Top zagrożeń cyberbezpieczeństwa

Cyberbezpieczeństwo było a obecnie powinno być kluczowym elementem każdej polityki bezpieczeństwa, strategii utrzymania ciągłości biznesowej, strategii IT czy strategii biznesowej. Nasilenie ataków, wycieków i kradzieży danych w ostatnich okresach przybiera na sile a trendy są wyraźnie wzrostowe. Poniżej kilka zagrożeń, które są top w ostatnim czasie w skali globalnej gospodarki:

Malware

Szkodliwe oprogramowanie Malware jest stosowane przez hackerów do kradzieży danych jak hasła, dane, szyfrowania zasobów np. celem wyłudzenia okupu czy wykorzystania komputerów do ataków DDoS. Obecnie obserwuje się ogromny wzrost infekcji komputerów czy smartphonów.

Ataki DoS, DDoS

Ataki DoS (Denial of Service) i DDoS (Distributed Denial of Services) są skierowane na usługi internetowe czy sieci komputerowe celem ich blokady lub zmniejszenia wydajności i możliwości użycia. Obecnie dzięki Malware i dużej ilości komputerów zombi bardzo popularne i powszechnie wykorzystywane przez hackerów.

Phishing – wyłudzenie danych

Wyłudzenie danych to ogromny globalny trend w przestępczości cybernetycznej. Wyłudzeniu mogą podlegać dane osobowe, numery i hasła do konto i kart kredytowych, dane dostępowe do usług rozrywkowych, dane ubezpieczeń, itd. Najczęściej są to ataki przez email.

Ataki Brute Force

Ataki Brute Force są skierowane zarówno do łamania haseł do stron www celem ich infekowania, łamania haseł do zasobów np. celem ich szyfrowania i wyłudzania okupów jak i innych, itd. Wzrost używania tej techniki przez hackerów jest związany z dostępnością słowników językowych czy specjalistycznych w danych językach online i niską świadomość użytkowników końcowych.

Ataki XSS (Cross-Site-Scripting)

Ataki XSS są skierowane na usługi internetowe podatne na wstrzyknięcia do przeglądarki kodu java script lub innego. Atak taki pozwala na zmianę działania usługi internetowej aby np. wykraść hasła, zablokować usługę, wykasować dane z usługi, zainfekowanie strony www, przejęcie sesji użytkownika (cookies), itd.

Ataki SQL Injection

Ataki SQL Injection w przeciwieństwie do XSS atakują nie aplikacje a jej bazę danych. Atak polega na dodanie złośliwego kodu w zapytaniu do baz danych. Atak pozwala na dostęp do bazy danych a więc na modyfikację danych, ich przejęcie a nawet skasowanie. Szacuje się, że 60% ataków na strony www lub sklepy internetowe wykorzystuje SQL Injection, natomiast 30% ataki XSS.

Zobacz naszą ofertę Doradztwa Strategicznego IT, Strategii IT

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów

Strategia MultiCloud

Strategia Multicloud jest często wdrażana z powodów dywersyfikacji i uniknięcia uzależnienie do jednego dostawcy (tzw. Vendor Lock). Uzależnienie do może być w obszarze jakości usług, cen czy zakłócenia ciągłości biznesowej (Business Continuity) – awarie, odtwarzanie po awarii (DR – Disaster Recovery), wysoka wydajność (HA – High Availability), itd. Strategia z uwagi na różne zakresy usług dostawców chmur musi uwzględniać wszystkie ich aspekty jak: koszty za storage czy moc obliczeniową, różnorakie platformy czy aplikacje, moduły bezpieczeństwa, itd. Usługi te muszą być wpisane zarówno w politykę bezpieczeństwa jak i architekturę tele-informatyczną firmy.

Oprócz dywersyfikacji, vendor-lockingu częstym powodem dla międzynarodowych firm jest zwiększenie ciągłości biznesowej zarówno w dostępie (np. wydajność) do infrastruktury z dowolnej części świata, jak i jej odporność na awarie i ataki.

Strategia chmurowa jest jednym z elementów Strategii IT wspierającej cele biznesowe. Jest ona zasadna w przypadku rozproszonych globalnie systemów, klientów, pracowników, wysokich parametrów SLA dla usług i systemów oraz dużej dojrzałości organizacji.

