Truslen fra cyberspionage og it-kriminalitet er meget høj. Det fremgår af den trusselsvurdering, som Center for Cybersikkerhed udsendte tidligere på måneden.
Vurderingen passer godt med det billede, vi ser i DKCERT. I denne klumme vil jeg derfor kommentere nogle af truslerne og give vores bud på, hvordan man kan beskytte sig mod dem.
Cyberspionage er i DKCERT-sammenhæng især relevant, når det gælder data fra forskningsprojekter.
Som Danmarks akademiske CERT behandler vi sikkerhedshændelser på forskningsnettet, der forbinder universiteterne og andre forskningsinstitutioner.
Spionage mod forskningsprojekter kan eksempelvis ske via skadelig software, som bagmændene installerer på institutionens computere.
Derefter kan de fjernstyre computerne og hente fortrolige data fra forskningsprojekter.
Et antivirusprogram er en del af beskyttelsen mod den type angreb. Men det fanger typisk kun de mest udbredte skadelige programmer. Derfor er der brug for flere lag af beskyttelse.
En effektiv metode er at forhindre, at brugeren kan installere software. Så selvom en bruger kommer til at klikke på et farligt link eller en vedhæftet fil, forhindrer styresystemets rettighedssystem, at programmet bliver installeret.
Det kan gøres ved at sikre, at brugerne ikke har privilegier som lokal administrator. For at installere software på deres computer skal de enten få fat på it-afdelingen eller logge ud og logge ind som administrator.
En anden beskyttelse er whitelisting. Her tillader systemet kun at køre applikationer, der står på en positivliste.
Whitelisting er en effektiv metode, men den kan være svær at indføre i praksis. Problemet er, at man kan blive nødt til at give køb på fleksibiliteten.
Falske direktører på spil
Trusselsvurderingen fra Center for Cybersikkerhed omtaler også en kraftig stigning i såkaldt direktørsvindel.
Truslen består i, at en medarbejder modtager en mail, der ser ud til at komme fra en leder i organisationen. Lederen beder om hurtigst muligt at få overført et større beløb til en udenlandsk kontaktperson.
I virkeligheden kommer mailen fra en svindler, der prøver at narre penge fra organisationen. Ofte bliver mailen sendt målrettet til medarbejdere i bogholderiet eller regnskabsafdelingen.
Den type svindelforsøg ser vi også adskillige af i den akademiske verden.
Her kan man sætte ind med organisatoriske og tekniske kontroller.
På organisationssiden kan man for det første informere medarbejderne om risikoen. De skal vide, at de ikke skal stole blindt på e-mails.
Endvidere kan man indføre en kontrolprocedure. Det kan fx være, at alle overførsler skal godkendes af to personer. Eller at man skal ringe til den, der øjensynlig beder om en overførsel, før man gennemfører den.
Vi har i Danmark en tillidskultur. Virksomhederne har tillid til deres medarbejdere, og medarbejderne har tillid til de e-mails, de modtager.
Det er en god kultur, som vi skal værne om. Men samtidig må vi ikke være blinde for, at angreb kan forekomme.
Derfor er der brug for at sætte ind på den organisatoriske og menneskelige side.
Teknik mod svindel
På den tekniske side kan DMARC (Domain-based Message Authentication, Reporting & Conformance) være med til at bekæmpe problemet.
Med DMARC kan man forhindre, at e-mails med forfalsket afsender kommer ind i organisationen.
DMARC virker dog ikke mod de mest primitive svindelforsøg: Dem, hvor svindlerne ikke forfalsker afsenderadressen, men blot skriver lederens navn som afsender i håbet om, at modtageren ikke studser over, at afsenderadressen tilhører et russisk mailhotel.
Heller ikke de mest avancerede svindelforsøg kan fanges af DMARC: Det er dem, hvor svindlerne har hacket sig ind på netværket hos dem, de ønsker at give sig ud for at være. Så kan de uden problemer afsende svindelmails i direktørens navn fra det rigtige domæne.
For at undgå det kan man indføre kryptering og signering. Det kan suppleres med et krav om, at kun signerede e-mails om pengeoverførsler må behandles.
Følg de fire råd
Jeg kan anbefale, at man læser både Center for Cybersikkerheds aktuelle trusselsvurdering og den om truslen mod dansk forskning, der kom i efteråret.
Som supplement til ovenstående anbefalinger vil jeg henvise til vejledningen "Cyberforsvar der virker". Den anbefaler fire grundlæggende tekniske sikkerhedstiltag: Whitelisting, begrænsning af administratorkonti, opdatering af applikationer og opdatering af styresystemer.
De fire tiltag imødegår op mod 80 procent af angreb.
DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC (Danish e-Infrastructure Cooperation).
Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.
