Uppdatering 2:Brian Krebs gick redan ut i Feb/Mars och kontaktade Gunnebo efter att en server som tillhör dem stod exponerad ut mot internet med RDP-öppet. RDP är ett protokoll som möjliggör fjärradministration, och enligt Brian så var lösenordet password01. Dock är det oklart om det var via denna RDP-exponering som angriparna tog sig in.
Jag tänkte kommentera några saker gällande intrånget hos säkerhetsföretaget Gunnebo och hur denna typ av grupperingar arbetar.
Först och främst så är det enbart en sak som gäller för dessa antagonister: Pengar. De gör detta enbart för ekonomisk vinning, men Sverige som land drabbas på många olika sätt. Ritningar och information om känsliga system hos myndigheter såsom Försvarsmakten, FRA och Riksbanken kan i detta fall ha läckt ut. Det är rätt av Gunnebo att inte betala lösensumma till utpressarna, jag rekommenderar att aldrig göda denna typ av illegal verksamhet. Gunnebo kan själva också drabbas så klart, på flertalet sätt såsom mindre orderingång, prestigeförlust, negativ aktiekurs osv.
För organisationer som jobbar med leverantörer och underleverantörer såsom Gunnebo gäller det att dela med sig av minimalt med information. Efter uppdraget är slut eller upphandlingen är avklarad är det viktigt att gallra och radera information. Det gäller även eventuella backuper, mail-lådor osv där känslig information också kan sparas under en längre tid.
Intrånget genomfördes mest troligt på följande sätt:
En eller flertalet anställda får riktad E-post under längre tid där budskapet finjusteras till just att träffa deras organisation.
Mailet innehåller en bifogad fil alternativt en länk till en bifogad fil där mottagaren uppmanas att öppna filen. Denna fil innehåller någon typ av RAT (Remote Access Trojan) som inte upptäcks av antivirus-program.
Angriparen får nu ett initialt fotfäste inom Gunnebo och kan börja utforska system och behörigheter. När angriparen är väl innanför det yttre perimieterskyddet så har de flesta organisationer ett något sämre skydd och separation.
Detta är en kritisk punkt: Om organisationen har väl fungerande sensor-system så fångar dessa upp avvikande aktivitet hos användaren eller systemet. En SOC (Security Operations Center) kan fånga upp händelser när angriparen försöker eskalera rättigheter och genomföra lateral movements (sidorörelse?). Organisationen måste då snabbt isolera systemet och genomföra IT-forensik och Threat Hunting med ett EDR-system (Endpoint detection and response). Även kan kommando-kanalen (C&C) fångas upp med ett system som tittar och analyserar nätverkstrafiken, samt själva exfiltrationen som i detta fall handlade om 7.6TB som skickats ut ur nätverket.
Desto längre tid angriparen kan vara i nätverket och utforska desto mer system kan de erhålla tillgång till och sno information från.
Du bör även testa denna förmåga med återkommande annonserade och oannonserade tester. Hela flödet samt inviduella tester såsom phishing-tester mot personal, som förhoppningsvis utbildas löpande i detta.
Utpressarna har troligtvis krypterat delar eller stora mängder med information hos Gunnebo. Därför är det också viktigt att ha backup och testa dessa rutiner kontinuerligt.
Mount Locker som ligger bakom attacken mot Gunnebo arbetar troligtvis med flertalet andra hacker-grupper som tillgodoser den initiala intrångsvektorn. De ger sig på större organisationer såsom börsbolag som har möjlighet att pynta upp över 10 miljoner SEK i lösensumma.
Cybersäkerhet är inte lätt och måste få kosta tid, pengar och resurser
Ledningen måste vara med på tåget och tillgodose att detta finns avsatt och prioritera just detta. Distansarbete i samband med COVID-19 gör också att hotbilden förändras och VPN används i större utsträckning, jag återkommer med ett separat blogginlägg om detta.
Här är en lista med 861 andra organisationer som blivit utsatta av ransomware av 18 olika ransomware-grupperingar:
En annan aspekt i det hela att Gunnebo även utvecklar mjukvara till deras fysiska säkerhetssystem. En väl placerad bakdörr i denna mjukvara gör att en angripare kan ta sig förbi det fysiska skyddet.
Från darknet (Tor .onion) så kan man se följande skärmdumpar (källa)
Och den som vill djupdyka närmare när det gäller den typ av skadlig kod som troligtvis riktats eller använts mot Gunnebo kan se mer på Google-ägda VirusTotal.
Igår släpptes två nya rapporter från FRA, Försvarsmakten, MSB, Polismyndigheten och Säkerhetspolisen. Dessa rapporter finns bifogade nedan och heter:
Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden
Cybersäkerhet i Sverige – Rekommenderade säkerhetsåtgärder
Jag har läst båda rapporterna och de ger en allmän och övergripande bild över cybersäkerhetsläget. Det framgår också i rapporten att den är just avsiktligt generaliserad samt riktar sig till samtliga offentliga som privata verksamheter. För oss som är djupt nere i träsket så tycker jag att rapporten är lite väl för generell, dock så bör du läsa rapporten med rekommenderade säkerhetsåtgärder.
Rapporten tar upp problem som kan uppstå till följd av utkontraktering och kompetensbrist. Men även beskriver de olika aktörerna som utför cyberattacker såsom statsunderstödda grupperingar, kriminella aktörer och ideologiskt motiverade.
Även tas olika initiala attacker upp såsom vattenhålsangrepp, angrepp mot exponerade tjänster, lösenordsattacker, spearphishing och phishing.
Rapporterna innehåller också ett antal felaktigheter och konstiga antaganden som verkar representera enskilda individers tyckande. Men att producera rapporter hjälper inte Sveriges motståndskraft mot cyberhot. Det viktiga är att cybercentret når en operativ effekt skyndsamt.
Ett modus som rapporten tar upp och viktigt att tänka på är att mer och mer attacker sker mot privatpersoner med viktiga befattningar. Syftet kan vara att hitta information för utpressning eller ta sig vidare in på en organisations system:
Angrepp sker även direkt mot individers personliga it-utrustning.
