- Zabezpečení prohlížeče kombinuje technologie, konfiguraci a osvědčené postupy k omezení malwaru, phishingu a krádeže dat.
- Výběr prohlížečů a vyhledávačů zaměřených na soukromí a povolení funkcí, jako je Bezpečné prohlížení a Pouze HTTPS, výrazně snižuje riziko.
- Dobře zvolená rozšíření, neustálé aktualizace a zodpovědné používání hesel a Wi-Fi sítí posilují každodenní ochranu.
- V podnicích platformy zabezpečení prohlížečů přidávají přehled a podrobnou kontrolu, které samotné CASB, SWG a EDR nenabízejí.
Zabezpečení webového prohlížeče se stalo základním kamenem každodenní kybernetické bezpečnosti: ať už používáte internet pro práci, bankovnictví nebo jen pro prohlížení sociálních médií, váš prohlížeč je branou téměř ke všemu. Pokud je tato brána špatně zabezpečena, je zranitelné vaše soukromí, vaše hesla a dokonce i samotný operační systém.
Zároveň moderní prohlížeče nabízejí arzenál technologií, nastavení a rozšíření určených k posílení této ochrany: od Bezpečného prohlížení Google po izolaci procesů v Chromu, režimy soukromého prohlížení, VPN, pluginy blokující skripty a pokročilé podnikové platformy. Pochopení toho, co každá část dělá a jak je kombinovat, vám umožní procházet web mnohem klidněji, aniž byste se museli zabývat konfigurací.
Když mluvíme o zabezpečení prohlížeče, máme na mysli soubor technických mechanismů, osvědčených postupů a nástrojů , které z prohlížeče vytvářejí relativně bezpečné prostředí proti malwaru, phishingu, krádeži dat, zneužívání sledování a dalším útokům, které se šíří webem.
Pro běžné uživatele toto zabezpečení znamená zabránění tomu, aby se vaše hesla, karty a osobní údaje dostaly do rukou kyberzločinců, a také snížení rizika napadení počítače škodlivým softwarem, který krade informace nebo je používán k útoku na třetí strany.
V podnikovém prostředí jde zabezpečení prohlížečů ještě o krok dále: firmy potřebují kontrolovat, co se děje v každé webové relaci , a to jak v autorizovaných SaaS aplikacích, tak v neschválených službách, a chránit jak spravovaná zařízení, tak i osobní zařízení (BYOD) a poskytovatele třetích stran.
Pokud je zabezpečení prohlížeče nedostatečné, důsledky sahají od online podvodů a finančních ztrát až po vážné poškození reputace, masivní úniky dat a ohrožení interních sítí. Proto se objevily specializované platformy pro zabezpečení prohlížečů, které monitorují, analyzují a kontrolují, co se děje na každé kartě.
Prohlížeč může být napaden mnoha způsoby, nejen prostřednictvím samotné webové stránky. Pochopení této oblasti útoku je klíčové, protože vysvětluje, proč nestačí jen „udržovat prohlížeč aktualizovaný“.
Zaprvé existují útoky, které se spoléhají na operační systém a samotné zařízení . Pokud je systém infikován malwarem nebo rootkitem, může číst a upravovat paměť prohlížeče, špehovat, co píšete, pomocí keyloggeru, pořizovat snímky obrazovky nebo mazat uložené soubory cookie a hesla, a to i v případě, že je samotný prohlížeč aktualizován.
Hlavní spustitelné soubory a interní komponenty prohlížeče (renderovací engine, sandbox, skriptovací enginy atd.) mohou být také ohroženy zranitelnostmi, stejně jako u jakékoli jiné složité aplikace.
Další citlivou otázkou jsou škodlivé pluginy a rozšíření . Komponenty jako Flash (nyní zastaralý, ale historicky silně zneužívaný), Java, ActiveX nebo rozšíření Browser Helper Object v Internet Exploreru se staly vektory nesčetných útoků. I dnes může jednoduchý škodlivý doplněk Chrome nebo Firefoxu krást soubory cookie, upravovat webové stránky, vkládat reklamy nebo zaznamenávat vše, co píšete.
Provoz může být navíc napaden „za pochodu“: síťová komunikace prohlížeče může být zachycena technikami, jako je únos nebo spoofing DNS , útoky typu „man-in-the-middle“ nebo manipulace s routery a DNS servery, které vás přesměrují na falešné webové stránky bez vašeho vědomí.
