Các cuộc tấn công mạng vào các công ty vừa và nhỏ trong năm 2019 có giá trung bình 200.000 đô la mỗi công ty , không thương tiếc đưa nhiều người trong số họ ra khỏi doanh nghiệp, CNBC cho biết trong phân tích báo cáo gần đây của Accergy. Trong bối cảnh thiếu hụt kỹ năng an ninh mạng toàn cầu, con số này sẽ tăng vọt vào năm 2020. Chỉ riêng ở Anh, hơn 50.000 doanh nghiệp vừa và nhỏ của Anh có thể sụp đổ vào năm tới sau một cuộc tấn công mạng.
Bài viết này mang đến một danh sách các công cụ miễn phí đã được sử dụng để chống lại những thách thức đáng báo động này và cho phép các doanh nghiệp vừa và nhỏ tự mình chống lại một loạt các tội phạm mạng.
Kiểm tra bảo mật trang web với Quét tuân thủ GDPR và PCI DSS
Vấn đề: Thật khó để bắt gặp một doanh nghiệp vừa và nhỏ mà không có trang web, hoặc ít nhất là một trang web trên Internet. Các trang web như vậy thường được bảo vệ kém, trở thành mục tiêu cho tội phạm mạng. Ngay cả khi trang web không lưu trữ hoặc xử lý bất kỳ giao dịch thanh toán hoặc thông tin nhạy cảm nào khác, một khi bị vi phạm, quyền truy cập vào trang web này có thể được bán trong các thị trường Dark Web từ $ 5 đến $ 500 tùy thuộc vào mức độ phổ biến của trang web, ngành và chất lượng của khách truy cập.
Sau đó, tội phạm mạng sẽ khai thác trang web để gửi thư rác, phổ biến phần mềm gián điệp và ransomware và phân phối Trojan truy cập từ xa (RAT) phù hợp với tài khoản ngân hàng điện tử trống của khách truy cập không mong muốn. Cũng như thiệt hại có uy tín và doanh số giảm, những sự cố không lường trước đó cũng có thể gây ra các vụ kiện kéo dài và tốn kém từ các nạn nhân, chứ đừng nói đến việc phạt tiền và phạt dưới GDPR và vô số luật lệ và quyền riêng tư khác.
Tồi tệ hơn, một khi trang web của bạn được xác định là nguồn spam, phần mềm độc hại hoặc các cuộc tấn công DDoS xuất phát từ vi phạm, Google và các công cụ tìm kiếm khác sẽ nhanh chóng đưa vào danh sách đen. Tính toàn vẹn của các nỗ lực SEO và đầu tư Quảng cáo Google của bạn sẽ biến mất trong vài phút và trong nhiều tháng, trong khi bộ phận hỗ trợ của Google sẽ xem xét đơn khiếu nại của bạn để loại bỏ bạn khỏi sự thanh trừng của các trang web nguy hiểm. Tuy nhiên, trong hầu hết các trường hợp, vị trí hiện tại của bạn trong kết quả tìm kiếm (SERP) sẽ bị mất không thể phục hồi.
Do đó, công cụ: Công cụ trực tuyến miễn phí đầu tiên của chúng tôi là kiểm tra bảo mật trang web , không chỉ tìm kiếm các lỗ hổng, điểm yếu và cấu hình web mà còn chạy quét tuân thủ GDPR và PCI DSS:
Kiểm tra miễn phí chỉ cần một URL trang web để bắt đầu; không cần đăng ký hoặc cài đặt. Các kiểm tra và kiểm tra bảo mật trang web không xâm phạm và an toàn sản xuất sau đây sẽ được thực hiện:
- Quét CMS chuyên sâu cho hơn 50.000 lỗ hổng bảo mật web đã biết
- Quét toàn bộ plugin WordPress, Drupal, Joomla và Magento
- Quét toàn bộ phần mềm nguồn mở và các thành phần của nó
- Kiểm tra quyền riêng tư và bảo mật tiêu đề HTTP
- Kiểm tra chính sách bảo mật nội dung (CSP)
- Kiểm tra sự hiện diện trong Danh sách đen
- Kiểm tra phần mềm độc hại
Trên hết, bạn sẽ có được một đánh giá chi tiết về các yêu cầu áp dụng từ các tiêu chuẩn tuân thủ và quy định sau đây:
- PCI DSS 3.2.1
- GDPR của EU
Điều quan trọng, thử nghiệm miễn phí được trang bị một khám phá OSINT nhanh chóng về các tên miền phụ của bạn, cung cấp khả năng hiển thị rộng hơn cho Bề mặt tấn công bên ngoài . Thử nghiệm tương tự cung cấp API miễn phí nếu muốn tự động hóa thử nghiệm hoặc xuất dữ liệu lỗ hổng vào bất kỳ giải pháp hoặc nền tảng an ninh mạng hiện có nào.
