ROM FOR FORBEDRING: Norske nettselskaper har forbedringspotensial på IT-sikkerhet, viser ny studie.
Leif Martin Kirknes
– Ikke godt nok forberedt
En fersk forskningsrapport konkluderer med at norske nettselskaper ikke er godt nok forberedt for målrettede angrep i dag.
leif.kirknes@lomedia.no
Nettselskapene er ikke godt nok forberedte på å møte tradisjonelle IT-sikkerhetstrusler, kan man lese i rapportens kortversjon.
Studien er utført av blant annet SINTEF-forsker Marie B. Line, som har vært omtalt i fagbladet Nettverk tidligere (nr. 3 2014 - arkivlenke). Hun har over flere år opparbeidet seg ekspertise på det som skjer når strømnett møter internett og er med sin pågående doktorgrad om feltet blant Norges største eksperter på området.
Funnet er særlig interessant sett i lys av at Nasjonal sikkerhetsmyndighet nå har gått ut og slått alarm om målrettede angrep mot norsk olje- og energisektor, og at Statnett har sagt de ble forsøkt angrepet.
Les også: Dataangrep mot Statnett
– Målrettede angrep er en økende trend, og kraftindustrien er attraktivt mål. Spionasje eller fysiske ødeleggelser kan typisk være hensikten med slike angrep, sier hun, og advarer mot potensielt store konsekvenser:
– Store områder, inkludert kritisk infrastruktur, kan rammes av strømbrudd.
I studien har hun, sammen med Ali Zand, Gianluca Stringhini og Richard A. Kemmerer studert og kategorisert velkjente, målrettede angrep. Deretter har de utført en intervjustudie blant norske nettselskap for å vurdere hvor godt forberedt de er til å oppdage og respondere på slike angrep.
– Våre funn tyder på at kraftbransjen er godt forberedt på tradisjonelle, fysiske angrep, men IT-angrep, og spesielt avanserte målrettede angrep, har ikke vært høyt nok oppe på agendaen, forteller Line.
Problemet ligger særlig i at nettselskapene mangler verktøy for å overvåke og oppdage angrep, samt systematisk oppfølging av logger og varsler.
– Ved å forstå kjente angrep, håper vi å hjelpe bransjen med å forbedre deres evne til å oppdage og respondere på angrep, forteller Line.
Er du inne, er du inne
«Målrettede angrep er gjerne vanskelig å oppdage. De utføres over lang tid, hvilket gjør dem vanskelig å identifisere av vanlige deteksjonssystemer. Dessuten bruker angripere gjerne ulike teknikker for sosial manipulering for å kartlegge organisasjonen som skal angripes, samt dens IT-systemer. Slike teknikker lar seg ikke oppdage av deteksjonssystemer. Videre er ikke nødvendigvis de aller nyeste verktøyene i bruk blant organisasjoner,» heter det i rapportens kortversjon.
Det konstateres at målrettede angrep gjerne er inkludert i risikovurderinger, men selv om konsekvensene er alvorlige er sannsynligheten også lav. Derfor er det vanskelig å vurdere i hvor stor grad sikkerhetsmekanismer som kan hindre slike angrep skal prioriteres. Angrep/hendelser med høyere sannsynlighet vil gjerne prioriteres høyere på lista.
Nettselskapene har god innsikt i hensikten med egne systemer og avhengigheten mellom ulike komponenter, viser studien. De har også god forståelse for å sikre kontrollsystemene mot generelle informasjonstrusler
«Nettselskapene har imidlertid ikke gode verktøy for å oppdage og overvåke hendelser på innsiden av kontrollsystemene sine,» heter det i rapporten. «Deteksjonssystemer er i bruk i begrenset omfang, og ingen har systemer for å korrelere alarmer og se sammenhenger. De har brannmurer som kan være i stand til å oppdage mistenkelig trafikk til og fra nettverket, men dersom angriper greier å komme seg forbi denne, kan han operere på innsiden uten å bli overvåket.»
Altså kort fortalt: med en gang en angriper er inne i systemet, er sikkerhets-guarden nede.
