6 façons d'en savoir plus sur la cybersécurité

Depuis que les cyberattaques sont devenues plus fréquentes ces dernières années, une position solide en matière de cybersécurité est devenue un élément important de l'image de marque et de la commercialisation des produits. La cybersécurité n'est pas aussi facile à ignorer que l'expérience utilisateur (UX) pour la facilité d'utilisation ou l'accessibilité pour les utilisateurs handicapés. Les rappels que les cyberattaques sont réelles, fréquentes et dévastatrices pour toutes les victimes sont constants, parfois au point que nous sommes désensibilisés au sujet.

De nos jours, nous voyons régulièrement les expressions "cybersécurité", "piratage", "sécurité de l'information (INFOSEC)" et "assurance de l'information (IA)".

La base de données confidentielle d'une entreprise contenant des informations personnelles identifiables (PII) ou des informations de santé personnelles (PHI) a été piratée.

Un nombre X de sites Web construits avec cette version du CMS Z sont vulnérables à cette faille récemment découverte.

Les routeurs pour petits bureaux / bureaux à domicile (SOHO) de cette marque utilisent des microprogrammes gravement obsolètes qui représentent un risque important pour les efforts de cybersécurité.

Je vois généralement "INFOSEC" et "IA" associés au gouvernement et à la formation, mais j'ai fait valoir mon point de vue. Nous entendons et lisons beaucoup de choses à ce sujet. Nos logiciels les plus utilisés (par exemple, les navigateurs Web et les clients de messagerie) ont maintenant plus de fonctions d'intégrité et d'authentification natives. Les systèmes de gestion de contenu (CMS) populaires, notamment WordPress et Drupal , en font davantage pour faciliter la sécurisation du contenu en ligne et la protection des visiteurs.

Nous avons abordé les moyens de sécuriser ton ordinateur et ton activité sur le Web pour les utilisateurs domestiques. Nous avons également abordé les bases de la sécurité des sites Web et les nouvelles façons d'améliorer ton site Web. Nous présentons ci-dessous six façons de rester à jour dans le monde de la cybersécurité.

• Sites d'information
• Formation
• Teste tes systèmes
• Lire les changelogs
• Guides de durcissement des serveurs
• DBIR de Verizon

1. Sites d'information sur la cybersécurité

Bien souvent, les reportages sur les cyberattaques contiennent des informations générales sur ce qui s'est passé, quand et où. Le comment, le pourquoi et le qui sont généralement omis, rapidement passés sous silence ou suggérés pour soutenir une situation politique actuelle. Mais chacun de ces aspects est tout aussi important.

Comment nous aide à comprendre ce que nous pouvons faire pour mieux sécuriser nos systèmes et notre réseau. Existe-t-il un nouveau courriel d'hameçonnage convaincant que nous devons apprendre aux utilisateurs à repérer (par exemple : Ce jour-là.. .)? Y a-t-il une nouvelle vulnérabilitéWordPress exploitée sur des sites obsolètes ?

Pourquoi peut nous dire dans quelle mesure nous sommes susceptibles d'être ciblés par la même attaque. S'agit-il d'une attaque de type BEC (Business Email Compromission) visant à obtenir un gain financier ? Ou l'objectif était-il de saboter la réputation de la marque pour aider un concurrent ?

Who nous rappelle qu'il faut vérifier les listes de contrôle d'accès (ACL) et que les menaces internes (par exemple les utilisateurs mécontents) peuvent avoir des conséquences dévastatrices sur une organisation.

Passées les cyberattaques, il est toujours bon de découvrir de nouveaux outils de sécurité pour ton site Web et ton travail en ligne, comme les extensions de sécurité du système de noms de domaine (DNSSEC) et le DNS-over-HTTPS (DoH). Ces deux fonctionnalités ont été ajoutées au navigateur Firefox il y a plusieurs mois, mais tu ne peux pas profiter de fonctions dont tu ignores l'existence.

Pour des nouvelles et des conseils plus détaillés et exploitables en matière de cybersécurité, suis certains des sites suivants via les médias sociaux et les flux RSS :

• Lecture sombre
• Hacker News
• Krebs on Security
• Scott Helme (du créateur de SecurityHeaders.com)
• Threatpost
• Troy Hunt (du créateur de HaveiBeenPwned.com)

De nombreuses plateformes de ce type couvrent également les actualités sur les violations des IIP / IPS et les lois sur la confidentialité des données.

Ton site de commerce électronique est-il conforme au règlement général sur la protection des données (RGPD) et à la loi californienne sur la protection de la vie privée des consommateurs (CCPA)?

