Racmeister

Teknologi, fremtid, samfund

Mareridt: Smartphones og brugerkrav kvæster sikkerheden. Læs hvordan


”Du aner ikke, at dine data er stjålet. Du aner ikke, at du overhovedet havde disse data i virksomheden. Situationen for 9 ud af 10 indbrud i 2009 var unknown-unknown.”

Sådan lyder punchlinen om trusselsbilledet for IT-sikkerhed, som inddampet og serveret af Dr Parag Pruthi.

Parag Pruthi er chairman, founder og CEO for sikkerhedsvirksomheden Niksun, wiki:Niksun.

”Der kan gå ti år før en virksomhed opdager, at den er blevet hacket,” siger han. I gennemsnit tager det tre måneder at opdage, at man har indbrud.”

Parag Pruthi var i Danmark for en uges tid siden. Anledningen var som hovedtaler ved AAU’s allerførste seminar i de nye lokaler @exnokia i Sydhavnen. Det er jo lidt historisk i sig selv.

Seminaret ”Workshop on Network Security” var med studerende og inviterede gæster fra elektronikbranchen, arrangeret af Knud Erik Skouby, CMI. Center for Communication, Media and Information Technologies (CMI) er nemlig allerede rykket til AAU’s nye lokaler.

Tilbage til Pruthi’s pointer:

Trusselsbilledet forandrer sig lige nu dramatisk, først og fremmest drevet af ”ændringer i infrastrukturen”, forklarer han. Den vigtigste ændring er overgangen til ”håndholdte computerenheder”, smartphones, i bundter.

Infrastrukturen er blevet:

  • Dynamisk
  • Interaktiv
  • Anywhere
  • Anytime
  • Real-time

Og det gør det hele meget værre.

En væsentlig ”trusselsvektor” er, at alle brugerne vil vide alt med det samme. Det er i modstrid med sikkerhed, som kræver tidsforsinkelse mens pakker scannes og bits vendes. Men bufferen er væk, brugeren vil se sin bankkonto lige her og nu.

Pruthi remser trusselsvektorer op. De er alle vegne:

  • På PC’erne var selve Windows engang det mest truede. Nu er Outlook det vigtigste Business-værktøj og alt muligt ekstra foregår i Outlook, CRM-håndtering f.eks. Så det er dér, man skal være på vagt.
  • Sociale netværk er sikkerhedsfolkenes største mareridt: Alt ligger online; billeder, noget om skænderiet med chefen. Det gør social engineering – hvor kriminelle leder efter information, de kan bruge til indbrud – meget lettere. Men presset for at åbne er stort: Flyvevåbnet i USA tillader nu brug af twitter.
  • Flash, pdf, andre værktøjer er blevet angrebspunkter.
  • Smartphone-apps beder om rettigheder til alt for meget: Hvor er jeg, netværk, kontakter. Hvem checker, om det er rimeligt?
  • Brugerne, som hele tiden arbejder uden om sikkerhedsspærringerne. Hvis man ikke må sende en .xls-fil med hjem fra jobbet, hvad gør man så? Omdøber den til .jpg, uploader på flickr eller lignende. Henter den hjemme og tilbage-omdøber.

Og hvad kan sikkerhedsfolk så gøre ved alle de trusler, ?

  • Acces control on need to know basis
  • Verify & never trust
  • Inspect & log all traffic
  • Trust noone
  • Adapt principles of layered security based on system criticality
  • Reduce false positive rates and increase linear trust
  • Increase cost efficiency by increasing efficiency

Slutbemærkningen:

”Hackere sender data ud i bursts.”

Så når administratoren kigger på sin netværksbelastning, ser den fint lav ud. Hvis man skal opdage hacket, skal der trafiklogges ned til sekundopløsning.

Uha!

Skriv et svar

Udfyld dine oplysninger nedenfor eller klik på et ikon for at logge ind:

WordPress.com Logo

Du kommenterer med din WordPress.com konto. Log Out / Skift )

Twitter picture

Du kommenterer med din Twitter konto. Log Out / Skift )

Facebook photo

Du kommenterer med din Facebook konto. Log Out / Skift )

Google+ photo

Du kommenterer med din Google+ konto. Log Out / Skift )

Connecting to %s

%d bloggers like this: