Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den CTO d. 6. oktober 2006.
Trusselsbilledet: It-sikkerhed Flere anmeldelser af it-kriminalitet og en invasion af professionelle it-tyveknægte, præger it-sikkerheden herhjemme. Det skaber ekstra behov for at sikkerhedsløsninger tilbyder overblik og nytænkning af de beskyttelsesfunktioner, som eksempelvis trådløse netværk kan indeholde. Moderne it-sikkerhed er ikke et spørgmål om at være logget ind eller ej, men kun have adgang til relevante netværksressourcer. I denne temasektion sætter vi fokus på konsekvenserne af den aktuelle udvikling.
kriminalitet Sikkerhedstruslen ændrer sig til at komme til at bestå af mere målrettede angreb med kriminelt sigte.
Analysebureauer, sikkerhedseksperter og it-folk er enige: Amatørernes dage som ondsindede hackere er forbi. Det er nu en mere organiseret og professionel trussel som it-chefer står over for i dag. Hvor det for amatørhackeren var et ønske om en form for berømmelse, er det nu udsigten til økonomisk gevinst, der driver kriminelle til at udnytte sårbarheder i it-systemerne. Det giver en mere målrettet, varieret og skruppelløs trussel.
- Det traditionelle billede af den pizzaspisende og coladrikkende bebumsede teenager, der keder sig og derfor skriver virus for at imponere vennerne, passer ikke mere. Vi har set tilknytning til mafiaen i Østeuropa, der hyrer folk til hacking, lyder det fra Ulf Munkedal, der er stifter af sikkerhedsfirmaet Fort Consult og en mangeårig veteran inden for it-sikkerhedsområdet.
En anden sikkerhedsveteran er Jay Heiser, der er certificeret it-sikkerhedsekspert (CISSP), medforfatter til bogen "Computer Forensics: Incident Response Fundamentals", klummeskriver i magasinet "Information Security" og analytiker for Gartner på sikkerhedsområdet. Han er enig i Ulf Munkedals vurdering af sikkerhedstruslen i dag.
- De oprindelige hackere havde en vis hacker-etik. De var ikke Robin Hood, men generelt undgik de at gøre skade. De var mere optaget af at vise deres tekniske kunnen. I dag består truslen af personer med teknisk viden, der har fundet sammen med personer, der ved, hvordan man stjæler penge, siger Jay Heiser.
Trusselsbilledet er på den måde også blevet mere omfattende.
- Det er alt muligt fra afpresning via ondsindede orme, der krypterer filer, der kun dekrypteres, hvis man betaler penge til bagmændene. Phishing hvor man prøver at narre folk til at give kreditkort- og bank-information væk. Afpresning i form af denial-of-service, hvor botnets (tusindvis af kaprede pc'er, red.) anvendes til at lægge et firmas webservere ned, fortæller Ulf Munkedal.
Hans beskrivelse af sikkerhedssituationen bakkes op af Gartners nylige rapport "Hype Cycle for Cyberthreats". Her kan man læse, at Gartner ser et stadigt mere fjendtligt miljø, der drives af finansielt motiverede og målrettede cyberangreb. Således forventer Gartner, at 40 procent af virksomheder i 2008 vil blive ramt af finansielt motiveret cyberkriminalitet.
Ifølge Jay Heiser vil truslen være ulige fordelt på forskellige brancher.
- De fleste internetbanker har været ramt af trusler i form af phishing og vira, der skjuler sig og forsøger at stjæle oplysninger fra brugerne. Internetbanking er det nemmeste mål for cyberkriminelle, og de går derfor efter det, siger Jay Heiser.
I rapporten identificerer Gartner fem cybertrusler, som har potentiale til at gøre betydelig skade for virksomhederne de næste to år. De fem trusler er: målrettede trusler, identitetstyveri, spyware, social engineering og virus.
- Målrettede trusler er trusler, der går efter et bestemt mål. Det adskiller dem fra trusler som Slammer, Code Red, Bagle og lignende malware, som alle ramte mere eller mindre tilfældigt. De målrettede trusler går efter en bestemt person eller virksomhed, siger Jay Heiser.
Den første målrettede trussel, som Jay Heiser stødte på, var i 2000. Den var rettet mod banken UBS' internetbankløsning. Her forsøgte kriminelle af opsnappe adgangskoder fra bankens internetbrugere. Netop bankerne er ved at tage næste skridt fra adgangskontrol til decideret monitorering af transaktioner.
