Ripple áhrifin: Hvernig ein veikari hlekkur getur slegið niður fjárhagslegum verðmætum þínum í krypto
Hér hjá Exbix er öryggi ekki bara eiginleiki; það er grunnurinn að öllu sem við gerum. Þú hefur séð bloggin okkar um kalda geymslu, tveggja þátta auðkenningu og phishing svik. Teymi okkar af hvít-hatta tölvuhakkurum vinnur allan sólarhringinn, prófar kerfin okkar undir álagi, byggir stafrænar virki til að halda Bitcoin, Ethereum og aðrar stafrænar eignir öruggar. Við sofum vel vitandi að beint okkar
varnirnar eru meðal þeirra sterkustu í greininni.En hvað ef ég segði þér að mesta ógnin við dulritunina þína gæti ekki verið bein árás á Exbix yfirhöfuð?
Ímyndaðu þér stein sem er látinn falla í kyrran tjörn. Áhrifin eru staðbundin, en bylgjurnar berast út og hafa áhrif á allt yfirborðið. Í okkar ofurtengda stafræna heimi virkar netógn á sama hátt. Árás á eina, virðist óskyld fyrirtæki—hugbúnaðaraðili, markaðsstofu, jafnvel HVAC verktaki—getur sent skelfingu í gegnum allt vistkerfið, allt að veskjinu þínu.
Þetta er raunveruleikinn varðandi netöryggisáhættu þriðju aðila og birgðakeðju. Það er stafrænt jafngildi þess að hafa óvarinn bakdyr því þú treystir leigjandanum í næsta húsi að hafa a góð lás. Fyrir skiptimarkað með rafmyntir, þar sem traust er eina sanna gjaldmiðillinn, er skilningur á þessum keðjuverkandi áhrifum ekki valfrjáls—hann er nauðsynlegur til að lifa af.
Utan okkar veggja: Um hvað erum við nákvæmlega að tala?
Leyfum okkur að brjóta niður tæknimálið.
- Þriðja aðila áhætta: Þetta er hætta sem stafar af ytri aðilum sem hafa aðgang að gögnum, kerfum eða ferlum okkar (Exbix). Hugsaðu um forritin sem þú tengir við Exbix reikninginn þinn í gegnum API, greiningarfyrirtækin sem við notum til að fylgjast með frammistöðu vefsíðunnar, eða hugbúnaðinn sem við notum til að veita viðskiptavinaþjónustu.
- Cyberhætta í birgðakeðju: Þetta er sérstök, og oft alvarlegri, tegund af þriðja aðila áhætta. Þetta felur í sér árás á birgja sem síðan er notaður sem skref til að ógna þeirra viðskiptavinum—okkur. Hin fræga SolarWinds árás er klassískt dæmi, þar sem illgjarn kóði var settur inn í hugbúnaðaruppfærslu, sem síðan var dreift til þúsunda fyrirtækja, þar á meðal ríkisstofnana.
Fyrir Exbix, okkar “birgðar "keðja" snýst ekki um líkamlegar vörur; það snýst um stafrænu verkfærin og þjónusturnar sem halda viðskiptum okkar gangandi. Þetta felur í sér:
- Vöru- og geymsluþjónustur: Þjónusturnar sem við gætum samþætt við fyrir aukna lausafjárstöðu eða öryggi.
- KYC/AML staðfestingarþjónustur: Ytri fyrirtæki sem hjálpa okkur að staðfesta auðkenni og tryggja reglufylgni. Brot hér er persónuverndarslys.
- Skýjaþjónustuaðilar (AWS, Google Cloud, o.s.frv.): Við byggjum á þeirra grunni. Öryggi þeirra er í eðli sínu okkar öryggi.
- Hugbúnaðarsalar: Frá hugbúnaði okkar fyrir stjórnun viðskiptatengsla (CRM) til innri samskiptatækja okkar eins og Slack eða Microsoft Teams.
- Markaðs- og greiningarpallar: Kóðinn sem keyrir á vefsíðu okkar til að fylgjast með hegðun notenda.
Veikleiki í einhverjum af þessum hlekkjum getur orðið að okkar veikleika.
Af hverju eru dulritunarskiptimarkaðir eftirsóttir skotmörk í aðfangakeðjunni
Við erum ekki bara enn ein vefsíðan. Við erum hámarkshlutfall, og árásaraðilar eru sífellt skynsamari. Hvers vegna að eyða orku í að brjóta niður framsidan okkar þegar þeir geta smyglað sér inn í gegnum illa varinn glugga í skrifstofu birgja?
