I denne uge offentliggjorde vi DKCERT Trendrapport 2017.
Trendrapporten er vores årlige lejlighed til at se tilbage på sidste år - og frem i tiden ud fra de tendenser, den viser.
I 2016 behandlede vi 95.597 sikkerhedshændelser på forskningsnettet mod godt 160.000 i 2015.
Det tal overrasker mig. Hvorfor falder antallet af sikkerhedshændelser, når vi ellers har indtryk af, at mængden af trusler er stigende?
To typer hændelser
En del af forklaringen ligger i, at tallet dækker over to ret forskellige typer hændelser.
Der er dels de egentlige sikkerhedshændelser, der for eksempel kan være en infektion med skadelig software eller et hackerangreb, dels advarsler fra tredjepart.
Advarslerne modtager vi takket væres DKCERT's internationale samarbejde. Vores partnere scanner løbende internettet for kendte sikkerhedshuller og åbne porte, der kan være risikable.
Når de finder noget på forskningsnettet, giver de os besked. Vi sender advarslen videre til den institution, der har den pågældende IP-adresse.
Den type advarsler ekspederede vi omkring 141.000 af i 2015. I 2016 var tallet faldet til 86.993 advarsler.
En god del af faldet skyldes sandsynligvis, at advarslerne rent faktisk virker: Institutionerne reagerer på advarslerne og fjerner de sårbare systemer.
Udbredt puddel
Den teori passer godt med data for advarsler om systemer med POODLE-sårbarheden (Padding Oracle On Downgraded Legacy Encryption).
Den udgjorde godt halvdelen af de advarsler, vi udsendte.
I første kvartal udsendte vi godt 17.000 advarsler om systemer med POODLE.
I fjerde kvartal var tallet 8.000. Så systemadministratorerne har været gode til at rydde op.
Samme tendens så vi på advarsler om åbne NTP-servere (Network Time Protocol), der kan misbruges til DDoS-angreb (Distributed Denial of Service).
Her udsendte vi 8.600 advarsler i første kvartal og 2.000 i fjerde kvartal.
For god ordens skyld skal jeg nævne, at tallene ikke siger, hvor mange sårbare systemer, der er.
Vi udsender advarsler fem gange om ugen, så det samme sårbare system kan generere fem advarsler på en uge, hvis hullet ikke bliver lukket.
Piratkopier fører
Skønt advarslerne fylder meget i statistikken, er det ikke dem, vi mærker mest til i hverdagen.
Et automatiseret system står for det meste af arbejdet med at udsende dem.
I stedet koncentrerer vi indsatsen om de egentlige sikkerhedshændelser.
Godt 8.200 af dem blev udstyret med en kategori. Ud af dem er 81 procent klager over krænkelser af ophavsretten.
En typisk klage kommer fra en rettighedshaver, der for eksempel kan være et filmselskab.
De klager over, at en IP-adresse på forskningsnettet har været med til at dele en piratkopi af en film eller tv-serie.
Mængden af den type klager falder to gange om året: I sommerferien og i juleferien.
Så hvis der foregår deling af piratkopier på de tidspunkter, er det altså ikke over forskningsnettet.
Spam fra en meget aktiv server
DKCERT behandler ikke klager fra folk, der har modtaget spam.
Vi tager os kun af sager, hvor en server på forskningsnettet har været involveret i at udsende spam. Det skyldes typisk, at den har været hacket eller inficeret med skadelig software.
Klager over spam udgjorde 13 procent af de egentlige sikkerhedshændelser.
Stort set alle klagerne kom på to dage i januar 2016. Her havde en enkelt kompromitteret server udsendt store mængder spam.
Vi hører ikke alt
Piratkopiering, spam og sårbare servere. Det lyder alt sammen som noget, vi har hørt om før.
Ja, statistikken tyder ikke på, at der sker nogen større udvikling i trusselsbilledet.
Men det skyldes det område, DKCERT dækker: Vi hører kun om sikkerhedshændelser, der er direkte knyttet til netværket.
Derfor siger statistikken ikke noget om, hvor tit universiteterne bliver ramt af ransomware.
Den type infektioner klarer de lokale it-afdelinger som oftest uden at involvere os.
Vi hører heller ikke om forsøg på direktørsvindel og phishing. Kun når en server på forskningsnettet bliver misbrugt som led i phishing, bliver det en sag for os.
Sikkerhedsproblemer med Internet of Things (IoT) afspejles heller ikke i statistikkerne.
Til gengæld indeholder rapporten et helt afsnit om det emne, hvor fire eksterne eksperter belyser det fra forskellige vinkler.
Med disse forbehold in mente vil jeg alligevel mene, at der er interessante tal at finde i årets trendrapport. Tag selv et kig - rapporten kan hentes her: DKCERT Trendrapport 2017
DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeiC (Danish e-Infrastructure Cooperation).
Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.
