Ett händelserikt säkerhetsår - Årets stora händelser

Vi säger samma sak i år igen som flera år tidigare – Året som gick var det värsta hittills ur virussynpunkt. Förra årets stora händelse var ju LoveLetter- och året innan det var det Melissa-viruset som gjorde året till det värsta hittills. I år har masspostandet verkligen blivit en de facto standard, och det är idag mycket ovanligt med traditionella virus som enbart sprids mellan infekterade filer. Det engelska företaget Messagelabs statistik för året visar precis detta. De har noterat att det sänts 770% fler infekterade filer via e-post i år mot förra året. En häpnadsväckande siffra.

De virus som står ut bland mängden i år är framför allt SirCam-viruset som dök upp i somras, AnnaKournikova-viruset som skapats med ett enkelt Windows-program samt CodeRed och Nimda. Det sistnämnda viruset är ett perfekt exempel på vad vi kallar för ett blandat hot. Gränserna mellan traditionellt ”hackande” och virusskrivande suddas alltmer ut, och idag används masspostande maskar för att sprida trojaner och annat. Med Nimda såg vi tyvärr hur effektivt detta kan vara. Nimda attackerar företagets nätverk på flera sätt; det masspostar sig själv vidare, det infekterar andra datorer i nätverket, det hackar sig in på sårbara IIS-servrar runt om på internet samt det lägger in en infekterad fil på dessa servrar som infekterar de som av en händelse surfar in på den servern. I många fall blev dessa personer automatiskt infekterade bara genom att surfa in på en ”hackad” server.

Det som är sorgligt är att Microsoft sedan länge haft säkerhetsuppdateringar som stänger till ett par av dessa säkerhetshål tillgängliga på sin webb. Det är tyvärr alltför få personer/företag som installerar dessa.

Andra tekniker som dykt upp under året som ser ut att bli trender är att formattera de brev som sänds från infekterade datorer på så sätt att de automatiskt infekterar bara man läser eller förhandsgrandskar den inkommande posten. Detta gäller framför allt om man använder Internet Explorer och Outlook/Outlook Express, och man inte installerat de säkerhetspatchar som Microsoft sedan länge lagt upp på sin webb.

Vad kan vi lära oss av året som gått?

En av de läxor vi borde lära oss någon gång är att på internet sitter vi alla mer eller mindre på samma nät. Vi borde vidga våra vyer och se längre än till där det egna nätverket slutar. Det räcker med att ett par företag inte säkrat sina webbservrar för att elak kod som Nimda eller Code Red skall ställa till med stora problem. Det räcker med ett par hundra hemanvändare som sitter med oskyddade datorer för att någon skall kunna lansera en omfattande DDoS-attack (Distributed Denial of Service/ överbelastningsattack) mot webbplatser och effektivt tvinga bort dem från internet.

Något annat vi ser är att diskussionen om hur snabbt man får fram uppdateringar mot olika virus (timmar, minuter) eller om Microsoft lappat ihop det eller det säkerhetshålet i rimlig tid när datoranvändare inte uppdaterar sina system är ganska ointressant. En graf över viruset SirCams spridning de första veckorna visar att det tog ca fem veckor innan den stora ökningen kom. Då hade antivirusprogrammen haft skydd mot viruset i fem veckor redan. Nimda och Code Red utnyttjade hål som Microsoft täppt till något halvår tidigare! Både antivirusprogrammen och Windows har utmärkta och enkla verktyg för att uppdatera systemet. Norton Anti-Virus gör det automatiskt och Windows har till och med ett verktyg som med en stor skylt talar om för dig att det finns en viktig uppdatering att ladda ned.

“If you are connected to the Internet, there´s no such thing as security.
- It´s called controlled access´s.”-- InfoSecurity Magazine

Trender för framtiden - Vad kommer härnäst? Nya teknologier

Det vi ser för det kommande året är tyvärr ingen förbättring. Trenden att sända virus/maskar/trojaner med e-post kommer att fortsätta. Det är en effektiv teknik som gör att skapelsen får stor spridning på kort tid. Att kombinera detta med tekniken att infektera automatiskt gör att många snabbt blir infekterade.

Det kommer säkerligen flera uppföljare till Nimda och Code Red som sprids med hjälp av välkända säkerhetshål som inte lappats ihop. Kanske kommer vi att få se mer ”hacktivism” som utnyttjar detta. Det vill säga att man lägger upp olika politiska budskap på de webbplatser som hackats.