- Augljós verðlaun: Stafræn eign. Bein fjárhagsleg hvatning til að stela cryptocurrency er óviðjafnanleg. Það er landamótalaus, pseudónýtt, og hægt er að flytja óafturkræft á mínútum.
- Gullgróf gagna. Þó að þeir geti ekki beint aðgang að heitum veski, er gögnin þín ómetanleg. Þekking á viðskiptavini (KYC) gögn—passar, ökuskírteini, sjálfsmyndir—er gullmoli á myrka vefnum. Þessar upplýsingar geta verið notaðar í auðkennisþjófnaði, markvissum phishing, eða jafnvel útrýming.
- Máttur truflunar. Sumir árásarmenn eru ekki í þessu fyrir peningana heldur fyrir óreiðuna. Að trufla stóran skiptimarkað með árás á birgðakeðjuna getur valdið gríðarlegum markaðsóvissu, veikt traust á öllu krypto rýminu, og verið notað til markaðsmanipuleringar.
Þeir draugar sem hafa brotist inn áður: Lexíur frá vígstöðvum
Við þurfum ekki að ímynda okkur þetta; það hefur þegar gerst.
- CodeCov öryggisbresturinn (2021): Ránsmenn náðu tökum á skriftu sem notuð var af CodeCov, verkfærinu fyrir kóðaskýrslur sem þúsundir hugbúnaðarsmiða nota, þar á meðal sumir í kryptoheiminum. Illa ætlaða skriftan gerði þeim kleift að stela auðkennum og API-lyklar úr þróunarumhverfum. Ímyndaðu þér ef þessir lyklar veittu aðgang að prófunarumhverfi fyrir nýja viðskiptavirkni. Árásaraðilinn hefði getað fundið bakdyr áður en hún var jafnvel sett í notkun.
- Kaseya VSA lausnarárásin (2021): Þó að þetta sé ekki sérstaklega tengt dulritun, er þetta meistaranámskeið í keðjuverkandi áhrifum. Með því að brjótast inn í einn hugbúnaðarveitanda fyrir stjórnað... þjónustuveitendur (MSP), réðust árásarmennirnir á þúsundir neðri fyrirtækja með ransomware. Ef MSP stjórnaði IT fyrir myntaskiptastöð, gætu innri kerfi allrar skiptastöðvarinnar hafa verið dulkóðuð og haldið í gíslingu.
Þetta eru ekki fræðilegar hugmyndir. Þau eru teikningar að því hvernig Exbix gæti verið árásuð óbeint.
Exbix Shield: Hvernig við styrkjum alla keðjuna
Að vita um hættuna er aðeins helmingur baráttunnar. Hinn helmingurinn felst í því að byggja upp menningu vakandi seiglu. Hjá Exbix er aðferðin okkar fjölþætt og stöðug.
1. Strangur aðgangur að birgjum og nauðsynlegar rannsóknir:
Fyrir en við skrifum undir samning við þriðja aðila, fara þeir í öryggisathugun sem myndi gera flestar
endurskoðendur roðna. Við treystum ekki bara orðum þeirra; við krefjumst sönnunargagna. Þetta felur í sér:
- Öryggisspurningalistar: Ítarlegar fyrirspurnir um öryggisvenjur þeirra, stefnu og sögu viðbragða við atvikum.
- Vottunarskoðanir: Við krefjumst vottana eins og SOC 2 Type II, ISO 27001, eða annarra sem eiga við um þjónustu þeirra.
- Yfirferð á innbrotaprófum: Við skoðum niðurstöður nýjustu sjálfstæðu innbrotaprófa þeirra.
2. Lágmarksréttindareglan:
Þetta er okkar mantra. Enginn þriðji aðili fær meiri aðgang en hann nauðsynlega þarf til að sinna sínu sértæka hlutverki. Markaðsgreiningartól þarf ekki aðgang til að skrifa
við gagnagrunna okkar. Stuðningsfulltrúi þarf ekki að sjá heildarstöðu vesksins þíns. Við framfylgjum þessu með ströngum reglum um auðkenningu og aðgangsstjórnun (IAM).
