Taggat med: TDV

Cyberförsvarsdagen 2020 förmiddag

Detta är en sammanfattning av förmiddagens pass under Cyberförsvarsdagen 2020. Du kan läsa om eftermiddagen här

Inledning

Dagen började med att två generaldirektörer, en generalsekreterare och chefen för Försvarsmaktens LEDS CIO pratade om vad som är normalläge och vad som är gråzon.

Enligt FRA så befinner vi redan i en gråzon och detta ser FRA genom sin signalspaning såsom TDV-systemet. Angriparna är ute efter våra innovationer och konkurrenskraft instämmer Robert Limmergård.

De stora resurserna har statsunderstödda aktörer men enskilda små hacker-aktörer

Cybersäkerhetscentrets viktigaste uppgift enligt paneldeltagarna:

  • Björn Lyrrvall – Genom samverkan kan vi bättre skydda våra system
  • Dan Eliasson – Vi jobbar nära med andra myndigheterna och poolar våra resurser och får då bättre detekteringsförmåga
  • Robert Limmergård – Viktigt att vi inte häller ner informationen i ett stort svart hål.
  • Lennart Kvannbäcken – Viktigt att det finns personal i form av kött och blod och att samverkan blir mer än bara papper.

Annika Avén frågar panelen om bra exempel på samverkan mellan myndigheter och civila samhällen. Några exempel på bra samverkan som lyfts upp är FIDI-grupperningarna, arbetet via DIGG samt att bara denna dag är ett bra exempel. NSIT lyfts också upp som en bra gruppering, mycket av infrastrukturen ägs av den privata sidan.

Paneldebatt: Hotbild – Ansvar – Övningar

Moderator Martin Waern, Scandinavian Risk Solutions (SRS)

Lägesbild och hotbild

Inledningstal inför passet är Jan Berg som är chef för TDV på FRA berättar om hur hotbilden förändrats på 20 år samt att det finns runt hundratalet aktörer i dagsläget.

Hur mycket resurser behövs det för att bedriva denna typ av cyberattacker? Det finns otroligt många verktyg som open-source men även kommersiella verktyg.

Vad är det för aktörer som håller på med datorintrång? Grupperingar som är löst eller hårt knutna till olika stater, drivs av ekonomiska och politiska motiv. Agendan spelgas i den underrättelseinhämtning som genomförs.

Intressant kreativt scenario som Jan tar upp är intrånget mot den svenska dopingorganisationen. Man såg det nästan komma eftersom samma aktör troligtvis genomfört attacker mot WADA, World Anti-Doping Agency.

CloudHopper (APT10) samt Operation Soft cell är två intressanta operationer som visar på när antagonister går på tjänsteleverantörer.

Det tar i snitt 200 dagar innan ett intrång upptäcks, vad får det för konsekvenser för Er frågar sig Jan Berg på FRA. Ha ett långsiktigt arbete för det har aktörerna.

Panelsamtal: Signalskydd och hotbilden – är vi på rätt väg?

Panelen består av följande personer:

  • Jan Berg, FRA
  • Jens Bohlin, Tutus
  • Roger Forsberg, MSB
  • Peter Eidegren, Försvarsmakten

Många affärsdrivna verksamheter tänker inte först och främst på hotbilden när man försöker vara kreativa.

Nya signalskyddsföreskrifter finns nu på plats och har tidigare bara gällt för myndigheter. Andra verksamheter har tidigare använt signalskydd men inte varit reglerade av föreskrifterna. Men nuförtiden omfattar instruktioner och föreskrifter många fler organisationer.

Det finns bra och tydliga rutiner för Sveriges signalskydd, och det skapar förtroende berättar Peter Eidegren. Vad som också är nytt är att MSB som tidigare haft ansvaret för tilldelning av signalskydd så erbjuds nuförtiden enbart nyttjanderätt (en typ av lån).

Roger Forsberg berättar att MSB har möjlighet att besluta vilka som har tillåtelse att nyttja signalskydd. Man tecknar då en överenskommelse med MSB, signalskydd är av Svenskt nationellt säkerhetsintresse.

Man har även en plan framöver och anskaffar system samt försöker lägga dem på hyllan, men ibland kan de ta upp till ett år att få kryptosystem.

Jens Bohlin berättar om industrins utmaningar med att ta fram kryptosystem. Det är viktigt att jobba agilt och parallellt så inte utvärderingen av kryptosystem tar för lång tid och systemen är föråldrade när de väl kommer ut.

