Finns det någonting fegare än en hare? Så fort den ser dig, är den borta så snabbt att den ser ut som ett streck när den rusar iväg. Är det inte mycket bättre att slåss mot fienden och vinna sin frihet? Svaret är att de flesta djur flyr när de ser någon komma. Det gäller även farliga djur som björnar. Geparder skrämmer man lättast bort med hundar. Detta trots att geparder borde kunna vinna mot en hund. I naturen undviker de flesta djur strider. Men det är inte det jag vill prata om idag. Det handlar istället om att ha överlägsna metoder för att upptäcka fara istället för att satsa på möjligheten att försvara sig eller motstå en attack.

Inom IT-världen har man tills ganska nyligen inte riktigt fattat hur viktigt det är att upptäcka hot. Mycket har handlat om starkare kontroller för att hindra intrång. Många företag och organisationer har haft loggning påslaget för alla viktiga system utan att ha haft någon mekanism för att automatiskt analysera loggarna och larma om hotfulla mönster upptäcks. För många har en lösning för att upptäcka hot på nätverket setts som för dyrt och enbart nödvändigt där man har högre kvar på säkerheten. Att upptäcka att någonting är på gång eller har hänt har varit nedprioriterat på grund av hur komplext och dyrt det är.

Men det är tyvärr en sanning att alla kassaskåp kan brytas upp av den som har tid och resurser att bryta sig in. Om du inte upptäcker att någon går lös på detta kassaskåp, kommer attacken tillsist att lyckas eftersom den som attackerar kan göra precis vad som helst och arbeta hur länge som helst utan att upptäckas.

En gång, för ett antal år sedan, kallades jag in till ett företag som råkat ut för skadlig kod. Man hade upptäckt denna för att den var så dåligt skriven att den sänkte de system den kopierade sig till. Detta var inte avsikten med den utan berodde på att den var dåligt gjord. Hade den som skrev koden varit bättre programmerare, hade kunden aldrig upptäckt denna skadliga kod som var byggd för att ligga i bakgrunden och köra.

Tiden mellan att ett system attackeras och att attacken upptäckts kan var så lång som uppemot ett år i många fall. Under denna tid kan attackeraren gör vad han/hon vill med organisationens system och nätverk.

En dövblind kanin klädd i rustning är sämre skyddad än en försvarslös kanin som vet hur den upptäcker fara och springer iväg! När såg du senast en sådan analogi på en säkerhetssite?

• 0 comments

I veckans avsnitt pratar vi om Zero Trust Network eller Zero Trust Architecture (blog från Palo Alto sammanfattar väldigt bra här) och Erik får äntligen utrymme igen att glänsa efter två avsnitt där vi lyssnat eller inte nördat ned oss tillräckligt.

Enligt 90-tals designen, som så många tyvärr hänger kvar i, bygger man upp ett nätverk, så kallat DMZ, och placerar sina servrar i. De som ska exponeras mot internet går via en brandvägg som öppnar på port och IP-adressnivå:

Den nya designen, Zero Trust Network togs fram av John Kindervag när han arbetade på Forrest Research Inc (men numera arbetar på Palo Alto) och går ut på att alla nätverk är fientliga.

Erik reder ut sina tankar i designen och bland annat tar upp en fempunktlista (varför känns en sjupunktslista säkrare på nåt vis? Nåt med sagor tror jag. Nåja. Fem är det i alla fall!) som förtjänas att förtydligas här eftersom jag avbryter och flikar in om annat:

1. Oavsett nätverk ska det alltid ses som fientligt
2. Interna och externa hot mot nätverket pågår hela tiden
3. Nätverkets placering är inte gott nog som skydd och räcker inte som anledning att lita på det (se första punkten)
4. Varje enhet, användare och nätverk måste autentiseras och auktoriseras (har man svårt att veta skillnad kan man lyssna och höra den förträffliga jämförelsen med en nattklubb och tillträde till den).
5. Policys och regelverk måste vara dynamiska och beräknade från så många källor som möjligt (här blir det rörigt – lyssna i avsnittet för detaljer)

• 0 comments

Idag har man kommit så långt att skyddsstrategier för fysiskt skydd börjar bli vanliga, men det var länge en sak man inte riktigt tänkte på när man byggde säkerhetslösningar: hur skyddar men en dator från någon som fysiskt kan nå den?

