Artikel top billede

(Foto: Dan Jensen)

Sikkerheds-mareridt venter: Dine pivåbne it-systemer kan hverken lappes eller opgraderes

ComputerViews: De er usikre som bare pokker, men alligevel stoler du blindt på dem. Velkommen til en tid, hvor massevis af dine it-systemer bliver en større trussel, end du tror.

ComputerViews: Det er aldrig sket før, at et it-selskab har besluttet at afslutte enhver form for support og sikkerheds-opgraderinger til et af verdens mest udbredte it-systemer.

Men sådan var det, da Microsoft efter flere forlængelser og udskydelser i april udsendte den sidste sikkerhedsopdatering til Windows XP, hvilket du kan læse mere om her: Her er den sidste opdateringen inden Windows XP dør.

De seneste målinger viser, at godt hver fjerde af verdens computere i dag stadig kører på Windows XP, der altså nu står pivåben for hackerne.

Windows XP er imidlertid blot toppen af et støt voksende isbjerg af aktive programmer og enheder, der ikke bliver opgraderet - enten fordi de er udløbet og producenten dermed har mistet interessen for dem, eller fordi de slet ikke er designet til at modtage opdateringer.

Internet of Things

Vi ved, at 'Internet of Things' er godt i gang med at udvikle sig og at de fleste af de store it-firmaer gør klar til de store spring på dette område - som eksempel Google, der fornylig købte det lille firma Nest for 17,5 milliarder kroner.

Begrebet dækker over en udvikling, hvor alverdens maskiner og enheder kobles sammen via internettet: Køkken-udstyr, ure, biler, vaskemaskiner, vandhaner, varmepumper, tøj, radiatorer, vandhaner, vindmøller, gadebelysning og alverdens andre ting.

Omfanget (og potentialet) er ganske enormt. Det er risikoen for, at der hurtigt kommer til at cirkulere millioner af ikke-beskyttede og ikke-opgraderede enheder på internettet, også.

For med den ventede knopskydning af internettet til milliarder af meget forskellige slut-enheder følger også, at mange af de bittesmå it-systemer vil blive udviklet som en slags 'køb-og-smid-væk' - ganske som det er tilfældet med den køkkenmaskine eller den vandhane, som net-opkoblingen sidder i.

Tror vi virkelig på, at en fremtidig leverandør af en (internet-opkoblet) ovn eller støvsuger vil sørge for, at der udsendes sikkerhedsopdateringer hver tredje uge gennem alle de producerede eksemplarers levetid på 10 år eller mere?

Eller at produkterne - ofte fra brancher presset af bittesmå indtjenings-marginer - overhovedet vil blive designet til at modtage opdateringer og ikke til blot at køre tiden ud sammen med køkkenmaskinen?

Problemer i din router

Vi behøver faktisk ikke vente på, at 'Internet of Things' for alvor folder sig ud for at se problemet.

Hackerne snuser og leder nemlig hele tiden efter de nemme indgangsveje til de internetopkoblede enheder, der i dag primært er pc'er, smartphones og tablet-computere.

Et af deres nyere mål er de små routere, der summer stille og roligt på deres plads i reolen i millioner af hjem, hvor de fungerer som trådløs adgangsvej til internettet.

Generelt halter sikkerheden i routerne ofte, fordi de bliver konfigueret i flæng og sjældent opdateret og udskiftet. Hvor gammel er din router for eksempel?

Og så sker der jo sådan noget: 24 millioner private routere gidsler i kæmpe-angreb.

Og sådan noget: Pas på: Sikkerhedshul i massevis af Linksys-routere.

I disse tilfælde har problemet været det samme: Routerne er designet på en enkel og forudsigelig måde, deres default-indstillinger er usikre og brugerne gider ikke gøre noget ved det, når først de små maskiner er oppe at køre.

Sikkerheden er med andre ord sekundær for både router-producenterne og -brugere i forhold til pris og funktionsduelighed.

De fleste routere kan endda opdateres. Det er der faktisk overhovedet ingen garanti for, at de mange sensor-baserede internet-systemer i 'Internet of Things' kan.

Læs mere om det på næste side:


De gamle systemer truer

I stedet vil producenterne i mange tilfælde slå på tromme for, at de er nemme at anvende og ikke kræver vedligeholdelse. Hvilket vi jo godt kan lide at høre.

Men hvad så med sikkerheden?

De gamle systemer nede i kælderen

Også når det gælder 'rigtige' it-systemer kan vi løbe ind i problemer.

I alle virksomheder findes der gamle systemer, der har overlevet rækken af moderniseringer af it-infrastrukturen og fra deres halvglemte plads dybt nede i kælderen fortsat løser ganske enkle opgaver, som det ikke kan betale sig at ændre på.

Eller også findes der halv-ukendte små-systemer rundt omkring, som er kommet ind via fortidens fusioner og opkøb eller som bare ikke er blevet slukket.

Det er det, som Årets CIO 2013, Grundfos Jens Hartmann, kalder for virksomhedens 'teknologi-gæld.'

De fleste virksomheder sørger for at hegne disse gamle legacy-drager inde bag patchede gateways, hvilket også i stor stil er sket - og vil ske - med de mange Windows XP-maskiner, der fortsat kører i virksomheder rundt omkring.

Hvis altså it-chefen har helt styr på det hele - inklusive alle opdateringscyklusser for selv de mindste og ældste systemer.

Hertil kommer, at mange af de store industrielle systemer og protokoller er det, som sikkerhedseksperter kalder for 'insecure by design.'

Det betyder, at en hacker med overordnet viden om en system-type er i stand til at hacke mange systemer, fordi de ligner hinanden og er bygget enkelt og forudsigeligt og gennemskueligt.

Det har været tilfældet de systemer, der styrer den danske energiforsyning.

Det kan du læse mere om her: Så nemt får du adgang til det danske forsyningsnet.

Som med al øvrig it bliver også sikkerheden mere og mere kompleks i en global it-infrastruktur, der bliver mere og mere forbundet på kryds og tværs, og hvor det svageste led hurtigt kan blive adgangsvej til forretningskritiske systemer.

Læs også:

24 millioner private routere gidsler i kæmpe-angreb.

Pas på: Sikkerhedshul i massevis af Linksys-routere.

Når dit køleskab mistænkes for spam.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Itm8 | IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere