Attakk ċibernetiku: x'inhu, kif jaħdem, objettiv u kif tevitah: attakk ta 'injezzjoni SQL

A attakk ċibernetiku huwa definibbli bħala attività ostili kontra sistema, għodda, applikazzjoni jew element li għandu komponent tal-kompjuter. Hija attività li għandha l-għan li tikseb benefiċċju għall-attakkant għad-detriment tal-attakkat. Illum inħarsu lejn l-attakk tal-injezzjoni SQL

Hemm tipi differenti ta’ attakki ċibernetiċi, li jvarjaw skont l-għanijiet li jridu jintlaħqu u x-xenarji teknoloġiċi u kuntestwali:

• attakki ċibernetiċi biex jipprevjenu sistema milli tiffunzjona, 
• dak il-punt għall-kompromess ta 'sistema, 
• xi attakki jimmiraw dejta personali proprjetà ta' sistema jew kumpanija,
• attakki ta' attiviżmu ċibernetiku b'appoġġ għal kawżi jew kampanji ta' informazzjoni u komunikazzjoni
• eċċ ...

Fost l-aktar attakki komuni, fi żminijiet riċenti, hemm attakki għal skopijiet ekonomiċi u attakki għall-flussi tad-dejta. Wara li tanalizza l- Man-nofs, L- malware u l- Phishing, fl-aħħar ġimgħat, illum naraw il-Attakk ta' injezzjoni SQL. 

Dawk li jwettqu l-attakk ċibernetiku, waħedhom jew fi gruppi, jissejħu Hacker

Attakk ta' injezzjoni SQL

L-injezzjoni SQL saret problema komuni b'websajts immexxija minn database. Dan iseħħ meta attakkant jesegwixxi mistoqsija SQL għad-database permezz tad-dejta tal-input mill-klijent għas-server. Kmandi SQL huma mdaħħla fl-input tal-pjan tad-dejta (per eżempju, minflok login jew password) biex tesegwixxi kmandi SQL definiti minn qabel.defilejla. Sfruttament ta' injezzjoni SQL b'suċċess jista' jaqra data sensittiva mid-database, jimmodifika (daħħal, jaġġorna jew iħassar) data tad-database, iwettaq operazzjonijiet amministrattivi (bħal għeluq) fuq id-database, jirkupra l-kontenut ta' fajl partikolari u, f'xi każijiet, toħroġ kmandi fuq is-sistema operattiva.

Pereżempju, formola tal-web fuq websajt tista' titlob l-isem tal-kont tal-utent u mbagħad tissottomettiha lid-database biex tiġi estratta l-informazzjoni tal-kont assoċjata billi tuża SQL dinamiku bħal dan:

"SELECT * FROM users WHERE kont = '" + userProvidedAccountNumber + "';"

Meta dan l-attakk jaħdem, minħabba li l-ID tal-kont huwa guessed, iħalli toqba għall-attakkanti. Pereżempju, jekk xi ħadd iddeċieda li jipprovdi ID tal-kont "'jew' 1 '=' 1 '", dan jirriżulta fi string:

"AGĦŻEL * MILL-utenti WHERE kont = '' jew '1' = '1';"

Peress li '1' = '1' hija dejjem VERU, id-database se tirritorna dejta għall-utenti kollha minflok utent wieħed biss.

Il-vulnerabbiltà għal dan it-tip ta 'attakk taċ-ċibersigurtà tiddependi fuq jekk SQL ma jiċċekkjax min jista' jkollu permessi jew le. Għalhekk, l-injezzjonijiet SQL jaħdmu l-aktar jekk websajt tuża SQL dinamiku. Ukoll, l-injezzjoni SQL hija komuni ħafna ma 'applikazzjonijiet PHP u ASP minħabba l-prevalenza ta' sistemi anzjani. L-applikazzjonijiet J2EE u ASP.NET huma inqas probabbli li jirċievu injezzjoni SQL sfruttabbli minħabba n-natura tal-interfaces tal-ipprogrammar disponibbli.

Biex tipproteġi lilek innifsek minn attakk ta' injezzjoni SQL, applika l-mudell tal-permessi l-inqas0privileġġ fid-databases tiegħek. Żomm mal-proċeduri maħżuna (kun żgur li dawn il-proċeduri ma jinkludu l-ebda SQL dinamiku) u dikjarazzjonijiet ippreparati qabel (mistoqsijiet parametrizzati). Il-kodiċi li jmur kontra d-database għandu jkun b'saħħtu biżżejjed biex jipprevjeni attakki ta 'injezzjoni. Ukoll, ivvalida d-dejta tal-input kontra whitelist fil-livell tal-applikazzjoni.