Brandväggar, antivirus och patchlösningar är verkningslösa mot brottsligen som faktiskt kommer åt din maskin där den står på kontoret. För många år sedan var det enda du kunde göra var att låsa arbetsstation, så att den som vill komma åt den var tvungen att gissa ditt lösenord. Men den uppebara lösningen var att ta fram en skruvmejsel och skruva ur hårddisken. På några minuter kunde man sen koppla in den till sin egen dator och göra en bit-för-bit kopia av den med något program av typ Ghost eller Linux dd. Därefter satte du tillbaka hårddisken i datorn och startade upp den. Användaren kanske märkte att han inte längre var inloggad, men ryckte nog på axlarna åt det och jobbade vidare.

Men det är bara ett av hoten. När firewire var vanligt, kom det upp ett nytt hot. Eftersom firewire tillät direkt tillgång till datorns minne, kunde en person som kom åt datorn fysiskt, koppla in sin dator i offrets dator via firewire och ta över inloggningen. Detta fanns fungerande program för att göra med Windows XP. Man fick då upp en kommandotprompt som kördes som systemet självt utan att behöva logga in.

Men sen måste branschen ha dragit åt sig öronen. Heldiskkryptering blev vanligt. Windows Vista kom med Bitlocker och Linux hade tidigt egna lösningar för detta. Om du installerar Ubuntu idag är det en kryssruta man kryssar i för att kryptera disken. Heldiskkrypteringen gick från att vara någonting som användes för högsäkerhetsdatorer till att bli vanligt som mekanism för att skydda vanliga kontorsdatorer. Detta har gjort att det inte längre blir en katastrof att glömma sin dator på tågstationen eller flygplatsen. Det finns attacker som fungerar även mot heldiskkryptering, men det kommer även nya, bättre skydd mot dessa. Dock är det helt klart att man idag tar fysisk säkerhet för vanliga klientdatorer på allvar. Nu är det inte bara servrarna i datorhallarna som kan stå emot en person som lyckats ta sig in på kontoret. Det viktiga är dock att verkligen använda dessa mekanismer så att informationen inte lämnar kontoret under armen på en inbrottstjuv.

• 0 comments

Det är märkligt att titta tillbaka på IT-säkerheten som den såg ut på 80- och 90-talet. Visst fanns Unix tidigt med sina fleranvändarsystem där användare hölls separerade så att de inte kunde påverka varandras data. Men om man tittar på de datorer som fanns på 80-talet, var majoriteten så kallade ”enanvändarsystem”. Vare sig du hade en PC, Amiga, Mac, Atari eller C64, kom du i princip rätt in i systemet när du startade det. Inga lösenord eller rättigheter överhuvudtaget. Gamla PC-datorer hade en nyckel som stängde av tangentbordet när den vreds om. Detta var det skydd som gavs för den som lämnade sin dator påslagen över lunchen på sitt jobb. Visst fanns det undantag från den regeln, men de flesta datorer hade ingen säkerhet att tala om.

Windows hade inget lösenordsskydd förrän Windows NT kom på 90-talet. Windows 95 hade ett lösenordsskydd så att man kunde ha olika användare med olika inställningar. Om du istället avbröt inloggningsrutan, kom du rakt in i systemet!

Där det faktiskt fanns skydd, var det oftast begränsat till just användarnamn och lösenord. Protokoll som FTP, telnet och SMTP gick i klartext. Vem som helst som avlyssnade trafiken såg lösenorden som användes.

Och många protokoll kunde lätt användas utan någon form av autentisering. Gamla Windows-versioner är mycket lätt att få ut data från även om du är anonym.

I slutet av 90-talet läste jag en artikel skriven av en man som hade kollat hur många som hade brandvägg på sin dator när de gav sig ut på Internet. Svaret var: inte många. På den tiden använde man uppringda förbindelser och kunde oftast komma undan med att inte ha brandvägg. Men det kom att ändras när bredbanden blev allt vanligare.

2000-talet förde inte enbart med sig IT-kraschen utan också ett plågsamt tillnyktrande vad det gäller säkerheten. I snabb följde fick vi Nimda, Code red och senare Blaster som tog ner illa skyddade servrar. Microsoft fick ta den mesta kritiken, men säkerheten över hela brädet var bristfällig.

Sedan mitten av 2000-talet har mekanismer byggts in till höger och vänster. Bättre skydd mot buffertöverskrivningar, nedlåsta behörigheter, inmatningsskydd, brandväggar och kryptering.

Säkerhet har inte enbart drivits av en villja att skydda användarna mot dataläckage, ändring av data eller att man förstör systemen. Det har även diskuterats allt mer om integritet. De flesta stora sajterna kom med tiden att slå på kryptering och de flesta moderna eller moderniserade protokoll både krypterar och skyddar mot otillåten tillgång.

För att summera: resan vi gjort från 80-talets totalt osäkra system fram till dagens hårt nedlåsta datorer är fascinerande.

• 0 comments