3.2 Trusselmodellering og risiko

Noe eller noen som kan påføre skade på informasjon eller systemer.

En trussel trenger ikke være ondsinnet. Et strømbrudd er en trussel. En ansatt som ved et uhell sletter en mappe, er en trussel. En harddisk som ryker etter fem år, er en trussel.

Den faste feilslutningen: å tenke på trusler bare som «hackere». Da bygger man et forsvar som glemmer strømbrudd, feilbetjening og maskinvarefeil — og de tre står for en stor del av de faktiske hendelsene.

Merk skillet mot sårbarhet: trusselen er den ytre kraften, sårbarheten er svakheten som gjør at kraften får virkning.

At en angriper plasserer seg mellom to parter som tror de snakker direkte med hverandre, og videreformidler trafikken.

Angriperen kan da både lese alt som sendes (konfidensialitet) og endre det underveis (integritet) — uten at noen av partene merker noe.

Det klassiske stedet er et åpent trådløst nett: du tror du snakker med nettbanken, men trafikken går gjennom en maskin som er satt opp av angriperen.

Mottiltaket er HTTPS med sertifikat, som både krypterer trafikken og bekrefter hvem du snakker med. Derfor er advarselen om ugyldig sertifikat ikke noe å klikke seg forbi.

At oppslaget fra navn til adresse manipuleres, slik at du havner på feil tjener selv om du skrev riktig adresse.

Du skriver navnet på banken, men blir sendt til angriperens maskin. Navnetjenesten som gjør oppslaget, behandles i del 4 om datanettverk.

Målene som brytes: integritet (innholdet du får, er ikke det ekte) og autentisitet (tjeneren er ikke den den utgir seg for).

Den faste feilslutningen: å tro at dette er et konfidensialitetsbrudd i seg selv. Det blir det først når du taster inn noe på den falske siden.

En trussel fra noen som allerede har lovlig tilgang — en ansatt, en innleid konsulent, en vaktmester med nøkkel.

Innsideren trenger ikke bryte seg inn. Alle de tiltakene som stopper utenforstående — brannmur, passord, nettverkssegmentering — er allerede passert.

Innsidetrusselen er heller ikke alltid ondsinnet: en ansatt som klikker på en lenke i en falsk e-post, eller som sletter feil mappe, er en innsidetrussel i praktisk forstand.

Mottiltakene er andre enn mot utenforstående: minste privilegium (hver bruker får bare de rettighetene jobben krever), logging for sporbarhet, arbeidsdeling på kritiske oppgaver, og opplæring.

At noen kommer fysisk til maskinen — kan ta på den, koble noe til den, eller ta den med seg.

Fysisk tilgang omgår så og si alle andre tiltak. Den som står foran maskinen, kan starte den fra sitt eget medium, koble til en tastelogger, ta ut disken, eller bare bære hele maskinen ut.

Det er derfor låste dører, adgangskontroll og kameraovervåking regnes som datasikkerhetstiltak, ikke bare som eiendomsvern.

Det ene tiltaket som fortsatt virker: diskkryptering. Den som stjeler en kryptert maskin, får maskinvaren, men ikke innholdet — og da er tilgjengelighet brutt, men ikke konfidensialitet.

Påstanden «systemet er internt og har ingen forbindelse til internett, altså er det uten risiko» er usann. Dette er felle #12 i registeret.

Hvorfor den er usann, i fire punkter:

1. Innsidere har allerede tilgang, og de er innenfor alle sperrene.
2. Fysisk tilgang omgår så og si alle tiltak — en minnepinne båret inn i bygget er nok.
3. Feil og uhell rammer uansett: slettede filer, feilkonfigurasjon, maskinvaresvikt.
4. Trusler mot tilgjengelighet bryr seg ikke om nettforbindelse: strømbrudd, brann og diskkrasj rammer et lukket system like hardt.

Det en frakobling faktisk gir, er at én kategori trusler blir vanskeligere: angrep utenfra over nett. Det er en reell gevinst, men det er ikke det samme som null risiko.

Formuleringen som er riktig: et lukket system har lavere risiko for enkelte trusler, og uendret risiko for andre. Restrisiko finnes alltid.

En trussel utnytter en sårbarhet og bryter et mål.

Eksempel: en angriper (trussel) utnytter uoppdatert programvare (sårbarhet) og endrer innhold (bryter integritet).

Tiltakene settes inn på to steder: de kan fjerne sårbarheten (oppdatere), eller de kan redusere skaden når den først skjer (sikkerhetskopi).

Den faste feilslutningen: å blande trussel og sårbarhet. Trusselen er den ytre kraften; sårbarheten er svakheten som gjør at kraften får virkning.

1. Handler det om å lese? → konfidensialitet
2. Handler det om å endre? → integritet
3. Handler det om å hindre bruk? → tilgjengelighet

Og den fjerde, som skiller på eksamen: handler det om å utgi seg for å være noen andre? → autentisitet, som regel i tillegg til integritet.

Tre spørsmål avgjør de fleste koblingsoppgavene i sjangeren, og de tar noen sekunder hver.

Et angrep som overbelaster en tjeneste med forespørsler, slik at den ikke lenger klarer å svare på ekte trafikk.

Målet som brytes: tilgjengelighet. Ingenting leses, og ingenting endres — tjenesten er bare ikke å få tak i.

Angrepet kommer ofte fra mange maskiner samtidig, gjerne fra et nett av infiserte maskiner. Mottiltak er filtrering i brannmur, ekstra kapasitet og tjenester som spres på mange steder.

Skadevare som krypterer filene på en maskin og krever betaling for nøkkelen.

Målet som brytes: tilgjengelighet. Filene finnes fortsatt, men er låst.

Den faste feilslutningen: å svare konfidensialitet fordi angrepet bruker kryptering. Verktøyet og det brutte målet er to ulike ting — angriperen har ikke nødvendigvis lest en eneste fil.

Det viktigste mottiltaket er sikkerhetskopi som ikke er tilkoblet, slik at den ikke krypteres sammen med resten.

Programvare eller en liten fysisk enhet som registrerer alt som skrives på tastaturet.

Målet som brytes: konfidensialitet. Passord, meldinger og søk lekker til den som har satt den opp.

En fysisk tastelogger settes mellom tastaturet og maskinen og krever fysisk tilgang — som er nettopp grunnen til at fysisk sikring regnes som et datasikkerhetstiltak.

Skadevare som samler inn opplysninger fra maskinen og sender dem videre uten at brukeren vet det.

Målet som brytes: konfidensialitet.

Skillet mot tastelogger: spionvaren kan hente langt mer enn tastetrykk — filer, skjermbilder, posisjon, nettlogg. Skadevaretypene systematiseres sist i denne delen.

Skadevare som graver seg dypt inn i systemet og manipulerer det slik at den selv ikke er synlig — verken i prosesslista eller i filsystemet.

Målet som brytes: integritet. Selve systemet er ikke lenger til å stole på: det rapporterer noe annet enn det som faktisk er tilfelle.

Den faste feilslutningen: å svare konfidensialitet fordi rootkit høres ut som spionasje. Rootkitets kjennetegn er skjulingen og manipulasjonen av systemet, ikke datatyveriet.

At en angriper plasserer seg mellom to parter som tror de snakker direkte sammen.

Mål som brytes: konfidensialitet (trafikken kan leses), integritet (den kan endres) og autentisitet (angriperen utgir seg for å være motparten).

Typisk sted: et åpent trådløst nett satt opp av angriperen.

Mottiltak: HTTPS med gyldig sertifikat, som både krypterer og bekrefter hvem du snakker med. Derfor skal en sertifikatadvarsel aldri klikkes bort.

Manipulasjon av oppslaget fra navn til adresse, slik at du havner på feil tjener selv om du skrev riktig navn.

Mål som brytes: integritet (innholdet er ikke det ekte) og autentisitet (tjeneren er ikke den den utgir seg for).

Konfidensialitet ryker først når du taster inn noe på den falske siden — det er en følge, ikke selve bruddet.

Navnetjenesten som manipuleres, behandles i del 4 om datanettverk.

En side som utgir seg for å være en annen — typisk en bank eller en innloggingsside.

Mål som brytes: autentisitet (den er ikke den den utgir seg for), integritet (innholdet er falskt), og konfidensialitet når brukeren taster inn noe.

Dette er standardeksempelet på at én trussel bryter flere mål samtidig, og i «velg ett eller flere»-form skal alle krysses av.

At noen opptrer som deg — logger inn med din konto, bruker ditt navn, signerer i ditt navn.

Mål som brytes: autentisitet først og fremst, og som regel konfidensialitet i tillegg, siden angriperen får tilgang til det du har tilgang til.

