Den første måned af 2016 er næsten gået, og hvordan står det til med sikkerheden?
Hvis du har det ligesom mig, går tiden meget hurtigt.
Måske var januar en måned, hvor du ikke fik gjort noget ekstra ved sikkerheden.
Jeg har i denne måneds klumme samlet fire konkrete tiltag, der kan være med til at øge sikkerheden. Nogle er nye, andre har jeg tidligere slået på tromme for.
Der er fire forslag, et til hvert kvartal.
Dræb de gamle IE-versioner
Opgave nummer et er at få udryddet de forældede udgaver af Internet Explorer.
Det har altid været en god ide, men siden 12. januar er opgaven vokset i omfang.
I dag understøtter Microsoft nemlig kun Internet Explorer 11.
Ok, der er nogle undtagelser med Vista og Windows Server, men glem dem: Det er på tide at komme af med de gamle versioner.
Årsagen er, at sikkerhedshuller i de ældre versioner fremover ikke vil blive lukket.
Og Internet Explorer har traditionelt været plaget af mange sårbarheder.
Der går sjældent en måned, uden at der er sikkerhedsrettelser til programmet.
Hvilken løsning I vil vælge, er op til jer selv.
I kan fortsætte med Microsoft og gå til Internet Explorer 11 eller Edge. Eller I kan vælge Chrome, Firefox, Opera, eller en anden løsning.
Umiddelbart lyder det enkelt.
Men jeg er godt klar over, at der rundt om i landet garanteret stadig kører web-applikationer, der er skrevet til Internet Explorer 6.
Måske virker de under en nyere browser, måske ikke.
Derfor skal projektet med at udfase de historiske versioner også omfatte en testfase og planer for, hvordan I vil håndtere de webtjenester, der kræver dem.
Luk for åbne UDP-tjenester
Som opgave nummer to foreslår jeg, at I identificerer de UDP-tjenester (User Datagram Protocol) på jeres netværk, der er åbne for opkald ude fra internettet.
Jeg tænker især på tjenester som DNS (Domain Name System) og NTP (Network Time Protocol).
Problemet med dem er, at de i nogle tilfælde misbruges til DDoS-angreb (Distributed Denial of Service).
Det sker ved, at angribere sender forespørgsler med forfalskede afsenderadresser til serverne på jeres net.
Når jeres servere svarer, går svaret til den forfalskede adresse, der tilhører offeret for angrebet.
Det bliver et problem, når tusindvis af servere sender svar til en server på forespørgsler, den aldrig har afsendt.
Oven i købet kan angribere udnytte nogle UDP-tjenester til at forstærke angrebet. Det sker, når en kort forespørgsel udløser et langt svar, som sendes til offeret.
Første fase af denne opgave er at afklare, hvilke tjenester angribere overhovedet kan nå ude fra nettet.
Derefter skal I undersøge, i hvor høj grad I kan spærre for dem. Skal alle have adgang? Skal nogen?
Mængden af DDoS-angreb er stigende. Ved at lukke for åbne UDP-tjenester kan I undgå at blive udnyttet til et angreb.
Kortlæg datastrømme for persondata
I år bliver EU's persondataforordning vedtaget. Derefter har vi to år til at forberede os til at efterleve den.
Hvis I behandler persondata, bliver I sandsynligvis underlagt de nye regler. Og hvem gør ikke det?
En konsekvens er, at I skal kunne dokumentere, hvordan data om personer bevæger sig rundt i jeres organisation.
Den kortlægning kan I lige så godt gå i gang med nu.
Sæt jer ind i, hvilke konsekvenser forordningen vil få for jer.
Vi skriver i øvrigt om emnet i årets DKCERT Trendrapport, som vi udsender senere på foråret.
Sidder du i en statslig institution, skal I overholde kravene i ISO 27001.
Hvis det ikke er helt på plads endnu, er det oplagt at koordinere den opgave med arbejdet med persondataforordningen.
Drop Flash Player
Sikkerhedsforskere har gennem årene fundet over 700 sårbarheder i Adobe Flash Player. De er ofte alvorlige.
Tidligere var Flash Player nødvendig, når man ville se animationer, video eller andet multimedia-indhold på en webside.
Men med HTML 5 kan Flash undværes.
Derfor er det på tide at undersøge, om I kan undvære Flash.
Som minimum kan I begrænse udbredelsen, så programmet kun ligger på de pc'er, der ikke kan undvære det.
Der er naturligvis mange flere opgaver, der kan øge jeres sikkerhed. Prioriter dem, der giver mest mening for jeres virksomhed.
For sjov kan I jo udskrive denne klumme og hænge den på en opslagstavle.
Tag et kig på den igen ved juletid og se, hvor langt I nåede med opgaverne.
God arbejdslyst.
DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet.
I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC, DTU.
Henrik Larsen opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.
