Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den CTO d. 3. maj 2007.
usikkerhed Netværkssikkerheden er blevet bedre, men der er stadig svipsere. Sikkerhedsfokus flyttes til webapplikationerne, hvor svaghederne skal luges ud.
Sikkerhedstruslen er under stadig forandring, men heldigvis er bevidstheden om sikkerhed hos topledelsen blevet øget.
CTO har talt med sikkerhedseksperterne Henrik Lund Kramshøj, security6.net og Ulf Munkedal, FortConsult om it-sikkerhed.
"Generelt er det mit indtryk, at danske virksomheder har et forholdsvist højt sikkerhedsniveau," siger sikkerhedskonsulent Ulf Munkedal fra FortConsult.
Henrik Lund Kramshøj fra security6.net er ikke helt enig med sin sikkerhedskollega. Han mener, at sikkerheden i danske virksomheder i for høj grad er personrelateret.
"Det meste sikkerhedsarbejde foregår ad hoc. Hvis der er dygtige folk, så er sikkerheden OK. Systemerne er opdaterede, der implementeres nye sikkerhedstiltag og de gamle sikkerhedsforordninger opretholdes. Men hvis de dygtige folk holder op, eller der skrues ned for ressourcerne, så glider sikkerheden ud af fokus," siger han.
Kriminelle bag truslerne
De to danske sikkerhedseksperter er enige om, at sikkerhedstruslen er under stadig forandring. En forandring, der er drevet af kriminelle interesser.
"Alle de måder vi kan forestille os, at kriminelle vil anvende it til at skaffe penge, det kommer til at ske. Den økonomiske kriminalitet er eksploderet, og det vil fortsætte," siger Ulf Munkedal.
Som eksempel nævner han, at der i dag sælges adgang til inficerede computere via internettet. For fire dollars kan man få en inficeret computer til at indgå i et såkaldt zombie-netværk.
Zombie-netværket kan bruges til at udsende spam eller foretage Denial of Service-angreb mod virksomhedernes webapplikationer. Et velorkestreret angreb med et zombie-netværk på et par tusinde maskiner kan forstyrre online-virksomheders systemer så meget, at de er villige til at betale penge til angriberne, så angrebet stopper.
"Det er finanssektoren og firmaer, der er meget afhængige af deres online-virksomhed, der er målgruppen. De udsættes for afpresning eventuelt med en lille demonstration af Denial-of-Service. Generelt er danske virksomheder begyndt at omstille sig til en virkelighed, hvor hackerne går efter pengene. De har fået mere styr på infrastrukturen, hvilket frigiver flere ressourcer til at arbejde med andre ting som applikationssikkerhed. Samtidig er topledelsen gennem de seneste par år blevet mere opmærksom på, hvor afhængige virksomhederne er af diverse applikationer. Hvis systemerne ikke kører, så kan virksomheden ikke lave noget," siger Ulf Munkedal.
Nye features - nye risici
Trods virksomhedsledelsens større fokusering på sikkerhed er der, udover de kriminelles opfindsomhed, to ting, der modarbejder sikkerheden i virksomhederne: Manglende ressourcer til sikkerhedsarbejdet samt en stadig strøm af ny teknologi.
"De enkelte it-folk har ikke tid til at sætte sig ind i alle de nye muligheder som et nyt produkt har. Samtidig forsøger producenterne at sælge deres udstyr på alle mulige nye features. Hvis en ny version af en netværksenhed lanceres med webadministration, så kan det blive et problem, hvis administratoren ikke er opmærksom på den nye webadministration. Pludselig har de ondsindede hackere fået en ny mulig indgang," siger Henrik Lund Kramshøj.
Hvis administratoren ikke er opmærksom på den nye feature, kan de ondsindede hackere måske få adgang med et standardpassword.
"Problemet er størst, hvis enhederne leveres med alle features slået til ved levering. Heldigvis er leverandørerne ved at indse, at det er bedre at levere produkterne med de fleste features slået fra," siger Henrik Lund Kramshøj.
Risikoen ved "checkmark"
Illusionen om en sikker infrastruktur er et andet alvorligt problem i nogle virksomheder. På overfladen ser sikkerhedsniveauet fint ud, men dykker man ned i sikkerhedsarkitekturen, finder man alvorlige problemer.
"Vi ser nogle gange, hvad vi kalder "checkmark"-sikkerhed. Her går it-folkene rundt med en sikkerhedstjekkliste. Har vi en firewall? Ja, lyder svaret, og så sætter man et flueben på tjekklisten. Men man undersøger ikke, om firewallen er konfigureret ordentligt," siger Henrik Lund Kramshøj.
Samtidigt advarer han mod, at virksomhederne udelukkende fokuserer på udefrakommende trusler.
"Virksomhederne har ofte en holdning om, at deres medarbejdere ikke gør noget galt. Desværre er det ikke altid rigtigt. Vrede medarbejdere kan finde på at destruere data. Hvis virksomheden er heldig, har medarbejderen kun formateret harddisken. Her kan data genskabes med forskellige værktøjer. Hvis der er tale om mere effektive sletninger, kræver det datarecovery-specialister, for at få genskabt data," fortæller Henrik Lund Kramshøj.
Restore-problemet
Men data kan vel altid genskabes ud fra den backup, som virksomheden har? Ikke altid.
"Tab af data er jævnligt forekommende. Backup-procedurer er ikke komplette. De bliver ikke udført regelmæssigt nok, og i nogle tilfælde fejler de helt. Det kan godt være, at man tester backup og restore, men man gør det ikke ofte nok. Når systemet installeres, laver man måske en fuld backup og efterfølgende restore. Et par år efter har man tilføjet flere diske og disksystemer, og man har ikke lige fået testet restore med den ændrede konfiguration. Når uheldet indtræffer, så er der data, som ikke er med i backuppen," siger han.