A konečně, samotné webové stránky mohou být navrženy tak, aby zneužívaly specifické zranitelnosti v prohlížeči nebo jeho součástech: vkládání škodlivých skriptů, clickjacking, klamavá vyskakovací okna , krádež identity prostřednictvím falešných formulářů, instalace spywaru, bankovní trojské koně typu „man-in-the-browser“ atd.
Jedním z nejznámějších systémů ochrany uživatelů je Bezpečné prohlížení od Googlu , integrované do Chromu a používané i dalšími prohlížeči a službami. Jeho funkcí je skenovat a analyzovat web a vyhledat nebezpečné stránky a soubory (malware, phishing, sociální inženýrství) a udržovat jejich seznamy průběžně aktualizované.
Pokaždé, když navštívíte webovou stránku nebo stáhnete soubor, Chrome zkontroluje obsah v těchto seznamech v závislosti na zvolené úrovni ochrany. Prohlížeč zobrazí varování, když zjistí, že webová stránka nebo stažený soubor mohou být škodlivé, ale vždy vám dává možnost pokračovat na vlastní nebezpečí.
V Chromu si můžete vybrat tři úrovně ochrany Bezpečného prohlížení :
- Vylepšená ochrana: nejvyšší úroveň; detekuje známé hrozby a také mnoho nových, a to i z webů, které Google dosud nezařadil do katalogu.
- Standardní ochrana: je výchozí hodnota; chrání před weby a soubory ke stažení identifikovanými jako nebezpečné, s omezenější výměnou dat.
- Bez ochrany (nedoporučuje se): vypnout Bezpečné prohlížení; nebudete dostávat varování o škodlivých stránkách ani podezřelých souborech ke stažení.
Díky vylepšené ochraně odesílá Chrome na servery Google k další analýze celou URL stránku, úryvky obsahu, aktivitu rozšíření a systémové informace, včetně podezřelých stahování. Tato data se používají k bezpečnostním účelům a umožňují Googlu upozornit vás i na nejnovější hrozby.
Pokud aktivujete tuto ochranu propojenou s vaším účtem Google, rozšíří se i na další služby, jako je Gmail a ostatní produkty Google . To například umožňuje automaticky posílit bezpečnostní filtry, pokud je na vašem účtu zjištěn incident.
Ve standardním režimu ochrany používá Chrome techniky zmatku ke skrytí vaší IP adresy: před dotazem Googlu odesílá prostřednictvím serverů pro ochranu soukromí pouze zakódované části adres URL. Celá adresa URL je odeslána k další analýze pouze v případě, že se stránka chová podezřele.
Chcete-li změnit úroveň ochrany v počítači, jednoduše otevřete Chrome, přejděte do Nastavení > Soukromí a zabezpečení > Zabezpečení a vyberte mezi rozšířenou, standardní nebo žádnou ochranou. Odtud můžete také spravovat další pokročilé možnosti, které tuto ochranu doplňují.
Kromě aktivace vestavěných bezpečnostních opatření je velmi dobré zvolit prohlížeč a vyhledávač , které se nespoléhají na vaše sledování. Ne všechny prohlížeče a vyhledávače jsou si rovny a existují mnohem alternativy, které jsou k datům šetrnější.
V oblasti prohlížečů je Firefox velmi solidní volbou: je to bezplatný software s dobrým vestavěným zabezpečením a jasným zaměřením na soukromí. Chrome a Chromium také nabízejí vysokou úroveň technického zabezpečení, ale Chrome zahrnuje odesílání většího množství dat o používání společnosti Google, zejména pokud se přihlásíte pomocí svého účtu.
Brave je dalším zajímavým kandidátem, navrženým právě pro omezení sledování: zahrnuje vestavěné blokování reklam, sledování souborů cookie, skriptů a potenciálně škodlivého kódu . Nabízí také vlastní soukromější vyhledávač a funkce VPN v mobilní aplikaci (jako prémiovou službu).
Pokud chcete jít ještě o krok dál, prohlížeč Tor přizpůsobí Firefox tak, aby veškerý váš provoz procházel sítí Tor, anonymizoval vaše připojení a umožnil vám přístup k webům omezeným zemí nebo sítí . Nevýhodou je, že prohlížení může být pomalejší a některé webové stránky nemusí fungovat stejně.
