Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity

Cybersecurity

Cloudflare meluncurkan Page Shield untuk menggagalkan serangan skimming kartu Magecart

by

Cloudflare telah meluncurkan penawaran keamanan web baru untuk mencegah serangan Magecart.

Perusahaan yang tak terhitung jumlahnya telah, dan terus, menjadi mangsa serangan Magecart. Korban di masa lalu termasuk British Airways, Ticketmaster, Newegg, dan Boom! Mobile.

Untuk mengatasi masalah ini, pada hari Kamis, Cloudflare meluncurkan Page Shield, solusi keamanan klien.

Fitur Script Monitor, termasuk dalam Page Shield, memeriksa dependensi JavaScript pihak ketiga dan mencatat setiap tambahan baru dari waktu ke waktu.

Script Monitor, saat ini dalam Beta dan ditemukan di bawah bagian Firewall dasbor pelanggan, mereka juga menambahkan header Content-Security-Policy-Report-Only ke konten yang melewati jaringan Cloudflare.

Ketika JavaScript mencoba untuk mengeksekusi, browser akan mengirim laporan kembali ke perusahaan yang diperiksa untuk melihat apakah ada perubahan baru – dan kemudian pelanggan diberi tahu sehingga pelanggan dapat “menyelidiki dan menentukan apakah perubahan itu diharapkan,” kata Cloudflare.

Perusahaan juga bekerja sama dengan mitra keamanan siber untuk mendapatkan sampel JavaScript Magecart. Pada akhirnya, diharapkan Page Shield akan cukup akurat untuk memberi tahu klien saat dependensi tampak berbahaya.

Sumber: ZDNet

Sumber: ZDNet

Baik dan buruknya default keamanan baru web browser Chrome

by

Pertama, kabar baiknya. Dimulai dengan rilis pertengahan April browser web Chrome 90 Google, Chrome akan secara default mencoba memuat versi situs web yang telah diamankan dengan Transport Layer Security (TLS). Ini adalah situs yang menampilkan kunci gembok di Omnibox Chrome, yang sebagian besar dari kita kenal sebagai bilah alamat (URL) Chrome. Kabar buruknya adalah bahwa hanya karena sebuah situs diamankan oleh HTTPS tidak berarti situs tersebut dapat dipercaya.

Beberapa tahun yang lalu, WordFence, perusahaan keamanan WordPress yang terkenal, menemukan bahwa sertifikat SSL dikeluarkan oleh certificate authorities (CA) ke situs phishing yang berpura-pura menjadi situs lain. Karena sertifikatnya valid, meskipun beroperasi di tempat yang salah, Chrome melaporkan situs ini sebagai situs yang aman.

Tentu saja, CA tidak boleh mengeluarkan sertifikat keamanan palsu. Sayangnya, itu terjadi. Contoh sempurna dari “Mengapa kita tidak dapat memiliki hal-hal yang menyenangkan,” terungkap bahwa Let’s Encrypt, CA gratis, terbuka, dan otomatis, telah digunakan untuk membuat ribuan sertifikat SSL untuk situs phishing secara ilegal menggunakan PayPal, Google, Microsoft, dan Apple sebagai bagian dari nama mereka.

Paul Walsh, pendiri dan CEO perusahaan keamanan zero-trust, MetaCert dan salah satu pendiri Standar Klasifikasi URL World Wide Web Consortium (W3C), melihat banyak masalah lain dengan keyakinan naif kita bahwa HTTPS saja sudah cukup untuk mengamankan koneksi internet kita.

Walsh percaya bahwa apa yang Google lakukan “secara teori hebat, tetapi pelaksanaannya menyebalkan. Menurut saya, tidak etis bagi satu perusahaan yang mewakili satu pemangku kepentingan untuk mengatur apa yang menurut mereka adalah hal yang benar untuk setiap pembuat situs web dan setiap orang yang menggunakan web”.

Selain itu, seperti yang diamati Walsh dalam analisisnya tentang keamanan situs web, “gembok [URL] dasar dirancang untuk memberi tahu pengguna saat sambungan mereka ke situs web dienkripsi. Gembok tidak mewakili apa pun yang terkait dengan kepercayaan atau identitas”.