Det finns också givetvis många organisationer som bör läsa under rubrikerna rekommenderat arbetssätt som återfinnes under samtliga 9 rekommendationer.
Rapporten Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden kan du ladda hem här:
Rapporten Cybersäkerhet i Sverige – Rekommenderade säkerhetsåtgärder kan du ladda hem här:
Detta är en sammanfattning av förmiddagens pass under Cyberförsvarsdagen 2020. Du kan läsa om eftermiddagen här
Inledning
Dagen började med att två generaldirektörer, en generalsekreterare och chefen för Försvarsmaktens LEDS CIO pratade om vad som är normalläge och vad som är gråzon.
Enligt FRA så befinner vi redan i en gråzon och detta ser FRA genom sin signalspaning såsom TDV-systemet. Angriparna är ute efter våra innovationer och konkurrenskraft instämmer Robert Limmergård.
De stora resurserna har statsunderstödda aktörer men enskilda små hacker-aktörer
Cybersäkerhetscentrets viktigaste uppgift enligt paneldeltagarna:
Björn Lyrrvall – Genom samverkan kan vi bättre skydda våra system
Dan Eliasson – Vi jobbar nära med andra myndigheterna och poolar våra resurser och får då bättre detekteringsförmåga
Robert Limmergård – Viktigt att vi inte häller ner informationen i ett stort svart hål.
Lennart Kvannbäcken – Viktigt att det finns personal i form av kött och blod och att samverkan blir mer än bara papper.
Annika Avén frågar panelen om bra exempel på samverkan mellan myndigheter och civila samhällen. Några exempel på bra samverkan som lyfts upp är FIDI-grupperningarna, arbetet via DIGG samt att bara denna dag är ett bra exempel. NSIT lyfts också upp som en bra gruppering, mycket av infrastrukturen ägs av den privata sidan.
Paneldebatt: Hotbild – Ansvar – Övningar
Moderator Martin Waern, Scandinavian Risk Solutions (SRS)
Lägesbild och hotbild
Inledningstal inför passet är Jan Berg som är chef för TDV på FRA berättar om hur hotbilden förändrats på 20 år samt att det finns runt hundratalet aktörer i dagsläget.
Hur mycket resurser behövs det för att bedriva denna typ av cyberattacker? Det finns otroligt många verktyg som open-source men även kommersiella verktyg.
Vad är det för aktörer som håller på med datorintrång? Grupperingar som är löst eller hårt knutna till olika stater, drivs av ekonomiska och politiska motiv. Agendan spelgas i den underrättelseinhämtning som genomförs.
Intressant kreativt scenario som Jan tar upp är intrånget mot den svenska dopingorganisationen. Man såg det nästan komma eftersom samma aktör troligtvis genomfört attacker mot WADA, World Anti-Doping Agency.
CloudHopper (APT10) samt Operation Soft cell är två intressanta operationer som visar på när antagonister går på tjänsteleverantörer.
Det tar i snitt 200 dagar innan ett intrång upptäcks, vad får det för konsekvenser för Er frågar sig Jan Berg på FRA. Ha ett långsiktigt arbete för det har aktörerna.
Panelsamtal: Signalskydd och hotbilden – är vi på rätt väg?
Panelen består av följande personer:
Jan Berg, FRA
Jens Bohlin, Tutus
Roger Forsberg, MSB
Peter Eidegren, Försvarsmakten
Många affärsdrivna verksamheter tänker inte först och främst på hotbilden när man försöker vara kreativa.
Nya signalskyddsföreskrifter finns nu på plats och har tidigare bara gällt för myndigheter. Andra verksamheter har tidigare använt signalskydd men inte varit reglerade av föreskrifterna. Men nuförtiden omfattar instruktioner och föreskrifter många fler organisationer.
Det finns bra och tydliga rutiner för Sveriges signalskydd, och det skapar förtroende berättar Peter Eidegren. Vad som också är nytt är att MSB som tidigare haft ansvaret för tilldelning av signalskydd så erbjuds nuförtiden enbart nyttjanderätt (en typ av lån).
Roger Forsberg berättar att MSB har möjlighet att besluta vilka som har tillåtelse att nyttja signalskydd. Man tecknar då en överenskommelse med MSB, signalskydd är av Svenskt nationellt säkerhetsintresse.
Man har även en plan framöver och anskaffar system samt försöker lägga dem på hyllan, men ibland kan de ta upp till ett år att få kryptosystem.
Jens Bohlin berättar om industrins utmaningar med att ta fram kryptosystem. Det är viktigt att jobba agilt och parallellt så inte utvärderingen av kryptosystem tar för lång tid och systemen är föråldrade när de väl kommer ut.
Behövs det verkligen fyra myndigheter som är ansvariga för krypto i Sverige frågar sig Martin? Det finns givetvis effektivitetsvinster säger Jens.
Roger avlutar paneldebatten och berättar om att dagens kryptosystem kan lösa många av organisationernas behov upp till nivå kvalificerat hemlig. Det gäller att vara kreativ och mycket går att köra över IP såsom IP-telefoni samt video.
Panelsamtal: Hur håller vi igång vårt fungerande samhälle?
Moderator: Torsten Bernström, CGI
Panelen består av följande deltagare:
Överste Patrik Ahlgren, Försvarsmakten
Mattias Wallén, SRS
Martin Allard, 4C Strategies
Martin berättar angriparen angriper oss där vi är som svagast och tar upp fel faktorer för fungerande försvar:
Försvarsmakt
Förtroende
Försörjningsberedskap
Fortifikation
Förfogande
När man arbetar med en utredning så har man ett direktiv att utgå ifrån. Och vill man annat får man prata med departementet.
Patrik berättar om vad en kvalificerad aktör kan ställa till med i samhället och att det inte går att åstadkomma 100%-ig säkerhet. Man måste räkna med bortfall. Ett exempel är att det måste finnas alternativa metoder för betalningar.
