安全與保護

p时刻的战略，运营和战术评估 人群罢工CSHub金融服务峰会的5点总结 添加书签 威胁活动已改变。对手的战术，技术和程序（TTP）已经成熟。随着形势的发展，CISO必须采取迅速而果断的行动，以更好地认识对手，更敏锐地理解同伴现实并继续发展技术，从而保护企业。 Josh Fier提供了本届会议的主要要点。 人群罢工CSHub金融服务峰会的5点总结 智力哲学 认识到不了解对手的含义 战略评估 了解民族国家对您的资产构成的风险 运营评估 通过了解您的同龄人正在发生的事情来揭露您的暴露方式 战术评估 由于指数范围（或不存在），请意识到如何扩大端点安全性焦点 高层建议 专注于行为，决策和速度 现在按需观看会议。 会议概况 前线的电子犯罪 技术领先威胁情报顾问Josh Burgess（VISA前高级网络情报分析师）CrowdStrike 在我们回顾过去一年中观察到的网络威胁活动的重大事件和趋势时，请参加本次会议。 结合CrowdStrike的全球观察意见，并以实际案例研究为例，这些案例研究可洞悉当今的敌人及其策略，技术和程序（TTP），我们将提供可行的建议，这些建议可以指导您的网络安全策略并帮助抵御2020年及以后的复杂攻击。 涵盖的主题将包括： 有关COVID的最新诱饵和攻击 对最有能力的犯罪威胁行为者的评估。 有关勒索软件演变的内容。 审查犯罪集团如何成功违反商业和政府组织。 推荐的。

不再只有技术技术人员，首席信息安全官的发展已使他成为当今业务的推动者。短短几年间，相关高管已经从领导No部门转到了Know部门。 今年的预算季节与众不同。 有些人说比较长，有些人说比较短。根据即将发布的“年终支出和趋势报告”（接受调查）的初步结果，一些人预计会花费更多，而一些人则计划在三年内削减20％。董事会意识到，无论出于何种原因，2020年都会有计划外的网络安全支出。 当前受访者中的1/3将大部分预算用于分配与立即迁移到分布式劳动力相关的即时需求。 因此，今年的预算编制工作应该与众不同。网络安全中心社区已集体分享了如何进行预算编制。 我们已经从与CISO预算编制的7个关键点之间的对话中走了出来。 COVID-19最有可能以某种方式影响您的预算。将支出与过去的预算对话联系起来。 您是否建议过往的支出，当您建议支出时会减少吗？无论哪种方式，都可以分享与该初始匹配相关的持续支出，以及该持续支出现在比以后少的多。 控制与不断分散的劳动力相关的新的和即将到来的风险 处于某种形状或形式的分布式劳动力将留在这里。现在为您的SASE未来做准备是有说服力的业务实践。 建立您自己的零信任体系结构现在是赌注。您在“零信任”连续体的哪儿？ 预先确定投资的长尾和节省成本 现在，董事会比以往任何时候都更愿意听听您的预算弹性。企业现在通过投资获得了哪些隐藏的长期价值？和同一笔投资相关的隐藏的长期成本是什么？ 您可能需要一位新分析师来操作新技术，以取代旧技术和一位退休的老分析师，但新技术将需要12位中的第二位分析师个月。将资金投入系统和人才中，从中抽出资金，可以帮助说明现在需要进行投资的情况。 法规要求作为预算项目的必要条件 虽然现在最好为即将到来的法规甚至是即将到来的指南进行规划-当然，您应该在这些法规上分配预算书。 但是，这种法规对话应该成为网络安全前瞻的一部分，检测倾斜姿势的叙述。 利用威胁情报作为您现在和将来需要的预算的主要指标 您的威胁情报如何？您是否正在接收来自行业协作来源的提要？您是否已通过政府渠道签到？您的分析师如何评估您的供稿？这些提要是否自动执行，仅对您最聪明的才干抛出例外？ 除了这些问题之外，您如何才能以合理的方式阅读您的饲料茶叶预算，说明您在三个月和六个月内的需求状况。了解何时花多少钱是预算科学中的艺术部分。 量化客户信任的价值 难以量化声

