Reportage: Fra en anonym grå kontorbygning på Østbanegade i København overvåger danske it-sikkerhedseksperter de digitale slagmarker.
Kun overvågningskameraerne, der holder øje med alle hjørner af bygningen, afslører, at der foregår noget specielt inde bag murene.
Her vogter Center for Cybersikkerhed, der med sin tjeneste GovCERT holder øje med al netværkstrafik hos en lang række danske myndigheder, regioner, kommuner og private virksomheder, der arbejder med kritisk infrastruktur.
Følg med Computerworld ind i tjenestens verden af mistænkelig netværkstrafik, og få et indblik i, hvordan tjenesten bruger sit såkaldte sensornetværk.
Sikkerhed frem for alt
Efter cirka et minuts ventetid foran indgangen er det major og key account manager Jesper Nielsen, der åbner fordøren op og leder mig ind gennem første sluse.
"Du skal lige lægge din telefon ind i en af de bokse," siger han og nikker på nøgleskabet, der skal sikre, at udefrakommende ikke tager billeder eller laver lydoptagelser fra bygnings indre.
Centerets afdelingschef Thomas Kristmar dukker op, og efter en kort rundvisning i centerets nye kontormiljø går turen mod præsentationslokalet, hvor GovCERT's monitoreringsværktøj skal demonstreres.
Et par hackere ankommer
GovCERT's sensornetværk er en del af centerets sikkerheds tilbud til myndigheder og virksomheder. Ved hjælp af udstyr hos eksempelvis Statsministeriet, sniffer teknikken al netværkstrafik, der sendes ind og ud af myndighedens netværk.
Hvis trafikken er mistænksom alarmeres centerets analytikere, som derefter kan analysere, om trafikken nu virkelig også er farlig.
To af analytikerne dukker frem i mødelokalet, og går i gang med demonstrationen.
"Hvis du tager din Anonymous-maske frem, så er du hackeren i dag," siger Thomas Kristmar til den ene af analytikerne, der af sikkerhedshensyn ikke ønsker, at stå frem ved navn.
Har I én Anonymous-maske på kontoret?
"Ja. Men den finder vi ikke lige frem nu," siger den nyudnævnte hacker og kigger ned på mit kamera.
Thomas Kristmar understreger, at kiggerten ikke kun er rettet mod hacktivister og cyberkriminelle.
Centerets seneste trusselsvurdering fremhæver også statslige aktører, supply chain threats (bagdøre i hard- og software) og ondsindede insidere i virksomheder som værende de største cybertrusler i øjeblikket.
Her er analytikernes altseende øje
Et af de centrale arbejdsredskaber i analytikernes store værktøjskasse er selve overvågningsprogrammet, der giver medarbejderne et overblik over aktuelle alarmer.
Center for Cybersikkerheds overvågningsværktøj. Elementerne, der er skjult i billedet, er af sikkerhedshensyn censureret af Center for Cybersikkerhed.
Netværkstrafikken køres gennem et filter, der vurderer om sessions- eller pakkedata er mistænkelig. Mistænkeligt data bliver markeret enten med rød, gul eller grøn farve, alt efter, hvor alvorlig den mistænkelige netværkstrafik er.
"Af sikkerhedshensyn kan du ikke skrive, hvad navnet på vores værktøj er," siger Thomas Kristmar, og tager en slurk kaffe af sin kop med Winston Churchill afbilledet på siden.
Analytikerne kan på den måde se en kort beskrivelse af, hvilken type skadelig trafik, der er tale om. Samt afsenderens ip-adresse, hvilken port trafikken kommer fra, hvilken ip-adresse, der er modtager af trafikken, hvilken port trafikken er sendt til samt tidspunktet for trafikkens aktivitet.
Slip malwaren løs
Alt imens analytikeren har præsenteret værktøjet, er den fiktive hacker lusket ud af lokalet, og har sat sit et angreb ind på analytikerens test pc.
"Forestil dig, at min pc står hos en myndighed, og at en udefrakommende hacker nu går direkte efter at inficere min Windows-pc med malware," siger den anonyme analytiker.
I angrebsscenariet simuleres det, at hackeren afsender en e-mail med et link til en bestemt hjemmesideadresse til ofret.
Ofret, analytikeren, klikker ukritisk på linket, og Internet Explorer suser direkte ind på en hjemmeside, der umiddelbart bare er en helt blank side.
"Sådan. Så er min pc inficeret med malware," fortæller analytikeren.
Hackeren har nu inficeret ofrets pc. I virkeligheden ville teksten højst sandsynligt være erstattet af tilsyneladende almindeligt indhold, der ikke ville gøre ofret mistænksom.
I testen bruger hackeren en sårbarhed ved navn IE CVE-2012-4969, som oprindeligt blev opdaget og lukket af Microsoft i september 2012.
Ved at udnytte sårbarheden har hackeren sneget et program ind på ofrets pc, der gør det muligt at trække stort set alle informationer ud af computeren.
Hackeren har fuld kontrol over ofret
Den fiktive Hackeren kalder mig nu ind i lokalet, hvor han arbejder fra.
"Som du kan se på skærmen, har jeg nu fuld kontrol over ofrets pc," siger hackeren.
Hackeren kan ved hjælp af malwaren se og overføre filer fra ofrets computer.
På billedet ovenfor ses det, hvordan hackeren har kigget i en tekst fil, C:\Users\exploit7\Desktop\test.txt, der ligger lokalt på ofrets computer.
Her kan hackeren læse sig frem til, at tekstfilen indeholder teksten "Dette er en hemmelighed :)"
Overvågningssystemet kommer til sin ret
Men alt imens hackeren har udlæst filer fra oftret, har GovCERT's overvågningssystem fundet mistænkelig aktivitet i netværket.
Overvågningsprogrammet fortæller analytikerne, at der er fundet mistænkelig netværkstrafik til og fra ofrets computer. Det ses her, at hackeren har kommunikeret med ofrets pc på port 443, der ellers normalt bruges af din browser til at kommunikere med krypterede hjemmesider.
Analytikeren kan nu undersøge trafikken yderligere, og ved at undersøge det pakkedata, som hackeren har sendt frem og tilbage, kan analytikerne se helt præcist, hvad hackeren har fortaget sig.
Billedet viser, hvordan analytikerne har mulighed for at se direkte ned i det pakkedata, som GovCERT's sensornetværk har sniffet omkring hackerens kommunikation med ofrets pc.
"Hackeren har kommunikeret med ofrets computer uden at bruge kryptering. Så i dette tilfælde kan jeg se alt, hvad hackeren har foretaget sig," fortæller analytikeren.
Hvad gør I, hvis pakkedata er krypteret?
"Så har vi ikke mulighed for at se, hvad hackeren har foretaget sig. Vi kan dog stadig se, hvilken pc som hackeren har angrebet," siger analytikeren og henviser til det sessionsdata, som kan vise, hvilken ip-adresse som hackeren har angrebet.
GovCERT har ingen muligheder for at forsøge sig med at dekryptere pakkedata, fordi tjenesten ikke har lovhjemmel til det.
Major: Husk nu din telefon igen
Præsentationen afsluttes, og analytikerne forsvinder ud i virkeligheden igen.
Jeg afleverer samtidig hukommelseskortet til mit kamera til Thomas Kristmar, der af hensyn til sikkerheden i tjenesten vil censurerer dele af billedmatrialet.
Inden jeg igen sluses ud af sikkerhedshøjborgen, minder major Jesper Nielsen mig om at huske min opbevarede telefon.
