Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Data

Data

Empat Area yang Perlu Dipertimbangkan untuk Menangani Data Cloud dengan Aman

by

Perusahaan menghadapi pertumbuhan eksplosif dari data file tidak terstruktur, dan, untuk mengatasinya, mereka beralih ke cloud untuk menyimpan dan berkolaborasi dengan lebih hemat biaya pada data tersebut di seluruh dunia. Namun, sementara cloud publik dan privat memberikan kapabilitas baru yang kuat dan potensi efisiensi finansial dan operasional, ini juga dapat memperluas profil risiko.

Faktanya, cloud dapat memberikan keamanan data yang lebih baik daripada penyimpanan tradisional… jika dilakukan dengan benar. Namun, menghadirkan cloud hybrid ke dalam jalur data memerlukan pendekatan keamanan yang berbeda dari pada file yang disimpan di lokasi. Untuk melindungi data di awan pribadi dan publik, perusahaan perlu menggunakan campuran enkripsi yang kuat dan otentikasi lokal, serta kemampuan asli dari solusi penyimpanan awan terkemuka.

Untuk memastikan data tidak terstruktur mereka tetap aman dan selalu tersedia, tim TI harus memberikan perhatian khusus pada empat area berikut.

Enkripsi
IT harus yakin untuk “mengasinkan” kunci dan sandi. Kata sandi biasanya dilindungi dengan mengenkripsinya menggunakan fungsi hash satu arah yang memerlukan kunci kriptografi untuk mendekripsinya. Salting menambahkan bit acak ke fungsi hash, yang merupakan lapisan keamanan ekstra, memastikan bahwa, bahkan jika kunci kriptografi disusupi, kata sandi dan kunci yang dilindungi akan tetap tidak dapat digunakan. Tidak ada pengguna tidak sah dari luar organisasi yang dapat mengakses data.

OpenPGP
OpenPGP menggabungkan enkripsi simetris cepat untuk melindungi data dengan kunci asimetris yang lebih lambat. Hal ini tidak hanya memberikan keamanan data yang optimal dan pada tingkat perincian yang lebih tinggi, tetapi juga menjaga kinerja agar tidak terpengaruh. Professional IT tidak boleh mengabaikan enkripsi metadata, yang berisi nama file, ukuran file, stempel waktu, informasi kontrol akses, dan lokasi dalam pohon direktori. Jika informasi ini dikirim atau disimpan dengan jelas, peretas dapat dengan mudah memperoleh dan menggunakannya untuk meluncurkan serangan bertarget yang canggih.

Memisah Folder
Jika menggunakan cloud pribadi, semua data file dan metadata sistem file harus dienkripsi dan disimpan hanya di penyimpanan objek cloud pribadi. Jalur kontrol dapat menggunakan layanan cloud publik untuk menyediakan orkestrasi dan fungsi manajemen dalam skala besar, tetapi jalur data harus disimpan sepenuhnya dalam cloud pribadi; data file tidak boleh dikirim di luar batasan keamanan perusahaan.

Dalam situasi hibrid, di mana peralatan di tempat disebarkan ke cache data secara lokal untuk memastikan kinerja, jalur data meluas di luar batas keamanan perusahaan. Namun, selama file dan metadata dienkripsi dengan benar, serta kunci dan sandi dienkripsi dan diasinkan, data tersebut aman. Jika TI menggunakan model khusus cloud, di mana peralatan diterapkan sebagai mesin virtual dalam cloud, semua data file dan metadata sistem harus dienkripsi dan disimpan dalam penyimpanan objek.

Ingat, data dan metadata tidak boleh terlihat oleh siapa pun yang tidak berwenang untuk memiliki kunci master, meskipun mereka adalah penyedia atau vendor penyimpanan cloud.

Double Check Keamanan Cloud
Penyedia cloud beroperasi pada model tanggung jawab bersama, yang berarti mereka melindungi infrastruktur secara keseluruhan, tetapi setiap pelanggan bertanggung jawab untuk mengamankan akses ke wadah dan instans penyimpanan cloud, serta untuk memastikan data yang disimpan di sana terlindungi dengan baik dari kehilangan data. Periksa kembali semua konfigurasi dan audit secara teratur untuk memastikannya benar.