3. Stöðugt eftirlit, ekki einu sinni athuganir:
Öryggi er ekki bara gátlisti. Birgir sem var öruggur í fyrra gæti ekki verið það í dag. Við fylgjumst stöðugt með öryggisstöðu birgja okkar.
Við erum áskrifendur að ógnargreindarstraumum sem vara okkur við nýjum veikleikum í hugbúnaðinum sem við notum. Við endurskoðum reglulega mikilvæga birgja okkar til að tryggja að staðlar þeirra hafi ekki hrakað.
4. Núlltraustsarkitektúr:
Við störfum út frá þeirri forsendu að brot sé óhjákvæmilegt. Þess vegna treystum við aldrei neinum aðila—hvorki innan né utan netsins okkar—sjálfkrafa.
Hver aðgangsbeiðni er staðfest, hver viðskipti eru vottaðar, og hver tæki eru athuguð. Þessi arkitektúr inniheldur “bylgjuna” og kemur í veg fyrir að hún breiðist út um allt kerfið okkar ef birgir er skaðaður.
5. Áætlun um viðbrögð við atvikum með birgjum okkar:
Áætlun okkar um viðbrögð við atvikum endar ekki við okkar stafræna landamæri. Við höfum
skýrum samskiptareglum við helstu birgja okkar. Ef þær eru brotnar, vitum við nákvæmlega hverjum á að hringja í, hvað á að spyrja um og hvaða skref þarf að taka strax til að rjúfa tengingar og vernda gögnin þín. Við æfum þessi atvik reglulega.
Þitt hlutverk í keðjunni: Sameiginleg ábyrgð
Öryggi er samstarf. Á meðan við vinnum að því að tryggja allt vistkerfið okkar, þá ertu eru einnig mikilvæg tenging í þessari keðju. Hér er hvernig þú getur aðstoðað:
- Vertu meðvituð/ur um API lykla: Þegar þú tengir þriðja aðila forrit (t.d. eignasafnaskrá) við Exbix reikninginn þinn í gegnum API lykil, ertu að skapa nýja þriðja aðila áhættu fyrir sjálfan þig. Leyfðu aðeins tengingar við forrit sem þú treystir að fullu og farðu reglulega yfir og afturkallaðu heimildir. fyrir forrit sem þú notar ekki lengur.
- Varastu netveiðar… Jafnvel frá “Traustum” heimildum: Póstlisti birgja sem hefur verið hleraður er algengur inngangur. Þú gætir fengið vel útfærðan netveiðipóst sem virðist koma frá löglegu fyrirtæki sem við notum. Vertu alltaf varkár. Aldrei smelltu á tengla í tölvupósti sem biður um innskráningu. Farðu alltaf á vefsíðuna beint.
- Notaðu einstaka, sterka lykla: Ef þú endurnýtir lykil á mörgum vefsíðum og ein þeirra (þriðji aðili fyrir þig) verður fyrir árás, geta árásarmenn notað þann lykil til að reyna að fá aðgang að reikningi þínum á skiptimarkaði. Lykilstjórnandi er besti varnartæki þitt hér.
- Virkjaðu 2FA alls staðar: Ekki aðeins á Exbix reikningnum þínum, heldur á öllum þjónusta tengd henni, sérstaklega tölvupósturinn þinn. Þetta er áhrifaríkasta leiðin til að koma í veg fyrir yfirtöku á reikningum.
Að byggja upp bylgju trausts, ekki áhættu
Heimur dulritunargjaldmiðla er byggður á grundvelli dreifingar og samtengingar. Þetta er styrkur hans, en einnig mögulegur Akkillesarhæll. Hjá Exbix erum við meðvituð um að öryggi okkar er aðeins eins sterkt og veikasti hlekkurinn í útvíkkuðu stafrænu aðfangakeðjunni okkar.
Við erum skuldbundin til að ekki aðeins byggja óyfirstíganlega veggi heldur einnig að kortleggja, fylgjast með og styrkja hverja tengingu sem snertir vistkerfi okkar. Við fjárfestum í þessu vegna þess að traust þitt og eignir eru ekki bara tölur á mælaborði; þær eru ástæðan fyrir því að við erum til.
bylgjuáhrif eru öflugt afl. Markmið okkar er að tryggja að einu bylgjurnar sem við sköpum séu þær af nýsköpun, öryggi og óbilandi trausti.
Exbix teymið
Vertu öruggur. Vertu upplýstur.
