Säkerhet är ju dyrt och komplicerat och vi ser gång på gång hur det slarvas med det bland mindre nogräknade aktörer. Varje gång det händer något, står de som slarvat eller helt enkelt inte riktigt förstått området och försöker förklara sig. Men det är en annan typ av säkerhetsentrepenörer som faktiskt kan vara riktigt skadliga för hela branschen. Och det är de som far med osanning och överdrifter för att få affärer eller locka kunder. Detta var till viss del ett värre problem i början av 2000-talet då branschen var i sin linda och man kunde sälja säkerhetslösningar med ord som ”terrorism”, ”cyberbrott” och ”hackers”. Man hade vaknat ur sin törnrosa sömn och allting verkade farligt. Idag är det inte så stort behov av att överdriva hot för att driva affärer till sig. Säkerhetsområdet har under de senaste 5-6 åren varit glödhett. Men det finns fortfarande ”charlataner” som säljer undermåliga lösningar baserade på skrämselpropaganda. Vill man botanisera i området, finns Attrition.orgs sida där den hänger ut folk i säkerhetsområdet som bygger sin hela verksamhet på tvivelaktiga lösningar som säljer lösningar med löften om ”100% säkerhet mot hackare” eller folk som inte riktigt är värda sitt goda namn. Vill man se hur en bransch som denna faktiskt drar till sig en del lycksökare, är det bara att gå till http://attrition.org/errata/charlatan/

En varning bara: de flesta artiklarna talar om saker som hände för 15-20 år sedan och den är ganska USA-centrerad. Personligen tycker jag att den är en utmärkt exposé över en del av ”hästhandlarna” och den gör att man förstår hur de arbetar och vad de håller på med.

När jag började på mitt förra jobb, startade min första arbetsvecka med utredningen av en säkerhetsprodukt som skulle vara det bästa sedan skivat bröd. Jag fick i uppgift att se om den var värd att utvärdera vidare. Den såldes med ord som att den var ”oknäckbar” och ”byggde på en patenterad lösning”. Visst låter det bra med att den är patenterad. Jag köper inte sånt rakt av utan, skaffade fram patentpappren och kunde snabbt konstatera att den var patentsökt, inte patenterad. Dessutom var beskrivningen full med överdrifter och lösningar förklarade med en kort beskrivning av den typ som chefer gillar för att snabbt sätta sig in i ett område. Visst är det bra, men inte i ett patentpapper som ska förklara varför det ska patenteras. Själva implementationen hade ett antal tveksamheter. Men det som fick mig att totalt slå bakut var att de stolt berättat att det var en unik kryptografi uppfunnen av personen som hade startat företaget. Alltså en regel inom kryptografin: det är inget problem att skapa ett krypto som du själv inte kan knäcka. Men blandar man in andra i bilden, blir det rätt snabbt en helt annan situation. Alla seriöst byggda produkter bygger på kryptografi som är vältestad under många år och allmänt känd. Denna lösning kanske inte såldes med fruktan, men den såldes med direkta osanningar och dessutom med löften som inte går att infria (”Garanterat oknäckbar” ?).

Så var försiktig när någon säljer säkerhet med fruktan eller vidlyftiga löften om perfekt säkerhet. Ulf Peder Olrogs gamla slagdänga ”Allting kan man sälja med mördande reklam – Kom och köp, kom och köp konserverad gröt” klingar rätt bekant även här

• 0 comments

Eftersom som vi tar hårt integritet och informationssäkerhet i vår podd börjar Erik med att läsa ur sin dagbok från 2010. ”kära dagbok….” i vårt senaste avsnitt.

Anledningen var att Erik satt i publiken när Julian Assange höll föredrag i Stockholm sommaren 2010. Besöket och händelserna kring just Assange resa till Stockholm skapade världsnyhet och förändrade världens syn på Julian Assange och skadade även Wikileaks rykte.

I avsnittet tar nämner jag en artikel som jag lovade att länka till – kommer här – länk.

Vi har själva att hålla isär namnet så därför kommer här en liten snabbförklaring med länkar:

• WikiLeaks – ja, själva huvudpersonen i pjäsen så att säga.
• Wikipedia – Nära, och det vi sluddrar på när man pratar på. Ingen förklaring behövs här.
• OpenLeaks – Nedlagd sida men som skapades av Assange avhoppade parhäst Daniel Domscheit-Berg.

