UNIVERSITATEA „ALEXANDRU IOAN CUZA” DIN IAŞI

FACULTATEA DE ECONOMIE ȘI ADMINISTRAREA AFACERILOR

SPECIALIZAREA INFORMATICĂ ECONOMICĂ

RAPORT PRIVIND DEFICIENȚELE DE SECURITATE ALE FIRMEI

MORE4LESS FOODS

Coordonator, Studenți,
Prof. dr. Bogdănel Adrian Munteanu Bîrsan Ștefana
Ciubotă Georgiana
Vasilică Lavinia-Andreea
 Cuprins Raport

A.Introducere
B.Eșecul disponibilității IDMS
1.Identificarea deficiențelor și analiza cauzelor
2.Măsuri de soluționare a deficiențelor
C.Capacitatea atacatorilor de a accesa sistemul și a transfera fonduri
1.Identificarea și analiza deficiențelor
2.Măsuri de soluționare a deficiențelor
D.Reducerea bugetului pentru instruire
E.Programare deficientă și compromiterea aplicației web
1.Identificarea și detalierea deficiențelor aplicației web de e-commerce
2.Măsuri de soluționare a deficiențelor

2
 A. INTRODUCERE
Raportul realizat conține o analiză a atacurilor și a vulnerabilităților programului de
secutitate inclusiv atacurile asupre companiei More4Less Foods din date de 26.02.2021. Acesta
cuprinde și soluționarea vulnerabilităților
B. EȘECUL DISPONIBILITĂȚII IDMS
1. Identificarea deficiențelor și analiza cauzelor
La ora 9:30 în urma conversației cu Dan (COO) am fost informați că sistemul de
management al identității funcționează necorespunzător. Ca urmare a acestui fapt mai mulți
utilizatori inclusiv managementul superior au întâmpinat dificultăți în ceea ce privește conectarea
la rețeaua companiei, rezultând imposibilitatea operării normale a tranzacțiilor economice.
Scopul sistemului de management al identității este de a identifica în cadrul rețelei
More4Less Foods un subiect sau un obiect. Acest sistem se realizeză prin:
 Furnizare conturi;
 Crearea și dezactivare conturi utilizatori;
 Menținerea controlului, accesului, dar și a serviciilor de roluri și permisiuni;
Reducerea personalului din departamentul IT, dar și a bugetului sunt cauze care
determină o întreținere necorespunzătoare a sistemului ce poate determina un eșec al
disponibilității acestuia. Instalarea de pache-uri netestate anterior cu scopul actualizării
sistemului poate reprezenta o cauză a eșecului.
Funcționarea incorectă a firewall-urilor, dar și a sistemului care detectează accesul
neautorizat determină un nivel redus al securității cauzat, de asemenea, de întreținerea slabă a
sistemului de securitate. Astfel, ca și consecință, rețeaua funcționează necorespunzător în
totalitate.

2. Măsuri de soluționare a deficiențelor

Accesul manual al utilizatorilor ce dețin un rol critic, în special cei din managementul
superior, va fi permis pentru a soluționa incapacitatea conectării la rețea, scopul final fiind
permiterea operării proceselor și evitarea pierderilor mari. Aceasta reprezintă o soluție de
moment, iar pentru cea definitivă a sistemului trebuie contactat furnizorul soluției integrate
pentru a identifica cauzele ineficienței sistemului. Astfel, orice problemă semnalată anterior
poate fi remediată. Acesta reprezintă un avantaj al serviciilor IDMS în care s-a investit în trecut.