Kiểm tra quyền riêng tư và bảo mật ứng dụng di động
Vấn đề: Các ứng dụng và hệ sinh thái di động đang mang lại thu nhập tăng trưởng đều đặn cho các doanh nghiệp vừa và nhỏ đang tiếp cận khách hàng và thị trường mới trên toàn cầu bằng các sản phẩm và dịch vụ của họ.
Tuy nhiên, thị trường di động mới nổi không phải không có nhược điểm và cạm bẫy. Các ứng dụng di động không an toàn hoặc mã hóa dữ liệu được truyền tải kém, có thể làm lộ dữ liệu khách hàng nhạy cảm, gây ra tổn thương danh tiếng và tổn thất tài chính đáng kể. Một số trường hợp thậm chí có thể dẫn đến các vụ kiện từ các khách hàng hiếu chiến và các hình phạt tài chính to lớn từ các cơ quan bảo vệ dữ liệu và các cơ quan quản lý.
Hơn nữa, ứng dụng của bạn có thể bị cấm vĩnh viễn khỏi các cửa hàng Apple và Google Play, gây ra thiệt hại không thể khắc phục và kéo dài cho doanh nghiệp của bạn.
Công cụ: Để phát hiện, giảm thiểu và ngăn chặn những hậu quả không mong muốn đó một cách kịp thời, chúng tôi trình bày một bài kiểm tra bảo mật di động cho các ứng dụng iOS và Android của bạn:
Kiểm tra miễn phí yêu cầu ứng dụng di động của bạn phải được tải lên hoặc nếu ứng dụng đã có sẵn trong Google Play, chỉ cần nhập tên của nó vào hộp tìm kiếm và chọn nó từ danh sách. Không cần cài đặt hoặc đăng ký để kiểm tra trên ứng dụng di động của bạn.
Trong quá trình quét bảo mật, các kiểm tra và kiểm tra sau đây sẽ được tiến hành:
- Quét bảo mật chuyên sâu Top 10 của OWASP Mobile
- Quét thông minh các mật khẩu và khóa API được mã hóa cứng
- Kiểm tra quyền riêng tư toàn diện và kiểm kê quyền của ứng dụng
- Kiểm tra động (DAST) của nhị phân ứng dụng di động của bạn cho các lỗi bảo mật
- Kiểm tra tĩnh (SAST) mã nguồn ứng dụng di động của bạn để tìm lỗi bảo mật
- Phân tích thành phần phần mềm chuyên sâu (SCA) cho các rủi ro phần mềm nguồn mở (OSS) đã biết
- Xem lại mã hóa dữ liệu được gửi đến phụ trợ ứng dụng di động (API và Dịch vụ web)
- Quét phần mềm độc hại và mã hóa
Bạn sẽ có được một cái nhìn tổng quan tổng hợp về bảo mật và quyền riêng tư của ứng dụng di động của bạn với các ngoại lệ có thể hành động đối với mã nguồn có vấn đề và các đề xuất về cách khắc phục các sự cố. Ngoài ra, bạn có thể sử dụng API miễn phí để tự động kiểm tra các ứng dụng di động của mình trước khi phát hành phiên bản mới.
Kiểm tra chứng chỉ và mã hóa SSL / TLS với quét PCI DSS, NIST và HIPAA
Vấn đề: Internet hiện đại sẽ là không thể nếu không có mã hóa. Ngay cả những người mới bắt đầu cũng biết rằng biểu tượng khóa màu xanh lá cây ở phía bên trái của thanh địa chỉ trình duyệt là một chỉ báo tốt về niềm tin và sự tự tin. Mã hóa SSL / TLS được triển khai đúng cách và chứng chỉ SSL được cài đặt đúng có thể tăng doanh số bán hàng trực tuyến của bạn và cung cấp cho bạn lợi thế cạnh tranh trên thị trường toàn cầu.
Nếu bạn đang điều hành một trang web thương mại điện tử và chấp nhận thanh toán bằng thẻ tín dụng, bạn có thể tuân thủ các yêu cầu bảo mật nghiêm ngặt do PCI SSC áp dụng đối với các thương nhân trực tuyến, bao gồm cả phiên bản PCI DSS mới nhất. Trong 12 yêu cầu bảo mật được cân nhắc kỹ lưỡng đó, việc triển khai mã hóa SSL / TLS có vai trò đáng chú ý để bảo vệ dữ liệu thẻ tín dụng khỏi bị chặn và đánh cắp.
GDPR đáng gờm cũng rõ ràng đòi hỏi một chiến lược mã hóa được thực hiện đúng cách bất cứ khi nào bạn xử lý, lưu trữ hoặc xử lý bất kỳ Thông tin nhận dạng cá nhân (PII) nào của người dân châu Âu hoặc châu Âu (EU).