- For homebanking er bankerne ved at indføre overvågning af transaktioner og aktiviteter, ligesom man kender det fra kreditkortselskaber. Hvis der pludselig sker store, usædvanlige bevægelser på en konto, vil sikkerhedssystemet bemærke det. Der er selvfølgelig risiko for falske positiver (indikation af, at der foregår noget ulovligt, men transaktionen er lovlig og udføres af brugeren selv, red.). Banken ringer til kunden for at høre, om transaktionen er ok. De fleste kunder er glade for det, da de ved, at banken forsøger at forhindre snyd, siger Jay Heiser.
Der er et antal banker, der har indført den slags fraud-monitorering. En anden forholdsregel, som er ved at blive indført, er såkaldt risk-based authentication.
- Det er en dynamisk bestemmelse af, hvor meget adgang du skal have. Kombineret med kontoens historik, kan man opsætte forskellige sikkerhedspolitikker. For eksempel vil sikkerhedssystemet reagere på den ene eller anden måde, hvis en konto i en internetbank, der normalt tilgås fra en dansk ip-adresse, pludselig bliver anvendt fra udlandet, siger Jay Heiser.
Der er altså forholdsregler at tage mod målrettede trusler. En trussel, der efterhånden har generet it-chefer i mange år, er virus, hvor der også er sket en videreudvikling af truslen.
Den traditionelle virustrussel, hvor e-mail sendes med vedhæftede virainficerede filer, er nemlig blevet mindre. Den type fik for alvor fik sit gennembrud med den verdensomspændende "I love you"-virus i 2000. Nu har orme afløst de e-mail-vedhæftede vira.
- Der er rimeligt styr på vira, der spredes via e-mail. Nu er det orme, der udnytter sårbarheder i programmer, der er den primære tussel. Et eksempel var den nylige Messenger-orm, der spredte sig via instant messaging. Der blev sendt beskeder om, at man skulle klikke på et link. Gjorde man det, blev ens maskine inficeret, siger Ulf Munkedal.
Han ser Messengerormen som eksempel på den generation, der har taget over efter vira, der spredes via e-mail. Han understreger, at det ikke kun er Messenger, man skal holde øje med.
- Generelt udnytter orme sårbarheder i software - det behøves ikke at være Messenger. Hvis der er et sikkerhedshul, udnyttes det af ormen til at komme ind i maskinen og derfra sprede sig til andre maskiner. Orme har overtaget herredømmet over de automatiserede trusler, siger Ulf Munkedal.
Der er dog heldigvis forholdsregler at tage over for ormene.
- Netværkssikkerhed, firewall, IDS (intrusion detection systems) og IPS (intrusion prevention systems) er værktøjer, der kan anvendes til at holde ormene ude af it-miljøerne. Antivirusproducenterne er til dels også i stand til at fange ormene, siger Ulf Munkedal.
Instant messagingorme er et forholdsvist nyt område, men i princippet er historien den samme som med e-mail med vedhæftede virusinficerede filer. Man skal være mistroisk, hvis der pludselig dukker et link, man ikke har bedt om, op på ens Messengerklient.
- De fleste har lært at være skeptiske over for e-mail med vedhæftede filer. Den samme påpasselighed skal man have over for links i messaging-programmer, siger Ulf Munkedal.
- I dag er det sådan, at mange filtre på mailservere filtrerer eksekverbare filer fra. På samme måde er vi begyndt at se firewalls og contentfiltre til Messenger, der filtrerer vedhæftede filer som exe-filer, word og regneark fra, forklarer Ulf Munkedal.
Et af målene for virus og orme er at inficere maskiner, så maskinerne på et tidspunkt kan anvendes af de kriminelle. Ved at kontrollere en hel hær af inficerede maskiner i et såkaldt botnet, står kriminelle med et stærkt afpresningsvåben over for firmaer, der baserer deres forretning på en online-tilværelse. Hvis ikke virksomheden betaler penge til de kriminelle, vil botnettet starte en syndflod af forespørgsler til virksomhedens websted. Resultatet er, at virksomhedens websted går ned, fordi det ikke kan håndtere alle forespørgslerne. Ved sådan et denial-of-service-angreb vil virksomhedens kunder selvfølgelig heller ikke kunne komme i kontakt med webstedet.
- Det er typisk firmaer som online-spil og bookmakere, der rammes. De er 100 procent afhængige af at være online. Der er daglige afpresningsforsøg; det er ligesom mafiaen, der opkrævede beskyttelsespenge i gamle dage: Hvis ikke du betaler, så lægger vi dit website ned, siger Ulf Munkedal.
Et stort botnet-angreb er svært at gardere sig imod.