3
 C. CAPACITATEA ATACATORILOR DE A ACCESA SISTEMUL ȘI
DE A TRANSFERA FONDURI
1. Identificarea și analiza deficiențelor
Managerul pentru operațiuni financiare (CFO), Gabriela Marin, a observat mai multe
tranzacții suspecte realizate prin intermediul aplicației Internet Banking:
 O plată de 300.000 Euro către un cont al unei bănci din Buenos Aires, Argentina;
 O plată de 500.000 Euro către un cont al unei bănci din Zurich, Elveția;
 O plată în valoare de 150.000 Euro către un cont din Insulele Cayman;
Tranzacția în valoare de 300.00Euro a putut fi anulată, iar pierderea totală a companiei
More4Less Foods a fost în valoare de 650.000 Euro.
Deși funcționarea incorectă a firewall-urilor și a sistemelor de detectare a accesului
neautorizat au fost aduse la cunoștința directorului departamentului IT, acesta nu a luat nici o
măsură. Problemele de întreținerea cauzate de tăierea costurilor reprezintă o cauză principală a
funcționării necorespunzătoare a echipamentelor și sistemelor implementate. Pe lângă toate
acestea, stațiile de lucru, dar și serverele au fost vulnerabile din cauza configurării inadecvat.
Întreținerea aplicațiilor, a sistemelor și a dispozitivelor este deficitară.

2. Măsuri de soluționare a deficiențelor

Atacurile pot fi evitate prin intermediul următoarelor soluții:
 Aplicarea procedurilor de remediere a erorilor din rețea, dar și din IDS. Acest lucru poate
determina compania More4Less Foods să beneficieze de toate avantajele sistemelor de
ultimă generație implementate;
 Verficarea constantă a echipamentelor și testarea noilor actualizări ale sistemului, pentru
a evita posibile defecțiuni;
 Completarea filtrelor pe firewall, astfel încât să asigure securitatea;
În prezent, departamentul dezvoltă un proiect prin care parolele vor fi înlocuite cu
autentificarea bazată pe telefonul mobil. Utilizatorului îi va permite introducerea unui string și a
unui PIN la fiecare autentificare. Astfel, persoanele neautorizate nu vor mai putea utiliza în mod
fraudulos sistemul de plată.
Netesatare procedurii de raportare a incidentelor în ultimele 18 luni detemină o comunicare
ineficientă între departamentul de securitate și cel financiar, astfel apare nevoia actualizării

4
procedurii de raportare. Aceasta va determina sesizarea și soluționarea rapidă a incidentului
respectiv.
D. REDUCEREA BUGETULUI PENTRU INSTRUIRE
Programul de instruire a angajaților nu conține indicatori capabili să redea schimbarea
comportamentului angajaților, subliniindu-se astfel ineficiența acestuia. Bugetul redus reprezintă
un impediment în realizarea unui proces eficient de instruire.
Instruirea angajaților pe subiecte simple, cum ar fi tipul parolei utilizate, dar și pe
domeniul securității sunt esențiale pentru diminuarea riscului. Astfel, pot fi evitate erorile grave
din spectrul securității. Printre beneficiile programului de instruire se numără:
 Dezvoltarea unei culturi a organizație orientată pe securitate;
 Protejarea activelor companiei;
 Prevenirea ”downtime-urilor” cauzate de nevoia de investigare și reparare
survenite în urma unui incident;
 Conștientizarea riscului de către angajați;
 Respectarea reglementărilor în vigoare;
E. Programarea deficientă și compromiterea aplicației web
1. Identificare și detalierea deficiențelor aplicației web de e-commerce
Ignorarea standardelor de dezvoltare securizată a aplicațiilor, a reprezentat principala
cauză a compromiterii aplicației din data de 26.02.2021. În urma acesteia, atacatorul a colectat o
cantitate mare de infomații cu privire la clienții companiei More4Less Foods. Deși acest lucru a
fost adus la cunoștința managementului superior încă dinainte relansării în producție a aplicației,
nu au fost luate măsuri. Analiza aplicației web de e-commerce nu prezintă nici un control de
securitate, deși aceasta ar fi trebuit actualizată în cursul anului anterior.

2. Măsuri de soluționare a deficiențelor

Riscul pierderilor de informație și a celor financiare poate fi evitat prin respectare unor
standarde fixe. Printre avantajele dezvoltării unei aplicații securizate se numără:
o Îmbunătățirea încrederii investitori și a creditorilor esențiali;
o Protejarea datelor sensibile de scurgeri;
o Păstrează datele clienților în sigurantă și creează încrederea acestora;
o Menținerea imaginii mărcii;

5
6