíců se objeví zajímavé ukázky.

Další klíčová zjištění uveřejněná ve zprávě AVG:
•    Blackhole toolkit je v současnosti nejaktivnější hrozbou na webu s podílem skoro 50 % všech detekovaných případů a přes 80 % všech toolkitů.
•    Ve sledovaném období bylo odhaleno kolem milionu škodlivých mobilních událostí.
•    USA jsou stále největším zdrojem spamu, následuje Velká Británie. V porovnání s předchozím čtvrtletím poskočila Británie ze čtvrtého místa na druhé, přeskočila Indii a Brazílii.
•    Brazílie je nejen velmi aktivním trhem s trojany, ale zpráva také vyhodnotila portugalštinu jako druhý nejčastěji používaný jazyk ve spamech.

Zranitelnost je identifikována pod označením CVE-2012-0056 a byla objevena výzkumníkem Jüriem Aedlou a způsobuje to, že linuxové jádro nesprávně omezuje přístupová práva k souboru "/proc//mem".

Podle Carstena Eirama, šéfa bezpečnosti ve společnosti Secunia, chyba se týká všech verzí linuxového jádra 2.6.39 a mladší. "Všechny linuxové distribuce, které využívají zmíněné jádro, mohou být zranitelné,“ dodává Eiram.

Linus Torvalds vložil patch na oficiální úložiště linuxového kernelu už 17. ledna tohoto roku, avšak protože nebyly příslušné distribuce ještě opraveny, měli by si jejich poskytovatelé pospíšit, protože pro chybu už existuje příslušné exploity. Jedním z nejpropracovanějších je takzvaný mempodipper. Vytvořen byl výzkumníkem a programátorem Jasonem A. Donenfeldem.

Ubuntu a Red Hat už uveřejnily updaty svých systémů, které opravují zmíněnou zranitelnost, ostatní distributoři by tak ale měli učinit co nejdříve. "Důrazně doporučujeme, aby systémoví administrátoři opravu této zranitelnosti provedli pokud možno co nejdříve,“ dodává Eiram.

Příště se podíváme na služby Exchange zvenčí a na možnosti mobilního přístupu.

1.    USB disky: Věřte tomu nebo ne, ale USB disky jsou vlastně jedním z běžných způsobů (pokud nejsou dokonce nejčastější), jak infikovat síť schovanou za firewallem. Je k tomu několik důvodů: jsou levné, malé, uchovávají spousty dat a lze je použít s více druhy počítačů. Všudypřítomnost USB disků inspirovala hackery k vývoji cíleného malwaru, jako je například známý červ Conficker, který se dokáže automaticky spustit při připojení do USB portu.
Ještě horší ale je, že výchozí konfigurace operačních systémů obvykle dovolí většině programů (včetně malwaru) automatické spuštění. To je ekvivalentem toho, že by každý váš soused měl dálkový ovladač pro elektrické dveře garáže a byl by ho schopen použít k otevření dveří garáží kohokoli jiného.

Co dělat: Změňte výchozí zásady počítače pro automatické spouštění. Návod lze nalézt v prostředí Windows.

2. Notebooky a netbooky: Notebooky jsou diskrétní, mobilní, obsahují plné operační systémy, mohou pracovat s využitím interní baterie a jsou vybaveny praktickým ethernetovým portem pro přímé napojení do sítě. Notebook v sobě již může mít spuštěn škodlivý kód, který pracuje na pozadí a je určen k prohledání sítě a nalezení dalších systémů za účelem nakažení. Tento notebook může patřit internímu zaměstnanci nebo třeba také návštěvě, kteří pracují z otevřeného prostoru nebo kanceláře.
Kromě nakažených notebooků kompromitujících interní síť je důležité myslet na samotné notebooky. Všechny firmy mají nějakou podobu důležitých informací, které absolutně nesmí opustit firmu (informace o platech, lékařské záznamy, domácí adresy, telefonní čísla a rodná čísla jsou jen částečným příkladem). Je velmi nebezpečné, pokud je taková informace uložena na nezabezpečeném přenosném počítači, protože ho lze snadno odnést. Jsou známy četné případy notebooků s citlivými údaji, které se ztratily. Pokud notebook neobsahuje silný šifrovací algoritmus, lze data snadno získat z daného souborového systému.
Co dělat: Implementovat šifrovaný souborový systém pro takto důležitá data. Existuje mnoho připravených řešení, ze kterých si lze vybírat, včetně řešení open source, jako je například TrueCrypt. Kontrola koncových bodů, které umožňují vstup do interního systému a výstup z něj je také důležitá. Citlivé informace, jako jsou údaje pro přístup prostřednictvím sítí VPN nebo Wi-Fi, by neměly být uloženy v noteboocích a netboocích trvale.