- Der er specielle teknologier til håndtering af denial-of-service primært i USA. Det er dyre systemer, der kræver et stort marked. Basalt handler det om at filtrere datapakker fra de angribende maskiner fra. Det sker i samarbejde med ISP'erne (internetleverandørerne, red.), så ISP'erne ikke videresender trafik fra de IP-adresser, der står bag angrebet, siger Ulf Munkedal.
Danmark ser ud til at have undgået den form for sikkerhedstrussel.
- Danske spil er i målgruppen. For at det skal være interessant for de kriminelle, skal online-tilstedeværelsen være fundamentet for forretningen. Så selvom Lego og A.P. Møller eksempelvis er store, så har de ikke baseret deres indtjening på online, hvilket gør dem mindre interessante, vurderer Ulf Munkedal.
Faktaboks:
Sikkerhed og terrorisme
I USA betegnes hele sikkerhedssektoren - ikke kun it - som den hurtigst voksende industri. Den forventes at være 120 milliarder dollars værd i 2011.
I England forventes markedet at være 2,1 milliarder pund værd i 2008. En nyligt oprettet fond, PegasusBridge Fund Management, skal investere i ny teknologi, der kan forhindre terrorangreb og øge den nationale sikkerhed. Irisgenkendelse, ansigtsgenkendelse og containerscreening nævnes som mulige investeringsegnede teknologier. Fonden ledes af Richard Leaver, tidligere chef hos den engelske våbenfabrikant BAE Systems.
Ifølge analysebureauet Gartner omsatte sikkerhedssoftware for 7,4 milliarder dollars i 2005. Det er en stigning på 14,8 procent fra 2004, hvor omsætningen lå på 6,4 milliarder dollars. Antivirus software omsatte alene for 4 milliarder dollars i 2005 og udgjorde dermed 54,3 procent af det totale sikkerhedssoftwaremarked.
Symantec fortsatte som markedsleder på markedet for sikkerhedssoftware med en markedsandel på 32,2 procent. Ses der udelukkende på antivirusmarkedet var
Symantecs dominans endnu større med 53.6 procent.
Kilder: The Sunday Times og Gartner
Faktaboks:
IDS, IPS, Cross-site scripting, SQL injection og overflows
Intrusion detection system (IDS) er software, der opdager et angreb på en computer eller et netværk. IDS kigger efter mønstre eller opførsel, der kan indikere et indtrængningsforsøg. Afvigelser fra et normalt trafikmønster på netværket kan indikere et indtrængningsforsøg. For megen dataopsamling kan give et voldsomt analysearbejde og måske generere falske alarmer, mens for lidt dataopsamling kan betyde, at et indtrængningsforsøg overses.
Intrusion prevention system (IPS) er software, der forhindrer angreb på computer eller netværk. IPS går et skridt videre end IDS, da IPS stopper et indtrængende angreb. Mens IDS passivt overvåger trafik ved at lytte på en port, vil IPS eksempelvis sidde i en firewall og aktivt opsnappe og videresende datapakker. Skadelige datapakker kan derfor blokeres. Ifølge sikkerhedsorganisationen Mitre er cross-site scripting den mest udbredte sårbarhed.
Bufferoverflows har længe været den største kilde til sikkerhedshuller. Det har blandt andet fået Intel og AMD til at indbygge anti-bufferoverflowteknologi ind i deres chips, eksempelvis AMD's NX (no execute) og Intels XD (execution disable).
Mens bufferoverflows rammer programmer skrevet i eksempelvis C, så tyder stigningen i anvendelsen af cross-site scripting (XSS) på, at angriberne i stigende grad går efter webapplikationer skrevet i Java, .Net og PHP.
Scriptsprog som PHP og Javascript tillader som regel kun, at websider og webelementer, der kommer fra samme domæne og anvender samme protokol, kan tale sammen. XSS-sårbarheder gør det muligt for ondsindede websites at få adgang til data fra websider og webelementer, der stammer fra andre domæner,
Den anden mest populære angrebstype er SQL-injektion, som gør det muligt for en angriber at foretage SQL-kald til en database og på den måde få adgang til data.
Den tredje mest poplære angrebstype er PHP-include-sårbarheder, som kan give en angriber mulighed for at køre et script på en server.
Ud af 20.000 rapporterede sårbarheder registreret af Mitre i år, var de 21,5 procent XSS, 14 procent var SQL- injektion, og 9,5 procent var PHP-includes. Bufferoverflows var nummer fire med 7,9 procent.
OriginalModTime: 14-11-2006 14:00:46