Alla i Sverige har ett ansvar att bidra till försvarsviljan anser Patrik. Ett robust samhälle går inte att bygga med den moderna tekniken, det är en utopi.
Svagheterna finns inte alltid där man tror och det ser ut som en lasagne och inte som stuprör säger Mattias. Lyfter upp dolda beroenden såsom OpenSSL samt sårbarheten Heartbleed.
En bra grundsäkerhet är att tjänsteleverantörerna klarar av de kända säkerhetshoten berättar Patrik.
Finns det en idé om K-företag 2.0, frågar moderatorn Torsten till Martin. Det finns flera skäl till att den inte går att införa systemet såsom upphandlingsregler. Regler runt konkurrens och EU är några delar som gör det svårare. Vilka företag ska omfattas om krigsplaceringar frågar Martin publiken.
Gemensamma privat-offentliga övningar för ett stärkt cyberförsvar
Moderator: Torsten Bernström, CGI
Paneldeltagare:
David Olgart, Försvarsmakten
Erik Biverot, lagledare LockedShields
Daniel Vikström, Afry
David börjar med att berätta om övningen SafeCyber och Försvarsmaktens beroenden av olika företag och organisationer. Övning leder till att stärker cyberförsvarsförmågan.
Teknisk incidenthantering och rapportering. Kopplade mot diskussionsövningen
Riskhantering och beslutsfattande
Genomförde forskning. Hur genomför man effektivt incidenthantering?
Forskning på lägesuppfattning.
De mjuka delarna var också viktiga och att folk lärde känna varandra och den viktigaste erfarenheten var att fler ville köra övningar.
Erik berättar om CCDCOE och övningen Locked Shields samt att det var 23 tävlande lag från olika nationer.
Sverige hamnade på tredje plats under 2019 och det är otroligt bra då enbart Tjeckien och Frankrike hamnade före. Hela miljön är öppen och inget hemligt hanteras.
Hur organiserar sig ett tillfälligt sammansatt team är intressant forskning nämner Daniel och något som Gazmend Huskaj forskar på.
Moderatorn Torsten frågar panelen hur kunskapen sprids från övningar: David tipsar om FOI:s rapport som går igenom samt nämner MSB:s handbok för övningar.
Man måste vara ödmjuk säger Erik och detta är en kompetensdriven faktor, mycket hänger på vilka individer vi får tag på. Informella kunskapsöverföringen är också viktig säger Erik.
Nationellt Cybersäkerhetscenter – Storbritannien
Moderator: Richard Oehme, Knowit
En talare från brittiska UK Nation Cyber Security Center, NCSC berättar om Storbritanniens satsning och vad de har lärt sig om de senaste tre åren.
De försöker göra det enklare för företag och privatpersoner att använda Internet säkert. De försöker också bli mer transparenta och är en del av GCHQ, FRA:s motsvarighet i Storbritannien. Om en attack mot elnätet skulle inträffa så skulle det vara till NCSC som folk skulle vända sig till.
De har projekt just nu för att säkra upp smarta elnät och kritisk infrastruktur inom området smarta städer. Annat de har utgivit är en broschyr för småföretagare om cybersäkerhet.
En annan lyckad satsning som nämns är Exercise in a box som gör det enkelt för små företag och organisationer att öva. Allt är givetvis gratis som NCSC gör:
Exercise in a Box is an online tool from the NCSC which helps organisations test and practise their response to a cyber attack. It is completely free and you don’t have to be an expert to use it.
En av det mest intressanta sakerna jag tyckte hon nämnde var automatiskt nedtagning av phishing-webbsajter samt möjlighet att stoppa andra attacker automatiskt, går under namnet Active Cyber Defence (ACD).
Säker rekursiv DNS som de utvecklat tillsammans med civila sektorn som blockerar osäkra sajter (PDNS).
Ett tydligt mandat och en budget var två av framgångsfaktorerna för det brittiska cybersäkerhetscentret men även att de är samlokaliserade med GCHQ.
Uppdatering 2020-12-10: Idag torsdag så beslutar regeringen om införandet av detta nya cybersäkerhetscenter.
Under September 2019 gav Regeringen myndigheterna FRA, Försvarsmakten, MSB och Säkerhetspolisen ett uppdrag som gick ut på att dessa myndigheter skulle lämna förslag på hur ett nytt nationellt cybersäkerhetscenter ska utformas.
Nu har svaret skickas till Regeringen och jag har sammanfattat det nedan:
Lokaliseringen ska till början vara hos MSB i deras nya lokaler i Solna. Dock med egna konferensrum, reception etc.
20-30 personer kommer att initialt ingå från FRA och MSB men på lång sikt kommer upp till 250 personer att tjänstgöra på cybersäkerhetscentret
Försvarsmakten kommer att bidra med samverkansresurer samt analytiker och avser att rekrytera upp 10 personer för detta
Centret kommer att vara en naturlig plats för samverkansgrupper såsom Samverkansgruppen för informationssäkerhet (SAMFI).
Och tittar vi närmare på fördelarna med att inrätta ett cybersäkerhetscenter så lyfts följande delar upp:
Kortare ledtider från detektion till åtgärd.
Bättre analysresultat med ett större utbyte av information.
Ökad tydlighet i budskap och rekommendationer.
Ökad tillgänglighet till de ingående myndigheterna för såväl privata som offentliga målgrupper.
Stärkt privat-offentlig samverkan.
Ett ensat nationellt cybersäkerhetsarbete samt harmonisering av föreskrifter och skyddsåtgärder.
Effektivare användning av statens resurser.
Övriga myndigheter som är delaktiga i upprättandet av centret är PTS, FMV och Polismyndigheten.