Pokud jde o vyhledávače, alternativy jako DuckDuckGo se zavazují, že nebudou propojovat vaše vyhledávání s vaší identitou. I když zaznamenávají dotazy za účelem zlepšení výsledků, nespojují tato vyhledávání s vaší IP adresou ani polohou identifikovatelným způsobem, což výrazně snižuje vytváření osobních profilů a komerční sledování.
Výběr správného prohlížeče není příliš užitečný, pokud zanedbáte základy. Existuje řada osvědčených postupů , které pomáhají chránit vaši online aktivitu bez ohledu na to, jaký nástroj používáte.
Prvním je používat pro každou službu silná a jedinečná hesla : dlouhá, s kombinací typů znaků a nikdy opakovaně nepoužívaná na různých webových stránkách. V ideálním případě používejte specializovaný správce hesel (například KeePassXC nebo podobný) místo ukládání všech hesel do prohlížeče.
Druhou hlavní oblastí jsou sítě: používání nezabezpečených veřejných Wi-Fi sítí pro přístup k online bankovnictví nebo citlivým službám je výzvou k odposlechu. Kdykoli je to možné, je vhodné používat spolehlivou VPN, která šifruje celé připojení, zejména z hotelů, letišť nebo kaváren.
Je také nezbytné udržovat operační systém, prohlížeč a rozšíření aktuální . Mnoho útoků zneužívá známé zranitelnosti, pro které již existují záplaty; pravidelnou aktualizací eliminujete značnou část potenciálu pro zneužití.
A konečně, je moudré osvojit si talent pro odhalování phishingových a sociálních podvodů : e-mailů, které se vydávají za banky nebo společnosti, webových stránek napodobujících vzhled legitimních portálů, zpráv s přehnanou naléhavostí nebo podezřele zkrácených odkazů. Před zadáním jakýchkoli přihlašovacích údajů nebo bankovních informací pečlivě ověřte skutečnou adresu a certifikáty webových stránek.
Používání zabezpečených připojení, HTTPS a zesíleného DNS
Dalším pilířem zabezpečení prohlížeče je zajištění šifrování připojení . V dnešní době je prakticky povinné, aby všechny webové stránky, které zpracovávají osobní údaje, používaly šifrovaná připojení namísto čistého HTTP.
Většina prohlížečů již označuje stránky, které nepoužívají HTTPS, varováními nebo ikonami, ale je vhodné aktivovat režim „Pouze HTTPS“ , pokud je k dispozici, aby se všechna připojení snažila používat šifrovanou verzi webu a k HTTP se uchylovala pouze ve velmi specifických případech.
V zákulisí je tu také systém doménových jmen (DNS), další oblast, kterou lze posílit. Technologie jako DNSSEC nebo DNSCrypt a používání alternativních serverů (Google Public DNS, OpenDNS atd.) ztěžují útočníkům pokus o přesměrování vašeho provozu pomocí DNS hijackingu nebo spoofingu.
V podnikovém nebo administrativním prostředí je velmi běžné přidávat perimetrickou ochranu: firewally a proxy s filtrováním webu a integrovaným antivirem , které analyzují a blokují škodlivý provoz dříve, než se dostane do prohlížeče uživatele.
Téměř všechny prohlížeče obsahují poměrně komplexní panel ochrany osobních údajů a zabezpečení , ale mnoho uživatelů k němu nikdy nemá přístup. Rychlá kontrola může mít zásadní význam.
V Chromu je typická cesta přejít do nabídky se třemi tečkami, otevřít Nastavení > Soukromí a zabezpečení a zkontrolovat možnosti, jako je automatické mazání souborů cookie a historie, kontrola úniků hesel, blokování vyskakovacích oken a konfigurace oprávnění pro kameru, mikrofon, polohu a oznámení.
Ve Firefoxu k tomu máte přístup z třířádkového menu v části Nastavení > Soukromí a zabezpečení , kde můžete aktivovat přísné úrovně ochrany proti sledování, mazat data při zavření prohlížeče, blokovat agresivní soubory cookie třetích stran a spravovat oprávnění specifická pro daný web pro citlivé zdroje.
