24 Nettverkssikkerhet

En usynlig krig

Mens du leser dette, foregår det en usynlig krig. Hvert sekund prøver automatiske programmer å bryte seg inn i systemer over hele verden -- gjette passord, lure folk til å klikke feil lenke, eller overvelde nettsteder så de bryter sammen. For en bedrift kan et vellykket angrep bety lammede systemer, stjålne data eller millionkrav i løsepenger.

I dette kapittelet skal vi lære hvordan vi forsvarer oss. Vi starter med å forstå fienden -- trusselbildet, de vanligste angrepstypene du må kjenne til. Deretter bygger vi opp forsvaret lag for lag: brannmuren som kontrollerer trafikken inn og ut, krypteringen som gjør stjålne data verdiløse, og autentiseringen som sikrer at bare rette personer slipper inn. Sikkerhet er ikke ett enkelt grep, men mange lag som samarbeider. Når du er ferdig, forstår du både hvordan angriperne tenker og hvordan du stenger dem ute -- en av de mest etterspurte ferdighetene i hele IT-bransjen.

Kjenn fienden

For å forsvare seg må man forstå truslene. Den mest kjente er malware -- skadelig programvare i mange former. Virus sprer seg ved å feste seg til filer, ormer sprer seg selv over nettverket, trojanere gir seg ut for å være legitim programvare, og ransomware krypterer filene dine og krever løsepenger for å gi dem tilbake.

Men ikke alle angrep retter seg mot maskiner -- mange retter seg mot mennesker. Phishing er falske e-poster eller nettsider som lurer deg til å oppgi sensitiv informasjon, og hører til den bredere kategorien sosial manipulering, der man lurer mennesker i stedet for å hacke systemer. Et lurt angrep er Man-in-the-Middle (MitM), der angriperen plasserer seg mellom to parter som kommuniserer, og lytter eller endrer trafikken i det skjulte.

Noen angrep handler om å lamme i stedet for å stjele. Et Denial of Service-angrep (DoS, eller DDoS når det kommer fra mange maskiner samtidig) overvelder et system med så mye trafikk at det blir utilgjengelig. SQL-injeksjon utnytter dårlig sikrede inputfelt til å sende ondsinnet kode inn i en database. Og passordangrep finnes i flere varianter: brute force prøver alle kombinasjoner, dictionary attack prøver vanlige ord, og credential stuffing bruker passord som allerede er lekket fra andre tjenester. Å kjenne disse angrepstypene er første steg mot å stoppe dem.

Brannmuren og krypteringen

Det første forsvarslaget er brannmuren -- en sikkerhetsenhet som kontrollerer nettverkstrafikk basert på regler. Den finnes i flere varianter med ulik grundighet. Et enkelt pakkefilter (stateless) sjekker individuelle pakker ut fra IP-adresser, porter og protokoller -- raskt, men begrenset. En stateful brannmur holder styr på aktive tilkoblinger og gir bedre beskyttelse, og er standard i dag. En proxy på applikasjonsnivå inspiserer selve innholdet, mens en Next-Generation Firewall (NGFW) kombinerer alt med deep packet inspection og integrert antivirus.

Brannmurregler følger gjerne et viktig prinsipp: tillat det du trenger, og avvis resten. En typisk regel kan tillate trafikk til port 80 (HTTP) og 443 (HTTPS), og så ende med «Deny all» -- avvis alt annet som standard. Offentlige servere plasseres ofte i en DMZ (Demilitarized Zone), et eget nettverkssegment mellom internett og det interne nettet, slik at en hacket webserver ikke gir direkte tilgang til alt innenfor.

Mens brannmuren styrer hvem som slipper inn, sørger kryptering for at stjålne data er verdiløse. Kryptering omdanner lesbar tekst til uleselig tekst ved hjelp av en nøkkel. Det finnes to hovedtyper. Symmetrisk kryptering bruker samme nøkkel til å kryptere og dekryptere -- raskt, men da må nøkkelen deles trygt (eksempler er AES). Asymmetrisk kryptering bruker to nøkler: en offentlig som alle kan se og kryptere med, og en privat som bare mottakeren har og dekrypterer med. Dette løser problemet med nøkkeldeling, men er tregere (eksempler er RSA). I praksis kombinerer vi dem i hybrid kryptering: asymmetrisk for å utveksle en sesjonsnøkkel, så symmetrisk for selve dataene -- akkurat slik HTTPS og TLS fungerer når du ser hengelåsen i nettleseren. Et beslektet verktøy er hashing, en enveis funksjon som lager et «fingeravtrykk» av data som ikke kan reverseres, brukt til passordlagring og filverifisering.

Hvem er du egentlig?

Det siste forsvarslaget handler om autentisering -- å bevise at du er den du gir deg ut for å være. Det bygger på tre slags faktorer. Noe du vet, som et passord eller en PIN-kode. Noe du har, som et smartkort, en mobiltelefon eller et hardware-token. Og noe du er, som fingeravtrykk, ansiktsgjenkjenning eller iris-skanning.

Styrken kommer av å kombinere dem. Multi-faktor autentisering (MFA) krever to eller flere uavhengige faktorer -- for eksempel et passord pluss en kode fra mobilen. Dette er langt sikrere enn passord alene, for selv om passordet ditt lekker, kommer ikke angriperen videre uten den andre faktoren. Og passord bør uansett være sterke: minst 12-16 tegn, en blanding av store og små bokstaver, tall og spesialtegn, unike for hver tjeneste -- aller helst styrt av en passordbehandler.

I større systemer brukes flere mekanismer. Single Sign-On (SSO) lar én innlogging gi tilgang til mange systemer, praktisk for brukeren og enkelt å kontrollere sentralt. 802.1X er port-basert tilgangskontroll: når en enhet kobler seg til, sender en switch legitimasjonen til en RADIUS-server som godkjenner eller avviser før enheten i det hele tatt slipper inn på nettet.

Den moderne tankegangen samles i prinsippet Zero Trust -- «aldri stol på, alltid verifiser». Det betyr at ingen får automatisk tillit bare fordi de er innenfor nettverket; alt verifiseres kontinuerlig, og hver bruker får minst mulig tilgang -- bare det de faktisk trenger. Dette siste, kalt «principle of least privilege», begrenser skaden hvis en konto først blir kompromittert. Til sammen utgjør disse lagene -- trusselforståelse, brannmur, kryptering og autentisering -- et forsvar i dybden.

Oppsummering

Vi har bygget et forsvar i dybden. Først forsto vi trusselbildet: malware som virus og ransomware, menneskerettede angrep som phishing og sosial manipulering, MitM-avlytting, lammende DDoS-angrep, SQL-injeksjon og ulike passordangrep.

Deretter reiste vi forsvaret lag for lag. Brannmuren kontrollerer trafikken etter prinsippet «tillat det nødvendige, avvis resten», og offentlige servere isoleres i en DMZ. Krypteringen gjør stjålne data verdiløse -- symmetrisk for fart, asymmetrisk for trygg nøkkeldeling, kombinert i hybrid kryptering som i HTTPS/TLS, med hashing for integritet. Til slutt sikrer autentisering at bare rette personer slipper inn, gjennom MFA, sterke passord, SSO, 802.1X og den moderne Zero Trust-tankegangen «aldri stol på, alltid verifiser». Sikkerhet er aldri ett grep, men mange lag som samarbeider.