Organisationen kommer att se ut enligt följande på en övergripande nivå:
Min egna bedömning är att jag tror att detta är mycket bra och min erfarenhet visar på mycket bra synergieffekter bara genom att vara samlokaliserade på ett och samma ställe. Dock så är det olika myndigheter med olika kulturer och mål som ska komma överens vilket kommer att ta ett tag. Även tror jag det blir svårt att rekrytera till detta center eftersom specialister inom detta område är mycket efterfrågade.
Jag tycker även att det är bra att samverkan med näringslivet tas upp i svaret och att det finns möjlighet att sprida information och samverka mot privata aktörer genom exempelvis olika Forum för informationsdelning (FIDI).
FRA besitter en unik förmåga att upptäcka avancerade cyberattacker och detta center kan troligtvis hjälpa att stärka det Svenska cyberförsvaret.
Detta är den första delen av två från Cyberförsvarsdagen 2019. Detta inlägg sammanfattar förmiddagen och vill du läsa om eftermiddagen kan du göra det här.
Inledningstal av Robert Limmergård, SOFF. Robert berättar att det är fjärde året nu som Cyberförsvarsdagen går av stapeln och han ställer sig frågan: Vad är nytt?
Panelsamtal
genmaj. Fredrik Robertsson, CIO Försvarsmakten
Dan Eliasson, GD MSB
Dag Hartelius, GD FRA
Robert Limmergård, Generalsekreterare Säkerhets- och försvarsföretagen (SOFF)
Hur skapar vi en bättre försvarsförmåga?
Samverkan och dialog. Ingen löser detta problem själv utan det är myndigheter och företag tillsammans.
Dan Eliasson, GD MSB
Så handlingsorienterade som möjliga. MSB:s jobb är att säkerställa bredden i cyberskyddet och nämner även totalförsvarsplaneringen.
En driver är att skapa robusta och hållbara system som även fungerar i kris. Vi myndighetschefer kommer att jobba tillsammans.
Dag Hartelius, GD FRA
Samtliga talare nämner ett nationellt cybersäkerhetscenter.
Sveriges välstånd är beroende av vår industri och export. Sverige är attraktivt och FRA jobbar med att förhindra industrispionage bland annat.
Bilden är inte längre nattsvart när det gäller
cybersäkerhet.
Fråga från moderator till Fredrik: Vilken roll skulle FM ha
i ett cybersäkerhetscenter?
FM skulle bygga ett samarbete utifrån befintliga roller.
Dag: Våra uppdragsgivare förväntar oss att vi gör mer.
Snabbare upptäcka och åtgärda och presentera en lägesbild när det gäller
cyberhotet. Vilka förmågor har vi tillsammans vi myndigheter.
Fråga från moderatorn: Vad har hänt, vad är det som är nytt?
Dag från FRA berättar att vi har gjort mycket för att upptäcka hot.
Rekryteringsutmaningar som alla vi har, det är en tuff arbetsmarknad.
Sommarlovön är ett nytt initiativ av FRA för att väcka intresse bland 15-16
åringar berättar Dag Hartelius som är generaldirektör (GD) på FRA.
Dag berättar även om att Riksbanken som FRA jobbar med att
hjälpa inom cybersäkerhetsområdet blir bättre. Det är sällan FRA berättar om
vilka uppdragsgivare som de har men just när det gäller Riksbanken.
Framtidens digitala ekosystem
Moderator: Jonas Stewén, Combitech
Daniel Jaurén, FRA
För cirka 10 år sedan så började digitaliseringen och allt
skulle kopplas upp, och det gick fort och fel. Väldigt stark förmågeutveckling
på CNE-området hos många länder.
Attackerna mot Sverige styrs av en nationell agenda, vilket
är också en ny trend. De vill uppnå en effekt snarare än att genomföra
informationsstölder.
Länder som bedriver en aktiv utrikespolitik kommer också att
lämna spår på cyberarenan. Fler aktörer och en snabb höjning av lägstanivån hos
aktörerna. Våg 2 och 3 när det gäller aktörerna kommer att gå mycket snabbare
och bli en mer integrerad del i deras verksamhet.
Vad är det som angrips då? Man går inte direkt mot sitt mål,
det är en oerhört komplex bild än att titta direkt på skyddsvärdena.
Vi som underrättelsetjänst lägger en bild. Vi samlar på
bitar och lägger ett pussel, vi måste se till att dessa pusselbitar inte
försvinner från Sverige.
Vad kan FRA göra då? Givetvis kan vi samarbeta, men jag
skulle vi slå ett slag för hotbildsperspektivet och angriparperspektivet. Våra
angripare kanske vet mer om vad som är skyddsvärt. De mål som klarar sig bäst
mot angrepp är de som kan lära sig från tidigare hack och måla upp en hotbild.
Ja, du kommer att bli hackad! Den offensiva sidan kommer att vinna. Vi kommer
inte att kunna stoppa hacken men vi kommer att kunna hitta dom tidigt.
Hur jobbar FRA med hotinformation? Vi jobbar dels proaktivt
då vid stödjer myndigheter och statligt ägda bolga. Vi jobbar även reaktivt med
TDV-sensorer och SIGINT. Givetvis larmar vi även om hotaktörer går mot mål i
Sverige som inte omfattas av TDV-sensorerna.
Robert Jonsson, MSB / CERT-SE
Robert berättar först hur de nordiska CERT-organisationerna
är organiserade. I norden har vi ett samarbete som heter Nordic CERT
Cooperation (NCC) som bygger på ett MOU samt överenskommelse inom nordiska ministerrådet.
På EU-nivå så delar vi operativ information i ett samarbete som heter EGC,
European Governmental CERTs.
Ett globalt nätverk som heter International Watch and
Warning Network (IWWN). Och i samband med NIS-direktivet så skapades CSIRTSs
Network (CNW) som är på EU-nivå. Även är detta samarbete en bas för ENISAs
övningsserie Cyber Europe. Värdefullt forum för nationer som inte har haft en
CERT tidigare.
Övriga forum som CERT-SE jobbar med är FIRST och TF-CSIRT.