Zobacz naszą ofertę doradztwa strategicznego IT

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów

UAT czyli Testy Akceptacyjne

UAT (User Acceptance Tests) to testy akceptacyjne, które pozwalają odebrać stworzone oprogramowanie lub ich fragment przez osoby odpowiedzialne za procesy biznesowe lub klienta końcowego. Pozwalają one w prosty sposób określić dany ekran lub funkcjonalność jest zgodna z oczekiwaniami wszystkich odbiorców oprogramowania.

Testy akceptacyjne powinny uwzględniać np. za ISTBQ:

  • Wymagania użytkowników końcowych
  • Wymagania systemowe
  • Przypadki użycia
  • Procesy biznesowe

Przykłady testów akceptacyjnych UAT:

  • Testy akceptacyjne przez użytkownika wewnętrznego – czy product spełnia wymagania
  • Testy akceptacyjne przez klienta (CAT – Customer Acceptance Test) – czy oprogramowanie spełnia wymagania klienta
  • Testy Alfa – testy wewnętrzne deweloperów np. u wykonawcy
  • Testy Beta – testy poza zespołem wytwarzającym testy np. wśród użytkowników końcowych, itd.
  • Testy zgodności z podpisaną umową
  • Testy zgodności z prawem (legalności)
  • Testy akceptacyjne produkcyjne – testy na środowisku produkcyjnym, w różnych warunkach np. podczas obciążenia, awarii, problemów z danymi, itd.

W metodyce zwinnej Scrum UAT może być częścią Definition of Done czyli opisem jak ma wyglądać oddany produkt. Testy akceptacyjne UAT są w gestii odpowiedzialności Product Ownera i powinny być częścią sprintów Scruma.

Zobacz naszą ofertę doradztwa w zakresie projektów informatycznych

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów

Audyt Ciągłość Biznesowa (Business Continuity)

GoTechnologies bazując na swoim wieloletnim doświadczeniu w pracy z największymi, średnimi i małymi międzynarodowymi firmami, liderami swoich branż realizuje doradztwo i audyt w zakresie zachowania ciągłości biznesowej (Business Continuity) przedsiębiorstw.

Audyt ciągłości biznesowej składa się z:

  • Analiza corowych i pobocznych procesów, systemów, integracji, zasobów i ich wpływ na ciągłość biznesową.
  • Określenie potencjalnych, realnych zagrożeń mających wpływ na ciągłość biznesową
  • Benchmarking zagrożeń na casach lokalnych, branżowych i światowych
  • Symulacja wystąpienia zagrożeń i ich wpływ na ciągłość biznesową firmy (Stress Test)
  • Rekomendacje eliminacji zagrożeń lub ich zminimalizowanie w obszarze bezpieczeństwa, procesów, systemów, przechowywania danych, zabezpieczeń, redundancji, itd.

Audyt Business Continuity w zależności od klienta może być szybki (tzw. Quick Check) oraz kompleksowy. Proponowaną metodą jest szybki audyt Quick Check pozwalający ocenić poziom dojrzałości w obszarze Ciągłości Biznesowej i dalsze prace nad zdiagnozowanymi i kluczowymi obszarami w dalszych krokach.

W obszarze procesów procesów analizujemy corowe procesy z punktu widzenia biznesu czy reputacji klienta jak procesy handlowe (eCommerce, Retail, Omnichannel), logistyczne i magazynowe, finansowe, HR-owe czy produkcyjne.

W obszarze infrastruktury krytycznej badamy wpływ zagrożeń na systemy (software i hardware), ich wydajność, bezpieczeństwo, zasoby, backupy, możliwości odtworzenia po awarii, itd.

Możliwe zagrożenia mające wpływ na przedsiębiorstwa to: cyberataki zarówno zewnętrzne jak i wewnętrzne (sabotaże), wycieki danych i kradzież danych (reputacja firmy), awarie zasilania, zalanie Data Center, vendor locking (uzależnienie od dostawców), błędy w aplikacjach np. API, ataki typu DoS czy DDoS na platformy eCommerce, pandemia, itd.

Zobacz naszą ofertę: Doradztwo Cyfrowa Transformacja (Digital Transformation)

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów

Audyt i doradztwo CMS (Content Management System)

Systemy CMS (Content Management System) służą do zarządzania treścią zarówno w sklepach internetowych, stronach internetowych, stronach mobilnych jak i w platformach SaaS (Software as a Service). Są często nazywane Backend i oddzielone często od Frontendu poprzez np. API (Application Programming Interface).

