7.3 Informasjonssikkerhet og trusler

Tre pilarer som holder alt oppe

Stadig mer av livet ditt er digitalt – bankkonto, helsejournal, bilder, skolearbeid. Derfor er informasjonssikkerhet viktigere enn noensinne. Hver dag forsøker kriminelle å stjele data, bedrifter utsettes for cyberangrep, og folk lures til å oppgi passord. For å beskytte oss må vi forstå både truslene og forsvaret.

All informasjonssikkerhet hviler på tre grunnprinsipper, kjent som CIA-triaden. Konfidensialitet betyr at bare autoriserte skal ha tilgang – bare du og banken ser kontoutskriften din. Integritet betyr at informasjonen er korrekt og ikke uautorisert endret – ingen skal kunne endre beløpet i en transaksjon. Og tilgjengelighet betyr at informasjonen er der når autoriserte brukere trenger den – nettbanken skal virke når du betaler regninger. Et godt sikkerhetssystem balanserer alle tre; for mye fokus på konfidensialitet kan gå ut over tilgjengelighet, og omvendt.

Den vanligste trusselen er malware – en samlebetegnelse for skadelig programvare. Et virus fester seg til en fil og sprer seg når den åpnes; det trenger altså en vertsfil og en brukerhandling. En orm sprer seg derimot automatisk over nettverk uten vertsfil – WannaCry-ormen i 2017 rammet over 200 000 maskiner på få dager. En trojaner utgir seg for å være nyttig programvare for å lure deg til å installere den, oppkalt etter den trojanske hesten. Ransomware krypterer filene dine og krever løsepenger – Norsk Hydro tapte over 800 millioner kroner i 2021, og eksperter fraråder å betale. Spyware overvåker aktiviteten din i smug, og adware plager deg med uønsket reklame.

Når angrepet retter seg mot mennesket

Mange av de mest effektive angrepene retter seg ikke mot teknikken, men mot mennesker. Sosial manipulering utnytter psykologi for å lure ofre til å kompromittere sin egen sikkerhet. Den vanligste formen er phishing: angriperen sender e-post, SMS eller meldinger som ser ut til å komme fra en pålitelig avsender – banken, Posten, Microsoft. Meldingen har gjerne et påskudd som skaper hastverk («Kontoen din stenges om 24 timer»), en lenke til en falsk nettside, og et skjema der du bes oppgi passord eller kortinfo.

Du kan lære å gjenkjenne phishing. Se nøye på avsenderadressen – falske adresser ligner ekte, men har små avvik som support@dnn.no i stedet for support@dnb.no. Vær skeptisk til hastverk og trusler, generelle hilsener som «Kjære kunde», språkfeil, og mistenkelige lenker (hold musepekeren over uten å klikke for å se den faktiske URL-en). Får du en slik e-post, er svaret aldri å klikke på lenken – gå i stedet direkte til den offisielle nettsiden og sjekk selv.

Det finnes mange varianter. Spear phishing er målrettet mot én bestemt person, smishing skjer via SMS, vishing via telefon, og pretexting dikter opp et scenario for å bygge tillit. Baiting er å legge igjen en infisert USB-pinne i håp om at noen kobler den til, og tailgating er å snike seg gjennom en sikret dør etter en autorisert person.

Storangrep og forsvarsverk

Noen angrep er rene maktdemonstrasjoner. Et DDoS-angrep (Distributed Denial of Service) gjør en tjeneste utilgjengelig ved å oversvømme den med trafikk. Angriperen bygger først et botnett – tusenvis av infiserte maskiner (zombier) kontrollert uten eiernes viten – og gir dem kommando om å sende forespørsler til målet samtidig, til serveren ikke lenger klarer å betjene ekte brukere. Det finnes volumbaserte angrep som overbelaster båndbredden, protokollangrep som SYN flood, og applikasjonsangrep mot bestemte tjenester.

Andre nettverksangrep retter seg mot svakheter i systemene. Man-in-the-middle (MITM) plasserer angriperen mellom to parter for å avlytte eller endre kommunikasjonen – her beskytter HTTPS. SQL-injection sender ondsinnet SQL gjennom et skjemafelt for å manipulere databasen, Cross-Site Scripting (XSS) injiserer ondsinnet JavaScript som kjøres i andres nettlesere, brute force prøver systematisk alle passordkombinasjoner, og et zero-day exploit utnytter en sårbarhet utvikleren ennå ikke kjenner til.

Heldigvis finnes det effektive tiltak, både tekniske og menneskelige. Tekniske tiltak: hold programvaren oppdatert (oppdateringer lukker kjente sårbarheter), bruk antivirus og brannmur, lange unike passord i en passordbehandler, tofaktorautentisering (2FA), HTTPS, kryptert harddisk, og sikkerhetskopier etter 3-2-1-regelen (3 kopier, 2 medier, 1 utenfor stedet). Menneskelige tiltak: vær skeptisk til uventede henvendelser, verifiser avsendere, del aldri passord, tenk før du klikker, og rapporter mistenkelig aktivitet. Det er ofte den menneskelige årvåkenheten som stopper angrep teknikken slipper igjennom.

Oppsummering

Informasjonssikkerhet hviler på CIA-triaden: konfidensialitet, integritet og tilgjengelighet. Truslene er mange: malware (virus, ormer, trojanere, ransomware, spyware), phishing og annen sosial manipulering som retter seg mot mennesker, og storangrep som DDoS drevet av botnett.

Forsvaret er todelt. Tekniske tiltak inkluderer oppdateringer, antivirus, brannmur, sterke passord, 2FA, HTTPS, kryptering og sikkerhetskopier etter 3-2-1-regelen. Menneskelige tiltak handler om å være skeptisk, verifisere avsendere, aldri dele passord og tenke før du klikker. Ofte er det nettopp den menneskelige årvåkenheten som er den siste – og viktigste – forsvarslinjen.