Chefkonsulent Shehzad Ahmad, UNI•C, der leder det danske Computer Emergency Response Team (DK•CERT), skriver hver måned i Børsen Digital om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
Vi har travlt i DK•CERT. Sidste år behandlede vi over 90.000 anmeldelser af sikkerhedshændelser. Det er en stigning på 64 procent i forhold til året før.
Det fremgår af "Trendrapport 2007," som vi netop har udsendt. Men hvad skyldes den store stigning? Jeg tror, at den afspejler en reel tendens: Der er simpelthen kommet flere angreb. Alternativt kunne man forestille sig, at folk er begyndt at anmelde sager, som de tidligere holdt for sig selv. Men hovedparten af vores anmeldelser kommer fra automatiserede overvågningssystemer, som der ikke er ændret væsentligt på fra 2006 til 2007.
Hvorfor er der så flere angreb? Et oplagt svar er, at nu er der penge i det. Tidligere var den typiske hacker en ung mand, der var interesseret i teknologien for dens egen skyld. Han findes stadig, men nu har han fået selskab af en række amatører, der vil tjene lette penge. Det gør de ved at udsende spam eller oprette phishing-websteder. Formålet med sidstnævnte er at narre kreditkortnumre, passwords og andre fortrolige oplysninger fra ofrene.
Erfarne narrer de nye
Samtidig er den organiserede kriminalitet rykket ind på internettet. Vi ser ligefrem eksempler på, at de erfarne forbrydere narrer de nytilkomne: Man kan på nettet hente værktøjsprogrammer, der gør det let at oprette et websted til phishing. Men når ofrene indtaster deres fortrolige oplysninger, går de ikke kun videre til den, der har oprettet webstedet. Bagmanden bag værktøjsprogrammet har indlagt en bagdør, så han også får tilsendt al den interessante information.
Afpresning er også en realitet: Ens websted bliver overmandet af trafik og kan ikke længere betjene brugerne. Kort tid efter holder angrebet op. Så får man en mail om, at hvis man vil undgå en gentagelse over længere tid, skal man betale for det.
Anbefalinger
I slutningen af rapporten har vi opstillet en prioriteret liste over, hvad virksomheder og andre organisationer bør prioritere i indsatsen for øget it-sikkerhed. Jeg anbefaler, at man foretager disse skridt: Få styr på opdateringer, så gamle sårbarheder udryddes. Beskyt systemerne med passwords, firewalls, kryptering og andre tekniske løsninger. Kontroller, at opdateringer og beskyttelse virker gennem jævnlige test. Og undervis brugerne i den it-sikkerhedspolitik, der ligger som fundament under det hele.
Oprindelig bragt i Børsen Digital den 22. april 2008