Men vad gör man då i samarbeten? Man delar information, med
stöd av exempelvis trafikljusprotokollet (TLP). Specifika incidenter såsom
WannaCry och även på automatiserat sätt med MISP-plattformen.
Jacob Henricsson, Foreseeti
Börjar med att prata om Robin Blokkers citat från förra året
där han ansåg att vi måste börja fixa sårbarheter från 90-talet först. Sen
berättar han om att allt blir uppkopplat. Det blir mycket billigare att ha
SIM-kort i alla saker och koppla upp dom och även GPS-brickor blir billigare.
De största hoten är fortfarande samma som de gamla. Jacob
visar en bild från OWASP Topp 10 från 2010 och visar hur den nya från 2017 ser
ut.
Men vad kan vi göra åt detta då? Om vi inte digitaliserar
det så behöver vi inte hålla koll på cyberhoten. Det blir mycket dyrare att
hacka det.
Vanliga cybersäkerhets problem som Foreseeti ser är:
Gamla produktionssystem med många användare
Återanvändning av användarkonton
Platta nätverk
Bra segmentering – men kortsluts genom lönndörrar
Kombinerade sårbarheter
Alla deltagare: Vilken kompetens saknas? Vi måste göra
cybersäkerheten sexigt igen säger Robert. Faktum kvarstår vi kommer att
digitalisera saker vare sig vi vill eller inte säger Daniel, vi måste bli bra
kravställare vi inköp.
Erik Nordman, Inledningstalare och Säkerhetschef och säkerhetsskyddschef vid Svenska kraftnät inleder.
Vad är skyddsvärt? Det är våra samhällsviktiga funktioner
som måste vara på plats. Vad är då skyddsvärt på SVK? 150-200 stamnätsstationer
som är som en ryggrad i elnätet. Men vad
just om dessa stationer är skyddsvärt? Är det lokaliseringen? Är det dess
funktion i elnätet?
SVK:s driftcentral är själva hjärnan i elnätet. Det är här
man ser till att det är exakt 50hz i elnätet, och att detta är skyddsvärt är
helt självklart. Men vad exakt runt just detta är skyddsvärt? Dom här sakerna
behöver man givetvis utreda och göra en bra analys.
Ungefär 70 personer har jobbat med att reda ut frågor som dessa
under 2018. Vad är viktigt ur vilket perspektiv? Vart behöver vi lägga vårat
skydd.
Panelsamtal – Förhållandet mellan NIS och nya säkerhetsskyddslagen – Vad är samhällsviktiga tjänster och vad är säkerhetskänslig verksamhet?
Erik Nordman, Säkerhetschef och säkerhetsskyddschef vid Svenska kraftnät
Vilka utmaningar står vi inför frågar Matilda till panelen.
Martin påpekar på att prioritera och fokusera på det som är viktigt, våga
prioritera bort också.
Nya säkerhetsskyddslagen och NIS-direktiven är olika och
fokuserar på olika saker. Det är viktigt att skapa ett förtroende för digitala
tjänster och skapar förutsättningar för den inre marknaden.
Säkerhetsskyddslagstiftningen har företräde före
NIS-direktivet. Det finns även ett stort överlapp när det gäller åtgärder,
såsom säkerhetskultur. Mycket av detta handlar om en bra grund.
Många pekar på utmaningar med NIS och nya lagstiftningen.
Systematisk och metodiskt informationssäkerhetsarbete är en bra grund för allt
arbete och låta analysen ta sin tid men inte glömma att ta till åtgärder också.
Det kommer att se ut annorlunda imorgon och det måste vara ett kontinuerligt
arbete säger Annette Norman på Justitiedepartementet.
Det är rätt att inte skriva i lagstiftningen i detalj vad
som är Sveriges säkerhet.
Tillsynen förutsätter att det finns ett tydligt regelverk
att hålla sig till och det är något som regeringen jobbar på just nu.
Ansvar i AB Sverige – Hur bygger vi en effektiv privat-offentlig samverkan för Sveriges cyberförsvar?
Moderator: Richard Oehme, director cyber security & critical infrastructure protection PwC
Panelsamtal – Hur kan myndigheter och företag stödja varandra i arbetet kring en effektiv samverkan mot ökad cyberförsvarsförmåga?
Åke Holmgren, avd. chef cybersäkerhet och skydd av samhällsviktig verksamhet MSB
Mats Wallinder, Riksbanken och ordförande FSPOS
Pernilla Rönn, chef cyber security Combitech
Generalmajor Fredrik Robertsson, CIO Försvarsmakten
Åke påbörjar passet med att inledningstala och berätta om
privat-offentlig samverkan. Många av arenorna för samarbeten är kopplade till
SAMFI-myndigheterna som jobbar med cybersäkerhet.
Men varför är det då viktigt med privat-offentlig samverkan?
Jo, det handlar om ett gemensamt ansvarstagande. Det underlättar för att snabbt
upprätta en lägesbild för att hantera allvarliga störningar. Det är viktigt att
vi bygger oss starka redan innan någon händer. Det bygger även tillit och
förtroende samt en gemensam kunskap.
De äldsta forumen för samverkan inom MSB heter FIDI och skapades 2004. De heter FIDI-SCADA, FIDI-FINANS, FIDI-TELEKOM, FIDI-DRIFT och VIDI-VÅRD.
Mats Wallinder berättar om vad som är skyddsvärt vid
riksbanken. Det finansiella systemet är globalt och vi är beroende globalt. Vad
är då privat-offentlig samverkan inom finansiella tjänster? FSPOS är ett
nätverk som bygger på frivilligt deltagande där 12 organisationer ingår i
dagsläget.
FSPOS har en styrelse och har en verksamhetsidé som går ut
på samverkan, övningar, kartläggningar och dela information för att stärka den
finansiella sektorns förmåga att möta hot och hantera kriser. Medlemmarna är
främst privata aktörer såsom Nasdaq, Svenska bankföreningen och Euroclear.
