Rbjz
2018-06-21 19:58:06 UTC
A condizione che io disponga di un livello decente di sicurezza fisica in ufficio, controllo gli indirizzi fisici dei dispositivi connessi alla rete e concedo l'accesso VPN solo a parti fidate, devo crittografare l'accesso alle risorse intranet su HTTP?
C'è un dipendente che si lamenta del fatto che non gli piace inviare le sue credenziali in chiaro sulla rete e che in questo caso non può assumersi la responsabilità della sua identità di rete. Quali sono le possibilità nel mondo reale che qualcuno rubi la sua identità? Non riesco a trovare consigli chiari per la crittografia all'interno di una rete aziendale.
Credo che il dipendente abbia il diritto di presentare reclamo in questo caso.Ho solo pensato di aggiungerlo.Anche quando parli di "parti fidate" a cui ti riferisci esattamente - hai qualche motivo per fidarti di loro oltre al fatto che ti hanno detto che sono affidabili, ecc.?
Se desideri consigli chiari, leggi i documenti BeyondCorp di Google.
Correlato: https://security.stackexchange.com/questions/152019/is-it-acceptable-for-an-internal-hr-site-to-run-over-http
Se volessi rubare le credenziali di un altro dipendente per, ad esempio, curiosare tra i dati aziendali riservati, sabotare i dipendenti che non mi piacciono o effettuare il cryptojack dei nostri computer in modo che qualcun altro si prendesse la colpa, sniffare gli accessi a una intranet http sarebbe una buona cosamodo di procedere, non credi?
Qual è il tuo modello di minaccia?Dipendenti che attaccano l'azienda, l'azienda che attacca i dipendenti, dipendenti che si attaccano a vicenda, terze parti che attaccano i dipendenti, terze parti che attaccano un dipendente e fanno perno in un attacco all'azienda, ...È difficile valutare il rapporto costi-benefici di una misura di sicurezza senza sapere da cosa ci si vuole difendere.
Devo ammettere la colpa di una piccola escursione a traina.Ho parlato a nome dell'organizzazione mentre io sono il ragazzo che si lamenta.Le tue incredibili reazioni possono aiutare a convincere il reparto IT a fare qualcosa: D Grazie a tutti!
Lo lascio qui https://arstechnica.com/information-technology/2013/11/googlers-say-f-you-to-nsa-company-encrypts-internal-network/
Inoltre, lavoravo in un'azienda in cui le credenziali di accesso AD di ogni singolo dipendente venivano passate come autenticazione di base non crittografata al nostro proxy squid.È stato allora che ho cambiato la mia password di lavoro in "Password1"
Tieni presente che per le agenzie governative degli Stati Uniti, la crittografia interna di tutto il traffico è generalmente obbligatoria, così come per gli appaltatori governativi.Le violazioni di più alto profilo degli ultimi dieci anni sono state tutte minacce interne.
Come aggressore hai una sicurezza basata sull'indirizzo IP (non mi interessa), hai una sicurezza basata sull'indirizzo MAC (non mi interessa).Hai messo la colla in tutte le prese di rete.Mi rallenterà, ma mi dice anche che probabilmente ci stai facendo affidamento (non hai altra sicurezza).
Lettura pertinente: https://www.gearbrain.com/iot-hack-on-casino-aquarium-2560513466.html
Per alcune informazioni, sarei nei guai se le inviassi tramite una connessione non crittografata e il mio capo lo scoprisse.
Se hai bisogno di uno slogan tipo adesivo per paraurti: "Firewall. Croccanti all'esterno, gommosi all'interno".
Se stai cercando di venderlo alla direzione, sembra che potresti fare un'analogia con la chiusura delle porte degli uffici e degli schedari nell'edificio.Voglio dire, se sono bravi con comunicazioni interne non crittografate, perché non sbloccare le porte?Inoltre non doversi occupare di fastidiose serrature potrebbe far risparmiare un sacco di tempo!
Buone notizie a tutti, ora stiamo funzionando su HTTPS.