Artikel top billede

Kom med indenfor hos dansk overvågningstjeneste

Reportage: Følg med Computerworld ind i en verden af overvågning hos Center for Cybersikkerhed. Her kan du se, hvordan tjenestens analytikere arbejder med det værktøj, der til dagligt søger for at passe på de danske myndigheder.

Reportage: Fra en anonym grå kontorbygning på Østbanegade i København overvåger danske it-sikkerhedseksperter de digitale slagmarker.

Kun overvågningskameraerne, der holder øje med alle hjørner af bygningen, afslører, at der foregår noget specielt inde bag murene.

Her vogter Center for Cybersikkerhed, der med sin tjeneste GovCERT holder øje med al netværkstrafik hos en lang række danske myndigheder, regioner, kommuner og private virksomheder, der arbejder med kritisk infrastruktur.

Følg med Computerworld ind i tjenestens verden af mistænkelig netværkstrafik, og få et indblik i, hvordan tjenesten bruger sit såkaldte sensornetværk.

Sikkerhed frem for alt
Efter cirka et minuts ventetid foran indgangen er det major og key account manager Jesper Nielsen, der åbner fordøren op og leder mig ind gennem første sluse.

"Du skal lige lægge din telefon ind i en af de bokse," siger han og nikker på nøgleskabet, der skal sikre, at udefrakommende ikke tager billeder eller laver lydoptagelser fra bygnings indre.

Centerets afdelingschef Thomas Kristmar dukker op, og efter en kort rundvisning i centerets nye kontormiljø går turen mod præsentationslokalet, hvor GovCERT's monitoreringsværktøj skal demonstreres.

Et par hackere ankommer

GovCERT's sensornetværk er en del af centerets sikkerheds tilbud til myndigheder og virksomheder. Ved hjælp af udstyr hos eksempelvis Statsministeriet, sniffer teknikken al netværkstrafik, der sendes ind og ud af myndighedens netværk.

Hvis trafikken er mistænksom alarmeres centerets analytikere, som derefter kan analysere, om trafikken nu virkelig også er farlig.

To af analytikerne dukker frem i mødelokalet, og går i gang med demonstrationen.

"Hvis du tager din Anonymous-maske frem, så er du hackeren i dag," siger Thomas Kristmar til den ene af analytikerne, der af sikkerhedshensyn ikke ønsker, at stå frem ved navn.

Har I én Anonymous-maske på kontoret?

"Ja. Men den finder vi ikke lige frem nu," siger den nyudnævnte hacker og kigger ned på mit kamera.

Thomas Kristmar understreger, at kiggerten ikke kun er rettet mod hacktivister og cyberkriminelle.

Centerets seneste trusselsvurdering fremhæver også statslige aktører, supply chain threats (bagdøre i hard- og software) og ondsindede insidere i virksomheder som værende de største cybertrusler i øjeblikket.

Her er analytikernes altseende øje

Et af de centrale arbejdsredskaber i analytikernes store værktøjskasse er selve overvågningsprogrammet, der giver medarbejderne et overblik over aktuelle alarmer.


Center for Cybersikkerheds overvågningsværktøj. Elementerne, der er skjult i billedet, er af sikkerhedshensyn censureret af Center for Cybersikkerhed.

Netværkstrafikken køres gennem et filter, der vurderer om sessions- eller pakkedata er mistænkelig. Mistænkeligt data bliver markeret enten med rød, gul eller grøn farve, alt efter, hvor alvorlig den mistænkelige netværkstrafik er.

"Af sikkerhedshensyn kan du ikke skrive, hvad navnet på vores værktøj er," siger Thomas Kristmar, og tager en slurk kaffe af sin kop med Winston Churchill afbilledet på siden.

Analytikerne kan på den måde se en kort beskrivelse af, hvilken type skadelig trafik, der er tale om. Samt afsenderens ip-adresse, hvilken port trafikken kommer fra, hvilken ip-adresse, der er modtager af trafikken, hvilken port trafikken er sendt til samt tidspunktet for trafikkens aktivitet.

Slip malwaren løs

Alt imens analytikeren har præsenteret værktøjet, er den fiktive hacker lusket ud af lokalet, og har sat sit et angreb ind på analytikerens test pc.

"Forestil dig, at min pc står hos en myndighed, og at en udefrakommende hacker nu går direkte efter at inficere min Windows-pc med malware," siger den anonyme analytiker.

I angrebsscenariet simuleres det, at hackeren afsender en e-mail med et link til en bestemt hjemmesideadresse til ofret.

Ofret, analytikeren, klikker ukritisk på linket, og Internet Explorer suser direkte ind på en hjemmeside, der umiddelbart bare er en helt blank side.

"Sådan. Så er min pc inficeret med malware," fortæller analytikeren.


Hackeren har nu inficeret ofrets pc. I virkeligheden ville teksten højst sandsynligt være erstattet af tilsyneladende almindeligt indhold, der ikke ville gøre ofret mistænksom.

I testen bruger hackeren en sårbarhed ved navn IE CVE-2012-4969, som oprindeligt blev opdaget og lukket af Microsoft i september 2012.

Ved at udnytte sårbarheden har hackeren sneget et program ind på ofrets pc, der gør det muligt at trække stort set alle informationer ud af computeren.

Hackeren har fuld kontrol over ofret

Den fiktive Hackeren kalder mig nu ind i lokalet, hvor han arbejder fra.