Systemy CMS spotykane w organizacjach często charakteryzują się dużym długiem technologicznym, który powoduje wiele negatywnych skutków dla pracy zespołu programistów i firmy. Dług technologiczny powoduje:

  • Podatność systemów na ataki zewnętrzne i wewnętrzne spowodowane brakiem aktualizacji bezpieczeństwa i narażenie firmy na wyciek danych (patrz Audyt RODO) i utratę zaufania klientów i reputację firmy. Ataki te np. DDoS (Distributed Denial of Service – patrz Testy Penetracyjne) mogą także spowodować zatrzymanie się stron www czy sklepu internetowego i narazić zyski firmy (Business Continuity).
  • Zmiany funkcjonalne w startych systemach CMS powodują zarówno opór zespołów programistycznych, którzy lubią pracować w nowoczesnych technologiach jak i zwiększone koszty zmian z powodu braku dokumentacji, znajomości kodu przez nowych programistów, brak kompetencji starych technologii itd.

Obecnie spotykane systemy CMS to przeważnie otwarte platformy Open Source lub systemy dedykowane. Popularne platformy CMS to:

  • WordPress ze sklepem internetowym WooCommerce
  • Wix
  • Squarespace
  • Joomla
  • Shopify
  • Drupal
  • Prestashop
  • Blogger
  • Magento
  • Bitrix
  • Typo3
  • Textpattern
  • itd.

Audyt platformy CMS pozwala na zmniejszenie długu technologicznego, określenie i ocena ryzyka używania takiej platformy, wskazuje rekomendacje zmian lub migracji na inną platformę CMS, itd.

Przykładowy zakres audytu CMS:

  • Analiza Core CMS
  • Analiza code review pod kątem zgodności ze standardami wytwórczymi CMS
  • Audyt Architektury systemu CMS
  • Ocena Maintability (łatwość konserwacji)
  • Ocena Violations (naruszenia)
  • Ocena bezpieczeństwa platformy CMS
  • Ocena zastosowania dobrych praktyk dla wdrożeń CMS
  • Audyt API (Application Programming Interface)
  • Audyt Frontend PWA, RWD, mobile, itd.
  • Ocena hostingu dla platformy CMS
  • Ocena dostawcy platformy CMS
Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów

Testy penetracyjne

Testy penetracyjne (Pen testy) są metodą kontrolowanego ataku na system lub aplikację, którego celem jest ocena aktualnego stanu bezpieczeństwa. Testy penetracyjne wykonujemy bez jakiejkolwiek znajomości aplikacji czy środowiska systemowego (BlackBox), z całkowitą znajomości kodu czy dokumentacji (WhiteBox) lub z częściową znajomością środowiska (GreyBox). Wybór metody jest także związany z czasem realizacji i kosztami. Najdłużej trwają i są najbardziej kosztowne testy penetracyjne BlackBox.

Do testów penetracyjnych można użyć metodyki np. OWASP (Open Web Application Security Project), która jest zbiorem praktyk bezpieczeństwa zarówno dla testów aplikacji webowych, aplikacji mobilnych czy Internetu Rzeczy (IoT) czy NIST.

Przykładowy zakres OWASP Top10 dla aplikacji webowych:

  • Injection
  • Broken Authentication
  • Sensitive Data Exposure
  • XML External Entities (XXE)
  • Broken Access Control
  • Security Misconfiguration
  • Cross-Site Scripting XSS
  • Insecure Deserialization
  • Using Components with Known Vulnerabilities
  • Insufficient Logging & Monitoring

GoTechnologies wykonuje zarówno testy bezpieczeństwa aplikacji www, aplikacji mobilnych jak i bezpieczeństwa serwerów webowych. Przykładowe testy penetracyjne:

  • Testy penetracyjne aplikacji mobilnej (Mobile)
  • Testy penetracyjne aplikacji webowej (strona internetowa, sklep internetowy, platforma SaaS)
  • Testy penetracyjne API / Webservices
  • Testy penetracyjne infrastruktury i sieci LAN
  • Testy penetracyjne aplikacji natywnych (Desktop, klient-serwer)
  • Testy penetracyjne sieci Wi-Fi
  • Testy dostępności DDOS (Distributed Denial of Service)

Certyfikaty posiadane przez zespół testowy: OSCP, OSWP, eWPT, CISPP, CISA.

Zobacz kompleksową ofertę doradczą na:

Zapraszamy do kontaktu:

pfederowicz@gotechnologies.pl

Ponad 200 zadowolonych klientów