Selengkapnya: ZDNet

Facebook Menghancurkan Kampanye Mata-mata Berbahaya yang Dilakukan oleh Peretas Tiongkok

by

Tim spionase siber Facebook mengklaim telah memecahkan kampanye jahat yang terjadi di platformnya, yang ditargetkan pada sekitar 500 pengguna.

Kampanye tersebut dikatakan dioperasikan oleh peretas Tiongkok, yang bertujuan untuk menginfeksi beberapa jurnalis, aktivis, dan pembangkang Uighur terpilih yang tinggal di berbagai negara, dan memata-matai mereka.

China diyakini melacak tidak hanya warganya sendiri dengan penuh semangat, tetapi juga orang-orang yang dicari lainnya dari seluruh dunia melalui metode terlarang. Sekarang, kampanye serupa dikatakan telah dipecah oleh tim spionase siber Facebook, setelah melacaknya beberapa saat.

Sesuai laporan mereka, mereka telah mengaitkan penulis kampanye jahat ini ke grup Earth Empusa atau Evil Eye, yang merupakan grup peretas China yang menargetkan jurnalis, aktivis, dan pembangkang.

Kampanye ini ditujukan untuk melacak semua individu dari kategori di atas yang tinggal di negara lain seperti Turki, Kazakhstan, Suriah, Australia, Kanada, dan AS. Basis target kira-kira sekitar 500 orang dan dimulai dengan memikat mereka untuk mengunjungi berbagai situs web dan aplikasi melalui Facebook dengan tujuan untuk mengumpulkan informasi sebanyak mungkin tentang orang-orang ini, dan menginfeksi perangkat mereka dengan kode pelacakan berbahaya untuk memata-matai mereka.

Sumber: Techdator

Microsoft memperbaiki kerentanan peningkatan hak istimewa Windows PSExec

by

Microsoft telah memperbaiki kerentanan dalam utilitas PsExec yang memungkinkan pengguna lokal mendapatkan hak istimewa yang lebih tinggi pada perangkat Windows.

PsExec adalah utilitas Sysinternals yang dirancang untuk memungkinkan administrator melakukan berbagai aktivitas di komputer jarak jauh, seperti meluncurkan file yang dapat dieksekusi dan menampilkan output di komputer lokal atau membuat reverse shells.

Karena keserbagunaan alat tersebut, pelaku ancaman biasanya menggunakan PsExec dalam toolkit pasca eksploitasi mereka untuk menyebar secara lateral ke mesin lain di jaringan, menjalankan perintah pada sejumlah besar perangkat secara bersamaan, atau menyebarkan malware seperti ransomware.

Pada bulan Desember 2020, peneliti Tenable David Wells menemukan kerentanan dalam named pipe communications PsExec yang memungkinkan pengguna lokal untuk meningkatkan ke hak istimewa SISTEM.

Setelah melaporkan kerentanan, Wells memberi waktu sembilan puluh hari kepada Microsoft untuk memperbaiki kerentanan tersebut, dan ketika Microsoft tidak memperbaikinya, ia akan mengungkapkan kekurangannya dan merilis PoC yang berfungsi penuh.

Setelah kerentanan diungkapkan kepada publik, Microsoft merilis PsExec versi 2.30 untuk mengatasi kerentanan tersebut. Namun, Wells menyatakan bahwa sedikit penyesuaian pada PoC-nya dapat melewati perbaikan tersebut.

Kemarin, Microsoft merilis PsExec v2.33, yang menyertakan perbaikan baru untuk kerentanan peningkatan hak istimewa lokal named pipe.

Selengkapnya: Bleeping Computer

Bagaimana menjadi seorang profesional keamanan siber: cheat sheet

by

Ketika penjahat dunia maya tumbuh lebih canggih dan berita tentang pelanggaran besar menjadi berita utama hampir setiap hari, para profesional keamanan siber sangat diminati: Saat ini ada hampir 3 juta pekerjaan keamanan siber yang tidak terisi di seluruh dunia, menurut ISC (2).

Karyawan yang mengambil peran ini memainkan peran kunci dalam perusahaan, karena biaya rata-rata pelanggaran data di seluruh dunia adalah sekitar $ 3,62 juta, menurut IBM Security dan Ponemon Institute.