"Som du kan se på skærmen, har jeg nu fuld kontrol over ofrets pc," siger hackeren.


Hackeren kan ved hjælp af malwaren se og overføre filer fra ofrets computer.

På billedet ovenfor ses det, hvordan hackeren har kigget i en tekst fil, C:\Users\exploit7\Desktop\test.txt, der ligger lokalt på ofrets computer.

Her kan hackeren læse sig frem til, at tekstfilen indeholder teksten "Dette er en hemmelighed :)"

Overvågningssystemet kommer til sin ret

Men alt imens hackeren har udlæst filer fra oftret, har GovCERT's overvågningssystem fundet mistænkelig aktivitet i netværket.


Overvågningsprogrammet fortæller analytikerne, at der er fundet mistænkelig netværkstrafik til og fra ofrets computer. Det ses her, at hackeren har kommunikeret med ofrets pc på port 443, der ellers normalt bruges af din browser til at kommunikere med krypterede hjemmesider.

Analytikeren kan nu undersøge trafikken yderligere, og ved at undersøge det pakkedata, som hackeren har sendt frem og tilbage, kan analytikerne se helt præcist, hvad hackeren har fortaget sig.


Billedet viser, hvordan analytikerne har mulighed for at se direkte ned i det pakkedata, som GovCERT's sensornetværk har sniffet omkring hackerens kommunikation med ofrets pc.

"Hackeren har kommunikeret med ofrets computer uden at bruge kryptering. Så i dette tilfælde kan jeg se alt, hvad hackeren har foretaget sig," fortæller analytikeren.

Hvad gør I, hvis pakkedata er krypteret?

"Så har vi ikke mulighed for at se, hvad hackeren har foretaget sig. Vi kan dog stadig se, hvilken pc som hackeren har angrebet," siger analytikeren og henviser til det sessionsdata, som kan vise, hvilken ip-adresse som hackeren har angrebet.

GovCERT har ingen muligheder for at forsøge sig med at dekryptere pakkedata, fordi tjenesten ikke har lovhjemmel til det.

Major: Husk nu din telefon igen
Præsentationen afsluttes, og analytikerne forsvinder ud i virkeligheden igen.

Jeg afleverer samtidig hukommelseskortet til mit kamera til Thomas Kristmar, der af hensyn til sikkerheden i tjenesten vil censurerer dele af billedmatrialet.

Inden jeg igen sluses ud af sikkerhedshøjborgen, minder major Jesper Nielsen mig om at huske min opbevarede telefon.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Brother Nordic A/S
Import og engroshandel med kontormaskiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
AI i praksis: Fokus på teknologi og best practice

Tag med os på en rejse ind i AI’s verden, hvor vi udforsker anvendelsesmulighederne og belyser, hvordan AI kan gøre en positiv forskel. Vi kigger nærmere på de teknologier og platforme, som det kan give mening for din virksomhed at satse på, og eksperterne giver dig gode råd til, hvordan man kan arbejde innovativt og agilt med kunstig intelligens-løsninger.

19. august 2021 | Læs mere


MS Power Platform - hvad kan det for dig?

Med Microsoft Power Platform kan virksomhederne både visualisere og dele deres data helt uden kendskab til at kunne kode og digitalisere arbejdsgange. Hør hvordan en række danske virksomheder anvender platformen i store dele af virksomheden – og med succes.

24. august 2021 | Læs mere


Opgøret med legacy-systemer: Få styr på mulighederne, planen og businesscasen

I en verden hvor alt forandres konstant, og hvor kravene til virksomhedernes digitale formåen vokser, er der stadig mange organisationer og virksomheder, der bliver hæmmet af deres legacy-systemer. Det kan være en lang og hård rejse at afskaffe disse systemer, men på sigt kan virksomhederne høste frugt af deres arbejde.

25. august 2021 | Læs mere






Premium
Her er de bedste antivirus-programmer til Windows 10 lige nu (plus dem du nokskal holde dig fra)
Syv antivirus-programmer ligger helt i top, når det gælder om at levere solid antivirus-beskyttelse til Windows 10. Se listen over de bedste antivirus-programmer lige nu
Computerworld
Tysk unicorn-app stormer ind på det danske marked: Vil levere dine dagligvare-indkøb på 10 minutter
Gorillas er en app-drevet udbringningstjeneste, der er blevet kaldt for Europas hurtigstvoksende startup. Tjenesten vil nu udbringe dagligvare til danskerne inden for 10 minutter.
CIO
Årets CIO 2021: Nu skal Danmarks dygtigste CIO findes - er det dig? Eller kender du en, du vil indstille?
Det er den mest eftertragtede titel for danske it-chefer og CIO'er, der er på spil, når Årets CIO kåres 16. september 2021. Søg selv eller prik til en, som du kender - og læs mere om prisen her.
Job & Karriere
Så meget kan du tjene: Disse stillinger giver den højeste løn i den danske it-branche lige nu
Du skal have ledelsesansvar, hvis du vil helt tops i lønhierakiet i den danske it-branche, viser nye tal. Se hvor meget du kan tjene i de stillinger i it-branchen, der giver den højeste månedsløn lige nu.
White paper
End-to-end Server Security: Hvad er det – og hvordan kan det styrke din forretning?
Hvorfor bør serverbaseret sikkerhed være en kritisk del af din sikkerhedsinfrastruktur – og hvordan sikrer du, at din hardware kan leve op til kravene? Læs mere i dette whitepaper.