Felhőbiztonság – Bróker, de nem a tőzsdén, mi az?

A felhőbiztonság sokakat foglalkoztat már évek óta, az IT üzemeltetés számára egy fontos eszköz kezdve az első felhőszolgáltatások megjelenésétől a mai mobil és felhőalapú munkavégzés támogatásáig. Ez az írás egy több részes sorozat része, az előző és következő részek hivatkozásaival folyamatosan bővítem ezt a bevezetőt.
1. rész – Miért van rá szükség?
2. rész – Az azonosítás dilemmája

A felhőbiztonsággal foglalkozó sorozatom előző két részében a technológia körüli információkból azokat próbáltam összegyűjteni, melyek a témában jártasabbak számára nem nyújtottak újdonságot – ez a mai résszel már változik. Az írás témája a Cloud Access Security Broker, azaz CASB megoldások bemutatása és szükségességük tárgyalása lesz.

“Felhőbiztonság – Bróker, de nem a tőzsdén, mi az?” olvasásának folytatása

Felhőbiztonság – Az azonosítás dilemmája

A felhőbiztonság sokakat foglalkoztat már évek óta, az IT üzemeltetés számára egy fontos eszköz kezdve az első felhőszolgáltatások megjelenésétől a mai mobil és felhőalapú munkavégzés támogatásáig. Ez az írás egy több részes sorozat része, az előző és következő részek hivatkozásaival folyamatosan bővítem ezt a bevezetőt.
1. rész – Miért van rá szükség?
3. rész – Bróker, de nem a tőzsdén, mi az? 

Az előző részben feldobott betűszavak egyikével kezdem a mai írásomat: IdP, Identity Provider, azaz azonosság szolgáltató. Kinek szolgáltatunk azonosságot, miért és hogyan? Bár a felhős szolgáltatások nagy része képes azonosítani a felhasználót, általában korlátos eszközökkel és a vállalati felhasználók számára nagy limitációkkal. Gondoljunk csak a privát felhős azonosságainkra: mindenhol más-más a felhasználónév és jelszó, ha betartjuk az adathalászat ellenes ajánlásokat. Céges környezetben ez még fontosabb, így annak a lehetősége, hogy egyetlen azonosságot használjunk a felhő szolgáltatásainkban, rendkívül kecsegtető. Ha ez az azonosság ráadásul megegyezik az egyébként vállalati használatra úgyis szükséges címtárban (többnyire Active Directory) használttal, az még jobb volna. Az IdP egy olyan szolgáltatás, amely tipikusan a meglévő vállalati infrastruktúrán helyezkedik el, bekötve a címtár irányába és integrálva a felhő szolgáltatással. A felhasználók eredetileg a címtárban léteznek, ott vannak kezelve, nincs szükség az IdP-n egy másik felhasználói adatbázist kezelni. Az IdP beazonosítja a felhasználót (ennek módjairól később) és jelzi a szolgáltatásnak, hogy engedélyezett a kapcsolat. A szolgáltatás maga nem végez azonosítást.

“Felhőbiztonság – Az azonosítás dilemmája” olvasásának folytatása

Felhőbiztonság – Miért van rá szükség?

A felhőbiztonság sokakat foglalkoztat már évek óta, az IT üzemeltetés számára egy fontos eszköz kezdve az első felhőszolgáltatások megjelenésétől a mai mobil és felhőalapú munkavégzés támogatásáig. Ez az írás egy több részes sorozat része, az előző és következő részek hivatkozásaival folyamatosan bővítem ezt a bevezetőt.
2. rész – Az azonosítás dilemmája

3. rész – Bróker, de nem a tőzsdén, mi az? 

A felhőbiztonság, mint IT üzemeltetési technológia az elmúlt időkben jelentős eszközévé vált az IT biztonságnak. Az eszközök megoldást nyújtanak a különböző felhőszolgáltatások esetén, legyen az infrastruktúra vagy alkalmazás. De mit is jelent a felhőbiztonság és miért van rá szükség?