Planlæg sikkerheden
De to sikkerhedseksperter er enige om, at bedre sikkerhed ikke handler så meget om avancerede sikkerhedsprodukter, men mere om plan-
lægning, omtanke og gode procedurer.
"Stop op og planlæg. Gennemgå den eksisterende infrastruktur kritisk. Find ud af hvad der er installeret, og hvordan det er konfigureret," anbefaler Henrik Lund Kramshøj.
Det kan være nogle helt enkle lavpraktiske ting, som er med til at give det overblik, som er nødvendigt for sikkerheden.
"Husk at notere hvor enhederne står, hvilke stik de bruger og marker dem med labels. Især i mindre selskaber kan infrastrukturen være en opgave som håndteres meget ad hoc, hvilket kan give store problemer," advarer han.
Selvom Ulf Munkedal mener, at virksomhederne generelt har et godt sikkerhedsniveau, så mener han ikke, at virksomhedernes beredskab er godt nok.
Hvis en orm eller en hacker formår at trænge igennem de digitale forsvarsværker, så er virksomhederne ikke gearet til at håndtere skaden. For at blive bedre til at begrænse skaden ved en sikkerhedsbrist anbefaler Ulf Munkedal, at virksomhederne opdeler deres netværk i segmenter.
"Segmentering af netværk kan være med til at højne beredskabet og minimere skaden. Ligesom i en ubåd kan man lukke dele af netværket ned, så man kan sejle videre. Routere eller firewalls kan anvendes til segmentering af netværket. Det giver mulighed for hurtigt at lukke en del af netværket. De helt store har allerede segmentering i form af de forskellige geografiske lokationer. Hvis eksempelvis kontoret i Ringsted rammes, kan en sikkerhedshændelse isoleres indtil hændelsen er rettet op," siger han.
Gode sikkerhedsprodukter
Selvom begge sikkerhedskonsulenter fremhæver planlægning og etablering af procedurer til forbedring af sikkerhed, er der dog også hjælp at hente i teknologien.
Henrik Lund Kramshøj fremhæver de automatiske opdateringer, som sikrer, at de fleste systemer holdes up to date sikkerhedsmæssigt. Samtidig er brugen af firewalls og antivirus i de fleste virksomheder med til at reducere sårbarhederne væsentligt.
"Firewalls er et absolut must. Det giver en god ydre blokering med mulighed for sortering og filtrering. Det er så at sige første forsvarsrække. Men det må ikke stå alene. Antivirus er et must for Windows-brugere," siger han.
Intrusion Detection Systemer (IDS) og Intrusion Prevention Systemer (IPS) kan også være med til at forhindre ondsindet adgang til virksomhedens it-systemer, men her råder it-konsulenterne til forsigtighed.
"IDS og IPS er en god ide at have og er så småt på vej. I fremtiden bliver det mere udbredt, fordi netværket bliver større og mere komplekst. Vi anbefaler at være forsigtig med IPS, da den selv kan finde på at afbryde forbindelserne. IDS kan også tage fejl. Normal netværkstrafik kan eksempelvis generere alarmer. Det er lidt ligesom de tidligste bilalarmer, der ofte gav falske alarmer. Teknologien er ikke helt moden, de er meget følsomme. De kigger på netværkstrafikken, de enkelte datapakker, eventuelt flere datapakker sat sammen. Hvis der er nogle ses-sioner eller trafikmønstre der ser mistænkelige ud, er det bedre at alarmere en gang for meget end en gang for lidt," siger Ulf Munkedal.
Både IDS og IPS skal tunes, hvis det skal bruges løbende. Det giver en stor arbejdsbyrde, som typisk kun de helt store virksomheder har råd til. Til de mindre virksomheder er der begyndt at dukke de såkaldt Unified Threat Management-bokse op, der kombinerer forskellig sikkerhedsfunktionalitet i et.
"Det er fint med funktionalitet fra IDS/IPS, der lægges ned i andre enheder, men man skal passe på, at man ikke bindes til en leverandør," siger Henrik Lund Kramshøj.
Indholdsfiltrering, eller content filtering, anbefales af Ulf Munkedal.
"Ligesom en firewall kan blokere TCP/IP-trafik på et lavt niveau, har man brug for noget, der kan se nærmere på indholdet. Eksempelvis vil det være en ide at forhindre, at exe-filer hentes ned via browsere. I dag har mange sikret deres mail-systemer, så e-mails med vedhæftede exe-filer fjernes. Men der er ikke så mange, der forhindrer, at exe-filer hentes ned via browseren," siger han.
Boks: for sikkerhed
Webapplikationer: Webapplikationer giver adgang til fortrolige data eller står for en stor del af omsætningen i danske virksomheder. Derfor bliver behovet for at sikre disse applikationer større.
Interne applikationer: Danske virksom-
heder er meget afhængige af de interne it-
systemer i den daglige forretning. Derfor skal de sikres godt.
Gadgets/samarbejdsværktøjer: Mange mennesker bruger allerede værktøjer som Skype, online-communities, instant mes-saging og smartphones af forskellige slags. Virksomhederne kæmper for at sikre virksomheden mod, at orme og vira kommer ind den vej. Samtidig skal de sørge for, at de
ikke bliver så restriktive, at medarbejderne ikke kan arbejde ordentligt.
Browser-sikkerhed: Malware kommer i
stigende grad ind via huller i brugernes
browsere. Derfor bliver det vigtigere, at virksomheder har et content filtering system, som kan filtrere webindhold. De enkelte arbejdsstationer kan sikres bedre ved eksempelvis at begrænse de brugerrettigheder, som brugerne browser med.
OriginalModTime: 03-05-2007 14:23:18