Koden kommer med vinden

Nya teknologier är alltid som mest osäkra i början. Man måste skaka på dem för att se vilka buggar som trillar ur och vi måste se hur användarna tänker använda produkterna för att veta hur vi skall utforma skyddet. Det är dessutom ett känt faktum i branschen att ju mer komplext ett system är desto svårare är det att skydda.

Trådlösa nätverk blir alltmer populära. Säkerhetsmässigt är de rent skräp rakt igenom. Den kryptering som finns inbyggd i protokollet är skrattretande och mycket enkelt att forcera – om den ens är påslagen. De flesta trådlösa nätverk sänder nämligen alla trafik i klartext. Tänker man då på att trådlösa nätverk sänder med vanlig radiotrafik ser man snabbt faran.

De måste helt enkelt säkras upp med extra skyddsprogram som VPN och autenticering. Man måste dessutom tänka igenom sin trådlösa satsning ordentligt och fundera på vilken data som får sändas till och från de trådlösa enheterna. Detta skall behandlas i IT-säkerhetspolicyn. Ett tips är att lägga alla trådlösa enheter ”utanför” brandväggen och endast låta dem ansluta med en VPN-tunnel. Det löser en del problem. Mycket arbete läggs just nu ned på att säkra upp de trålösa nätverken så hör med din leverantör vad man kan göra.
Tyvärr så är det långt ifrån alla leverantörer som hunnit lära sig vad säkerhet handlar om.

“Nothing is impenetrable; it is no longer enough to deploy security products and hope for the best.”-- Counterpane

Handhållna datorer måste vi se upp med framöver. De kan lagra mycket data och kan ladda ned och sända e-post. De nya enheter som kommer är i princip små datorer med internetkoppling. Skillnaden är att de är mindre, mer personliga och mycket enkla att tappa bort eller bli bestulen på. Problemet är att det idag inte finns så många säkerhetsprodukter att välja mellan. Ett tips kan vara att man besvarar frågan: Vem får ha vilken information på vilken enhet? Detta skall behandlas i IT-säkerhetspolicyn.


Tips och råd:

Mycket inom säkerhet handlar om sunt förnuft. Med det kommer man långt. Det finns mycket man kan göra för att säkra upp sina system så att det blir mycket svårare för angriparen att ta sig in. Det första man skall tänka på är att uppdatera sina system. Det är absolut värt att avdela en resurs som någon gång per vecka har till uppgift att titta in på leverantörernas webbplats och se vilka uppdateringar som måste göras. Med antivirusprogram är det enklare. Där finns ofta inbyggda system för att uppdatera automatiskt. Ställ in dessa att leta uppdateringar varje dag, samt kolla manuellt när det kommer något viruslarm.

Något som många inte tänker på är de mer mjuka sidorna av internetsäkerheten. Det är oerhört viktigt att de anställda förstår varför man inte tillåter ICQ, IRC med mera och inte bara får höra att det är förbjudet. Förbud är negativt och jag kan garantera att några kommer att på olika sätt försöka komma runt det.

Det räcker med att man lite då och då har ett informationsmöte, eller sänder e-post med information så att man upplyser användarna om vad man skall se upp med och varför.

Detsamma gäller när man ändrar i säkerhetspolicyn och inför striktare regler. Att få surfa fritt och sända privat e-post på arbetstid eller vad det nu kan handla om räknas som en dold förmån. Om man en dag bara förbjuder detta uppfattas det som något mycket negativt och leder garanterat till tandagnisslan i leden. Det är bättre att tänka efter före och ta sig tid att noga förklara för de anställda vad man gör. Det som är absolut viktigast är att ledningen på företaget är med på noterna. Har man inte chefens stöd och namnteckning är alla säkerhetsprojekt dömda att misslyckas. Då blir man snabbt partydödaren som stänger av allt kul man sysslar med på betald arbetstid.

Det är med tanke på detta ledsamt att se resultatet av en rundringning vi gjorde till stora svenska företag tidigare i höstas. Då visade det sig att endast 30% av de tillfrågade hade med IT-chefen i ledningsgruppen. Detta är nedslående och visar med all önskvärd tydlighet att företag trots alla säkerhetslarm inte tar IT-säkerheten på allvar.

Jakten går vidare.