Behövs det verkligen fyra myndigheter som är ansvariga för krypto i Sverige frågar sig Martin? Det finns givetvis effektivitetsvinster säger Jens.

Roger avlutar paneldebatten och berättar om att dagens kryptosystem kan lösa många av organisationernas behov upp till nivå kvalificerat hemlig. Det gäller att vara kreativ och mycket går att köra över IP såsom IP-telefoni samt video.

Panelsamtal: Hur håller vi igång vårt fungerande samhälle?

Moderator: Torsten Bernström, CGI

Panelen består av följande deltagare:

  • Överste Patrik Ahlgren, Försvarsmakten
  • Mattias Wallén, SRS
  • Martin Allard, 4C Strategies

Martin berättar angriparen angriper oss där vi är som svagast och tar upp fel faktorer för fungerande försvar:

  • Försvarsmakt
  • Förtroende
  • Försörjningsberedskap
  • Fortifikation
  • Förfogande

När man arbetar med en utredning så har man ett direktiv att utgå ifrån. Och vill man annat får man prata med departementet.

Patrik berättar om vad en kvalificerad aktör kan ställa till med i samhället och att det inte går att åstadkomma 100%-ig säkerhet. Man måste räkna med bortfall. Ett exempel är att det måste finnas alternativa metoder för betalningar.

Alla i Sverige har ett ansvar att bidra till försvarsviljan anser Patrik. Ett robust samhälle går inte att bygga med den moderna tekniken, det är en utopi.

Svagheterna finns inte alltid där man tror och det ser ut som en lasagne och inte som stuprör säger Mattias. Lyfter upp dolda beroenden såsom OpenSSL samt sårbarheten Heartbleed.

En bra grundsäkerhet är att tjänsteleverantörerna klarar av de kända säkerhetshoten berättar Patrik.

Finns det en idé om K-företag 2.0, frågar moderatorn Torsten till Martin. Det finns flera skäl till att den inte går att införa systemet såsom upphandlingsregler. Regler runt konkurrens och EU är några delar som gör det svårare. Vilka företag ska omfattas om krigsplaceringar frågar Martin publiken.

Gemensamma privat-offentliga övningar för ett stärkt cyberförsvar

Gemensamma privat-offentliga övningar för ett stärkt cyberförsvar

Moderator: Torsten Bernström, CGI

Paneldeltagare:

  • David Olgart, Försvarsmakten
  • Erik Biverot, lagledare LockedShields
  • Daniel Vikström, Afry

David börjar med att berätta om övningen SafeCyber och Försvarsmaktens beroenden av olika företag och organisationer. Övning leder till att stärker cyberförsvarsförmågan.

  • Teknisk incidenthantering och rapportering. Kopplade mot diskussionsövningen
  • Riskhantering och beslutsfattande
  • Genomförde forskning. Hur genomför man effektivt incidenthantering?
  • Forskning på lägesuppfattning.

De mjuka delarna var också viktiga och att folk lärde känna varandra och den viktigaste erfarenheten var att fler ville köra övningar.

Erik berättar om CCDCOE och övningen Locked Shields samt att det var 23 tävlande lag från olika nationer.

Sverige hamnade på tredje plats under 2019 och det är otroligt bra då enbart Tjeckien och Frankrike hamnade före. Hela miljön är öppen och inget hemligt hanteras.

Hur organiserar sig ett tillfälligt sammansatt team är intressant forskning nämner Daniel och något som Gazmend Huskaj forskar på.

Moderatorn Torsten frågar panelen hur kunskapen sprids från övningar: David tipsar om FOI:s rapport som går igenom samt nämner MSB:s handbok för övningar.

Man måste vara ödmjuk säger Erik och detta är en kompetensdriven faktor, mycket hänger på vilka individer vi får tag på. Informella kunskapsöverföringen är också viktig säger Erik.

Nationellt Cybersäkerhetscenter – Storbritannien

Moderator: Richard Oehme, Knowit

En talare från brittiska UK Nation Cyber Security Center, NCSC berättar om Storbritanniens satsning och vad de har lärt sig om de senaste tre åren.

De försöker göra det enklare för företag och privatpersoner att använda Internet säkert. De försöker också bli mer transparenta och är en del av GCHQ, FRA:s motsvarighet i Storbritannien. Om en attack mot elnätet skulle inträffa så skulle det vara till NCSC som folk skulle vända sig till.