p网络安全中的危机与监管交叉 Capsule8金融服务峰会会议上的5个重要要点 添加书签 辛西娅·伯克（Cynthia Burke）实际上是在1887年美国《州际贸易法》的影响下做硕士论文的。她的结论是，当人们认为企业“做错了事”时，就会进行立法。从那时起到现在，她一直在研究当前的全球隐私法律基础设施以及对网络安全的总体影响。 现在按需查看会话。 5个关键要点 意识到美元和天数受到数据泄露影响的不可持续影响 缺乏全面的联邦法律来管理隐私，以及书籍上两个最大的州隐私法律之间的区别 从《怪物史莱姆斯II》的发现中学到的教训 尽管有众多未知因素，您现在可以采取4个可行的步骤来改善您的隐私状态 将隐私计划管理纳入更大的安全性，合规性和治理重组中 现在按需查看会话。 会议概况 危机与监管的交集 Capsule8项目经理Cynthia Burke 危机发生后，监管趋于普遍-随着世界在巨大的金融，政治和社会动荡中航行，这在安全性和合规性方面将如何影响“一切照旧”？ Schrems II和2020年7月的《欧盟-美国数据隐私保护盾》失效，通过分布在高度分散的系统上的高度分散的员工队伍，加速了向云的迁移，创下了跨行业广泛的合规性罚款记录-所有这些指标都表明我们在未来几年中可能需要特别关注安全性和合规性。 在本次会议中，我们将探讨即使在许多未知的未知因素中，仍致力于安全性和合规性工作的人员的有用重点领域。我们将讨论数据隐私计划日益重要的意义，以及这些程序如何与您的安全和运营团队直接相交。 在我们等待Schrems II之后澄清指南的过程中，本次会议将概述您现在就可以开始的一些有用的方法和准备工作-毫无疑问，安全调查表将有所增加，对您现有的审计实践，报告和认证的附加检查将更加严格-可重复的基于证据的结果来证明您既安全又合规将是至关重要的。 本次会议将就如何应对日益复杂的全球合规与安全领域提供高水平的建议。 由...赞助： 推荐的。

[公开的记录：200个||行业：电子商务攻击类型：内部人员] Shopify周二发布了一份声明，报告了由两名流氓员工实施的内部安全事件，该事件影响了不到200家电子商务商店。 该加拿大电子商务公司成立于2006年，是满足电子商务零售需求的首选供应商。 Shopify支持175个国家/地区的超过100万注册商家，包括特斯拉和丝芙兰（Sephora）之类的大名。减轻损害。尽管如此，该违规行为仍然足以使其在纽约证券交易所的股票下跌1.27％。 Shopify发布的声明将这一违规行为概括为两名流氓员工试图从Shopify商家窃取交易详细信息。根据Shopify的说法，此漏洞中的泄露数据包括：“…基本联系信息，例如电子邮件，姓名和地址，以及订单详细信息（例如购买的产品和服务）。”违反期间未访问支付卡号和其他敏感信息。 相关：p建立内部威胁程序比您想象的要容易 Shopify正在与FBI紧密合作，以进一步调查违规行为和实施该计划的前雇员。重要的是要注意，该突破并不是由于技术漏洞而发生的。 尽管调查仍处于初期阶段，但它遵循了最近的网络安全事件中出现的惊人趋势。 特斯拉最近受挫的内部攻击涉及俄罗斯工作人员试图贿赂内部员工。通过使用社会工程策略操纵内部员工，使得7月成为头条新闻的Twitter攻击成为可能。 网络犯罪分子越来越多地成为衡量人类脆弱性的专家。 实际上，他们的威力正从技术转向心理。勒索软件即服务（Raas）使技术水平较低的网络罪犯能够集中精力利用人类心理的漏洞来利用技术漏洞。 相关内容：安全供应商合作伙伴的10个关键特征 有些策略是显而易见的，例如向企业员工提供大量现金来交换数据或访问内部系统。 其他策略包括通过假装别人或掠夺忙碌的工作日程和/或粗心大意来操纵员工。例如，这些邪恶的参与者通过电子邮件或直接通信来熟练地唤起强烈的人类情感，例如恐惧或紧迫感，以说服或劝诱员工点击恶意链接或泄露敏感信息。 这些攻击的人为因素使企业难以缓解。 仍在开发和部署新的安全技术，以消除这些社会工程学威胁，例如： 尽管公司臭名昭著地（尽管应该如此）对网络安全软件进行了大量投资，但没有软件能够防止简单的人为错误，无论是有意还是无意。顶级网络安全专家恳请公司创建或提供强大的网络安全培训。甚至基本的员工教育课程，例如鼠标悬停技能和了解电子邮件地址或域名的解剖结构，都对企业