“Felhőbiztonság – Miért van rá szükség?” olvasásának folytatása

Mobil választás, választási mobilitás

Ahogy közeledik a jövő keddi amerikai középidős választás, egyre növekszik azok száma, akik biztosak abban, hogy külföldi beavatkozás történik majd a választás során. Ennek fényében érdekes döntés az, hogy Nyugat-Virginia engedélyezi a mobil alkalmazásból való szavazást a külföldön állomásozó katonák számára. A probléma azért is komoly, mert a 2016-os elnökválasztással kapcsolatosan idén februárban a hat legnagyobb amerikai hírszerző ügynökség vezetője egyhangúlag állította a szenátusi meghallgatásukon, hogy oroszok avatkoztak a választásba. A használt módszerek között voltak a célzott adathalász (spear-fishing) támadások, szociális médiában terjedő megtévesztő kampányok és gyengén védett rendszerek külső sikeres támadása. Ezen túl még most sem egyértelmű, pontosan kik segítették országon belülről ezeket a törekvéseket, de egyes források alátámasztják azt, hogy orosz megkereséseket kapott Donald Trump stábjának több tagja is.

“Mobil választás, választási mobilitás” olvasásának folytatása

Adathalászat – K&H IT akadémia

A héten abban a megtiszteltetésben részesültem, hogy előadóként részt vehettem a K&H IT akadémiáján. A meghívást Lakati Zsolttól kaptam, akivel az elmúlt 4 évben a bankban bevezetett MDM megoldással kapcsolatosan dolgoztam. Mivel az előadásnak a mobilitásról kellett szólnia, úgy döntöttem, hogy egy friss témával készülök: adathalászat a mobil készülékeken. A legújabb statisztikák szerint a sikeres adathalász támadások kevesebb, mint 1/5-e történt e-mailes csatornán keresztül, így a drága mail biztonságot adó szoftverek hatásosnak bizonyulnak. A legtöbb vállalatnál az adathalászattal kapcsolatos felhasználói tudatosságnövelés elsősorban a levelezést célozza, ez pedig a fentiek alapján már tévhit, amin túl kell lépni.

“Adathalászat – K&H IT akadémia” olvasásának folytatása

Android 9.0, Pixel, biztonság

Idén augusztusban megjelent az évi rendszeres Android frissítés – melyet a bennfentesek csak “desszert”-kiadásnak hívnak, mert a Google minden fő verziót egy desszertről nevezi el. A 9.0 a Pie, azaz pite nevet kapta, és a felhasználói felület frissített funkcióit, valamint a hatékonyabb akkumulátorkezelést már az erre szakosodott weboldalak agyonelemezték. Van benne néhány érdekesebb biztonsági újítás is, melyekről több helyen is készült összefoglaló, azonban most az egyik még kevésbé hirdetett funkcióját szeretném kiemelni. “Android 9.0, Pixel, biztonság” olvasásának folytatása

A beszerzési lánc biztonsága

Bizonyára minden, az IT biztonság iránt érdeklődő olvasó hallott már a Bloomberg által kirobbantott Supermicro-botrányról, valamint az azt feldolgozó írások egyikével. Nem kellett sokáig várni az egész sztorit módszeresen tagadó nyilatkozatok dömpingjére sem. Az Amazon, Apple, Supermicro és a kínai kormány egyaránt tagadta, hogy bármi információja lett volna egy olyan chip-ről, amely az eszközöket kompromittálta volna. Tovább gyűrűzött a történet, amikor a Bloomberg megjelentette a következő cikkét, melyben egy meg nem nevezett amerikai szolgáltató hálózatában találtak egy Supermicro szerver Ethernet-portjára helyezett lehallgatásra alkalmas chipet.

Nehéz megtalálni a bizonyosságot ennyi hír és cáfolat között, de a régi magyar mondás szerint nem zörög a haraszt, ha nem fújja a szél.

“A beszerzési lánc biztonsága” olvasásának folytatása