Namun jangan percaya pada penyedia cloud dengan kata-kata mereka bahwa semua yang mereka miliki adalah bentuk kapal. Pastikan mitra penyimpanan cloud memiliki penyimpanan geo-redundan dan memiliki sertifikasi keamanan dan kepatuhan industri yang lengkap

Source : cpomagazine.com

Chrome mengubah cara kerja sistem cache untuk meningkatkan privasi

by

Google telah mengubah cara kerja komponen inti browser Chrome untuk menambahkan perlindungan privasi tambahan bagi penggunanya.

Dikenal sebagai Cache HTTP atau Shared Cache, komponen Chrome ini bekerja dengan menyimpan salinan sumber daya yang dimuat di halaman web, seperti gambar, file CSS, dan file JavaScript.

Idenya adalah ketika pengguna mengunjungi kembali situs yang sama atau mengunjungi situs web lain tempat file yang sama digunakan, Chrome akan memuatnya dari cache internalnya, daripada membuang waktu mengunduh ulang setiap file dari awal lagi.

Di semua browser, sistem cache biasanya bekerja dengan cara yang sama. Setiap file gambar, CSS, atau JS yang disimpan dalam cache menerima kunci penyimpanan yang biasanya merupakan URL sumber daya.

Misalnya, kunci penyimpanan untuk gambar akan menjadi URL gambar itu sendiri: https: //x.example/doge.png.

Saat browser memuat halaman baru, browser akan mencari kunci (URL) di dalam database cache internalnya dan melihat apakah perlu mendownload gambar atau memuatnya dari cache.

Sayangnya, selama bertahun-tahun, perusahaan periklanan dan analitik web menyadari bahwa fitur yang sama ini juga dapat disalahgunakan untuk melacak pengguna.

Tetapi dengan Chrome 86, yang dirilis awal minggu ini, Google telah meluncurkan perubahan penting pada mekanisme ini.

Dikenal sebagai “partisi cache”, fitur ini bekerja dengan mengubah cara sumber daya disimpan dalam cache HTTP berdasarkan dua faktor tambahan. Mulai sekarang, kunci penyimpanan sumber daya akan berisi tiga item, bukan satu:

  • The top-level site domain (http://a.example)
  • The resource’s current frame (http://c.example)
  • The resource’s URL (https://x.example/doge.png)
Sumber: ZDNet

Dengan menambahkan kunci tambahan ke proses pemeriksaan cache pre-load, Chrome telah secara efektif memblokir semua serangan sebelumnya terhadap mekanisme cache, karena sebagian besar komponen situs web hanya akan memiliki akses ke sumber dayanya sendiri dan tidak akan dapat memeriksa sumber daya yang tidak mereka buat sendiri.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Badan Intelijen Asing Menggunakan Situs Media Sosial untuk Menargetkan Orang-orang dengan Izin Keamanan

by

FBI merilis sebuah peringatan mengenai ancaman dari China.

China dan pemerintah asing lainnya menggunakan situs media sosial jejaring profesional untuk menargetkan orang-orang dengan izin keamanan pemerintah AS.

Badan intelijen asing mungkin menggunakan profil palsu, permintaan yang tampaknya ramah, janji pembayaran yang menguntungkan, dan taktik lain untuk mencoba mendapatkan informasi non-publik dan rahasia untuk keuntungan mereka.

FBI mendesak semua orang — terutama mereka yang memegang (atau pernah memegang) izin keamanan — untuk berhati-hati saat didekati oleh individu secara online mengenai peluang karier.

Apa yang Harus Anda Lakukan?

