De 10 største sikkerhetsutfordringene i 2022
Datatrusler står formelig i kø. Fra 2019 til 2020 er nettangrepene tredoblet. Tall for 2021 foreligger ikke ennå. Tidligere var skurkene ute etter å se hva de kunne få til, hvor langt virus kunne spre seg, og hva de klarte ødelegge. Dagens angripere er mer sofistikerte og har ofte spesifikke økonomiske og strategiske mål. De har også langt flere ressurser, ettersom de kan være finansiert av nasjonalstater eller organisert kriminalitet. Antivirusløsninger som ser etter signaturer, gir ikke samme beskyttelse som før. Profesjonelle aktører har for lengst utviklet metoder som trenger gjennom et signaturbasert forsvar. Samtidig skjønner enkelte virksomheter ikke at de ikke forstår cybersikkerhet.
I fjoråret hadde vi avisoverskrifter som: Stortinget angrepet for annen gang. 30 000 dokumenter på avveie i Østre Toten. Nortura utsatt for angrep som stanser mottak av dyr. Nordic Choice hacket. Sentrale systemer hos Amedia satt ut av drift. Nasjonal sikkerhetsmyndighet (NSM) anslår at over 80 prosent av hendelsene kunne vært unngått med grunnleggende sikkerhetstiltak. Selskapet Gartner fastslår at virksomheter flest vil slite med sikkerhetsrisikoer i skyen fremover, mens i 2025 vil 99 prosent av sikkerhetsbruddene være kundens feil. Det gjør det viktig å forstå truslene du må sikre organisasjonen din mot. Her er våre spådommer for 2022.
1. Fjernarbeid og hjemmekontor
Fjernarbeid var uvanlig før pandemien. Nå er det den nye normalen. Og den kommer sannsynligvis til å fortsette i en eller annen hybrid form også når smittetrykket letter, med ansatte som altererer mellom kontor og hjem. Med den brå nedstengningen 12. mars 2020 ble virksomheter tvunget til å innføre eksterne arbeidsformer over natten uten å være forberedt på det. Mange distribuerte nye systemer, maskinvare og programvare på rekordtid. Men i prosessen overså de cybersikkerhet og unnlot å innlemme den i eksisterende sikkerhetstiltak og -overvåking.
Fra før av hadde vi en trend med Bring your own Device (BYOD) eller Ta med din egen enhet. Dette fører til andre mulige smutthull, med hjemmemaskiner som får adgang til følsomme bedriftsdata. Med en ekstern arbeidsstyrke og BYOD står antakelig en rekke organisasjoner fortsatt overfor et gigantisk opprydningsprosjekt. Bedriftsnettverket er ikke lenger sikkerhetsperimeteren, omkretsen som omslutter og beskytter virksomheten. Den nye perimeteren er identiteten – inkludert brukere, enheter og apper – med sikker autentisering og autorisering over et fiendtlig og åpent Internett.
Modellen for sikkerhet blir nå Null tillit eller Zero Trust: Ikke stol på noe. Bruk prinsippet om minste privilegium. Gå utfra at du allerede er utsatt for et sikkerhetsbrudd. Det vil ta tid før denne innsikten og holdningen for alvor fester seg. I praksis innebærer det blant annet: Hver pålogging må styrkes med tofaktor-godkjenning, også kjent som multifaktor-autentisering (MFA). Brukernes enheter må være registrert i bedriften; andre får ikke tilgang. For mobilenheter med iOS og Android kan man gjøre unntak ved å konfigurere at bare bedriftsapper skal ha adgang. Her har man muligheten til å fjernslette apper og bedriftsdata uten at det går utover privat informasjon.
2. Løsepengevirus og utpressing
Markedet for løsepengevirus har neppe nådd sitt metningspunkt. I første halvår av 2021 opplevde vi på verdensbasis en økning på rundt 93 prosent. Virusene krypterer filer og dokumenter i bedriftens systemer, noe som forhindrer datatilgang og fører til kostbar nedetid. Angriperne krever løsepenger i kryptovaluta for å dekryptere filene og gjøre dem tilgjengelige. Du kan betale; skurkene lever som regel opp til forretningsmodellen. Men stadig flere virksomheter tar heller i bruk velprøvde og godt dokumenterte rutiner for sikkerhetskopiering og gjenoppretting – noen andre alternativer finnes egentlig ikke.
Angripere anvender to typer distribusjonsmekanismer: automatisert og målrettet. Den automatiserte mekanismen er ofte rettet mot små og mellomstore bedrifter (SMB), der forsvarslinjen ikke er sterk nok til å forhindre denne form for angrep. Her kan faktisk oppdaterte virusdefinisjoner og en grundig skanning av alle e-postvedlegg i et «detonasjonskammer» gi beskyttelse. På den annen side finnes det ferdige kitt på Det mørke nettet som gjør det enkelt å programmere nye ukjent løsepengevirus. Mange av de store angrepene forsvant like fort som de kom, lenge før viruset ble sekvensert.