De har projekt just nu för att säkra upp smarta elnät och kritisk infrastruktur inom området smarta städer. Annat de har utgivit är en broschyr för småföretagare om cybersäkerhet.

En annan lyckad satsning som nämns är Exercise in a box som gör det enkelt för små företag och organisationer att öva. Allt är givetvis gratis som NCSC gör:

Exercise in a Box is an online tool from the NCSC which helps organisations test and practise their response to a cyber attack. It is completely free and you don’t have to be an expert to use it.

En av det mest intressanta sakerna jag tyckte hon nämnde var automatiskt nedtagning av phishing-webbsajter samt möjlighet att stoppa andra attacker automatiskt, går under namnet Active Cyber Defence (ACD).

Säker rekursiv DNS som de utvecklat tillsammans med civila sektorn som blockerar osäkra sajter (PDNS).

Ett tydligt mandat och en budget var två av framgångsfaktorerna för det brittiska cybersäkerhetscentret men även att de är samlokaliserade med GCHQ.

FRA årsrapport 2018

Myndigheten FRA har precis släppt sin årsrapport för verksamhetsåret 2018 och jag har läst den. Rapporten trycker mycket på hur FRA medverkar till att höja den nationella säkerheten när det gäller cyberförsvar. Även har fokus inom myndigheten legat på påverkansoperationer runt valet.

Statliga cyberattacker pågår ständigt och ökar

FRA årsrapport 2018

Fler myndigheter och statligt ägda företag har installerat det tekniska detektionssystemet TDV och en ny ändring som FRA jobbar på är att även ha möjlighet att avbryta pågående attacker. Rapporten pekar på att TDV har under året lyckats upptäcka flertalet avancerade intrångsförsök mot svenska mål.

Bli månadsgivare och stöd mitt bloggande via Patreon >

Ett nytt signalspaningsfartyg är under uppbyggnad och byggs i Polen av varvet Nauta, detta nya fartyg kommer att ersätta HMS Orion. Detta nya fartyg kommer även ha en ny teknikplattform som parallellt utvecklas och införskaffas.

Att främmande stater angriper Sverige och kartlägger totalförsvaret samt identifierar samhällets sårbarheter är något som framgår i rapporten. Även framgår det att spioneri där forskningsresultat, utvecklingsprojekt och patentansökningar används för att hitta genvägar av företag i andra länder.

Tittar vi på hur angrepp kan se ut där angriparen vill få fotfäste i nätverk under en längre tid och vid ett senare tillfälle vill påverka samhällsviktiga funktioner skriver FRA enligt nedan citat. Detta kräver dock att det otillbörliga tillträdet kan överleva under flera år och min bedömning är att supply chain (inköpskedjan) då påverkas med hjälp av exempelvis hårdvaruimplantat.

Att skaffa sig otillbörligt tillträde till de nätverk som styr samhällsviktig verksamhet kan också göras med målet att vid ett senare tillfälle störa eller slå ut samhällsviktiga funktioner.

FRA årsrapport 2018

FRA årsrapport 2018 kan du ladda hem här:

HMS Orion A201. Bild CC BY Wikipedia

FRA:s årsrapport 2017

Försvarets radioanstalt (FRA) släppte i fredags årsrapporten för 2017. Som vanligt så kan vi läsa om intressanta saker som hänt under det gångna året. Extra kul är också att myndigheten fyllt 75 år.

Jag har sammanfattat det jag tycker är mest intressant inom cyberområdet som framgår i årsrapporten:

  • Fler installationer av det tekniska detekterings- och varningssystem (TDV) har genomförts
  • FRA spelade en viktig del i att upptäcka Cloud Hopper. Även så släpptes ett PM i samband med detta, här kan du läsa det PM:et
  • Främmande underrättelseverksamhet utgörs i dag av avancerade IT-angrepp
  • Hybridhot och påverkansoperationer (PSYOPS) har blivit en risk som vi i Sverige inte kan bortse ifrån
  • När FRA genomför IT-säkerhetsanalyser för att hitta sårbarheter så är rapporterade sårbarheter kvar vid uppföljningar. Därför kommer FRA att samarbeta mer med Säkerhetspolisen för att ge ett mer kontinuerligt och operativt stöd

FRA har teknik och kunskap för att upptäcka och följa skadlig kod genom cyberrymden från de mest avancerade angriparna.