Vi pratar även om 1177-läckan och här berättar Mattias om de två gånger han ringt dem. Lika bra att outa det nu så det inte blir ett scoop när IT-säkerhetspodden blir ”big in japan”.

• 0 comments

Det finns få yrken där gamla sanningar förblir gångbara. En läkare måste lära sig nya metoder att hela och de senaste medicinerna och vi som jobbar i IT-säkerhetsbranschen är om möjligt i en av de mesta föränderliga områden som finns. Föreningen OWASP ger ofta ut nya guider för säkerhetspecialister och dessa uppdateras med regelbundna intervaller. När jag skriver detta är deras berömda topp 10-lista uppdaterad 2017. Denna lista beskriver de 10 mest viktiga attackerna en utvecklare och systemadministratörer måste skydda mot. Det kanske låter som att det inte var igår den uppdaterades, men betänk att versionen innan daterar till 2013. Denna lista uppdateras alltså nästan var femte år. Och tittar man på varje version, ser man att mycket förändras i vilka risker som beskrivs. På fyra-fem år försvinner en del av attackerna från listan, en del ändras totalt och en del tillkommer. Det gäller att hålla koll på detta hela tiden!

När jag började min karriär var många webapplikationer sårbara för directory traversal-attacker. Där man kan bryta sig ur webbserverns sökväg och möjligen köra program på serverns operativsystem. Idag är denna typ av sårbarheter allt ovanligare. De finns men det är inte så vanliga att hitta längre. Så om detta är vad du lärde dig när du började, är det många nya attacker som du har varit tvungen att lära dig under åren.

Som du säker nu förstått, ändras attackytan konstant. Förr var allt fysiskt, sen kom virtualiseringen, sen kom molnet och nu talar alla om AI. Varje nytt paradigm kommer med helt nya delar att skydda och en ny helt okänd attackyta. En säkerhetsspecialist MÅSTE hela tiden studera, observera och träna sig för att alltid kunna hantera en allt mer komplicerad värld. Många certifieringar tar med detta genom att kräva att man uppnår ett visst antal poäng per för att behålla certifieringen. Dessa poäng får man genom att gå kurser, skriva säkerhetsinformation eller gå igenom webbseminarier.

Vad kommer vi se för attacker om 10 år? Förändringstakten är så hög just nu att man lätt kan gissa på att några helt nya områden kommer öppnas upp och några områden kommer försvinna till bakgrunden. Om du ska jobba i branschen, måste du ha koll på allt detta och hela tiden förstå vad som är på horisonten.

• 0 comments

Jag vet precis hur det kom sig att jag började med IT-säkerhet. Det var någon gång runt en 2001. Jag hade redan tidigare tyckte säkerhet var intressant, men inte egentligen brytt mig om området så där extremt mycket. Sommaren 2001 tog jag mig tid och patchade alla Windows servrarna. Jag såg till att de alla hade service pack 2 för Windows 2000. Sen kom hösten och den blev rykande het när Nimda äntrade scenen. Denna mask attackerade Windows 2000-servrar och de jag hade patchat och uppgraderat klarade sig givetvis. Men den stora delen av koncernen jag jobbade på hade inte uppdaterat och de fick enorma problem. Jag ingick i ett litet ad hoc-team som hjälpte andra delar av koncernen att hantera utbrottet. Detta var endast möjligt då vi själva inte var drabbade och kunde hjälpa de som var. Detta var den händelsen som gjorde att säkerhet blev en passion för mig.

Säkerhetsområdet är stort och det är omöjligt att lära sig allting om det. Jag valde nätverkssäkerhet och webbapplikationer. Vilket och blev de delar av IT-säkerhetsområdet jag ofta jobbar med. Min inspiration var de stora maskarna i början av 2000-talet. Det är så jag ”byggde min plattform” och började lära mig. Redan 2004 kände mina vänner mig som den som intresserar sig för säkerhet och på den vägen är det.