V Safari v horní nabídce otevřete Nastavení > Soukromí a zabezpečení . Odtud můžete blokovat sledování napříč weby, zabránit podezřelému automatickému stahování a ovládat, které webové stránky mohou používat váš fotoaparát, mikrofon nebo sdílet vaši polohu.
Rozšíření, doplňky a správci hesel: spojenci a rizika
Rozšíření prohlížeče jsou mocným nástrojem… a zároveň jedním z nejzranitelnějších míst pro útok . Je důležité pečlivě vybírat, co a odkud instalujete.
Mezi nejužitečnější patří blokátory reklam a trackerů, jako je uBlock Origin nebo Privacy Badger, které eliminují velkou část rušivé reklamy a blokují mnoho sledovacích skriptů, které používají data o prohlížení k vytvoření vašeho profilu nebo dokonce ke spuštění škodlivých útoků.
Dalšími velmi účinnými doplňky jsou blokátory kódu a skriptů, jako je NoScript, které vám umožňují rozhodnout se, které skripty se spustí na každé stránce. Jsou obzvláště účinné v prevenci načítání úryvků kódu, které by mohly zneužít zranitelnosti ve vašem prohlížeči, i když vyžadují určitou trpělivost, protože mnoho webových stránek se zpočátku jeví jako „nefunkční“, dokud jim to nepovolíte.
V prohlížeči jsou také zabudovaná rozšíření VPN, která jsou užitečná pro specifické úkoly, kdy chcete tunelovat provoz pouze z jednoho okna a ne z celého systému. A samozřejmě existují vestavěné správce hesel, které generují a pamatují si silná hesla pro každou stránku, ačkoli mnoho odborníků doporučuje pro citlivější účty používat specializované správce hesel třetích stran.
Naopak hromadění rozšíření, která nepoužíváte nebo která jsou nainstalována z pochybných zdrojů, otevírá zbytečné dveře. Je důležité odstranit všechny doplňky, které nepoznáváte, zkontrolovat jejich oprávnění a důvěřovat pouze oficiálním repozitářům (Chrome Store, doplňky Mozilly atd.). Škodlivý doplněk vás může špehovat stejně jako jakýkoli jiný malware.
V moderních organizacích je prohlížeč centrálním pracovním prostorem : odtud máte přístup k veřejným webovým stránkám, firemním SaaS aplikacím, interním cloudovým nástrojům a dokonce i k neoprávněným službám používaným zaměstnanci a dodavateli.
Tato strategická pozice vedla k vývoji specifických platforem pro zabezpečení prohlížečů v podnikových prostředích . Jejich cílem je monitorovat a kontrolovat v reálném čase vše, co se děje během webových relací, a to jak příchozí data (stránky, stahování, skripty), tak odchozí data (nahrávání souborů, kopie, snímky obrazovky, schránka atd.).
Tato řešení přidávají vrstvu, která jde nad rámec klasických firewallů, SWG (Secure Web Gateway), CASB nebo EDR, které vidí pouze síťový provoz nebo procesy na koncovém bodě, ale nikoli stránku vykreslenou prohlížečem ani přesné interakce uživatelů.
Jeho provoz se obvykle opírá o tři hlavní funkce: detailní přehled o aktivitách, průběžnou detekci rizik a automatické uplatňování zásad . To vše bez narušení produktivity nebo znemožnění každodenní práce.
Typická platforma zahrnuje senzor, který monitoruje události každé relace, systém pro analýzu rizik, který analyzuje tyto události za účelem detekce anomálií, a mechanismus vynucování, který blokuje nebezpečné akce (například stahování určitých typů souborů na nespravovaná zařízení nebo nahrávání citlivých dokumentů do neoprávněných aplikací).
V tomto světě se objevily tři hlavní přístupy k posílení bezpečnosti navigace v podnikovém prostředí , přičemž každý z nich má své výhody a nevýhody v závislosti na případu použití.
První typ se skládá z platforem nezávislých na prohlížeči , obvykle založených na lehkém rozšíření, které se instaluje přes jakýkoli komerční prohlížeč (Chrome, Edge, Firefox atd.). Toto rozšíření monitoruje a chrání aktivitu, aniž by vyžadovalo, aby uživatel změnil svůj preferovaný prohlížeč.