2. Formation à la cybersécurité

L'information, c'est bien. Savoir comment utiliser ces informations à bon escient au sein de ton réseau domestique et professionnel, c'est encore mieux. Il ne suffit pas d'avoir un pare-feu, d'utiliser des mots de passe forts, de faire des sauvegardes régulières et de faire des mises à jour en temps voulu. Il existe des pratiques exemplaires et des guides de renforcement pour les systèmes et les suites logicielles (nous y reviendrons). Et je ne pense pas que nous parlions suffisamment de l'importance de lire les journaux.

Les formations récurrentes en cybersécurité ne sont pas réservées aux spécialistes de l'informatique et de la cybersécurité. Comme le service à la clientèle, la cybersécurité est l'affaire de tous.

Les cadres supérieurs et les dirigeants (de niveau C) doivent comprendre pourquoi et comment le fait de soutenir les améliorations de la cybersécurité affecte leur retour sur investissement (ROI).

Tous les utilisateurs ont besoin d'une formation trimestrielle de sensibilisation à la cybersécurité, notamment sur les pratiques de navigation sécurisée sur Internet et sur la façon de repérer le phishing.

La plupart des sites que je recommande pour apprendre à utiliser Linux (en particulier Cybrary.it) sont également de bonnes sources de formation en cybersécurité. Les vétérans de l'armée américaine peuvent également utiliser la formation virtuelle fédérale (FedVTE) pour obtenir des unités de formation continue (CEU) en vue de l'obtention de certifications industrielles telles que CompTIA Security+.

Les vétérans de l'armée américaine peuvent également se former pour obtenir des certifications industrielles grâce à l'initiative Onward to Opportunity (O2O) de l'Institut des vétérans militaires (IVMF).

Kali Linux est un système d'exploitation gratuit rempli de tests de pénétration (pentesting) et de contenus de formation pour apprendre tout en...

3. Teste tes systèmes

De nombreux outils populaires de cybersécurité pour le test de vulnérabilité et le pentesting sont gratuits. Les spécialistes de la cybersécurité et de l'informatique en tirent certains avantages. Tout d'abord, nous sommes en mesure de tester et de corriger nos systèmes avant que les cyberattaquants ne puissent les exploiter.

Linux Kali fait partie d'une longue liste de logiciels de test de cybersécurité gratuits et populaires :

• Metasploit - Scanner de vulnérabilité
• Nmap - Scanner de port
• Splunk - Logiciel de gestion des informations et des événements de sécurité (SIEM)
• WPScan - Scanner de sites Web WordPress

Et encore une fois, n'oublie pas de vérifier les journaux des serveurs et les logiciels d'analyse web pour détecter toute activité malveillante.

La possibilité de ne faire installer que ce que tu veux est la raison pour laquelle je préfère les hébergements de serveurs en nuagecPanel

4. Lire le journal des modifications (Changelogs)

Les changelogs expliquent la raison d'être des mises à jour de logiciels. Ils sont généralement remplis de déclarations directes sur la façon dont chaque mise à jour corrige les vulnérabilités, les bogues, les améliorations de l'interface utilisateur et la compatibilité avec d'autres logiciels. Un grand nombre de logiciels que tu utilises quotidiennement ont des listes de modifications accessibles au public en ligne : cPanel, WordPressFirefox, etc.

Tout comme la lecture de nouvelles sur la cybersécurité pour les spécialistes de la cybersécurité, les changelogs peuvent t'alerter sur les nouvelles fonctionnalités qui peuvent aider ton flux de travail ou ta posture de sécurité.

5. Guides de durcissement des serveurs

Il existe de nombreux guides réputés sur les meilleures pratiques en matière de sécurisation des systèmes pour différentes utilisations. Tu peux chercher "guides INFOSEC" ou "guides IA" dans n'importe quel moteur de recherche pour commencer. Je préfère DuckDuckGo.

• Les publications spéciales 800-53 du National Institute of Standards and Technology (NIST) aident les professionnels de l'informatique à sécuriser les réseaux d'entreprise.
• Norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS) pour les propriétaires de sites web de commerce électronique.
• Il existe de nombreux guides et plugins pour améliorer la sécurité et savoir comment rendre les CMS conformes au GDPR et au CCPA

Commence avec notre guide sur le durcissement de l'hébergement VPS cPanel. Des guides pour d'autres produits d'hébergement web seront bientôt disponibles.

6. Lire le rapport d'enquête sur les violations de données (DBIR) de Verizon

Le rapport d'enquête sur les violations de données (DBIR) 2020 de Verizon analyse les cyberintrusions signalées pour nous aider à mieux comprendre comment protéger nos réseaux. C'est une longue lecture (plus de 100 pages) mais qui en vaut la peine, même si tu ne fais qu'effleurer les graphiques dans un premier temps.

Où vas-tu pour t'informer sur la cybersécurité ? Fais-le nous savoir ci-dessous.