Para gerentes comerciales, el objetivo puede ser encontrar un proceso impulsado por la tecnología que pueda proteger la seguridad de las instalaciones, personal y visitantes. Los sistemas de gestión de visitantes no solo pueden realizar registros, sino también controlar el acceso a áreas restringidas.

"El amable recepcionista o el guardia de seguridad está siendo reemplazado por quioscos, y es un gran negocio, con ventas que se espera que superen los $ 1.3 mil millones para 2025, "dijo Daniel Crowley, que dirige la investigación para IBM X-Force Red. X-Force Red? ¿Son estos tipos duros? En un sentido, si. Este es un equipo de piratas informáticos en IBM Security. Intentan robos. Su trabajo consiste en descubrir las vulnerabilidades que pueden utilizar los atacantes criminales.

Entonces, si las empresas pueden estar interesadas en buscar sistemas de registro de visitantes, entonces es mejor que encuentren algo que sea más que un libro de registro digital. ¿Están encontrando lo que necesitan y su elección es segura? X-Force Red ha olido algo mal. Los atacantes pueden robar sus datos. Los atacantes pueden hacerse pasar por ti.

Los quioscos de inicio de sesión (portales en empresas e instalaciones) pueden ser vulnerables al espionaje de datos. Threatpost no fue amable en la elección del titular:"Sistemas de acceso a quioscos de visitantes plagados de errores".

Dos de los pasantes de verano de X-Force Red encontraron 19 vulnerabilidades no reveladas previamente en cinco sistemas populares de administración de visitantes.

Threatpost contenía información interesante sobre cuáles eran los objetivos de las pruebas cuando el equipo se dispuso a probar los sistemas de gestión de visitantes.

"Uno, Fue lo fácil que es registrarse como visitante sin ningún tipo de información de identificación real. En segundo lugar, Nos propusimos ver qué tan fácil es sacar la información de otras personas del sistema. Y tercero, ¿Hay alguna forma de que un adversario pueda salir de la aplicación? hacer que se bloquee o que la ejecución de código arbitrario se ejecute en el dispositivo objetivo y se afiance para atacar la red corporativa ".

Crowley informó sobre los hallazgos en SeguridadInteligencia :Divulgación de información de datos personales y corporativos; varias aplicaciones tenían credenciales administrativas predeterminadas; vulnerabilidades que permiten a un atacante utilizar teclas de acceso rápido de Windows y ayuda estándar o cuadros de diálogo de impresión para salir del entorno del quiosco e interactuar con Windows, de tal modo que un atacante tendría control sobre el sistema con los mismos privilegios que se le otorgaron al software.

¿Están a la espera de que ocurran algunos incidentes en los sistemas de registro? Lily Hay Newman en Cableado El lunes plantearon algunos escenarios que parecían sencillos si una persona deseaba cometer malicia. Dijo que "un pirata informático podría acercarse fácilmente a un sistema de gestión de visitantes con una herramienta como una memoria USB configurada para extraer datos automáticamente o instalar malware de acceso remoto".

Además, "mientras que más rápido siempre es mejor para un ataque, " ella escribió, "Sería relativamente fácil pararse en un quiosco de registro durante unos minutos sin despertar sospechas".

Cableado dijo el lunes que las fallas que los dos encontraron fueron en su mayoría reparadas.

"Era una especie de cosas que se rascaban la superficie, "Crowley dijo en Cableado. Si los errores se detectaran en unas pocas semanas, él agregó, decía "mucho sobre qué más podría estar al acecho en estos sistemas cruciales e interconectados".

¿Qué sigue ?:El equipo de X-Force Red proporcionó detalles de la vulnerabilidad a los proveedores afectados "por adelantado para dar tiempo a que se desarrolle y publique una solución oficial antes de esta publicación. ", Dijo Crowley." Varios de los proveedores han actualizado su software o planean hacerlo con los parches apropiados de cambios en las funciones ".

TechNadu dijo que algunas empresas afirmaron que los datos de los usuarios nunca estuvieron en peligro.

El artículo de Crowley en SeguridadInteligencia También se abordó el asesoramiento.

El consejo incluía:Cifre todo. "El cifrado de disco completo siempre debe usarse en cualquier sistema accesible al público". Dijo que el cifrado de disco completo ya era la norma en los dispositivos iOS. También, Dijo que si no se requiere acceso a la red para que funcione el sistema de gestión de visitantes, no debe estar conectado a la red.

© 2019 Science X Network