Mezi jeho silné stránky patří prakticky žádný dopad na výkon a uživatelskou zkušenost , velmi jednoduchá implementace a možnost využívat rychlé bezpečnostní záplaty vydávané hlavními prohlížeči. Na oplátku nabízí menší viditelnost do samotného zařízení a pro kompletní ochranu na úrovni koncových bodů se spoléhá na EDR/EPP.
Druhým typem jsou specializované podnikové prohlížeče , které jsou 100% kontrolovány společností. Fungují jako samostatný prohlížeč, určený výhradně pro pracovní činnosti, s integrovanými bezpečnostními a správními kontrolami.
Jejich hlavní výhodou je, že umožňují provádět více bezpečnostních akcí přímo na zařízení a poskytují hluboký přehled o hostiteli. Nicméně přinášejí třecí vlákna: nutí uživatele přepínat mezi prohlížeči, obvykle nabízejí méně funkcí než komerční prohlížeče a vytvářejí silnou vazbu na dodavatele.
Třetím přístupem je lokální nebo vzdálená izolace prohlížeče , kde prohlížení probíhá v jakémsi sandboxu nebo virtuálním prostředí a uživateli se zobrazuje pouze bezpečná reprezentace (např. stream nebo upravená verze obsahu).
Tento model sice velmi dobře poradí s exploity a vzdáleným spuštěním kódu, ale obvykle nabízí špatný uživatelský zážitek a značnou latenci , a navíc pouze částečně pokrývá případy, kdy je prohlížeč používán jako brána k legitimním, ale citlivým webovým zdrojům.
Srovnání s tradičními CASB, SWG a EDR/EPP
Je běžné zaměňovat platformy zabezpečení prohlížečů s jinými zavedenými technologiemi, ale jejich přístupy a slepá místa se liší a obecně nejsou zaměnitelné.
CASB se umisťují mezi autorizované uživatele a cloudové služby a vynucují zásady prostřednictvím API nebo proxy. Jsou vynikající pro řízení oficiálních SaaS aplikací , ale selhávají u neschválených aplikací a postrádají podrobné informace o tom, co se děje v rámci relace prohlížeče (např. formuláře nebo konečné akce).
Nástroje pro webovou bezpečnost (WSL) filtrují webový provoz na úrovni sítě: provádějí filtrování URL, kontrolu obsahu a blokování podle kategorií . Pracují však primárně s doménami a URL, postrádají úplný kontext relace a informace o tom, jak je stránka v prohlížeči sestavena, což omezuje jejich schopnost detekovat škodlivý dynamický obsah, který se mění v reálném čase.
Nástroje EDR/EPP se naopak zaměřují na chování souborů, procesů a kódu v koncovém bodě . Jsou poslední linií obrany proti již spuštěnému malwaru, ale samotnou aktivitu prohlížení sotva detekují. Ve skutečnosti mohou přehlédnout významnou část škodlivých stahování, která jsou iniciována z prohlížeče ještě předtím, než se soubor dostane na disk.
Řešení zabezpečení prohlížečů tyto mezery vyplňují analýzou živých webových relací, detekcí stránek, kde se malware stahuje, než se soubor dostane do počítače, identifikací úniků dat prostřednictvím kopírování/vkládání nebo snímků obrazovky a poskytováním velmi přesného přehledu o tom, co uživatel na jednotlivých záložkách dělá.
V praxi nabízí kombinace dobře nakonfigurovaného prohlížeče, síťových nástrojů, EDR a dobré bezpečnostní politiky hloubkovou obranu, kterou je mnohem těžší prolomit než spoléhat se na jediný typ řešení.
Vzhledem k výše uvedenému je zřejmé, že zabezpečení webového prohlížeče zahrnuje kombinaci technologií, konfigurace a návyků: výběr prohlížečů a vyhledávačů šetrných k soukromí, aktivaci ochranných opatření, jako je Bezpečné prohlížení Google a Pouze HTTPS, udržování systému a rozšíření v aktuálním stavu, používání VPN a silných hesel, řízení oprávnění a doplňků a v podnikovém prostředí zvažování bezpečnostních platforem specifických pro daný prohlížeč, které nabízejí přehled a přesnou kontrolu nad každou relací, aniž by to snižovalo produktivitu.