Det mest effektive mottiltaket er tofaktor-autentisering: et stjålet passord alene er ikke nok når det også kreves noe du har.

Begge faktorene settes typisk på en skala fra 1 til 5, og produktet ligger mellom 1 og 25.

Begge må med: en hyppig, men ufarlig hendelse gir lav risiko, og det samme gjør en katastrofe som praktisk talt aldri inntreffer.

Den faste feilen er å rangere etter den ene faktoren alene — som regel etter konsekvens, fordi katastrofer er lettere å forestille seg enn hyppighet.

To trusler kan få samme risikotall med helt ulike faktorer: 2 · 5 og 5 · 2 gir begge 10.

De føles svært ulike — den ene er en sjelden katastrofe, den andre en hyppig plage — men formelen skiller dem ikke.

Regelen som brukes: ved likt produkt regnes den med høyest konsekvens som mest alvorlig, fordi skaden er varig når den først inntreffer.

Dette er en kjent svakhet ved metoden, og grunnen til at risikotallet sorterer og prioriterer, men ikke erstatter skjønn.

Den risikoen som står igjen etter at tiltakene er satt inn.

Ingen tiltakspakke gir null risiko. Det som står igjen, skal aksepteres bevisst av ledelsen — ikke overses.

Den faste feilslutningen: å tro at et gjennomført tiltak «lukker» en risiko. Det reduserer den, som regel ved å senke sannsynligheten eller konsekvensen — sjelden begge, og aldri til null.

En trussel fra noen som allerede har lovlig tilgang: ansatt, konsulent, vaktmester.

Innsideren har passert brannmur, passord og nettverkssperrer i utgangspunktet. Derfor er mottiltakene andre: minste privilegium, logging, arbeidsdeling på kritiske oppgaver, og opplæring.

Innsidetrusselen er ikke alltid ondsinnet. Den ansatte som klikker på en falsk lenke eller sletter feil mappe, hører til samme kategori.

Den som står foran maskinen, kan starte den fra eget medium, koble til utstyr, ta ut disken eller bære maskinen ut.

Derfor regnes låste dører, adgangskontroll og kameraovervåking som datasikkerhetstiltak, ikke bare som eiendomsvern.

Det ene tiltaket som fortsatt virker mot fysisk tilgang, er diskkryptering: tyven får maskinvaren, men ikke innholdet. Da er tilgjengelighet brutt, men konfidensialitet i behold.

Påstanden «systemet er internt og uten internettforbindelse, altså uten risiko» er usann.

Fire grunner: innsidere har allerede tilgang; fysisk tilgang omgår sperrene; feil og uhell rammer uansett; og strømbrudd, brann og diskkrasj bryr seg ikke om nettforbindelse.

Den riktige formuleringen: et lukket system har lavere risiko for enkelte trusler og uendret risiko for andre.

Absolutte formuleringer — «uten risiko», «fullstendig sikker», «kan ikke skje» — er nesten alltid usanne i denne sjangeren.

Prinsippet om at hver bruker og hvert program skal ha akkurat de rettighetene oppgaven krever, og ikke flere.

Gevinsten er dobbel: skaden blir mindre både når noen gjør en feil, og når en konto blir overtatt av en angriper.

Dette er det viktigste enkelttiltaket mot innsidetrusler, og det er også grunnen til at ingen bør arbeide daglig med en konto som har fulle rettigheter.

Strømbrudd, brann, vannlekkasje, diskkrasj, feilbetjening og feilkonfigurasjon er alle trusler.

De rammer først og fremst tilgjengelighet, og av og til integritet — data kan bli ødelagt uten at noen har villet det.

Den faste feilslutningen: å bygge et forsvar som bare tenker på angripere. I praksis står ikke-ondsinnede hendelser for en stor del av bruddene, og de vanligste tiltakene mot dem er sikkerhetskopi, redundans og øvelse.

Arbeidsmåten i en «hvilke mål brytes»-oppgave: ta målene i fast rekkefølge og spør for hvert enkelt om nettopp den egenskapen er brutt.

Konfidensialitet — er noe lest? Integritet — er noe endret? Tilgjengelighet — har noen mistet tilgang? Sporbarhet — er loggene borte? Uavviselighet — kan den ansvarlige nekte? Autentisitet — har noen utgitt seg for å være en annen? Personvern — er personopplysninger behandlet ulovlig?

Sju spørsmål på tretti sekunder, og du har full pott i stedet for halv.