Hjelp, vi er under angrep!

Noen ganger får vi som fortjent, andre ganger er det flaks eller uhell. Hvem tør å stole på flaksen når nye cyberangrep ruller over verden?

For flaks er hva vi har hatt hittil. God tro, mye flaks og enkelte systemer som fungerer godt. Mange – inklusive NorSIS – tror vi ‘vil komme godt ut av det denne gangen også’ (fra E24), og henviser til gode rutiner for bl.a. oppdateringer. Vi tror det motsatte. I Norden (og mange andre steder) mangler forståelse for truslenes alvorlighet og egen eksponering.

Hvor mangelfull denne forståelsen er, har kommet frem i en rekke analyser og kommentarer på myMAYDAY.com det siste halve året (se referanser nedenfor), og spesielt analysen av Intel AMT for et par uker siden (Intel AMT: Undervurdert, åpen bakdør).

Amerikanske NIST kaller hullet i Intels AMT-teknologi ‘kritisk’, og gir det en CVSS-score på 9,8 – av 10 mulige. Twitter flommer over av eksempler, frustrasjoner og radbrekkinger av Intel. Mens norske sikkerhetsmyndigheter ikke finner problemet nevneverdig – utover å gjenta en eldre melding om å bytte passord.

NorSIS og en rekke andre miljøer mener at gode rutiner for oppdatering av virusbeskyttelse og operativsystemer vil holde oss ganske skadesløse også denne gang. De glemmer at trussel nr. 1 er phishing og eksponering nr. 1 er mekanismer som nettopp Intel AMT. Der spiller patchede operativsystemer og viruskontroll minimal rolle. Ikke uviktige, men utilstrekkelige.

Trusselbildet ble betimelig gjennomgått i artikkelen A Cyberattack ‘the World Isn’t Ready For’ (New York Times) for en uke siden. En effektiv introduksjon til det som nå faktisk skjer, og som vi i skrivende stund kun aner konturene av.

Hvis Norge og Norden enda en gang kommer relativt skadesløse gjennom stormen, er årsaken snarere at vi ikke var i målsonen enn at vi er bedre rustet enn resten av verden. Hvis en angriper – gruppe eller stat – skulle bestemme seg for Norge, ville konsekvensene vært katastrofale. Lammelse av store deler av næringsliv og offentlig sektor.

Har vi råd til det? Ingen svarer ja, men altfor få gjør det lille som skal til for å heve terskelen vesentlig. Eller det store som skal til for å løfte sikkerhet til toppnivå.

---

Se også…

• CVE-2017-5689
• Nøkler under matten – alltid like usmart
• Lavthengende sikkerhet – del 2: DNS
• Høy cybersikkerhet uønsket?
• DMARC: Epostens ukjente livredder