p本周突发事件：Equinix是勒索软件受害者中的一长串 添加书签 [已公开的记录：未公开行业：互联网|攻击类型：勒索] Equinix是一系列勒索软件目标的最新受害者。数据中心和托管服务提供商在9月9日发布了一条简短的声明，内容为： “ Equinix当前正在调查我们检测到的涉及我们内部某些系统上的勒索软件的安全事件。我们的团队立即采取果断行动来处理此事件，已通知执法部门并正在继续调查。我们的顾客。请注意，由于大多数客户在Equinix数据中心内操作自己的设备，因此此事件对其操作或Equinix上的设备数据没有影响。我们系统中数据的安全性始终是头等大事，我们打算根据调查结果采取一切必要的措施。 ” 威胁者要求提供450万美元以换取解密器，并承诺不会释放被盗数据。但是，Equinix在9月14日更新了其声明，以重申客户的数据和操作仍然安全。 相关：p网络安全标准和框架 有罪的一方似乎是年轻的网络犯罪组织，称为NetWalker，该组织于2019年8月首次出现在现场。他们的成功在于能够自动执行勒索软件攻击，包括倒计时时钟和预制的勒索信息，这些信息在适当的时间出现在手术过程中。勒索即服务（RaaS）在整个网络安全领域构成了越来越大的威胁，因为它允许经验不足或技术含量较低的黑客购买执行此类hack所需的自动化软件。 在NetWalker充当网守的情况下，黑客组织经过了筛选过程，然后才能访问包含NetWalker勒索软件的网络门户，然后可以对其进行自定义以满足其特定需求。 NetWalker的20％佣金在3月1日至7月27日为该集团赚了2500万美元。 得到教训： 实际上，Coalition的一份报告发现，在2020年上半年，有41％的网络保险索赔是勒索软件事件。另据报道，尽管勒索软件攻击的频率有所降低，但其成功率和目标规模却在不断增长。换句话说，这些威胁参与者的日益复杂的策略甚至对最发达的企业也构成了真正的风险。 相关：p如何抢先跟踪网络钓鱼活动 尽管勒索软件攻击的执行是特定的，但被利用以使勒索软件成为可能的漏洞与大多数其他网络威胁相同。具体而言，54％的网络攻击是通过电子邮件（恶意软件）和网络钓鱼计划来实现的。 快速提示： 勒索软件攻击部分依赖于松懈的网络协议。 为了最好地保护您的企业免受日益增长的威胁，请考虑以下事项： 聪明地备份数

p不断变化的威胁形势下的新威胁 第7特遣部队151集 添加书签 随着我们迈向2021年，安全威胁无处不在，而且仍在不断发展。尽管本周的TF7事件询问了另一种威胁的可行性，但在我们的年终调查中，您会询问您对网络安全支出和趋势的看法。也许一边听一边进行调查？ 剧集概述 MLi集团董事长兼首席执行官Khaled Fattal再次加入共同主持人Andy Bonillo，在Task Force 7 Radio的第151集中表达对生存力的看法。公司的生存能力和安全威胁。法特塔尔先生（Fattal）对传统新闻业以及如何进行改进以提高效率发表了自己的看法。 现在听 推荐的。

第5页CSHub金融服务峰会有关网络AI的主要要点 添加书签 贾斯汀·菲尔（Justin Fier）加盟美国情报界，致力于反恐和网络运营。自发行以来，他每2600都有一份印刷本。他的网络安全得到了保障。 p 会议的5条要点： 数字加速和全球颠覆如何塑造当今的威胁格局 银行和金融业的安全挑战-内部威胁，IP盗窃，数据泄露以及合规性和法规 先进的AI网络防御如何在高风险环境中保护数字财产 网络AI如何发现并阻止欺骗的Chase欺诈警报 防御性AI胜过攻击性AI CSHub金融服务峰会会议概况 依靠网络AI银行：在网络攻击者敲响金牌之前消除威胁 Darktrace情报与分析总监Justin Fier 如今，数字金融数据推动着全球业务和经济发展。有了更大的回报，网络攻击者将继续全力瞄准金融行业机构，并提高攻击能力。 与Darktrace情报与分析总监Justin Fier一起讨论金融机构面临的挑战，包括内部威胁，IP盗窃，数据泄露以及合规与监管。 还将特别关注AI-强大的网络防御能力，以抵御下一代更强大，更强大的网络攻击。 发现： 先进的网络防御技术如何在高风险环境中保护整个数字财产 网络AI如何挫败旨在收集欺诈交易信息的欺骗性Chase Fraud警报 攻击者如何通过进攻性AI增强社交工程技术 由...赞助： 推荐的。