Vanskeligere er det å gradere seg mot målrettede angrep. Her er det også snakk om «menneske-plantede løsepengevirus». Viruset er tilpasset bestemte bransjer. E-post er fortsatt en mulig angrepsmetode, men nå fra personer som ser ut som helt tilforlatelige avsendere. Mer alminnelig er det imidlertid med angripere som kommer inn i bedriftsnettverket, utforsker, ligger lavt, henter ut data og starter kryptering. Det ser ut til at det er det som skjedde ved Amedia-angrepet, som fremstår som klassisk økonomisk motivert. En kjent ikke-patchet sårbarhet i Windows Server kan ha blitt utnyttet. Her kunne et program som Defender for Identity av avdekket innbruddet.
Angrep med løsepengevirus er en lukrativ geskjeft som rammer alle bransjer, med offentlige organer, helsevesen, utdanning og banker på toppen. Med fremveksten av nye hackergrupper som Haron og BlackMatter vil stadig flere nettkriminelle iverksette disse angrepene i 2022.
3. Nettfiske og sosial manipulasjon
Nettfiskerne har lært av de store aktørene innen skytjenester som tilbyr infrastruktur, plattform og programvare som tjeneste. Det gjør det enkelt for ikke-kyndige aktører å sette i gang angrep. På Det mørke nettet finner man også Ransomware-as-a-Service, løsepengevirus som tjeneste. Phishing er hackersjargong for å fiske etter konfidensiell informasjon som passord, kredittkortnumre og sensitive bedriftsdata. Målet kan også være identitetstyveri. Dette er en form for elektronisk svindel som stadig øker i omfang.
En vanlig teknikk er å forfalske eller imitere avsenderen i phishing-e-posten, så kilden ser pålitelig ut. Mottakeren lures på den måten til å klikke på en kobling og oppgi påloggingsopplysninger, laste ned skadelig programvare eller svare på en melding med følsomt innhold. Menneskelige feil er fortsatt hovedårsaken til sikkerhetsbrudd fordi de fleste ansatte ikke har fått opplæring i cybersikkerhet. Det utnyttes av forbryterne med phishing-e-poster, sosial manipulering eller andre cyberangrep.
Generelle typer e-post-phishing plukkes opp av Exchange Online Protection. For mer avansert beskyttelse trenger du Defender for Office 365, som følger med Microsoft 365 Business Premium, som er vårt kjerneprodukt. For de målrettede formene som omtales som spydfiske og hvalfangst, er opplæring uunnværlig.
4. Angrep mot leverandørkjeder
En hovedårsak for den plutselige økningen i løsepengevirus er angrep mot leverandørkjeder. Teknikken innebærer å angripe målorganisasjoner og partnere, leverandører, kunder og alle andre i forsyningskjeden. Det begynner med at trusselaktører kompromitterer en enkelt organisasjon. Så beveger de seg oppover i kjeden ved å dra nytte av innarbeidet tillit og forholdet mellom partnere, leverandører for å utnytte andre miljøer. Det urovekkende er at antallet angrep av denne typen forventes å øke kraftig. En konsekvens er at det kan lamme leveranser.
5. Administrasjon av endepunkter kan bli et mareritt
Tingenes Internett (IoT) består av trådløse nettverk der enheter kommuniserer med hverandre og nettet. Det benyttes i smartklokker og andre kroppsnære duppedingser. Bruksområdene er nær sagt ubegrenset, med alt fra biler til kjøleskap. IoT kan anvendes innen mange ulike områder som for eksempel miljøovervåkning, transport, energi, varehandel og smarte hus. Utfordringen med denne sammenkoblingen er informasjonssikkerhet. Om en angriper får tilgang til kun én av IoT-enhetene, kan vedkommende bruke denne for å få kontroll over resten av nettverket og gjøre skade. Det er behov for sikre protokoller, krypteringsmekanismer og tilgangskontroll. Her forventes det at det oppstår sikkerhetshull som utnyttes.
6. Angripere vil fokusere mer på sikkerhetshull i skyen
Én konsekvens av pandemien og fjernarbeid med hjemmekontor er at virksomheter gikk raskere enn planlagt over til databehandling i skyen. Microsofts, Googles og Amazons skyplattformer i seg selv er godt sikret, men sikkerheten i skyen er et delt ansvar mellom leverandør og kunde. For mange virksomheter er miljøet uvant, og det kreves solide kunnskaper for å beskytte organisasjonen godt. Hvert sikkerhetshull i hver nyttelast vil bli sømfart og utnyttet av hackere. Det er store utfordringer knyttet til sårbarhetshåndtering, samsvar nettverks- og kjøretidssikkerhet. Derfor vil vi være vitne til flere skyangrep i 2022.
7. Nulldagssårbarheter
Nulldagssårbarheter er sikkerhetshull i program- og fastvare det ikke finnes noen feilretting for. I 2021 ble minst 66 av dem utnyttet i angrep, en fordobling i forhold til foregående år. Den mest omtalte i Norge var sårbarheter i nasjonalforsamlingens Exchange-servere som rammet flere tusen andre Exchange-organisasjoner internasjonalt. Brannmuren SonicWall ble hacket på samme måte og benyttet til å distribuere løsepengevirus. Tidligere kunne det ta uker og måneder før denne type angrep ble satt i verk og like lenge før hullene ble tettet igjen. Nå i nyåret er det naturlig å anta at nulldagssårbarheter kommer til å bli utnyttet raskere, samtidig som patcher kommer fortere.
