Säkerhet i IT-miljöer är ett ständigt pågående arbete. Säkerhetshål dyker upp och de måste täppas till så fort som möjligt. Även om ni har bra strukturer för larm och varningar finns det en faktor som är svår att hantera; den mänskliga faktorn. Trots att er IT-miljö är i topptrim räcker det med ett svagt lösenord för att riskera ett intrång.
Många organisationer försöker minska risken för svaga lösenord med hjälp av olika regler för hur lösenorden måste vara strukturerade. Exempelvis längd, stora/små bokstäver, specialtecken med mera. Det kan i många fall leda till starkare lösenord, men det riskerar samtidigt att skapa en falsk trygghet. Människor skapar nämligen ofta lösenord som är logiska och hyfsat enkla att komma ihåg, vilket innebär att många människor skapar samma lösenord.
Om ett lösenord som används i din organisation har blivit stulet i en tidigare attack kan det lösenordet utgöra en säkerhetsrisk för hela organisationen.
Som exempel kan vi ta ordet “password”, som är ett vanligt förekommande lösenord. För att det ska kunna användas i en organisation med strikta regler kan det utformas som “Passw0rd123!” och därmed innehålla stor bokstav, siffror, specialtecken och dessutom vara relativt långt. Tyvärr är även det ett vanligt förekommande lösenord och testas det ofta vid intrångsförsök.
Varför är lösenord som upplevs säkra, i vissa fall inte alls säkra? Det har att göra med en metod som kallas för “credentials stuffing attack” och innebär kortfattat att hackare tar information från ett tidigare intrång och testar kombinationer av användarnamn och lösenord mot nya organisationer, i hopp om att något ska matcha. Med andra ord: Om ett lösenord som används i din organisation har blivit stulet i en tidigare attack kan det lösenordet utgöra en säkerhetsrisk för hela organisationen. Det värsta är att användaren med största sannolikhet inte har en aning om att deras lösenord också användes av någon annan som redan blivit hackad.
Ett bra sätt för att hålla nere antalet komprometterade lösenord i er organisation är att helt enkelt hålla koll på vilka lösenord som har läckts i andra attacker och säkerställa att de inte används i er organisation.
Vi erbjuder en sådan lösning – Accigo Lösenordsskydd, som är redo att implementeras direkt. Den bygger på data från ett antal olika trovärdiga källor(Lithnet Password Protection, DSInternals och Have I been Pwned). Lösningen hjälper er att få en överblick på hur nuläget ser ut hos er och se hur många som använder läckta lösenord. Ni kan även meddela berörda användare direkt och informera dem om att de behöver byta till ett icke läckt lösenord. Utöver det kan ni välja komplexitetskrav för lösenorden, exempelvis variation av karaktärer.