Jag tror det är viktigt för den som ska börja jobba inom IT-säkerhetsbranschen att hitta sin inspiration och vilka områden han eller hon ska vara passionerad om. Det kan vara så att ditt tidigare område dikterar var du hamnar. Om du utvecklat i php eller asp.net, kanske du blir passionerad inom webapplikationssäkerhet, medan någon som installerat PC-klienter istället börjar sin bana med att härda sagda klienter eller jobba med thin clients och härdning av dessa.

Kom tills sist ihåg att alla verktyg, certifieringar och ramverk bara kan ge dig stöd. Din passion och applicerandet av ditt kunnande är det som fäller avgörandet om vilket intryck du kommer göra på världen.

• 0 comments

Det är kanske dags att lämna tekniken en stund och prata om samarbete. Som säkerhetskonsult, analytiker eller kanske pentestare är det lätt att vara en vägens kämpe. Med sin väska full av datorer, testutrustning och allsköns prylar drar man från kund till kund för att göra sitt jobb. Det har varit mitt liv ett antal år. Det ger en möjlighet att utmana sitt kunnande och lära sig nya ting. Men min erfarenhet är att ett litet team som samarbetar alltid är bättre. Att våra två som testar ett nätverk innebär möjligheten att bolla idéer och få nya uppslag. Hur smart du än tror att du är, kommer du aldrig kunna slå en liten grupp som samarbetar. Och den minsta gruppen är två och den största omkring fem-sex personer. Därefter blir det trögrört.

Många konsulter arbetar just i små grupper som löser problem och kommer fram med fungerande lösningar. Möjligheten att dela upp arbetsuppgifterna och hålla flera processer igång samtidigt kompenserar för den ökade kostnaden för att ha fler än en konsult.

En rätt vanlig kombination bland pentestare kan vara att ha en expert på fysiska tester, en teknisk kunnig och en som vet hur man göra social engineering-attacker. Denna grupp kan troligen ta sig in på vilken kund som helst.

Så för att sammanfatta: ensam är inte stark och specialisering inom säkerhet är ett måste.

• 0 comments

Finns det någonting fegare än en hare? Så fort den ser dig, är den borta så snabbt att den ser ut som ett streck när den rusar iväg. Är det inte mycket bättre att slåss mot fienden och vinna sin frihet? Svaret är att de flesta djur flyr när de ser någon komma. Det gäller även farliga djur som björnar. Geparder skrämmer man lättast bort med hundar. Detta trots att geparder borde kunna vinna mot en hund. I naturen undviker de flesta djur strider. Men det är inte det jag vill prata om idag. Det handlar istället om att ha överlägsna metoder för att upptäcka fara istället för att satsa på möjligheten att försvara sig eller motstå en attack.

Inom IT-världen har man tills ganska nyligen inte riktigt fattat hur viktigt det är att upptäcka hot. Mycket har handlat om starkare kontroller för att hindra intrång. Många företag och organisationer har haft loggning påslaget för alla viktiga system utan att ha haft någon mekanism för att automatiskt analysera loggarna och larma om hotfulla mönster upptäcks. För många har en lösning för att upptäcka hot på nätverket setts som för dyrt och enbart nödvändigt där man har högre kvar på säkerheten. Att upptäcka att någonting är på gång eller har hänt har varit nedprioriterat på grund av hur komplext och dyrt det är.

Men det är tyvärr en sanning att alla kassaskåp kan brytas upp av den som har tid och resurser att bryta sig in. Om du inte upptäcker att någon går lös på detta kassaskåp, kommer attacken tillsist att lyckas eftersom den som attackerar kan göra precis vad som helst och arbeta hur länge som helst utan att upptäckas.

En gång, för ett antal år sedan, kallades jag in till ett företag som råkat ut för skadlig kod. Man hade upptäckt denna för att den var så dåligt skriven att den sänkte de system den kopierade sig till. Detta var inte avsikten med den utan berodde på att den var dåligt gjord. Hade den som skrev koden varit bättre programmerare, hade kunden aldrig upptäckt denna skadliga kod som var byggd för att ligga i bakgrunden och köra.

Tiden mellan att ett system attackeras och att attacken upptäckts kan var så lång som uppemot ett år i många fall. Under denna tid kan attackeraren gör vad han/hon vill med organisationens system och nätverk.