  • Tinjau pengaturan akun Anda di jejaring sosial dan profesional untuk mengontrol informasi yang tersedia untuk umum, terutama yang berkaitan dengan izin keamanan.
  • Hanya bentuk kontak online dengan orang yang Anda kenal atau setelah Anda memverifikasi sah dengan cara lain.
  • Beri tahu petugas keamanan Anda jika ada kontak dari perusahaan atau individu yang Anda curigai.
  • Jika Anda adalah mantan pemegang izin pemerintah A.S., hubungi kantor FBI terdekat untuk melaporkan penargetan jahat di situs media sosial jejaring profesional atau kirimkan tip secara daring di tips.fbi.gov.

Selengkapnya: FBI

H&M Memecahkan Rekor Denda GDPR Atas Pengawasan Karyawan Ilegal

by

Perusahaan ritel multinasional Swedia, H&M, telah terkena denda GDPR sebesar €35 juta (Rp 607 milyar) karena mengawasi karyawan secara ilegal di Jerman.

Perusahaan ditemukan telah memantau secara berlebihan kepada beberapa ratus karyawan di pusat layanan Nuremberg.

“Setelah absen seperti liburan dan cuti sakit, ketua tim pengawas melakukan apa yang disebut sebagai “Welcome back talk” dengan karyawan mereka. Setelah pembicaraan ini, dalam banyak kasus tidak hanya pengalaman liburan konkret karyawan yang dicatat, tetapi juga gejala penyakit dan diagnosa,” kata HmbBfDI.

“Selain itu, beberapa supervisor memperoleh pengetahuan luas tentang kehidupan pribadi karyawan mereka melalui pembicaraan pribadi, mulai dari detail yang agak tidak berbahaya hingga masalah keluarga dan keyakinan agama.”

H&M mengatakan sekarang akan meninjau keputusan tersebut dengan hati-hati. “Insiden tersebut mengungkapkan praktik untuk memproses data pribadi karyawan yang tidak sesuai dengan pedoman dan instruksi H&M,” kata perusahaan itu.

“H&M bertanggung jawab penuh dan ingin membuat permintaan maaf tanpa pamrih kepada karyawan di pusat layanan di Nuremberg.”

Denda tersebut adalah hukuman GDPR tertinggi yang dikenakan di Jerman sejak undang-undang tersebut diberlakukan pada tahun 2018, dan yang tertinggi kedua dari jenisnya di seluruh benua.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Forbes

Keamanan Serius: Phishing tanpa link, saat phisher menggunakan halaman web mereka sendiri

by Leave a Comment

Dalam beberapa hari terakhir kami menerima dua kampanye phishing – satu dikirim oleh pembaca yang bijaksana dan yang lainnya dikirim secara langsung kepada kami – yang kami pikir akan menceritakan kisah visual yang berguna.

Pelaku penipuan ini biasanya berasal dari dua geng kriminal yang berbeda, beroperasi secara independen, tetapi mereka menggunakan trik serupa yang perlu diketahui.

3 Ciri ciri email Phising
Sebagian besar penipuan phishing dikirimkan melalui email dan Anda mungkin telah menerima ratusan atau bahkan ribuan selama hihdup anda, namun umumnya mereka menggunakan tiga tahap ini :

1. Email yang berisi URL untuk diklik
Terkadang penjahat menyebar jaring dengan menggunakan frasa seperti “Pelanggan yang Terhormat”, “Bapak / Ibu yang Terhormat”, atau bahkan hanya “Halo”.

Namun terkadang mereka tahu nama penyedia listrik atau bank Anda; terkadang mereka tidak tahu tapi kebetulan menebak dengan benar; terkadang mereka memalsukan masalah dengan menulis beberapa teks umum yang cukup untuk menarik minat Anda.

Pesan email tidak terlalu panjang, yang perlu dilakukan adalah bagaimana agar anda mengeklik link berbahaya mereka.

Mengklik tautan phishing seharusnya sudah cukup aman, asalkan Anda berhati-hati selanjutnya, tetapi tetap saja pasti membawa anda selangkah lebih dekat ke masalah.

2. Halaman web tempat Anda perlu login untuk melangkah lebih jauh
Biasanya setelah anda mengeklik link tersebut, akan muncul halaman untuk login, dan sering kali itu adalah tiruan yang sangat mirip dengan web aslinya yang dibuat hanya dengan membajak HTML, gambar, font, stylesheet, dan JavaScript dari situs asli dan memasangnya di tempat lain.