Gần đây, Google đã giới thiệu một sửa đổi quan trọng đối với các thuật toán tìm kiếm và xếp hạng của mình, rõ ràng ưu tiên cho các trang web có mã hóa HTTPS hoàn hảo phù hợp với các thông lệ tốt nhất trong ngành.
Công cụ: Bây giờ chúng ta hãy xem thử nghiệm bảo mật SSL / TSL miễn phí này có thể quét nhanh trang web và tên miền phụ của bạn để biết tất cả các cấu hình sai về mã hóa và các điểm yếu liên quan:
Trái ngược với nhiều thử nghiệm bảo mật SSL và các công cụ xác thực mã hóa trực tuyến khác, công cụ này có khả năng kiểm tra không chỉ mã hóa HTTPS mà còn phù hợp với email (ví dụ: POP3S, IMAPS, STARTTLS) và tất cả các triển khai SSL / TLS phổ biến khác trên bất kỳ Hải cảng.
Bài kiểm tra chỉ yêu cầu tên trang web hoặc máy chủ của bạn và sau đó sẽ nhanh chóng tiến hành kiểm tra và quét sau:
- Hơn 30 lỗ hổng triển khai SSL / TLS đã biết bao gồm Poodle và Heartbleed
- Yêu cầu về PCI DSS đối với mã hóa SSL / TLS, bộ mã hóa và chứng chỉ SSL
- Nguyên tắc của NIST về SSL / TLS, bao gồm kiểm tra chuyên sâu về tất cả các bộ quần áo mật mã
- Hướng dẫn của HIPPA về việc tăng cường và triển khai SSL / TLS
- Chèn không an toàn (không phải HTTPS) vào nội dung web bên ngoài
- Chuỗi chứng chỉ SSL và kiểm tra CA
Hơn nữa, bài kiểm tra sẽ liệt kê tất cả các tên miền phụ của bạn được phát hiện với trinh sát OSINT không xâm phạm. Cuối cùng, bạn có thể tự động hóa việc quét thông thường bằng cách sử dụng API miễn phí.
Kiểm tra bảo mật tên miền
Vấn đề: Lừa đảo có lẽ là một trong những vấn đề phổ biến và nổi tiếng nhất gây thiệt hại hàng tỷ đô la mỗi năm cho các nạn nhân vô tâm hoặc bất cẩn. Với sự gia tăng mạnh mẽ của các cuộc tấn công Thỏa hiệp Email Doanh nghiệp (BEC), cũng đan xen với các email được gọi là “Gian lận CEO”, phòng chống lừa đảo chiếm một vị trí đặc biệt trong chiến lược an ninh mạng của bạn.
Các cuộc tấn công tên miền, bao gồm cả lỗi chính tả và trò chuyện trên mạng, mạo danh thương hiệu và thương hiệu của bạn trong không gian kỹ thuật số. Họ đánh cắp khách truy cập và lưu lượng truy cập trang web của bạn, ký sinh trên thiện chí của bạn và danh tiếng khó giành được. Trong các thị trường nhỏ và đang phát triển nhanh chóng, những người bán hàng tự do như vậy có thể làm suy yếu các nỗ lực tiếp thị của bạn và phủ nhận thành công trước đó của bạn.
Cuối cùng nhưng không kém phần quan trọng, các tài khoản giả trong các mạng xã hội giả vờ đại diện cho bạn hoặc bằng cách nào đó được kết nối với doanh nghiệp của bạn cũng có thể mang lại nhiều tổn hại về uy tín và mất lợi nhuận.
Công cụ: Để giải quyết các thách thức nêu trên, bạn nên thử kiểm tra bảo mật tên miền và lừa đảo này:
Tất cả bạn cần để bắt đầu thử nghiệm là nhập tên miền của bạn. Thử nghiệm sẽ thu thập dữ liệu tỉ mỉ hơn 200.000.000 tên miền hiện có hoặc trước đây đang cố gắng tìm những kẻ xâm phạm, kẻ mạo danh và ký sinh trùng kỹ thuật số khác.
Nó sẽ mô tả bảo mật tên miền của bạn bằng cách cung cấp một kho lưu trữ các trang web và tên miền độc hại bao gồm:
- Tất cả các trang web lừa đảo, phần mềm độc hại và lừa đảo hiện đang khai thác thương hiệu của bạn
- Tài khoản giả trên Twitter, Facebook và các mạng xã hội khác
- Danh sách đầy đủ các tên miền được đánh máy lạm dụng thương hiệu của bạn
- Danh sách đầy đủ các tên miền bị lạm dụng lạm dụng thương hiệu của bạn
Bài kiểm tra cũng có khả năng xác định và phân biệt các trang web và tên miền thuộc hoặc được vận hành bởi các tổ chức của bạn, đánh dấu chúng xuất hiện màu xanh lam. Mặc dù tất cả các tên miền lừa đảo khác sẽ xuất hiện màu đỏ và yêu cầu sự chú ý của bạn cho hành động gỡ xuống nhanh chóng.