Har noen råd
«Det er bred felles enighet om at kontrollrommet kan kobles av nett dersom de opplever angrep. Dette krever imidlertid at angrepet oppdages,» påpekes det i rapportens kortversjon.
Av de seks store, norske nettselskapene som har blitt spurt, er det kun én som har gjennomført beredskapsøvelse med utgangspunkt i en IT-sikkerhetshendelse. Sannsynligheten for fysiske angrep vurderes som høyere.
Tre av nettselskapene bruker det som kalles IPS, Intrusion Prevention Systems. Men disse er kjent for å generere et høyt antall alarmer, og det går frem i studien at det ikke finnes ressurser til jevnlig oppfølging. Dessuten er IPS best på å oppdage angrep som er kjent fra før, mens nye angrep, for eksempel de som blir skreddersydd og målrettet, ikke vil kunne oppdages uten videre.
Line og hennes medforskere har på bakgrunn av studien og dens funn følgende råd til nettselskapene:
• Gjennomfør beredskapsøvelser basert på IT-sikkerhetshendelser jevnlig. Det er et paradoks at alle nettselskapene er enige om hva som er verste mulige hendelse, men at ingen likevel har øvd på dette scenarioet.
• Vær i stand til å oppdage og stå imot angrep basert på sosial manipulering. Dette krever bevisste ansatte på alle nivå i organisasjonen. Det finnes ingen 1-2-3-løsning på hvordan man skal få til dette, det krever kontinuerlig innsats og bevisstgjøring. Samtidig er sosial manipulering svært effektivt for angripere som ønsker informasjon.
• Ha et fysisk skille mellom kontrollsystemene og andre IT-systemer i den grad det er mulig. Vi er fullstendig klar over at utviklingen går den andre veien av hensyn til effektivitet og funksjonalitet. Vi vil likevel påpeke at det ikke er anbefalt fra et sikkerhetsståsted.
• Ta i bruk systemer for avviksdeteksjon. Dette er svært effektivt for f.eks. kontrollsystemer som i stor grad inneholder forutsigbare hendelser.
• Bruk myndighetspålagte tiltak for å sikre forbedringer. Tiltak som er pålagt fra myndighetene, blir i stor grad etterlevd. Myndighetene har derfor et stort ansvar i å stille riktige og tilstrekkelige krav.
Studien er gjennomført i samarbeid med NTNU og UCSB, delfinansiert av Norges forskningsråd. Spørsmålene er utviklet basert på Cyber Situation Awareness-teori, og intervjuobjektene fikk tilsendt spørsmålene på forhånd.
Mest lest
Mange kan ha krav på gratis eller subsidiert tannbehandling uten å vite det. (Illustrasjonsfoto)
colourbox.com
Har du krav på gratis tannbehandling uten å vite det? Sjekk lista
2,7 PROSENT: Virke-direktør Torgeir Kroken (t.v.) og LO-nestleder Roger Heimli peker på at de har fått til samme resultat som i LO/NHO-oppgjøret.
Brian Cliff Olguin
Nytt lønnsoppgjør i havn: 34.000 ansatte får ny lønn
FØLES VELFORTJENT OG GODT: Koordinator Kamilla Bloch (midten) øker timelønna med 25 kroner, mens lagerarbeider Bahlbi Hbtzgi får et tillegg på 14 kroner per time. – En viktig lagseier, og vi legger ikke skjul på at det føles velfortjent og godt. For det jobbes målrettet og godt her hver eneste dag, sier Gry Jansen i Fagforbundet Post og finans (t.v.).
Alf Ragnar Olsen
Lagerarbeiderne tjente 60.000 mindre enn kollegaene i Posten. Nå har de blitt hørt
Nestledere i LO Stat: Henriette Jevnaker (t.v.) og Lise Olsen.
LO Stat
Lønnsoppgjøret: Så mye får helsearbeidere, postbud og operasangere
Rowena Queja og kollegene i Ecura hjemmetjenester i Oslo har fått et solid lønnshopp.