p不懈地关注连续性 添加书签 在会议之前，我们着重介绍了GCR的实时BCM，商业银行在美洲CISO举行的CSHub金融服务峰会上的Tom Kartanowicz。您现在可以按需查看该会话。 活动开始前，我们注意到： Tom真正地专注于业务连续性管理。 Tom意识到，他必须应对各种规模的破坏，即时和长期的，明显的和难以捉摸的破坏。大多数顶级网络安全主管都是以这种思维方式构建的。但是汤姆也将自己对持续性的不懈关注与对治理，风险管理和合规性的实证关注直接联系在一起。 既然会议已经开始，我们将借此机会提供一些经验教训。 会议的主要要点包括： 设定未来预测：为了业务连续性，计划本身只是冰山一角。测试该计划，管理该计划并为该计划生效后的生活做准备。 供应链威胁：我们所有人都继续面临第三方风险。您上一次与合作伙伴联系是什么时候？你和他们有对话吗？他们是否有保障？ 没有任何借口：服务级别必须是COVID之前的。其他任何都不可接受。 始终处于测试状态：只有经过测试，您才知道。过去是每年一次，然后每季度一次-现在是冲刺-借用了敏捷术语。 组织弹性：替补席有多深？ 现在按需查看会话。 推荐的。

p当预算持平或下降时出现投资泡沫？ 添加书签 网络安全中心继续分享预算是固定的还是下降的。请参加年终调查，告诉我们您的真实情况。但是，企业企业预算缺乏上升动力，似乎并未影响投资界对网络安全解决方案提供商股票价格的热情。 剧集概述 Landmark Ventures的普通合伙人兼首席技术官Anthony Juliano先生与联合主持人Andy Bonillo一起参加了Task Force 7 Radio的第150集，以表达他对潜在的网络安全投资泡沫的看法。安东尼还讨论了建立关系的重要性，这种关系如何在大流行期间帮助其公司取得成功，他在首席执行官中的期望以及哪些网络安全问题需要更多创新。 安东尼还谈到了中国收紧技术出口法规的问题。在TikTok截止日期之前。所有这一切，以及Task Force 7 Radio的第150集中的更多内容。 现在听 推荐。

p本周突发事件：Equinix是勒索软件受害者中的一长串 添加书签 [已公开的记录：未公开行业：互联网|攻击类型：勒索] Equinix是一系列勒索软件目标的最新受害者。数据中心和托管服务提供商在9月9日发布了一条简短的声明，内容为： “ Equinix当前正在调查我们检测到的涉及我们内部某些系统上的勒索软件的安全事件。我们的团队立即采取果断行动来处理此事件，已通知执法部门并正在继续调查。 我们的数据中心和我们的服务产品（包括托管服务）保持全面运行，该事件并未影响我们的支持能力我们的顾客。请注意，由于大多数客户在Equinix数据中心内操作自己的设备，因此此事件对其操作或Equinix上的设备数据没有影响。系统中数据的安全性始终是头等大事，我们打算根据调查结果采取一切必要的措施。 ” 威胁者要求提供450万美元以换取解密器，并承诺不会释放被盗数据。但是，Equinix在9月14日更新了其声明，以重申客户的数据和操作仍然安全。 相关：p网络安全标准和框架 有罪的一方似乎是年轻的网络犯罪组织，称为NetWalker，该组织于2019年8月首次出现在现场。他们的成功在于能够自动执行勒索软件攻击，包括倒计时时钟和预制的勒索信息，这些信息在适当的时间出现在手术过程中。勒索即服务（RaaS）在整个网络安全领域构成了越来越大的威胁，因为它允许经验不足或技术含量较低的黑客购买执行此类hack所需的自动化软件。 在NetWalker充当网守的情况下，黑客组织经过了筛选过程，然后才能访问包含NetWalker勒索软件的网络门户，然后可以对其进行自定义以满足其特定需求。 NetWalker的20％佣金在3月1日至7月27日为该集团赚了2500万美元。 得到教训： 实际上，Coalition的一份报告发现，在2020年上半年，有41％的网络保险索赔是勒索软件事件。另据报道，尽管勒索软件攻击的频率有所降低，但其成功率和目标规模却在不断增长。换句话说，这些威胁参与者的日益复杂的策略甚至对最发达的企业也构成了真正的风险。 相关：p如何抢先跟踪网络钓鱼活动 尽管勒索软件攻击的执行是特定的，但被利用以使勒索软件成为可能的漏洞与大多数其他网络威胁相同。具体而言，54％的网络攻击是通过电子邮件（恶意软件）和网络钓鱼计划来实现的。 快速提示： 勒索软件攻击部分依赖于松懈的