En dövblind kanin klädd i rustning är sämre skyddad än en försvarslös kanin som vet hur den upptäcker fara och springer iväg! När såg du senast en sådan analogi på en säkerhetssite?

• 0 comments

I veckans avsnitt pratar vi om Zero Trust Network eller Zero Trust Architecture (blog från Palo Alto sammanfattar väldigt bra här) och Erik får äntligen utrymme igen att glänsa efter två avsnitt där vi lyssnat eller inte nördat ned oss tillräckligt.

Enligt 90-tals designen, som så många tyvärr hänger kvar i, bygger man upp ett nätverk, så kallat DMZ, och placerar sina servrar i. De som ska exponeras mot internet går via en brandvägg som öppnar på port och IP-adressnivå:

Den nya designen, Zero Trust Network togs fram av John Kindervag när han arbetade på Forrest Research Inc (men numera arbetar på Palo Alto) och går ut på att alla nätverk är fientliga.

Erik reder ut sina tankar i designen och bland annat tar upp en fempunktlista (varför känns en sjupunktslista säkrare på nåt vis? Nåt med sagor tror jag. Nåja. Fem är det i alla fall!) som förtjänas att förtydligas här eftersom jag avbryter och flikar in om annat:

1. Oavsett nätverk ska det alltid ses som fientligt
2. Interna och externa hot mot nätverket pågår hela tiden
3. Nätverkets placering är inte gott nog som skydd och räcker inte som anledning att lita på det (se första punkten)
4. Varje enhet, användare och nätverk måste autentiseras och auktoriseras (har man svårt att veta skillnad kan man lyssna och höra den förträffliga jämförelsen med en nattklubb och tillträde till den).
5. Policys och regelverk måste vara dynamiska och beräknade från så många källor som möjligt (här blir det rörigt – lyssna i avsnittet för detaljer)

• 0 comments

Idag har man kommit så långt att skyddsstrategier för fysiskt skydd börjar bli vanliga, men det var länge en sak man inte riktigt tänkte på när man byggde säkerhetslösningar: hur skyddar men en dator från någon som fysiskt kan nå den?

Brandväggar, antivirus och patchlösningar är verkningslösa mot brottsligen som faktiskt kommer åt din maskin där den står på kontoret. För många år sedan var det enda du kunde göra var att låsa arbetsstation, så att den som vill komma åt den var tvungen att gissa ditt lösenord. Men den uppebara lösningen var att ta fram en skruvmejsel och skruva ur hårddisken. På några minuter kunde man sen koppla in den till sin egen dator och göra en bit-för-bit kopia av den med något program av typ Ghost eller Linux dd. Därefter satte du tillbaka hårddisken i datorn och startade upp den. Användaren kanske märkte att han inte längre var inloggad, men ryckte nog på axlarna åt det och jobbade vidare.

Men det är bara ett av hoten. När firewire var vanligt, kom det upp ett nytt hot. Eftersom firewire tillät direkt tillgång till datorns minne, kunde en person som kom åt datorn fysiskt, koppla in sin dator i offrets dator via firewire och ta över inloggningen. Detta fanns fungerande program för att göra med Windows XP. Man fick då upp en kommandotprompt som kördes som systemet självt utan att behöva logga in.

Men sen måste branschen ha dragit åt sig öronen. Heldiskkryptering blev vanligt. Windows Vista kom med Bitlocker och Linux hade tidigt egna lösningar för detta. Om du installerar Ubuntu idag är det en kryssruta man kryssar i för att kryptera disken. Heldiskkrypteringen gick från att vara någonting som användes för högsäkerhetsdatorer till att bli vanligt som mekanism för att skydda vanliga kontorsdatorer. Detta har gjort att det inte längre blir en katastrof att glömma sin dator på tågstationen eller flygplatsen. Det finns attacker som fungerar även mot heldiskkryptering, men det kommer även nya, bättre skydd mot dessa. Dock är det helt klart att man idag tar fysisk säkerhet för vanliga klientdatorer på allvar. Nu är det inte bara servrarna i datorhallarna som kan stå emot en person som lyckats ta sig in på kontoret. Det viktiga är dock att verkligen använda dessa mekanismer så att informationen inte lämnar kontoret under armen på en inbrottstjuv.

• 0 comments