Artikel top billede

Disse ni angreb skal du beskytte imod

Klumme: Langt de fleste sikkerhedshændelser falder ind under ni kategorier, som det er enkelt at beskytte virksomheden imod.

Hvis du arbejder i finanssektoren, skal du først og fremmest sikre, at dine brugeres computere er indstillet til at installere opdateringer automatisk.

Er du i sundhedssektoren, bør du i stedet prioritere backup-rutiner og uddannelse højt.

Disse og tilsvarende råd til andre brancher finder du i rapporten "2014 Data Breach Investigations Report" (DBIR) fra Verizon.

DBIR er en af de rapporter, jeg hvert år ser frem til at læse. Den bygger på en stor mængde data om sikkerhedshændelser fra 50 globale bidragydere.

Tidligere handlede rapporten udelukkende om angreb, der førte til tab af fortrolige data. I år har forfatterne udvidet emneområdet, så den også beskriver sikkerhedshændelser, der ikke nødvendigvis har medført tab af data.

Årets rapport, der handler om hændelser i 2013, omfatter i alt 63.437 sikkerhedshændelser. Heraf førte 1.367 til tab af data.

Ni mønstre dækker det meste

Det mest interessante er imidlertid en analyse, forfatterne har foretaget.

De har grupperet hændelserne ud fra, hvad der ofte sker i sammenhæng.

Det kan for eksempel være, at der ankommer en phishing-mail. I samme hændelse har offeret besøgt et phishing-websted. Så er mønsteret let at få øje på.

Efter en ordentlig omgang statistisk databehandling endte de med ni kategorier af hændelser. De dækker over 90 procent af alle sikkerhedshændelser registreret de sidste ti år.

Jeg elsker, når statistik kan hente orden ud af kaos.

Med de ni mønstre bliver det nemlig lettere at beskytte data.

Rigtig spændende bliver det, når de ni mønstre kobles til brancher. Mere om det senere.

De ni mønstre er:

  • Netværksangreb på detailhandelssystemer.
  • Angreb på webapplikationer.
  • Medarbejderes misbrug af privilegier.
  • Fysisk tyveri eller tab af udstyr.
  • Diverse fejl.
  • Skadelige programmer.
  • Betalingskort-skimmere.
  • Spionage.
  • Overbelastningsangreb.
Bemærk, at mønstrene ikke er begrænset til forbrydelser. Hver fjerde af sikkerhedshændelserne i rapporten skyldes således menneskelige fejl.

Angreb på kreditkortdata

Netværksangreb på detailhandelssystemer handler om hacking af systemer, der indeholder kreditkortdata.

Den type data finder man hos bankerne, men de har som regel godt styr på sikkerheden.

Et langt nemmere bytte er de butikker, restauranter og andre virksomheder, der tager imod betaling med kreditkort.

Angriberne scanner internettet efter enheder, der tillader fjernadministration. Når de finder en, tjekker de, om det er et kasseapparat eller en terminal til betalingskort.

Hvis det er tilfældet, afprøver de standardkombinationer af brugernavne og passwords til den pågældende enhed.

Det lykkes ofte at komme ind ad den vej. Næste skridt er at installere et snifferprogram, der opsamler kreditkortdata og sender dem til bagmanden.

Kun 198 af sikkerhedshændelserne falder ind under dette mønster. Til gengæld medførte hver eneste af dem, at fortrolige data kom i de forkerte hænder.

Forfatterne kommer med nogle anbefalinger, som kan reducere risikoen for at blive offer for sådan et angreb. Nummer et lyder: Begræns muligheden for fjernadministration.

Nej, det råd er bestemt hverken avanceret eller overraskende. Men de mange vellykkede angreb viser desværre, at forbryderne har let spil.

Så der er ingen grund til at sætte ind med mere avancerede løsninger, hvis en stor del af angrebene kan modgås med fornuftig opsætning af fjernadministration, bedre passwords og installation af antivirus på kasseapparatet.

Anbefalinger til brancher

For hver sikkerhedshændelse i rapporten er det registreret, hvilken branche den har fundet sted i. Det har Verizon udnyttet til at koble data på to måder.

For det første har de identificeret, hvilke af de ni mønstre man finder i hvilke brancher.

For det andet har de koblet de anbefalede forholdsregler til hvert mønster direkte til brancherne.

På side 50 i rapporten finder du en tabel, hvor farver angiver, hvilke forholdsregler enkelte brancher bør prioritere.

Det er analytikerne kommet frem til ved at se på de trusler, der hyppigst rammer hver branche. Ud fra den viden angiver de, hvilke forholdsregler branchen bør tage.

Tag et kig på den. Måske passer den ikke helt til jeres erfaringer, men den er værd at lade sig inspirere af.

Tjek også tabellen på side 49, hvor de ni mønstre kobles til anbefalingerne. Anbefalingerne er hentet fra SANS Institutes liste over Critical Security Controls.

Ligesom sidste år kan jeg også i år varmt anbefale at læse Data Breach Investigations Report. Den grundige gennemgang af de ni mønstre alene gør den værd at læse.

Og så er den i øvrigt usædvanlig velskrevet og indimellem ligefrem morsom. Læs den!

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team. I samarbejde med tilsvarende CERT'er over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT udsender advarsler og tager imod henvendelser om sikkerhedsrelaterede hændelser på internettet. DKCERT er en organisation i DeIC, DTU.

Shehzad Ahmad opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
EG A/S
Udvikling, salg, implementering og support af software og it-løsninger til ERP, CRM, BA, BI, e-handel og portaler. Infrastrukturløsninger og hardware. Fokus på brancheløsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Årets CISO 2021

I både offentlige og private organisationer er der behov for at uddanne, rekruttere og fastholde de bedste it-sikkerhedsfolk, fordi sikkerhedsudfordringerne konstant forandres. Derfor sætter vi fokus på best practice inden for it-sikkerhed, og vi vil samtidig fremhæve de personer i Danmark, der gør et ekstra stykke arbejde for at styrke den digitale sikkerhed. Vi hylder derfor årets CISO 2021 på denne konference.

05. oktober 2021 | Læs mere


Dynamics Excellence Day 2021 - indblik, best practice og øget værdi

Med Microsoft Dynamics 365 er Microsoft rykket mod skyen og har fuld integration til både Dynamics, CRM, Office 365, Power BI og Cortana. Det giver utrolig mange muligheder, hvis du griber det rigtigt an. Vi sætter fokus på værdiskabelse og forbedring for både nuværende og nye Dynamics-brugere.

07. oktober 2021 | Læs mere


CISO Trends 2021: Sikkerhed, trusler og strategi

Vi kan ikke komme uden om, at CISO'ens rolle bliver mere og mere markant i de fleste organisationer grundet det evigt omskftelige trusselsbillede. It-sikkerhed er forlængst blevet en forretningskritisk disciplin, hvor dele af og hele organisationer kan blive lagt ned af at enkelt angreb. Derfor ser vi nærmere på det overordnede trusselsbillede, og hvordan CISO'erne konstant skal være på vagt over for nye trusler.

12. oktober 2021 | Læs mere