Die potenziellen Auswirkungen sind nicht gering, unabhängig davon, wie viele Informationen der Thin Client speichert.

Insbesondere besteht das Risiko, dass ein Angreifer so etwas wie ein Rootkit oder einen Software-Keylogger im Betriebssystem des installiert Thin Client, den Sie wahrscheinlich nicht durch Inspektion entdecken können. (Dies ist eine Variante des Evil Maid-Angriffs).

Sollte ein Administrator diesen Client in Zukunft jemals verwenden, ist das Spiel für das Netzwerk vorbei. Der Thin Client kann auch als Brückenkopf verwendet werden, um weitere Angriffe auf das Netzwerk zu starten oder eine Aufklärung durchzuführen.

Der Schutz des BIOS verhindert dies, indem die Integrität des Thin Client-Betriebssystems geschützt wird.

Die umfassendere Lektion hier: Best Practice erspart Ihnen die Kosten und Schwierigkeiten bei der Bewertung jedes Risikos, was, wie diese Frage zeigt, schwierig ist.

Kosten sind die Grundlage für die Bewertung von Risiken und deren Minderung. Wenn die Kosten (monetäre Kosten, Betriebskosten, benutzerfreundliche Kosten usw.) für die Implementierung einer Verteidigung (bewährte Verfahren usw.) den durch das realisierte Risiko verursachten Schaden übersteigen, können Sie zu Recht das Risiko übernehmen .

Dies ist ein ziemlich grundlegendes Konzept im Risikomanagement.

Best Practices sind keine Gesetze, sondern Empfehlungen. Sie kommen normalerweise mit einer Erklärung, warum sie empfohlen werden. Wenn Sie der Meinung sind, dass die Erklärung in Ihrem Fall nicht zutrifft, können Sie die Empfehlung ignorieren. Mit diesem Gefühl haben Sie vielleicht sogar Recht und können so Kosten sparen.

Beachten Sie jedoch, dass Sie die Empfehlung je nach Arbeitsumgebung nicht einfach ignorieren können, sondern dokumentieren müssen, warum Sie der Meinung sind, dass sie ignoriert werden kann. Es kann auch sein, dass Sie persönlich verantwortlich sind, wenn etwas Schlimmes passiert, weil die Best Practices ignoriert wurden. Daher ist es oft einfacher und weniger riskant, den Empfehlungen zu folgen, als sie zu ignorieren.

Hier sind eine Reihe von Faktoren zu berücksichtigen:

1. Wie hoch sind die Kosten für die Umsetzung der Maßnahme? Der Schutz aller BIOS kann schmerzhaft sein, ist aber kein erheblicher Aufwand für Geld oder Aufwand.

2. Wie hoch ist das Risiko, dass etwas Schlimmes passiert? Die Chancen sind relativ gering, aber die Auswirkungen sind moderat (Keylogger werden erwähnt, es gibt eine Reihe anderer Probleme, wenn jemand seinen eigenen Code auf Ihrem System ausführt, nämlich dass es nicht mehr Ihr System ist). Das tatsächliche Risiko ist gering bis mittel.

3. Welche Auswirkungen hat die Implementierung? Gibt es legitime Gründe für den durchschnittlichen Benutzer, auf das BIOS seines Thin Clients zuzugreifen? Nicht wirklich.

ol>

Wir haben also etwas, bei dem die Schadensbegrenzung nicht viel kostet, keine großen Auswirkungen hat und vor einem niedrigen bis mittleren Risiko schützt . Ich würde sagen, das ist ein gutes Argument, um es persönlich umzusetzen.

In vielen Fällen läuft es auf die Frage hinaus, was sehr geringes Risiko bedeutet. Wenn Sie genau wissen, wie gering das Risiko ist, können Sie die erwarteten Kosten für die Nichtminderung des Risikos berechnen.