3. Bezdrátové přístupové body: Access pointy poskytují okamžitou konektivitu pro libovolného uživatele v dosahu sítě. Bezdrátové útoky wardriverů (osoby vyhledávající nezabezpečené bezdrátové sítě z jedoucího auta) jsou zcela běžné a v minulosti způsobily významné škody.
Například TJ Stores, vlastník obchodů Marshalls a TJMaxx, byl napaden pomocí této metody, přičemž útočníci pronikli do počítačových systémů firmy, které zpracovávají a ukládají transakce zákazníků včetně kreditních a debetních karet, šeků a dalších obchodních transakcí. Bylo oznámeno, že toto napadení dosud stálo firmu více než 500 milionů dolarů.
Bezdrátové body jsou ze své podstaty nezabezpečené, nezávisle na tom, zda je nebo není použito šifrování. Protokoly jako WEP (Wired Equivalent Privacy) obsahují známé zranitelnosti, které lze snadno využít pomocí sad pro útoky, jako je například Aircrack.  Robustnější protokoly, například WPA (Wi-Fi Protected Access) a WPA2 jsou stále zranitelné vůči slovníkovým útokům, pokud nejsou použita silná hesla.

Co dělat: Pro přístupový bod je doporučeno použít verzi protokolu WPA2 Enterprise s autentizací RADIUS. Toto řešení provádí ověření a vynucuje bezpečnostní opatření. Měla by být používána a často měněna silná kombinovaná hesla. Bezdrátové přístupové body jsou obvykle používány za účelem zvýšení pohodlí, takže obvykle není nutné mít je připojeny do pracovního prostředí.

4. Různá USB zařízení: USB disky nejsou jedinými USB zařízeními, kterých se personál IT musí obávat. Mnoho produktů je také schopno ukládat data v běžných souborových systémech, které lze číst a zapisovat na ně prostřednictvím USB nebo podobného připojení. Protože to není primární funkcí těchto zařízení, často se na ně zapomíná při zvažování potenciálních hrozeb.
Pokud koncový počítač dokáže číst a spouštět data ze zařízení, představuje to ve skutečnosti stejnou hrozbu jako USB disk. Tato řešení zahrnují digitální fotoaparáty, MP3 přehrávače, tiskárny, skenery, faxy a dokonce digitální rámečky na fotografie. V roce 2008 bylo ohlášeno zjištění viru v rámečcích Insignia, které byly prodávány na Vánoce, a virus byl distribuován přímo výrobcem.

Co dělat: Implementujte a vynucujte zásady a kontroly vybavení, určující, která zařízení se mohou připojit do prostředí a kdy. Poté to doplňte častým upozorňováním na zásady. Například v roce 2008 ministerstvo obrany USA vytvořilo zásady a zakázalo přístup do svého prostředí pro všechny USB disky a další vyměnitelná média.

5. Vnitřní připojení: Interní zaměstnanci firmy mohou také nechtěně či záměrně přistupovat do oblastí sítě, kam by neměli, nebo by neměli mít přístup ke koncovým počítačům a kompromitovat je kterýmkoli ze způsobů popsaných v tomto článku. Zaměstnanec si může například „půjčit“ počítač kolegy během jeho polední přestávky. Nebo může požádat spolupracovníka o pomoc v přístupu k oblasti sítě, ke které normálně nemá přístup.

Co dělat: Měla by být pravidelně měněna hesla. Autentizace a přístupové úrovně musí být pro všechny zaměstnance povinné – měli by mít přístup jen do systémů, k souborům atd., které jsou potřebné k plnění jejich povinností. Všechny speciální požadavky by vždy měly být předávány týmu (nikoliv jednomu uživateli s autoritou), který může požadavek schválit.