Skärmdump från årsrapporten

Här kan du ladda hem årsrapporten i sin helhet:

En annan rolig sak är att FRA numera kör med DNSSEC. Dock fortfarande många myndigheter som ej kör DNSSEC enligt myndighetermeddnssec.se.

Tidigare årsrapporter jag har skrivit om:

FRA årsredovisning 2016: Sverige är utsatt för cyberangrepp

FRA årsrapport 2016

FRA släppte precis sin årsrapport för föregående år och trycker detta år på att antalet cyberattacker ökar. Genom sin signalspaning så ser myndigheten att en kvalificerad angripare nästan alltid kan hacka sig in i målet, det är bara en fråga om tid.

Förutom cyberattacker mot kritisk infrastruktur så riktar sig även främmande makt mot följande mål:

  • Försvarsförmåga och försvarsplanering
  • Svenska säkerhetspolitiska avsikter
  • Statshemligheter
  • Industrihemligheter
  • Forskningsresultat

En annan viktig slutsats som FRA drar är att med hjälp av signalspaning så kan vi lära oss om angriparnas angreppssätt, mål och verktyg. Detta kan sedan omsättas för att bygga relevanta skyddsåtgärder för att skydda svenska myndigheter och statligt ägda bolag.

Även framgår i årsrapporten att TDV (tekniska detekterings- och varningssystem) som vi skrivit om tidigare fortsätter att utvecklas. TDV är ett avancerat antivirus-system som tittar på signaturer i signalspaningen. Under 2016 har ytterligare ett antal verksamheter installerat systemet.

Begreppet cyberförsvar har även definierats tillsammans med Försvarsmakten enligt följande:

CYBERFÖRSVAR: En nations samlade förmågor och åtgärder till skydd för dess kritiska cyberinfrastruktur som syftar till att säkerställa kritiska samhällsfunktioner samt förmågan att försvara sig mot kvalificerade angrepp.

Här kan du ladda hem årsrapporten i sin helhet:

Ny status gällande samhällets informationssäkerhet

För några år sedan släpptes nationella handlingsplanen för samhällets informationssäkerhet av Samverkansgruppen för informationssäkerhet
(SAMFI), det vill säga Försvarets materielverk (FMV), Försvarets radioanstalt (FRA), Försvarsmakten, Post- och telestyrelsen (PTS) samt Säkerhetspolisen/Rikskriminalpolisen.

Syftet med handlingsplanen är att genomföra central aktiviteter för att öka samhällets informationssäkerhet och att ge stöd till viktiga samhällsaktörer ‒ myndigheter, landsting och kommuner men också privata leverantörer av nät- och driftstjänster ‒ för att de ska kunna förbättra sin informationssäkerhet. Jag kan glädjande konstatera att de flesta åtgärder nu är genomförda, vilket känns bra inför den avslutande delen av arbetet som sker under nästa år, säger Richard Oehme, chef för verksamheten för samhällets informations- och cybersäkerhet, MSB.

Planen innehöll ett trettiotal olika förslag på åtgärder för att höja den nationella informationssäkerheten och några av förslagen är:

  • Utveckla ett kryptogranskningsregelverk för kommersiella produkter
  • Ökad säkerhet i industriella informations- och styrsystem (SCADA)
  • Fortsätta utveckla stöd för offentliga och privata organisationers
    informationssäkerhetsarbete
  • Utlysning av ramforskningsprogram kring informationssäkerhet
  • Utreda samhällets utbildnings- och kompetensbehov inom informationssäkerhetsområdet
  • Ökad samverkan för att förebygga och hantera allvarliga it-incidenter
  • Planera, genomföra och utvärdera informationssäkerhetsövningar
  • Förebyggande åtgärder för att öka säkerheten i de elektroniska kommunikationerna

Som ett resultat av ovan förslag är ett framtagande av ett krypto för skyddsvärda uppgifter (KSU) samt SGSI som är Swedish Government Secure Intranet. Delvis saxat från rapporten som släpptes idag (hittas längst ner):

Swedish Government Secure Intranet (SGSI)

Swedish Government Secure Intranet (SGSI) är ett kommunikationsnätverk som ger säker kommunikation mellan myndigheter i Sverige och i Europa. SGSI är skilt från internet och trafiken är krypterad, samt att SGSI är utformat för att klara höga krav på tillgänglighet och driftsäkerhet.