Sedan i paneldebatten så berättar Fredrik om övningen SAFE
Cyber 2018 och de frågeställningar som dök upp där. Hur kommunicerar vi
exempelvis? Övningen är ett table-top spel utan tekniska moment. Det är svårt
att öva saker om man inte har fullt förtroende säger även Fredrik. Det var en
bra övning med små resurser, vi ha ner relativt lite tid och pengar. Vikten att
hantera formalia, vilken information kan vi delge andra och hur ska de gå till?
Övningar kan oftast svara på dom frågorna.
Pernilla Rönn på Combitech nämner EU-TIBER som är ett bra ramverk för att skapa resiliens, främst inom den finansiella sektorn. Tiber-ramverket handlar om hur man implementerar Threat Intelligence-based Ethical Red Teaming.
Enkla rutiner kan vara ett bra resultat från samverkan.
Exempelvis en checklista som alla organisationer kan ta med sig hem och ge
hjälp.
Resursfrågan kommer också att styra samarbeten i framtiden
anser Richard och bollar vidare till Åke. Men just när det gäller
totalförsvaret är det ett större ansvar. Samarbeten ska göras i dialog och inte
tvinga fram samarbeten, förtroenden är viktigt.
Ingen myndighetsutövning är önskvärd i samarbeten mellan
offentlig och privat samverkan.
Nu har Totalförsvarets forskningsinstitut (FOI) publicerat presentationer från den myndighetsinterna konferensen vid namn IT-försvarsdagen publicerats. Konferensen gick av stapeln den 23 oktober 2018 i Försvarsmaktens Högkvarter på Lidingövägen 24.
Agendan såg ut enligt följande:
Presentationer
Följande presentationer har än så länge publicerats:
Myndigheten för samhällsskydd och beredskap (MSB) efterfrågar kommentarer gällande en ny vägledning om grundläggande kryptering.
Vägledningen beskriver säkerhetsåtgärder för att införa och upprätthålla säkra kryptolösningar. Rekommendationerna i vägledningen är inte tvingande för någon.
Säkerhetsåtgärderna som återfinnes i vägledningen är avsedda för information som behöver skyddas med kryptolösning till exempel för information som omfattas av sekretess, men som inte bedöms vara säkerhetsskyddsklassificerade uppgifter. Krav på säkerhetsåtgärder för säkerhetsskyddsklassificerade uppgifter återfinns hos Säkerhetspolisen respektive Försvarsmakten.
Använd mallen nedan samt skicka in dina synpunkter via E-post till [email protected] senast den 17 april 2019. Endast kommentar inskickade i kommentarsmallen kommer att beaktas uppger MSB.
Jag fick möjlighet att ställa några frågor till Martin som jobbar som kryptolog på Militära underrättelse- och säkerhetstjänsten, MUST.
MUST ansvarar bland annat för att kravställa, granska och godkänna kryptosystem och IT-säkerhetprodukter med mycket höga krav på kvalitet och säkerhet. Alla kryptosystem som är avsedda att skydda det svenska rikets säkerhet måste godkännas av MUST och personer som Martin.
Vad är det bästa med ditt jobb?
Att jag får möjlighet att arbeta heltid som kryptolog. Jag hade tidigt en förkärlek för kryptologiområdet. Redan när jag började mina studier funderade jag kring att bli kryptolog.
I mitt arbete får jag möjlighet att kombinera teori och spjutspetsforskning med ett gediget praktiskt kryptologiskt hantverk, samtidigt som jag upplever att mitt arbete är meningsfullt.
Vi bidrar på ett konkret sätt till att skydda rikets säkerhet. Även om väpnade konflikter lyckligtvis hör till ovanligheterna i vårt närområde bedrivs passiv inhämtning i form av exempelvis signalspaning kontinuerligt mot våra system. Även aktiva attacker av olika slag förekommer.
Vad kännetecknar ett bra krypto?
MGC Kryapp 301, Bild: MUST
Ett bra och säkert kryptosystem kännetecknas i min mening först och främst av att det är lättanvänt och möter användarnas faktiska behov.
Kerckhoffs — en känd man med många principer — hade insett ovanstående redan år 1883 när han formulerade sin sjätte princip: ”Enfin, il est nécessaire, vu les circonstances qui en commandent l’application, que le système soit d’un usage facile, ne demandant ni tension d’esprit, ni la connaissance d’une longue série de règles à observer.” i sitt verk ”La Cryptographie Militaire”. (Fritt översatt till svenska)
Avslutningsvis, är det nödvändigt, givet de omständigheter som föranleder dess tillämpning, att systemet är enkelt att använda, och varken vållar själsspänning eller fordrar kännedom om en lång rad regler att efterleva.
Det är viktigt att användarna har en erforderlig utbildning, att det finns regelverk och instruktioner som är enkla att följa och som säkerställer ett korrekt handhavande av systemet, och att det sker kontroller av att dessa regelverk och instruktioner efterlevs, för att ett system ska vara säkert. Genom upplysning bygger vi säkerhet.
Yves Gyldén, en känd svensk kryptolog, och något av en pionjär inom området i Sverige på 30-talet, drog liknande slutsatser som Kerckhoffs efter att ha studerat de olika chifferbyråernas forceringsförehavanden under världskriget. Han skriver bland annat:
Föga hjälpa manövrer, huru fältmässiga de än äro. De kunna aldrig uppkonstruera den själsspänning under vilken mången chiffrör försummar elementära försiktighetsåtgärder på grund av att chiffreringsproceduren är för invecklad eller för tidsödande.
Ska ett system ytterst fungera under krigsliknande eller på annat sätt ansträngda förhållande krävs att systemet är användarvänligt. Användaren har i allmänhet andra saker att uppehålla sig vid än kryptosystemet.
Utöver ovanstående är det givetvis helt centralt att det kryptologiska systemet, i vilket exempelvis kryptoalgoritmer ingår, är dimensionerat för att motstå den avsedda angriparen under hela den tid som ett skyddsbehov föreligger, och att systemet erbjuder rätt slags skydd.