Jekk sofrejt attakk u għandek bżonn tirrestawra l-operat normali, jew jekk sempliċement trid tara b'mod ċar u tifhem aħjar, jew trid tipprevjeni: ikteb lilna fuq rda@hrcsrl.it. 

Inti jista 'jkun interessat fil-post tagħna Man in the Middle

Jekk sofrejt attakk u għandek bżonn tirrestawra l-operat normali, jew jekk sempliċement trid tara b'mod ċar u tifhem aħjar, jew trid tipprevjeni: ikteb lilna fuq rda@hrcsrl.it. 

Tista' tkun interessat fil-Malware Post tagħna

Prevenzjoni ta' attakki Injezzjoni SQL

Biex tiġi evitata l-injezzjoni ta' mistoqsijiet arbitrarji fuq dawk l-applikazzjonijiet tal-web li jinteraġixxu ma' DB, huwa ċertament fundamentali, fil-fażi ta' implimentazzjoni, li jkun ipprogrammat li jipprovdi għal kontroll tal-portijiet ta' aċċess potenzjali kollha għall-arkivju tal-ġestjoni tad-dejta, bħal formoli, paġni tat-tiftix u kwalunkwe forma oħra li tinkludi mistoqsija SQL.

Il-validazzjoni tal-inputs, il-mistoqsijiet parametrizzati permezz ta' mudelli u ġestjoni adegwata tar-rappurtar tal-iżbalji jistgħu jirrappreżentaw prattiki ta' programmazzjoni tajba utli għal dan il-għan.

Hawn huma xi suġġerimenti:

• tagħti attenzjoni għall-użu ta' elementi ta' kodiċi SQL potenzjalment riskjużi (kwotazzjonijiet singoli u parentesi) li jistgħu jiġu integrati b'karattri ta' kontroll xierqa u sfruttati għal użi mhux awtorizzati;
• uża l-estensjoni MySQLi;
• tiddiżattiva l-viżibilità ta 'paġni ta' żball fuq is-siti. Ħafna drabi din l-informazzjoni hija ta 'valur għall-attakkant, li jista' jittraċċa l-identità u l-istruttura tas-servers DB li jinteraġixxu mal-applikazzjoni fil-mira.

L-estensjoni MySql

Kodifikazzjoni preċiża tista' tnaqqas b'mod sinifikanti l-vulnerabbiltà ta' applikazzjoni tal-web għal injezzjoni arbitrarja ta' SQL. Soluzzjoni tajba hija li tuża l-estensjoni MySQLi (MySQL mtejba) fost il-libreriji li saru disponibbli mill-PHP għall-interazzjoni mal-MySQL.

Mysqli, kif jissuġġerixxi l-isem, jagħmel titjib lil Mysql b'mod partikolari billi jipprovdi żewġ approċċi ta 'programmazzjoni:

• proċedurali (użu ta' funzjonijiet tradizzjonali);
• orjentat lejn l-oġġetti (użu ta' klassijiet u metodi).

Huwa wkoll importanti li dejjem inżommu l-browser li nużaw biex nibqgħu fuq l-Internet aġġornat u possibbilment ninstallaw għodda ta’ analiżi li kapaċi tivverifika l-preżenza ta’ vulnerabbiltajiet fil-kodiċi ta’ websajt.

VALUTAZZJONI TAS-SIGURTÀ

Huwa l-proċess fundamentali għall-kejl tal-livell attwali ta 'sigurtà tal-kumpanija tiegħek.
Biex tagħmel dan huwa meħtieġ li jiġi involut Cyber ​​​​Team ippreparat b'mod adegwat, kapaċi jwettaq analiżi tal-istat li tinsab fih il-kumpanija fir-rigward tas-sigurtà tal-IT.
L-analiżi tista 'titwettaq b'mod sinkroniku, permezz ta' intervista mwettqa mill-Cyber ​​​​Team jew
wkoll mhux sinkroniku, billi timla kwestjonarju online.

Nistgħu ngħinuk, ikkuntattja lill-ispeċjalisti ta' HRC srl billi tikteb lil rda@hrcsrl.it.

GĦARFIEN TAS-SIGURTÀ: taf l-ghadu

Aktar minn 90% tal-attakki tal-hackers jibdew b'azzjoni tal-impjegati.
L-għarfien huwa l-ewwel arma biex tiġġieled ir-riskju ċibernetiku.

Dan huwa kif noħolqu "Awareness", nistgħu ngħinuk, ikkuntattja lill-ispeċjalisti ta' HRC srl billi tikteb lil rda@hrcsrl.it.