Myndigheter som vill kommunicera med EU-administrationen eller med en annan medlemsstat genom sTESTA (secure Trans European Services for Telematics between Administrations, vilket är ett säkert nät mellan EU:s medlemsstater och EU:s olika organ) måste vara anslutna till SGSI. SGSI är Sveriges enda nätverk med koppling till sTESTA och uppfyller EU-rådets och Kommissionens föreskrifter för hantering av (klassificerad?) information.

SGSI

Inom Sverige använder myndigheter SGSI som ett säkert nätverk för utbyte av känslig information och minskar därmed risker kopplat till att skicka information över internet. SGSI används bland annat för att få åtkomst till olika databaser hos de olika anslutna myndigheterna och så finns en tjänst för videkonferens inom SGSI.

Nationellt evalueringslaboratorium

FMVRapporten berättar även att FMV håller på att upprätta ett nationellt evalueringslaboratorium för att analysera fysiska attacker mot information i datorutrustning. Även i arbetet med detta håller en rapport att färdigställas och FMV/CSEC har i samverkan med FRA och Försvarsmakten besökt
Ångström Microstructure Laboratory vid Uppsala universitet.

Rapporten, när den blir klar under Q1 kommer den att innehålla:

  • Exempel på scenario där fysiska attacker genomförs
  • Exempel på hur attacker genomförs.
  • Exempel på olika former av skydd mot fysiska attacker.
  • Verktyg som används för att genomföra attacker
  • Internationellt arbete inom området
  • Samverkan inom Europa för att certifiera produkter, SOGIS-MRA
  • Krav på en certifieringsordning för hårdvaruevaluering
  • Krav evalueringslaboratorium, inklusive personal, utrustning, utbildning, lokaler, datorutrustning och nätverk
  • Möjlig väg för att etablera en certifieringsordning för hårdvaruevaluering

Tekniska detekterings- och varningssystem (TDV)

FRAFRA fick i november 2011 ett regeringsuppdrag  att ta fram en pilotversion av TDV som har testats hos en myndighet (regeringsuppdraget redovisades i december 2012). TDV är tänkt som ett extra skydd för de skyddsvärda funktionerna i samhället.

Myndigheten anger att det som är avgörande för systemets funktion är de kvalificerade detekteringsverktyg och signaturer som används för att upptäcka IT-angreppen. Signaturerna skapas med hjälp av kunskap från FRA:s uppdrag både på informationssäkerhets- och signalspaningsområdet.

Pilotprojektet har visat att systemet fungerar genom att avancerad skadlig kod som sannolikt härrör sig från kvalificerade angripare har upptäckts.

Statusrapporten

Här kan du ladda hem rapporten från SAMFI-myndigheterna om samhällets informationssäkerhet (PDF) som släpptes idag:

SAMFI plan

FRA årsrapport 2013

För några veckor sedan så släpptes FRA:s årsrapport för 2013. Den innehåller sammanfattningsvis några inledande ord från nya generaldirektören Dag Hartelius där han bl.a. nämner Edward Snowden samt att frågan om underrättelseinhämtning varit aktuell inom Europaparlamentet.

Rapporten uppger att myndigheten är uppdelad i fyra avdelningar:

  • Avdelningen för signalunderrättelser
  • Avdelningen för cyberverksamhet
  • Avdelningen för teknisk utveckling
  • Avdelningen för verksamhetsstöd

Cyberverksamhetsavdelningen är helt ny och uppges att leverera
direkt och indirekt skydd mot kvalificerade IT-angrepp till de mest skyddsvärda
svenska samhällsfunktionerna.

FRA har genomfört IT-säkerhetsanalyser hos både nya och befintliga
uppdragsgivare och har efter begäran genomfört dessa analyser vid elva olika statliga myndigheter och statligt ägda bolag.

När det gäller kryptering så har FRA tilldelat ett antal civila myndigheter och organisationer säkra kryptografiska funktioner där man stod för leverans av mtrl, kryptonycklar samt certifikat. Även så har FRA en kryptoverkstad, kryptolager och stödjer FMV vid utveckling av nya krypton.

Övrigt så har försöksverksamhet med TDV (tekniska detekterings- och varningssystem) bedrivits i liten skala. Även så har man genomfört en utbyggnad av beräkningskraften för kryptoforcering.

Årsrapporten avslutas med vanliga frågor samt svar på dessa.

Här kan du ladda hem rapporten (PDF):

FRA Årsrapport 2013