IT og Telestyrelsen fik en del negativ omtale rundt omkring da de tilbød en online sårbarhedsscanner.
Hovedklagen var, at sårbarhedsscanninger er nytteløse for almindelige brugere, fordi angribere i dag udnytter sårbarheder i browsere og klientsoftware.
Angreb imod brugerne Det har længe været klart, at angreb imod bruger applikationer er i voldsom vækst og hvis man nogensinde har undersøgt computere, der er blevet hacket vil man sikkert have opdaget, at mange angreb er direkte rettet imod brugerne.
Hvad sker der på internettet? Så hvis scanningerne virkelig er nyttesløse, fordi alle angriberne er gået over til at angribe browsere og klientsoftware, bør man kunne se en tydelig nedgang i antallet af angreb der bliver stoppet af firewalls, dvs portscanninger og probes. Så jeg spurgte SANS Internet Storm Center, der hver dag modtager millioner af log entries, om man kunne se sådan et fald. Men det kan man ikke. Der er lige så mange angreb over internettet som altid.
Så antallet af angreb tyder på, at sårbarhedsscanninger stadig har værdi. Og resultaterne fra scanningerne tyder også på, at der er nogen der får værdi ud af scanningerne.
Mange lag = bedre sikkerhed Sikkerhed består af mange lag. Med et ordentligt filter i routeren eller en firewall *er* man beskyttet imod alle de sårbarheder der kan findes i scanningerne. Hvis man holder sine programmer opdateret, er man beskyttet imod mange angreb.
Og hvis man tester sin sikkerhed en gang imellem, f.eks. med Telestyrelsens scanner og Secunias program, kan man se om systemet stadig er sikret imod de kendte angreb som man tror de er.
Hvorfor egentlig? Det kan være interessant at overveje hvorfor der stadig er lige så mange scanninger på Internettet som altid, selvom så mange bliver hacket igennem browsere og andre bruger applikationer.
Umiddelbart kan jeg komme på to grunde:
- De, der laver bruger angreb, er en helt anden gruppe personer end dem, der laver portscanninger og probes. Der er stadig mange hjemmesidehackere og andre der bruger de gammelkendte teknikker. Men en mindre, meget aktiv, gruppe personer der primært går efter penge angriber brugerne direkte.
Så der er lige så mange sårbare og hackede systemer som altid, der er bare mere opmærksomhed på klient-angrebene fordi der tit er penge involveret.
- Mange ting i logfilerne er egentlig ikke angreb men internet-tinitus, dvs. konstant baggrundslarm på internettet fra forskellige applikationer.
Del 2: hvad er det egentlig en sårbarhedsscanner gør og hvordan adskiller Telestyrelsens scanning sig fra en penetrationstest.
På en række områder har dansk lovgivning et højt niveau for databeskyttelse. Når der lægges op til yderligere harmonisering i EU opfordrer Datatilsynet til, at man fra dansk side arbejder for et retsgrundlag, der ikke tvinger beskyttelsen af personoplysninger i Danmark ned på et lavere niveau.
Stuxnet-ormen har lagt Mærsk og Siemens' fabrikssystemer ned, og den er blevet udråbt til en af de værste sikkerhedstrusler i 10 år. Her kan du få et indblik i, hvordan den virker.
Personers ret til privatliv og databeskyttelse er grundlæggende. Det fremgår nu også af It-politisk redegørelse, at beskyttelse af privatliv og personoplysninger bør være en integreret del af digitaliseringsprojekter. Men der er også brug for kompetencer og viden om beskyttelse af personoplysninger og privatliv. Som eksempel omtales en konkret sag fra Datatilsynets hverdag
Carsten Jørgensen er bl.a. CISSP, CISA og CISM. Han har beskæftiget sig med sikkerhed på fuld tid siden 1999 og arbejder i dag som it-sikkerhedschef i Falck.
I sin fritid driver han hjemmesiderne CloudSecurity.dk og ComputerForensics.dk. Carsten er facilitator for Dansk-IT's kompetancenetværk for Cloud Computing og virtualisering, han underviser i it-sikkerhed på DIKU.
Mens nogle virksomheder vil kunne lade et trådløst WiFi-netværk erstatte kablerne, kan det hurtigt give problemer i andre virksomheder. Her får du gode råd til at træffe den rette beslutning.
Er du klædt på til succes, eller spiller tøjet ingen rolle på din arbejdsplads? Læs her, hvordan danske it-medarbejdere går klædt i virksomheder som Mærsk, Google og i en lille dansk kommune.
Log ind
Publiceret d. 24. februar 2008 kl. 22.30
|