Idun Teeuwen
Tidenes lønnshopp: Helsefagarbeider Rowena får 56.000 kroner mer i lønn
Lønnsoppgjøret i helga var forhandlinger mellom LO og NHO i privat sektor, her ved LO-leder Peggy Hessen Følsvik og NHO-leder Ole Erik Almlid. Frontfaget utgjør cirka en tredjedel av dette oppgjøret, og rammen får betydning for de øvrige oppgjørene.
Håvard Sæbø
Hva er egentlig frontfagsmodellen? Du får svarene her
– Fra en ansvarlig posisjon skal vi ha en full gjennomgang av Nav og hvordan de som jobber i Nav, best kan gjøre den viktige jobben de er satt til å gjøre, sier Ap-leder Jonas Gahr Støre.
Øyvind Aukrust
Støre varsler full gjennomgang av Nav: Slik skal Norge bli best til å få folk i jobb igjen
LO Media
Fagbevegelsen er samstemt: SV må med i en ny rødgrønn regjering
Wizz Air er i hardt vær igjen, etter at et lydopptak fra det som skal være et internt møte om hvem som skulle prioriteres i en oppsigelsesprofess, har lekket til pressen. Samtidig har selskapet tap i rumensk rett mot tidligere ansatte.
Helge Rønning Birkelund
Wizz Air tapte rettssak mot tidligere ansatte: – Det bør være en ordentlig tankevekker
Anne Enger var Sp-leder ved valget i 1997, da Senterpartiet kollapset på oppløpet. Verken hun eller dagens partileder, Trygve Slagsvold Vedum, tror det samme vil skje igjen. (Arkivfoto)
Jan-Erik Østlie
Forrige gang Senterpartiet fløy høyt kollapset partiet på oppløpet. Hva skjedde?
Ghenet Zemichael Tewelde (51) får både fast jobb og etterbetalt tapt lønn, feriepenger og ikke-økonomisk tap.
Jærbladet
Alenemor Ghenet (51) måtte gjennom ni kontrakter og en rettssak - får endelig fast jobb
SV-leder Audun Lysbakken, Sp-leder Trygve Slagsvold Vedum og Ap-leder Jonas Gahs Støre side om side i partilederdebatt.
Stortinget
Så mange Ap-velgere ønsker regjering uten SV
Iselin Nybø
NFD / Øyvinn Myge
Staten selger Ambita for nesten 1 milliard kroner
STØRSTE NHO-GROSSIST: Innen grossistbransjen som er organisert i NHO, er Rema Distribusjon den største aktøren. Nå får de ansatte der en minstelønn på over 220 kroner timen.
Roy Ervin Solstad
Solid lønnshopp for lager- og havnearbeidere
Arbeids- og sosialminister Torbjørn Røe Isaksen (H) vil gi utenlandske arbeidstakere kompensasjon for tiden de blir hindret fra å jobbe i Norge på grunn av innreiserestriksjoner.
Jan-Erik Østlie
Utenlandske arbeidstakere får kompensasjonsordning
I snitt har ledere og akademikere fått mer i lønnsøkning de siste 16 årene enn 88 prosent av de kommuneansatte.
Colourbox/Grafikk: Kristin Johansen
Lederne har vært lønnsvinnere de siste 16 årene i kommunene
Fagforbundet-leder Mette Nord
Jan-Erik Østlie
Fagforbundet-leder varsler «opprør» hvis det ikke blir lønnsvekst
Trygt arbeid til alle. Det er jobb nummer én for Ap og leder Jonas Gahr Støre.
Jan-Erik Østlie
Se lista: Her er de viktigste vedtakene fra Aps landsmøte
– Vi må gå fra å jakte deltid til å jakte heltid, mener leder i Nordland Ap, Mona Nilsen.
Helge Rønning Birkelund
– For 70 år siden sto bestefar med lua i hånda og ventet på jobb. I dag sitter flere av mine venninner med mobilen i hånda og venter på ekstravakter
RETTSSAK: Dumitrescu venter på dommen fra Sunnhordland tingrett etter rettsforhandlingene i slutten av mars. Han krever jobben tilbake, erstatning og oppreisning.
Eivind Senneset