Kryapp 9411 / PGAI, Bild: Tutus
När man som lekman tänker på kryptologiska system är det kanske främst sekretesskydd som kommer i åtanke — det vill säga system som skyddar uppgifters sekretess — men det finns många andra slags skydd som ett kryptologiskt system kan tillhandahålla. Några exempel är riktighetsskydd, skydd mot falsk signalering, återuppspelningsskydd, intrångsskydd och olika former av skydd mot trafikanalys. Tillgänglighetsaspekter måste också beaktas.
I fallet sekretesskydd är det särskilt svårt att dimensionera skyddet eftersom att uppgifter som krypteras med systemet då måste förbi omöjliga att forcera fram tills dess att sekretessen upphör.
Det vill säga: Om uppgifterna är hemliga i 50 år måste systemet förbli omöjligt att forcera 50 år efter att systemet har tagits ur drift och den sista uppgiften har sänts. Betraktar man den teknikutveckling som har skett under de senaste 50 åren och funderar över vad vi kommer befinna oss 50 år i framåt i tiden inser man vidden av det uppdragets svårighet. Lägg därtill att vår dimensionerande hotaktör är en statsaktör i form av främmande makts underrättelsetjänst.
Kryapp 5401 / MGDI, Bild: Sectra
Kryptologi, och särskilt sekretesskydd, är oförlåtande. I och med att en kryptotext sänds görs en utfästelse om att kryptotexten kommer att förbli omöjlig att forcera under hela den tidsperiod som ett behov av ett sekretesskydd föreligger. Det är omöjligt att i efterhand ångra sändningen. Man kan inte heller i efterhand förhindra sekretessförluster genom att då uppdatera systemet. En angripare som lyckas forcera ett system kommer att göra allt för att hemlighålla detta faktum. Därför måste systemet vara korrekt dimensionerat redan i utgångsläget.
För att kunna dimensionera system korrekt, och för att kunna möta nya attacker och brister som uppdagas redan i ett tidigt stadie, bedriver vi en omfattande omvärldsbevakning. Inom ramen för den följer vi exempelvis den akademiska forskningen. Vi bedriver också egen forskning och vi deltar i olika typer av forskningsprojekt och samarbeten. För närvarande forskar jag själv på hur kvantdatorer — det vill säga datorer som utnyttjar kvantmekaniska fenomen för att utföra beräkningar — i framtiden kommer kunna användas för att utföra kryptoanalys. Syftet är att bättre förstår hur vi idag ska agera för att på lång sikt skydda svenska intressen.
En annan sak som utmärker säkra kryptosystem är att de redan från början har konstruerats på ett sådant sätt att det är enkelt att formellt påvisa egenskaper i systemet och att verifiera dess säkerhetskritiska funktionalitet.
Därför är vi delaktiga i hela systemets livscykel från kravställning av systemet, till utveckling och design, till implementation, serieproduktion, verifiering, godkännande och driftsättning, till förvaltning och slutlig avveckling. I varje delsteg säkerställer vi att systemet utformas på ett sådant sätt att den slutliga produkten kommer kunna möta våra säkerhetskrav.
Kryapp 9301 / MGEI, Bild: Advenica
Under hela livscykeln måste sekretessen som omgärdar våra kryptosystem tryggas. Härutöver måste systemens riktighet skyddas. Angripare får inte ges möjlighet att manipulera våra kryptosystem.
När ett kryptosystem väl har tagits i drift måste det försörjas med kryptonycklar. En viktig del av vår verksamhet utgörs därför av vår nationella nyckelproduktion och nyckeldistribution. Den utformas så att den ska kunna fungera i krig.
Jag tror att jag vågar påstå att det främst är ovanstående faktorer som är centrala för att ett system ska kunna sägas vara säkert. Det är svårt och resurskrävande att ta fram säkra kryptosystem och att säkerställa att de handhas på rätt sätt.
Det är därför som vi har ett starkt mandat, och det är därför som kryptosystem som ska användas för att skydda hemliga uppgifter som rör rikets säkerhet först måste godkännas av oss.
Det är också därför som vi inte bara tar fram system för Försvarsmakten utan för hela Totalförsvaret. Våra system används civilt för att skydda exempelvis samhällskritisk infrastruktur.
Bild: Alexander Karlsson/Combat Camera/Försvarsmakten
Vad har du för tips till den som funderar över sitt yrkesval och som vill bli kryptolog?
Den som vill bli kryptolog bör i första hand ha ett brinnande intresse för kryptologiområdet och såväl en praktisk som teoretisk fallenhet för området.
KRYAPP 3021, Bild: FMV
Det är viktigt att personen ifråga inser hur oförlåtande kryptologiområdet är, och att hon eller han kan klara av att fullständigt genomlysa ett system och analysera alla angreppssätt mot detsamma. Ihärdighet, disciplin, och en förmåga att se problem från olika infallsvinklar är viktiga egenskaper hos en bra kryptolog. Härutöver krävs givetvis goda kunskaper i kryptologi.
För att återigen citera Gyldéns uppfordrande utläggningar:
Plikttrogenhet och disciplin är en god grund att bygga på. Den är otillräcklig inom en chiffertjänst. Kunskap och intelligens utgöra en långt säkrare grund.
Personer som söker tjänst hos oss som kryptolog bör ha en civilingenjörsutbildning eller masterutbildning inom ett tekniskt eller matematiskt ämne med fokus på problemlösning, eller motsvarande kunskaper förvärvade på annat sätt. En forskarutbildning såsom en doktors- eller licentiatexamen är meriterande. Men utbildningen är inte allt; man behöver en förmåga att faktiskt få saker gjorda i praktiken, och man måste kunna kommunicera med andra människor såväl i tal som i skrift. Man måste förstå dagens teknik och hur moderna kryptoapparater och kryptosystem fungerar tekniskt.