p与同行匿名基准测试 添加书签 在运行网络安全中心的三年中，我们发布了年终调查的结果。结果已成为了解网络安全社区内有关职能，方法，技术，领导力，对手和盟友的观点如何变化的可靠方式。 但是，真正了解您和您的组织如何与同龄人形成对比的唯一方法是参加调查。 好消息是，它只需不到10分钟即可完成。立即参加调查。 我们期待在11月提供结果。 推荐的。

[公开的记录：未公开|行业：娱乐，电子商务攻击类型：Magecart] 华纳音乐集团公司在音乐和娱乐行业拥有长达62年的历史。这家纽约公司成立于1958年，名称为华纳兄弟唱片公司（Warner Bros. Records），是全球第三大音乐公司，拥有数千名员工，自2017年以来每年带来超过40亿美元的收入。小，不受网络攻击。 8月5日，WMG发表了一份声明，声明涉及一个安全事件，该事件影响了未披露数量的电子商务客户。 WMG保持沉默的是，其哪些电子商务商店受到了影响-WMG部门包括Elektra和Atlantic Records以及诸如Uproxx和Songkick之类的子公司已经披露了此次攻击中泄露的信息类型。根据WMG， “在将商品放入购物车后，您在2020年4月25日至2020年8月5日之间进入一个或多个受影响网站的任何个人信息都可能被未经授权的第三方获取。其中可能包括您的姓名，电子邮件地址，电话号码，账单地址，送货地址和付款卡详细信息（卡号，CVC / CVV和有效期）。 通过PayPal进行的付款不受此事件的影响。” 相关：p Magecart基于Web的供应链攻击越来越多 可能受到影响的客户会收到有关数据泄露的通知，并通过Kroll进行了一年的免费信用监控。虽然没有通知客户哪些电子商务网站受到入侵，但WMB承认该漏洞从4月25日到8月5日处于活动状态。 WMB并未明确透露攻击类型，但M.O.导致人们以为这是所谓的Magecart攻击。 也称为掠夺，这是一种攻击，其中电子商务网站被渗透并植入了一段代码，这些代码记录客户输入的数据。有时，攻击者闯入服务器基础架构以植入代码。以WMG为例，他们在声明中说受影响的网站“由外部服务提供商托管和支持”，这似乎是黑客通过受感染的第三方运行了撇渣脚本。 WMB还报告说：“发现此事件后，我们立即在领先的外部网络安全专家的协助下展开了全面的法医调查，并迅速采取措施解决和纠正此问题。我们还通知了相关的信用卡提供商以及我们继续与之合作的执法部门。” Mageware攻击易于执行，因为它们只需要影响一个易受攻击的代码源即可起作用。 大多数电子商务网站都使用多种第三方，第四甚至第五方软件进行操作。购物车插件或云服务提供商是其中可能存在漏洞的两个示例。没有特定的干预，外部软件可以跨网站的代码运行和访问所有代