Pekerjaan di cybersecurity juga bisa mendapatkan gaji yang tinggi: Gaji rata-rata untuk seorang analis keamanan informasi di AS adalah $ 98.350, menurut Biro Statistik Tenaga Kerja AS, dan secara signifikan lebih tinggi di kota-kota seperti San Francisco dan New York.

Kekurangan profesional keamanan siber terlatih telah menyebabkan banyak organisasi mencari kandidat non-tradisional untuk mengisi peran ini. Untuk membantu mereka yang tertarik di bidang ini lebih memahami cara memasuki karier di keamanan siber, kami telah mengumpulkan detail dan sumber daya yang paling penting. (Catatan: Artikel tentang menjadi ahli keamanan siber ini tersedia sebagai unduhan PDF gratis.)

Mengapa ada peningkatan permintaan untuk profesional keamanan siber? Kejahatan dunia maya telah meledak dalam beberapa tahun terakhir, dengan serangan ransomware besar seperti WannaCry dan Petya yang membahayakan data perusahaan. Untuk melindungi informasi mereka dan klien mereka, perusahaan di semua industri mencari profesional dunia maya untuk mengamankan jaringan mereka.
Apa sajakah peran pekerjaan keamanan siber? Karir di cybersecurity dapat berupa berbagai peran, termasuk penguji penetrasi, kepala petugas keamanan informasi (CISO), insinyur keamanan, penjawab insiden, pengembang perangkat lunak keamanan, auditor keamanan, atau konsultan keamanan.
Keterampilan apa yang dibutuhkan untuk bekerja di keamanan siber? Keterampilan yang dibutuhkan untuk bekerja di cybersecurity bervariasi tergantung pada posisi dan perusahaan, tetapi secara umum dapat mencakup pengujian penetrasi, analisis risiko, dan penilaian keamanan. Sertifikasi, termasuk Certified in Risk and Information Systems Control (CRISC), Certified Information Security Manager (CISM), dan Certified Information Systems Security Professional (CISSP) juga dibutuhkan, dan dapat memberi Anda gaji yang lebih tinggi di lapangan.
Di mana pasar terpanas untuk pekerjaan keamanan siber? Perusahaan top termasuk Apple, Lockheed Martin, General Motors, Capital One, dan Cisco semuanya telah mempekerjakan profesional keamanan siber dalam beberapa tahun terakhir. Industri seperti perawatan kesehatan, pendidikan, dan pemerintah kemungkinan besar akan mengalami serangan siber, yang mungkin akan menyebabkan peningkatan jumlah pekerjaan keamanan TI di sektor ini.
Berapa gaji rata-rata seorang profesional keamanan siber? Gaji rata-rata untuk seorang profesional keamanan siber tergantung pada posisinya. Misalnya, analis keamanan informasi memperoleh gaji rata-rata $ 98.350 per tahun, menurut Biro Statistik Tenaga Kerja AS. Sementara itu, CISO mendapatkan gaji rata-rata $ 221.991, menurut Salary.com. Gaji jauh lebih tinggi di kota-kota tertentu, seperti San Francisco dan New York.
Apa pertanyaan wawancara khas untuk berkarir di cybersecurity? Pertanyaan dapat bervariasi tergantung pada posisi dan apa yang dicari perusahaan tertentu, menurut analis Forrester Jeff Pollard. Untuk peran awal dan karir awal, pertanyaan yang lebih teknis harus diharapkan. Saat Anda naik pangkat, pertanyaannya mungkin lebih banyak tentang kepemimpinan, menjalankan program, resolusi konflik, dan penganggaran.
Di mana saya dapat menemukan sumber daya untuk berkarir di keamanan siber? ISACA, ISC (2), ISSA, dan The SANS Institute adalah organisasi nasional dan internasional di mana Anda dapat mencari informasi tentang profesi serta sertifikasi dan pilihan pelatihan. Sejumlah universitas dan kursus online juga menawarkan gelar, sertifikasi, dan program persiapan terkait keamanan siber.

selengkapnya :www.techrepublic.com

Cisco mengatasi bug kritis di klien Jabber untuk Windows, macOS dan beberapa OS lain

by

Cisco telah mengatasi kerentanan eksekusi program arbitrer kritis yang berdampak pada beberapa versi perangkat lunak klien Cisco Jabber untuk Windows, macOS, Android, dan iOS.