Kryptologiområdet är fortfarande ett smalt område, särskilt på den nivå där vi verkar. Därför måste den som vill bli kryptolog vara beredd att satsa ganska högt. Å andra sidan finns det få kryptologer i landet, och därmed få personer för oss att anställa. Vi söker nu både etablerade kryptologer och blivande kryptologer som får en del av sin utbildning här hos oss.
Härutöver söker vi andra typer av kompetenser, såsom IT-säkerhetsexperter och experter på mjuk- och hårdvara.
För att bygga säkra kryptosystem krävs inte bara kryptologer.
Vilka tekniska utmaningar ser du att ni ställs inför i framtiden?
Vi ser att komplexiteten i vår uppgift ständigt ökar. Utvecklingen har gått från enbart handchiffer, till mekaniska och sedermera elektromekaniska kryptoapparater, till enklare elektroniska apparater, fram till dagens jämförelsevis mycket komplexa kryptosystem. Än ser vi inget tecken på att komplexitetstillväxten avmattas. Tvärtom. För att kunna granska och konstruera kryptoapparater samt följa omvärldsutvecklingen krävs en hel uppsjö olika mycket djupa tekniska kompetenser och betydande resurser. Det är viktigt att säkerställa tillgången på kompetens och resurser inför framtiden.
KRYPTOTELEFON 710, Bild: FMV
Livstiden för kryptoapparaterna som vi tar fram förkortas i och med den snabba teknikutvecklingen. Samtidigt förlängs utvecklingstiderna. Det gäller därför att satsa rätt från början och att ta fram apparater med en lång livslängd och ett brett användningsområde.
Det finns också utmaningar som är kopplade till globaliseringen och till att vi gradvis håller på att förlora kapaciteten att producera avancerad teknisk utrustning såsom kryptoapparater inom landet. När vi tillverkar kryptoapparater är sekretessen kring systemen och inte minst riktigheten av yttersta vikt. Förr i tiden kunde man inspektera en mekanisk hjulverksmaskin och se att den fungerade enligt specifikationen. Det är inte längre möjligt med dagens system. Av dessa skäl är det viktigt att vi har erforderlig kontroll över produktionen.
Det är en utmaning inför framtiden.
Om du är intresserad av att jobba på MUST så kan du se lediga jobb på Försvarsmaktens hemsida.
Militära underrättelse- och säkerhetstjänsten (MUST) inom Försvarsmakten publicerade precis sin årsöversikt för 2016. Och precis som FRA:s årsredovisning för 2016 så skriver MUST om ökade cyberoperationer.
Och om påverkansoperationer så skriver MUST följande:
”Påverkansoperationer har fått förnyad aktualitet i samband med presidentvalet i USA 2016 men Ryssland har, liksom Sovjetunionen, tillämpat påverkansoperationer som ett utrikespolitiskt verktyg under många år.
Detta sker inte minst genom de ryska underrättelsetjänsterna, som förutom att inhämta underrättelser också har till uppgift att verka för att öka det ryska politiska inflytandet utomlands och aktivt motverka utvecklingar som den ryska statsledningen anser vara negativa.
Att inhämta information som kan användas för att misskreditera politiska motståndare är ett väl etablerat modus operandi, där Internet erbjudit nya sätt att både komma över och sprida sådan information. I detta sammanhang ges också stöd till aktörer som för Rysslands talan i andra länder. En förutsättning för att kunna bedriva effektiva påverkansoperationer mot extern och intern opposition är god direkt eller indirekt kontroll över massmedier.”
Annat som är intressant som förekommer i årsöversikten är den obligatoriska IT-incidentrapporteringen som bidrar till att höja säkerhetsskyddet. Andra myndigheter rapporterar till MSB men myndigheter som ligger under Försvarsdepartementet samt Fortifikationsverket och Försvarshögskolan rapporterar till Försvarsmakten.
MUST fick även i uppdrag av MSB ett reda ut vilka produkter som kan bli godkända för att använda som Krypto för skyddsvärda uppgifter (KSU).
Martin på avdelningen för krypto och IT-säkerhet vid MUST som var granskningskoordinator i projektet berättar att de upptäckte luckor inom några områden i det omfattande underlaget som de hade att tillgå från tidigare undersökningar.
Detta gjorde att MUST behövde göra egna undersökningar och intervjua respektive leverantör. Leverantörernas design av de tekniska lösningarna överensstämde inte alltid med hur MUST ansåg att de borde ha gjort i vissa avseenden. Under intervjuerna med leverantörerna fick MUST däremot förståelse för kompromisser de behövt göra. Förklaringarna låg oftast i linje med hur leverantörerna uppfattade slutanvändarnas behov och säkerhetskrav.
FRA släppte precis sin årsrapport för föregående år och trycker detta år på att antalet cyberattacker ökar. Genom sin signalspaning så ser myndigheten att en kvalificerad angripare nästan alltid kan hacka sig in i målet, det är bara en fråga om tid.
Förutom cyberattacker mot kritisk infrastruktur så riktar sig även främmande makt mot följande mål:
Försvarsförmåga och försvarsplanering
Svenska säkerhetspolitiska avsikter
Statshemligheter
Industrihemligheter
Forskningsresultat
En annan viktig slutsats som FRA drar är att med hjälp av signalspaning så kan vi lära oss om angriparnas angreppssätt, mål och verktyg. Detta kan sedan omsättas för att bygga relevanta skyddsåtgärder för att skydda svenska myndigheter och statligt ägda bolag.
Även framgår i årsrapporten att TDV (tekniska detekterings- och varningssystem) som vi skrivit om tidigare fortsätter att utvecklas. TDV är ett avancerat antivirus-system som tittar på signaturer i signalspaningen. Under 2016 har ytterligare ett antal verksamheter installerat systemet.
Begreppet cyberförsvar har även definierats tillsammans med Försvarsmakten enligt följande:
CYBERFÖRSVAR: En nations samlade förmågor och åtgärder till skydd för dess kritiska cyberinfrastruktur som syftar till att säkerställa kritiska samhällsfunktioner samt förmågan att försvara sig mot kvalificerade angrepp.