Herman Brown是SF地区检察官办公室的首席信息官，他还担任CISO的职能。他具有与公共部门经验相匹配的私营部门经验。他最近与我们坐了5个问题。 坦率地说，过去三个月我的心态没有改变。具有军事背景并具有过往的安全经验，我进入该组织，认为安全是我们赖以发展的基础。因此，我一直都是安全意识和专注的人。 我想说，尽管过去三个月发生了变化，但整个组织现在已经意识到安全的重要性。有一种理解，就是从少数人在风险最小的远程工作到现在整个公司都在远程工作，我们现在必须迈出更大的一步。因此，现在存在更大的风险和承担范围，并且对这种风险有了更深入的了解。 推进战略的最大关键实际上是了解所涉及的风险，那些潜在风险在何处以及与谁共处，然后适当地进行培训和教育。您只有最薄弱的一环一样坚强。 作为CIO和CISO，我一直说安全性不仅仅是IT功能，它是组织功能，是每个人的责任。 我们的责任是确保员工了解安全风险以及如何做，以及如何适当应对安全风险。 您的主要重点是预防。这是主要重点。 它始终是关于预防并试图阻止这种威胁的发生，因此您不必启动该事件响应计划。但是您需要端点保护。您需要防病毒解决方案；您需要防火墙，需要多因素身份验证。我的意思是，那里有很多工具和技术，而不仅仅是一种。进入和离开您的网络的流量，但是您还希望向东，向西看，查看网络中正在发生的事情以及网络中正在发生的事情。因此，我们拥有能够做到这一点的工具。 我认为拥有安全的仪表板可以快速通知您，或者使您轻松，直观地了解网络中发生的事情，这一点非常重要。并且能够监视并设置警报以自动通知您，但是这些全都是您必须利用和实施的工具带中的工具，它们必须彼此集成。这是一项艰巨的任务，是一项艰巨的任务，但这是战斗的必要邪恶，无论是内部还是外部的威胁行动者。 我们总是谈论外部威胁和外部的坏人，但是有时您的组织中有一些心怀不满的员工和/或只是我不愿幼稚的员工，但他们犯了一个错误。他们没有故意破坏系统或帐户，但是确实发生了。 遵守法规有助于推动该安全计划的实施。 通过执行团队和董事会更容易解决问题，当您可以说：“嘿，由于法规遵从性，法规方面的原因，我们必须这样做，因为在企业希望对企业和员工以及他们的运作方式产生最小影响的时候，这不一定是最佳实践，也不会使组织处于较高风险中，所以我很喜欢合规性。并非总是正确或容易的，这也可能

下载PDF附件 我们尊重您的隐私，点击“下载您的副本”会收到我们的电子通讯，其中包括有关播客，网络研讨会，活动折扣， 在线学习机会，并同意我们的用户协议。您有权提出异议。此外，您同意拥有自己的详细信息 传递给赞助商，赞助商可以根据其隐私权政策推广与您感兴趣的领域相关的类似产品和服务。 有关我们如何处理和监控您的个人数据的更多信息，请点击 这里。 您可以随时取消订阅。 凭据填充攻击的当前和潜在影响是广泛的，不能夸大其词。 只要存在用户名和密码，犯罪分子就会将其作为目标，从而使消费者，组织及其有价值的信息处于危险之中。 密码共享和回收是这些帐户中最大的促成因素，这就是为什么针对与共享和回收的密码有关的风险的意识计划如此重要的原因。 此外，迫切需要更强大的身份验证方法，例如多因素身份验证，以进一步保护帐户免受攻击。 关键要点包括： 27个月内媒体行业的攻击趋势 组织持续看到的内容 媒体行业的凭证填充攻击和帐户接管活动如何持续稳定增长 下载PDF附件 我们尊重您的隐私，点击“下载您的副本”会收到我们的电子通讯，其中包括有关播客，网络研讨会，活动折扣， 在线学习机会，并同意我们的用户协议。您有权提出异议。此外，您同意拥有自己的详细信息 传递给赞助商，赞助商可以根据其隐私权政策推广与您感兴趣的领域相关的类似产品和服务。 有关我们如何处理和监控您的个人数据的更多信息，请点击 这里。 您可以随时取消订阅。 赞助人：。

本周事件：对特斯拉的勒索软件遭到挫败警告 事实： 上个月初，特斯拉接到内部员工的通知，称他们已经收到了不寻常的报价。该员工花了500,000美元，将勒索软件安装到公司的网络上，以勒索勒索软件达到数百万美元。幸运的是，该员工向特斯拉伸出了双手，特斯拉又向FBI伸出了手。 从那里开始，FBI与该员工一起开展了一次打击行动，导致27岁的Egor Igorevich Kriuchkov被捕。古俄语。 勒索软件攻击不断成为新闻，这是有道理的。据《纽约时报》报道，勒索软件攻击在2019年比前一年增加了41％，大流行只是在增加这一数字。 在某种程度上，勒索软件攻击正在加速发展，因为它们起作用了。此外，当邪恶的网络罪犯从这种利润丰厚的黑客活动中获得收入时，他们将利润重新投资到他们的网络犯罪活动中（Business 101）。特斯拉的尝试是独特的，它指出了黑客正在结合使用的两种策略：社交工程和贿赂。 虽然在这种情况下无法解决问题，但它可能预示了未来的黑客趋势。 得到教训： 社会工程是对员工泄露凭证和访问内部系统的心理操纵。在这种情况下，该雇员被克里尤科夫（Kriuchkov）社交了几次，后者为自己的饭菜付钱并为他买了饮料，但拒绝了所有摄影作品。 他们于2016年在良性环境下首次见面。他们都是俄罗斯人。克里奥科夫很容易以友谊为幌子通过WhatsApp重新建立联系。 相关：p新的网络攻击格局如何影响您的业务？ 在为他取胜并用餐几天后，Kriuchkov向该雇员提出了保证的报价：$ 500,000，以使用USB记忆棒或通过电子邮件发送的链接轻松安装勒索软件。他解释说，与他合作的“小组”将对勒索软件进行加密，使其无法追踪，并伴随DDoS攻击，以分散特斯拉的网络安全团队的注意力。他甚至竭尽全力将这次袭击钉在另一名员工身上，这是他选择的任何一种。 尽管这次进行社会工程学的尝试并没有成功，但很容易看到事情可能会以另一种方式发生。这可能表明，勒索软件利润的增长已被重新投资于贿赂内部人员。在如此动荡的时期内，有这么多美国人担心金融不安全，这种攻击最终将不可避免。 相关：人类欺骗的杠杆：社会工程学背后的科学和方法论 快速提示： 尤其是在这些经济困难时期，没有任何组织可以幸免于遭受社会工程攻击和贿赂。以下是一些确保组织安全的快速提示： 采用零信任策略 监视员工帐户中是否有异常