Cisco Jabber adalah aplikasi konferensi web dan pesan instan yang memungkinkan pengguna mengirim pesan melalui Extensible Messaging and Presence Protocol (XMPP).

Kerentanan tersebut dilaporkan oleh Olav Sortland Thoresen dari Watchcom. Tim Respons Insiden Keamanan Produk (PSIRT) Cisco mengatakan bahwa cacat tersebut saat ini tidak dieksploitasi di alam liar.

Cacat keamanan yang dilacak sebagai CVE-2021-1411 dinilai oleh Cisco dengan skor keparahan 9,9 / 10, dan itu disebabkan oleh validasi input yang tidak tepat dari konten pesan masuk.

Untungnya, untuk mengeksploitasi bug kritis ini, penyerang perlu diautentikasi ke server XMPP yang digunakan oleh perangkat lunak yang rentan untuk mengirim pesan XMPP perusak yang berbahaya ke perangkat target mereka.

Selain itu, kerentanan tidak memengaruhi perangkat lunak klien Cisco Jabber yang dikonfigurasi untuk mode Pesan Tim atau Hanya Telepon.

Namun, eksploitasi CVE-2021-1411 yang berhasil — yang tidak memerlukan interaksi pengguna — dapat mengaktifkan penyerang jarak jauh yang diautentikasi untuk mengeksekusi program sewenang-wenang di perangkat Windows, macOS, Android, atau iOS yang menjalankan perangkat lunak klien Jabber yang belum ditambal.

Selengkapnya: Bleeping Computer

Google Chrome akan menggunakan HTTPS sebagai protokol navigasi default

by

Google Chrome akan beralih memilih HTTPS sebagai protokol default untuk semua URL yang diketik di bilah alamat, dimulai dengan versi stabil berikutnya dari browser web tersebut.

Fitur ini memasuki pengujian bulan lalu, dan diluncurkan sebagai bagian dari eksperimen terbatas untuk pengguna Chrome Canary, Dev, atau Beta.

Perubahan tersebut akan diluncurkan ke Chrome Desktop dan Chrome versi stabil untuk Android setelah diperbarui ke versi 90 (akan dirilis pada 13 April), dengan peluncuran iOS dijadwalkan akhir tahun ini.

Langkah ini adalah bagian dari upaya yang lebih besar untuk melindungi pengguna dari penyerang yang mencoba mencegat lalu lintas web mereka yang tidak terenkripsi dan mempercepat pemuatan situs web yang disajikan melalui HTTPS.

Sumber: Google

Selengkapnya: Bleeping Computer

Broker perdagangan online FBS mengekspos 20TB data dengan 16 miliar catatan

by

Tim peneliti keamanan di WizCase yang dipimpin oleh Ata Hakcil menemukan banyak sekali data milik FBS, broker perdagangan online terkemuka yang berkantor di Belize dan Siprus.

FBS adalah rumah bagi 16 juta pedagang dan 400.000 mitra dari lebih 190 negara.

Menurut para peneliti, FBS mengekspos hampir 20 terabyte data yang terdiri lebih dari 16 miliar catatan. Hasilnya, jutaan pelanggan FBS dapat mengakses informasi pribadi dan sensitif mereka secara online.

Perlu dicatat bahwa data dibiarkan terbuka untuk akses publik di server Elasticsearch tanpa otentikasi keamanan. Ini berarti bahwa siapa pun yang memiliki pengetahuan tentang basis data yang tidak aman dapat mengunduh data tanpa memerlukan kata sandi.

Data yang bocor, yang dianalisis secara menyeluruh oleh tim WizCase meliputi:

  • Negara
  • Alamat
  • Nama lengkap
  • Alamat IP
  • Alamat email
  • Nomor telepon
  • Nomor paspor
  • Sistem operasi
  • Model perangkat seluler
  • Email dikirim ke pengguna FBS
  • ID media sosial termasuk Facebook dan Google

Yang lebih buruk adalah perusahaan juga mengungkap file yang dikirim oleh pengguna untuk verifikasi akun atau konfirmasi identitas. Ini termasuk:

  • Foto pribadi
  • Surat Izin Mengemudi
  • Akta kelahiran
  • Laporan bank
  • Kartu ID Nasional
  • Kartu kredit yang belum disetujui

Selengkapnya: Hackread