Halaman penipu sering kali berada di situs resmi yang telah diretas untuk bertindak sebagai pembuka yang dapat dipercaya untuk serangan tersebut.

3. Situs web tempat data yang Anda masukkan ke dalam formulir login akan dikirim
Kadang-kadang situs tiruan akan diunggah ke situs yang sama yang digunakan pengguna terkadang para penjahat menggunakan situs pihak ketiga yang mungkin mengumpulkan data dari beberapa kampanye phishing yang berbeda pada waktu yang bersamaan.

Secara teknis, tautan yang dapat diklik ke situs (2) muncul di dalam email (1) sebagai apa yang dikenal sebagai hyperlink, dienkode ke dalam HTML menggunakan apa yang disebut tag anchor, ditulis sebagai , seperti ini:

Teks antara dan biasanya muncul di browser Anda dengan warna biru untuk menunjukkan bahwa Anda dapat mengkliknya untuk menuju link ke tempat lain.
Namun sebenarnya link yang dapat diklik itu bukanlah tujuan Anda selanjutnya.
Target tautan, seringkali berupa URL yang mengarah ke situs web lain, diberikan oleh nilai HREF = … yang muncul bersama dengan :

Jika Anda ingin melihat indikator yang tepat, Anda perlu mengetahui bahwa bagian dikenal sebagai tag, yang -nya adalah tag penutup yang cocok. Bagian HREF = … disebut sebagai atribut tag

Selengkapnya ; Naked Security Sophos

Blackbaud: Geng ransomware yang memiliki akses ke info perbankan dan kata sandi

by

Blackbaud, penyedia software cloud terkemuka, mengonfirmasikan bahwa pelaku ancaman di balik serangan ransomware Mei 2020 memiliki akses ke informasi login dan perbankan yang tidak terenkripsi, serta nomor jaminan sosial.

Insiden keamanan yang dirujuk Blackbaud diungkapkan dalam siaran pers yang dikeluarkan pada 16 Juli 2020, ketika perusahaan mengatakan bahwa para penyerang diblokir sebelum sistem dienkripsi sepenuhnya tetapi tidak sebelum mereka dapat mencuri “salinan subset data” dari lingkungan self-hosted (cloud pribadi).

Sementara Blackbaud awalnya mengatakan bahwa geng ransomware di balik serangan itu tidak dapat “mengakses informasi kartu kredit, informasi rekening bank, atau nomor jaminan sosial,” kemudian ditemukan setelah penyelidikan forensik bahwa pelaku ancaman memiliki akses ke info perbankan yang tidak terenkripsi, kredensial dan SSN.

“Setelah 16 Juli, penyelidikan forensik lebih lanjut menemukan bahwa untuk beberapa pelanggan yang diberitahu, penjahat siber mungkin telah mengakses beberapa bidang tidak terenkripsi yang dimaksudkan untuk informasi rekening bank, nomor jaminan sosial, nama pengguna dan / atau kata sandi,” kata Blackbaud.

“Pelanggan yang kami yakini menggunakan bidang ini untuk informasi semacam itu akan dihubungi minggu tanggal 27 September 2020, dan sedang diberikan dukungan tambahan.”

Tergantung pada geng ransomware yang mencuri data Blackbaud, kesediaannya untuk benar-benar menghancurkannya, dan apa yang akan dilakukannya dengan data tersebut jika tidak benar-benar dihancurkan seperti yang dijanjikan, pelanggan perusahaan mungkin menghadapi berbagai macam risiko keamanan mengingat sifat informasi yang bocor sangat sensitif.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Perusahaan dapat melacak pergerakan ponsel Anda untuk menargetkan iklan

by

Google dan Apple telah mengambil langkah-langkah tahun ini yang mereka katakan akan membantu pengguna melindungi diri dari ratusan perusahaan yang menyusun profil berdasarkan perilaku online. Sementara itu, perusahaan lain sedang mencari cara baru untuk menyelidiki lebih dalam aspek lain dari kehidupan kita.