本周事件：对特斯拉的勒索软件遭到挫败警告 事实： 上个月初，特斯拉接到内部员工的通知，称他们已经收到了不寻常的报价。该员工花了500,000美元将勒索软件安装到公司的网络上，以勒索勒索软件达到数百万美元。幸运的是，该员工向特斯拉伸出了双手，特斯拉又向FBI伸出了手。 从那里开始，FBI与该员工一起开展了一次打击行动，导致27岁的Egor Igorevich Kriuchkov被捕。古俄语。 勒索软件攻击不断成为新闻，这是有道理的。据《纽约时报》报道，勒索软件攻击在2019年比前一年增加了41％，大流行只是在增加这一数字。 此外，当邪恶的网络罪犯从这种利润丰厚的黑客活动中获得收入时，他们将利润重新投资到网络犯罪活动中（Business 101）。特斯拉的尝试是独特的，它指出了黑客正在结合使用的两种策略：社交工程和贿赂。 尽管在这种情况下无法解决问题，但它可能预示了未来的黑客趋势。 得到教训： 社会工程是对员工泄露凭证和访问内部系统的心理操纵。在这种情况下，该雇员被克里尤科夫（Kriuchkov）社交了几次，后者为自己的饭菜付钱并为他买了饮料，但拒绝了所有摄影作品。 他们于2016年在良性环境下首次见面。他们都是俄罗斯人。克里奥科夫很容易以友谊为幌子通过WhatsApp重新建立联系。 相关：p新的网络攻击格局如何影响您的业务？ 在为他取胜并用餐几天后，Kriuchkov向该雇员提出了保证的报价：$ 500,000，以使用USB记忆棒或电子邮件链接简单地安装勒索软件。他解释说，与他一起工作的“小组”将加密勒索软件，使其无法追踪，并伴随DDoS攻击，以分散特斯拉的网络安全团队的注意力。他甚至竭尽全力将这次袭击钉在另一名雇员身上，这是他选择的任何一种。 尽管这次进行社会工程学的尝试并没有成功，但很容易看到事情可能会以另一种方式发生。这可能表明，勒索软件利润的增长已被重新投资于贿赂内部人员。在如此动荡的时期内，有这么多美国人担心金融不安全，这种袭击最终将不可避免。 实际上，根据克劳奇科夫在电梯推销期间的说法，事实已经如此。 相关：人类欺骗的杠杆：社会工程学背后的科学和方法论 快速提示： 尤其是在这些经济困难时期，没有任何组织可以幸免于遭受社会工程攻击和贿赂。以下是一些确保组织安全的快速提示： 采用零信任策略 监视员工帐户中是否有异常活动。 警惕危险信