In Wirklichkeit kennen Sie das genaue Risiko selten. Potenzielle Sicherheitsprobleme werden häufig als sehr geringes Risiko abgetan, ohne dass versucht wird, das Risiko tatsächlich einzuschätzen.

In vielen Fällen ist weniger Aufwand erforderlich, um das Sicherheitsproblem zu lösen, als das Risiko mit ausreichender Bewertung zu bewerten Genauigkeit , um eine fundierte Entscheidung darüber zu treffen, ob die Sicherheitslücke behoben werden soll. Für mich ist dies das Hauptargument, um selbst Sicherheitslücken mit sehr geringem Risiko zu beheben, da Sie dadurch den größten Teil der mit der Risikobewertung verbundenen Kosten sparen.

Wer kann immer den Unterschied zwischen einem bekannten Sicherheitsproblem erkennen? ein geringes Risiko und ein geringes Risiko?

Manchmal ist es produktiver, Sicherheitsprobleme gegeneinander zu bewerten, als jedes einzelne Sicherheitsproblem anhand einer niedrigen Risikoschwelle zu bewerten.

In Ihrem speziellen Beispiel können Sie das Risiko einer böswilligen Änderung der BIOS-Einstellungen mit dem Risiko einer Netzwerkverbindung auf dem Gerät vergleichen, das mit einem MITM-Gerät fehlerhaft ist.

Die Haltung, die Sie einnehmen, basiert auf der Umgebung, in der Sie arbeiten. Zumindest sind die von Ihnen erstellten Sicherheitsrichtlinien proportional zu Ihrem Budget und den Bedrohungsmodellen, die Sie im Auge haben. Ohne eine Einschätzung des Dollarwerts, den Sie schützen, werden Sie unglaublich viel Zeit damit verbringen, herauszufinden, wo sich die Löcher befinden. Auf der anderen Seite verwenden kriminelle Elemente niedrig / keine geschützten Elemente, um nach höherwertigen Zielen zu suchen.

Bedenken Sie auch, dass Anbieter, die angeblich zur Risikominderung beitragen, nicht mit der Silberkugel zur Lösung jedes einzelnen Problems geliefert werden . Letztendlich sind Sie und das Unternehmen die einzigen, die für die Sicherheit verantwortlich sind. Aus geschäftlicher Sicht könnten Sie die Kosten für Sicherheitsfehler / -mängel weitergeben, aber dies könnte auf lange Sicht nicht helfen. Es ist im Moment eine ziemlich heisere Welt da draußen.

Manchmal schützen Sie bewährte Sicherheitsmethoden vor Risiken, die sehr unwahrscheinlich sind. Wie verteidigen Sie in diesen Szenarien die Implementierung dieser Sicherheitsmaßnahme?

Sie sollten nichts verteidigen müssen. Lassen Sie die Zahlen für sich selbst sprechen:

1. Wahrscheinlichkeit des Auftretens von Angriff X = P.
2. Gesamtkosten von X, wenn er auftritt = TC. (Dies muss die Diagnose und Behebung des Verstoßes, Einnahmeverluste, Reputation, Klagen, Krisenmanagement usw. umfassen.)
3. Kosten für Sicherheitsmaßnahmen, um X überhaupt zu verhindern = C.
ol>

Die Gleichung lautet einfach:

C < P * TC

Wenn die Gleichung wahr ist, sollte die Sicherheitsmaßnahme implementiert werden . Natürlich ist der schwierige Teil zunächst die Berechnung von P und TC, aber Sie werden vielleicht feststellen, dass Sie in Bezug auf TC zu konservativ und in Bezug auf P zu optimistisch sind und es sich dennoch um eine lohnende Investition handelt. Darüber hinaus erhalten Sie den zusätzlichen Vorteil, dass Sie die Sicherheitsmaßnahmen für Investoren und / oder Kunden bekannt machen.

Dies ist offensichtlich eine übermäßige Vereinfachung aller zu berücksichtigenden Faktoren, aber unter dem Gesichtspunkt des ROI sollte die Logik gelten auf.