Pada bulan Januari, Google mengatakan akan menghapus cookie pihak ketiga di browser Chrome-nya, mempersulit pengiklan untuk melacak kebiasaan penjelajahan kami. Apple, sementara itu, mengatakan akan membutuhkan aplikasi dalam versi iOS yang akan datang untuk meminta izin pengguna sebelum melacaknya di seluruh layanan.

Bersama-sama, langkah tersebut kemungkinan akan menekan industri perantara yang mengumpulkan profil pengguna dari trek digital kita. Namun “perusahaan besar dengan data repositori besar pihak pertama tentang konsumen mereka mungkin tidak akan terkena dampak negatif yang terlalu parah,” kata Charles Manning, CEO platform analitik Kochava.

Perusahaan yang mencari cara baru untuk mengkategorikan pengguna dan menyesuaikan konten beralih ke alat baru: sinyal fisik dari telepon itu sendiri.

“Kami melihat pengumuman Apple, konsumen semakin sadar akan privasi, dan berakhirnya cookie,” kata Abhishek Sen, salah satu pendiri NumberEight, sebuah startup “kecerdasan kontekstual” di Inggris yang menyimpulkan perilaku pengguna dari sensor di ponsel cerdas mereka.

Sen menggambarkan produk utama NumberEight sebagai “perangkat lunak prediksi konteks”. Alat tersebut membantu aplikasi menyimpulkan aktivitas pengguna berdasarkan data dari sensor ponsel cerdas: apakah mereka sedang berlari atau duduk, di dekat taman atau museum, mengemudi atau naik kereta.

Perusahaan seperti NumberEight, atau pesaing Sentiance dan Neura, menggunakan data sensor untuk mengkategorikan pengguna. Alih-alih membuat profil untuk ditargetkan, sebuah layanan dapat menargetkan iklan ke “orang yang bangun pagi” (seperti yang ditunjukkan oleh sensor yang mencatat saat ponsel diangkat setelah jam istirahat). Masukan dari sensor memberikan “konteks” pada perilaku fisik pengguna.

Dalam iklim regulasi yang semakin meningkat dan pengawasan publik, Sen berpendapat konteks perilaku akan menjadi lebih penting karena pemasar tidak lagi dapat menyusun profil yang dibuat berdasarkan aktivitas online pengguna.

Berita selengkapnya dapat dibaca disini.

Indihome Curi Riwayat Browser Penggunanya

by

Co-founder Ethical Hacker Indonesia, Teguh Aprianto, menuliskan secara detail di blog nya bagaimana ia menemukan bukti bahwa Indihome mengambil riwayat browser penggunanya.

Teguh menjelaskan bahwa selama ini Indihome diam-diam menanamkan sebuah script untuk mengambil data riwayat browser pengguna. Ia mengatakan script ini hanya muncul ketika seseorang mengunjungi sebuah website yang belum menggunakan SSL (http).

Pada script tersebut, Teguh menjelaskan beberapa parameternya berguna untuk mengambil browsing history dan juga resolusi layar perangkat yang digunakan.

Dengan bermodalkan Google, Teguh akhirnya mendapatkan 2 tautan terkait dengan website tracker milik Indihome ini. Tautan 1 nampaknya adalah tempat untuk login internal yang mungkin digunakan content management. Lalu tautan yang lainnya berisi statistik dan juga struktur kode yang digunakan untuk website tracker tersebut.

“Salah satu website tracker milik Indihome saat ini berhasil mendapatkan 29,9 miliar hits. Dalam 1 hari website tersebut mendapatkan setidaknya 1 miliar hits,” kata Teguh.

Dilansir dari CNN Indonesia, Indihome menjelaskan Telkom tidak pernah menjual atau menyerahkan data pelanggan kepada pihak ketiga.

Pada akhir blog nya, Teguh membagikan cara pencegahan yang dapat dilakukan oleh pelanggan Indihome. Blog Teguh dapat diakses disini.