安全文化 第7特遣队145集 正如我们最近的CISO事件响应策略和策略所指出的那样，建立具有清晰沟通的安全文化势在必行。有人说，意识只是第一步，而将网络安全文化和意识注入组织是最终目标。 Horizo​​n Power首席信息安全官Jeff Campbell就是这样的一位高管，“这是要使事件响应成为自动响应的一部分。 确保存在网络安全文化。确保对什么是网络安全有一个状态-因此，当事情发生时，您知道该怎么做，这几乎是自然的。如果工作人员不小心点击了 电子邮件，然后意识到并有“哦，s＃！％”这一刻， 然后他们会自动知道该怎么办。 事件响应向前。”本周的TF7客人表示同意。 剧集概述： CISO如何创建信息安全策略因组织而异。 一个特殊的挑战是为资源很少的技术创业公司创建策略。日薪信息安全副总裁Jeffrey Hudesman谈到金融科技公司面临的最大威胁，如何应对这些威胁，他如何在组织中建立安全文化以及ISO等安全认证的重要性27001到较小的公司。 Hudesman还评论了及时威胁情报的重要性，如何在金融科技中实施红色团队运作以及他如何看待新兴技术在小型初创企业的安全态势中所扮演的角色。 现在听： 推荐的。

我们必须承认，在本文的标题中使用了“ vs.”来引起您的注意。因此，我们将像约翰尼·卡什（Johnny Cash）一样，拉开长长的黑色面纱，让您知道，我们知道将合规性与安全性作为一种潜在选择是错误的叙述。 这不是一种选择。您知道这不是一个选择。如果董事会认为这是一个选择，那就让雷·查尔斯（Ray Charles）成为杰克…或杰奎琳（Jacqueline）吧。 因此，在开始之前，我们所有人都在同一页面上，事实是CISO角色的任务是平衡合规性指令与安全性目标。因此，我们求助于CSHub社区来校准衡量这种平衡的规模。 合规性和安全性具有不同的规则和不同的目标p 当我们问威斯康星大学麦迪逊分校首席信息安全官鲍勃·特纳说“合规性与安全性”时，您感觉如何，他he然回答：“这就像在烤架上说棒球运动员对足球运动员。安全是重中之重。您将合规扔在那里，如果您认为那是一项运动，那是不正确的。 合规不是安全。” 我们注意到，在考虑合规性和安全性时，“对抗”的构造不适用。就是说，“＆”符号的构造也不起作用（合规性和安全性）。 使用Bob的类比-游戏领域决定了您成功使用的技能。贝比·露丝（Babe Ruth），使用专家级的力量击球技巧在足球场上不会成功。是的-他的竞争精神将有所帮助，他的运动能力将适用-但棒球不是足球。 正如鲍勃所说，“守法不是安全。” 因此，两者都是目标，但在一起却充满危险。可悲的是，当然不能一次做到合规性和安全性。 如果您仅关注合规性，就会被违反。如果您只关注安全性，则会遭到起诉。这些结果中的每一个都不可接受。 Horizo​​n Power CISO的Jeff Campbell提出了一些令人寒寒的冷酷事实：“查看一些既符合PCI标准又符合27k标准但仍设法通过该合规计划验证过的简单控件的组织的主要黑客。”不符合PCI标准不是一种选择。但是，仅符合PCI标准也是一种选择。 做正确的事，做好正确的事p 因此，找到合规性与安全性之间的平衡是关键。美洲商业银行CISO的汤姆•卡塔诺维奇（Tom Kartanowicz）从行为的角度看待它。 “您想做正确的事，做好正确的事。遵从性是在做正确的事，而做好事在做就是安全。 ” 虽然立法者通常不是网络安全专家，但从长远来看，精心设计的明智法规应该成为基线安全协议。卡塔诺维兹（Kartanowicz）类比：“由于联邦

媒体行业中的凭证填充 下载PDF附件 我们尊重您的隐私，单击“下载您的副本”会收到我们的电子通讯，其中包括有关播客，网络研讨会，活动折扣， 在线学习机会，并同意我们的用户协议。您有权提出异议。此外，您同意拥有自己的详细信息 传递给赞助商，赞助商可以根据其隐私权政策推广与您感兴趣的领域相关的类似产品和服务。 有关我们如何处理和监控您的个人数据的更多信息，请点击 这里。 您可以随时取消订阅。 凭据填充攻击的当前和潜在影响是广泛的，不能夸大其词。 只要存在用户名和密码，犯罪分子就会将其作为目标，从而使消费者，组织及其有价值的信息处于危险之中。 密码共享和回收是这些帐户中最大的促成因素，这就是为什么针对与共享和回收的密码有关的风险的意识计划如此重要的原因。 此外，迫切需要更强大的身份验证方法，例如多因素身份验证，以进一步保护帐户免受攻击。 关键要点包括： 27个月内媒体行业的攻击趋势 组织持续看到的内容 媒体行业中的凭证填充攻击和帐户接管活动如何持续稳定增长 由...赞助： 推荐的。