EU's it-sikkerhedsagentur øger risikovurderingen for to typer it-angreb, skriver Shehzad Ahmad i denne klumme fra Computerworld.
Shehzad Ahmad, der er chef for DKCERT, skriver hver måned på Computerworld Online om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
DDoS-angreb er i vækst. Der bliver flere af dem, og de er voldsommere end før.
Det fremgår af en aktuel rapport fra EU's agentur for it-sikkerhed. Rapporten ser på trusler mod it-sikkerheden i det første halvår af 2013.
Den slags rapporter kommer der en del af fra forskellige spillere på it-sikkerhedsområdet. Når jeg trækker den frem her, er det fordi, den illustrerer en pointe fra de klummer, jeg på det seneste har skrevet om ISO 27001-standarden.
Denne standard for it-sikkerhed lægger vægt på, at arbejdet med sikkerhed er en cyklus: Man vender løbende tilbage til tidligere beslutninger og evaluerer dem i lyset af det, man i mellemtiden har oplevet.
Det gør denne lille rapport også. Den tager fat i de forudsigelser, som ENISA kom med sidste år og ser på, hvor godt de passer med trusselsbilledet i dag.
Ændrer risikovurdering
På næsten alle områder forventede ENISA i 2012 stigende trusler. Det har desværre holdt stik.
På fire områder ventede organisationen et stagnerende trusselsbillede. Det gælder overbelastningsangreb (DDoS, Distributed Denial of Service), phishing, falsk antivirus og forgiftning af søgeresultater.
Men data fra første halvår får nu ENISA til at ændre risikovurderingen for to af dem: Både overbelastningsangreb og falsk antivirus er i vækst.
Den øgede risikovurdering for overbelastningsangreb skyldes to faktorer. For det første ser det ud til, at der er kommet flere angreb.
For det andet er angrebene voldsommere. I år har vi således set et angreb, hvor webstedet for anti-spam-organisationen Spamhaus blev overvældet med over 300 gigabit i sekundet.
Trusler afpresser ofre
Når det gælder falsk antivirus og lignende programmer, skyldes den højere risikovurdering også her, at der kommer flere af dem.
Væksten skyldes især programmer af afpresningstypen, hvor offeret bliver nødt til at betale for at få adgang til sin pc igen.
En del af væksten her skyldes også, at nye platforme er dukket op: Der er således fundet falsk antivirus til Android.
ENISA's observationer svarer godt til det trusselsbillede, vi ser i DKCERT. Også i Danmark har vi set overbelastningsangreb og forsøg på afpresning.
Det sidste så vi senest med en dansksproget udgave af truslen, der hævder, at politiet har spærret for offerets pc, fordi vedkommende har besøgt en side med børneporno.
Forbered jer på angreb
Jeg vil derfor råde it-ansvarlige til at tjekke deres forholdsregler. Hvad vil et overbelastningsangreb betyde for jeres organisation? Og hvad har I gjort for at imødegå truslen?
Der er faktisk tekniske løsninger, der kan mindske risikoen for at blive lagt ned af et DoS-angreb. Center for Cybersikkerhed under Forsvarsministeriet har skrevet en udmærket vejledning om mulighederne.
Avancerede og professionelle
Derudover er det værd at læse konklusionerne i ENISA's halvårsrapport.
Organisationen konkluderer, at de it-kriminelle bruger stadig mere avancerede metoder. Det medfører, at angriberne er sværere at spore og nedkæmpe.
For eksempel anvender de teknologier som anonymiseringsnetværket TOR til at skjule deres identitet.
Også overgangen til peer-to-peer-baserede botnet gør det vanskeligere at skride ind i forhold til et botnet med central styring.
Forbryderne har allerede taget fat på smartphones og andet mobilt udstyr som en slagmark. Det område vil vi se nye trusler inden for.
Undergrundens værktøjer er blevet professionelle. I dag behøver man ikke andet end et kreditkort for at gennemføre et overbelastningsangreb: Man køber adgang til et botnet og angiver den adresse, der skal bombarderes.
På samme måde kan man også købe sig adgang til at inficere pc'er med skadelige programmer, så man på den måde opbygger sit eget botnet.
Denne professionalisering af området betyder, at det er blevet nemmere at blive it-kriminel.
Analyser jeres risici
Hvis du er ansvarlig for it-sikkerhed, må du prioritere. Med så mange trusler at tage hensyn til skal du foretage en grundig risikoanalyse.
Ud fra risikoanalysen må I afgøre, hvilke trusler der er de alvorligste for jeres organisation. Først da kan I afgøre, hvor I skal investere: I jeres interne processer, uddannelse, tekniske værktøjer eller konsulenthjælp.
Hvis du savner ledelsens opbakning, kan du tage et kig på mine to seneste klummer. De handler om ISO 27001, der opfatter it-sikkerhed som ledelsens ansvar på linje med den øvrige risikovurdering.
Oprindelig offentliggjort i magasinet Computerworld og på Computerworld Online den 25. oktober 2013
LINKS
ENISA Threat Landscape mid year 2013
Sådan kan du imødegå DDoS-angreb, Center for Cybersikkerhed
Derfor halter din informationssikkerhed, klumme af Shehzad Ahmad
Denne klumme på Computerworld.dk