8. Deepfakes vil få større utbrredelse
Deepfakes eller dypforfalskninger refererer til bruk av kunstig intelligens (KI) og maskinlæring (ML) for å lage falske bilder, lyd og video som ser legitime ut. De blir brukt for å underholde, men også til å svindle, spre falske nyheter og propaganda, samt til å påvirke valg. Trusselaktører benytter seg av teknologien for å lage forfalskede stemmer og opptak, særlig med tanke på sosial manipulasjon og angrep med løsepengevirus. I USA har det føderale politiet advart mot den økte bruke av syntetisk innhold. Med KI og ML, som skrider frem med stormskritt, vil vi høyst sannsynlig se mye mer av dette. Ikke helt uvanlig er å gjengi manipulerte tale- eller videosamtaler til daglige ledere for å frigjøre bedriftsmidler. Det virker så ekte at det kan føre til økonomiske gevinster for svindlerne.
9. Feilinformasjonskampanjer vil øke
Korona ble agnet cyberangripere hadde lengtet etter. Pandemien skapte fullstendig kaos, mens internasjonale organisasjoner og lokale myndigheter prøvde å gi fornuftig informasjon via nettsider og e-postmeldinger. Forbryterne tok dette som en gyllen mulighet til å sende phishing-e-poster om covid-19. De fleste e-postene utga seg for å være fra Verdens Helseorganisasjon (WHO) for å få ofrene til å klikke på ondsinnede koblinger. Det hører med til historien at Google i samme tidsrom blokkerte rundt 18 millioner phishing- og skadevarerelaterte e-poster daglig. Inn i nyåret har vi tatt med oss Omikron-varianten og vi vil høyst sannsynlig se at feilinformasjonskampanjene øker i enda større skala.
10. Cyberforsikring kan bli mer alminnelig
Cyberforsikring er en relativt ny type forsikring, som er ment å beskytte bedriften din mot dataangrep. Forsikringen kan dekke nødhjelp, utgifter til å rekonstruere data, driftstap og utpressing. Med dagens strenge krav til personvern finnes det tilbud om bistand ved idømt erstatningsansvar. Markedet har begynt å blomstre i USA. Men for Norge tror jeg at forsikringsselskaper i første omgang vil nøye seg med å se det an. Det er fryktelig mange usikkerhetsmomenter knyttet til denne form for forsikring. Detektivarbeidet med å avdekke forsikringssvindel kan være mildest talt utfordrende.
Avsluttende ord
Ofte sies det at sluttbrukere er det svakeste ledd i sikkerheten. Det er å snu ting på hodet. Snarere er det sånn som vi får høre i barnehagen: Det finnes ingen problembarn, bare problemforeldre. Medarbeidere er ingen motarbeidere. De er dypt ulykkelige om de har latt seg lure av nettfisking. Og med dagens sofistikerte angrep behøver man ikke være lettlurt engang. Det er bedriftens oppgave å sørge for at ansatte får all nødvendig sikkerhetsopplæring og ikke bare får trykt en datamaskin i hånden for utføre jobben. Denne kortsiktige gevinsten går lett opp i spinningen etter første vellykkede angrep mot virksomheten.
Grafen er hentet fra webinaret «Er Zero Trust et viktig prinsipp for digital sikkerhet?» ved Jørgen Dyrhaug, seniorrådgiver i NSM – en mann man bør lytte til så ofte man kan. Her vises forholdet mellom utbredelsen av biler og omkomne i trafikken. Dødsulykkene har gått drastisk ned. Del av forklaringen er selvfølgelig bedre veier og sikrere biler. Men hovedårsaken er at det stilles mye strengere krav til å ta lappen: bytrafikk, glatt- og mørkekjøring, teori og teknisk forståelse. Hvorfor har vi ikke noe tilsvarende for våre ansatte og deres datatrafikk?
Virksomheter liker å se på sin IT-infrastruktur som i bildet til venstre – ryddig, oversiktlig og fancy. Realiteten er nok enkelte ganger dessverre en annen, som til høyre. Her skal det godt gjøres å tette smutthull og få til en sikkerhetsovervåking. Om det er så ille, er en nærliggende løsning å hive seg på første og beste flyttelass med kurs for skyen, så som Microsoft Azure med dets innebygde funksjoner for sikkerhet og administrasjon. Det kan gjøres gradvis og smidig i en hybrid konfigurasjon der gammelt møter nytt. Fotoene er hentet fra samme geniale webinar, og svaret på spørsmålet er Ja – helt avgjørende. Det gir virksomheten en god beskyttelse mot de største sikkerhetsutfordringene i årene som kommer.
Ideen til bloggen er hentet fra SharkStriker – “Top 10 Cybersecurity Threats to Watch Out For in 2022” – og står til dels i gjeld til artikkelen. Første bilde gjengir hjemmekontorer for Lillevik IT-ansatte