RISPOST U RISPONS (MDR): protezzjoni proattiva tal-endpoint

Id-dejta korporattiva hija ta’ valur enormi għaċ-ċiberkriminali, u huwa għalhekk li l-endpoints u s-servers huma mmirati. Huwa diffiċli għal soluzzjonijiet ta' sigurtà tradizzjonali biex jiġġieldu theddid emerġenti. Iċ-ċiberkriminali jaqbżu d-difiżi antivirus, billi jieħdu vantaġġ mill-inkapaċità tat-timijiet tal-IT korporattivi li jimmonitorjaw u jimmaniġġjaw l-avvenimenti tas-sigurtà madwar l-arloġġ.

Bl-MDR tagħna nistgħu ngħinuk, ikkuntattja lill-ispeċjalisti tal-HRC srl billi tikteb lil rda@hrcsrl.it.

L-MDR hija sistema intelliġenti li timmonitorja t-traffiku tan-netwerk u twettaq analiżi tal-imġieba
sistema operattiva, li tidentifika attività suspettuża u mhux mixtieqa.
Din l-informazzjoni tiġi trażmessa lil SOC (Security Operation Center), laboratorju mmexxi minn
analisti taċ-ċibersigurtà, fil-pussess taċ-ċertifikazzjonijiet ewlenin taċ-ċibersigurtà.
F'każ ta' anomalija, is-SOC, b'servizz ġestit 24/7, jista' jintervjeni f'livelli differenti ta' severità, minn jibgħat email ta' twissija għal iżolament tal-klijent min-netwerk.
Dan jgħin biex jimblokka theddid potenzjali fil-bidu u jevita ħsara irreparabbli.

MONITORAĠĠ TAL-WEB TAS-SIGURTÀ: analiżi tad-DARK WEB

Il-web skur tirreferi għall-kontenut tal-World Wide Web fi darknets li jistgħu jintlaħqu permezz tal-Internet permezz ta' softwer, konfigurazzjonijiet u aċċessi speċifiċi.
Bil-Monitoraġġ tal-Web tas-Sigurtà tagħna nistgħu nipprevjenu u nżommu attakki ċibernetiċi, billi nibdew mill-analiżi tad-dominju tal-kumpanija (eż.: ilwebcreativo.it ) u indirizzi tal-posta elettronika individwali.

Ikkuntattjana billi tikteb lil rda@hrcsrl.it, nistgħu nippreparaw pjan ta’ rimedju biex tiġi iżolata t-theddida, tiġi evitata t-tixrid tagħha, u definieħdu l-azzjonijiet ta' rimedju meħtieġa. Is-servizz huwa pprovdut 24/XNUMX mill-Italja

CYBERDRIVE: applikazzjoni sigura għall-qsim u l-editjar ta' fajls

CyberDrive huwa maniġer tal-fajls tal-cloud bi standards ta’ sigurtà għolja grazzi għall-kriptaġġ indipendenti tal-fajls kollha. Tiżgura s-sigurtà tad-dejta korporattiva waqt li taħdem fil-cloud u taqsam u teditja dokumenti ma’ utenti oħra. Jekk il-konnessjoni tintilef, l-ebda data ma tkun maħżuna fuq il-PC tal-utent. CyberDrive jipprevjeni fajls milli jintilfu minħabba ħsara aċċidentali jew esfiltrati għal serq, kemm jekk ikun fiżiku jew diġitali.

«IL-KUB»: is-soluzzjoni rivoluzzjonarja

L-iżgħar u l-aktar ċentru tad-data b'saħħtu in-a-box li joffri qawwa tal-kompjuters u protezzjoni minn ħsara fiżika u loġika. Iddisinjat għall-ġestjoni tad-dejta f'ambjenti edge u robo, ambjenti tal-bejgħ bl-imnut, uffiċċji professjonali, uffiċċji remoti u negozji żgħar fejn l-ispazju, l-ispiża u l-konsum tal-enerġija huma essenzjali. Ma teħtieġx ċentri tad-dejta u kabinetti tar-rack. Jista 'jitqiegħed fi kwalunkwe tip ta' ambjent grazzi għall-estetika tal-impatt f'armonija mal-ispazji tax-xogħol. «Il-Kubu» ipoġġi t-teknoloġija tas-softwer tal-intrapriżi għas-servizz ta 'negozji żgħar u ta' daqs medju.

Ikkuntattjana billi tikteb lil rda@hrcsrl.it.

Inti jista 'jkun interessat fil-post tagħna Man in the Middle

Ercole Palmeri: Innovazzjoni vizzju

[ultimate_post_list id="12982″]