Månedsrapport for november 2007

Transkript

1 Månedsrapport for november 2007 Tone oppsummerer november Denne rapporten oppsummerer nyhetsbildet og truslene knyttet til informasjonssikkerhet, som NorSIS mener er aktuelle. I slutten av november fikk alle som skulle ta tog på Østlandet erfare sårbarheten i infrastrukturen. Vi ser ofte av små og større uhell gjerne gir store konsekvenser for bedriften og dens kunder i dagens samfunn. ID-tyveri har vært et hett tema også i november, og sikkerhet i nettbankløsningene har vært til debatt i media denne måneden. Også i november har det blitt publisert mange nye sårbarheter i programmer. NorSIS fokuserer på viktigheten av å oppdatere programmene for å unngå at datamaskinen kan bli et mål for ondsinnet kode og angrep. Side 1

2 INNHOLD MÅNEDSRAPPORT FOR NOVEMBER TONE OPPSUMMERER...1 NYHETER...3 ID-tyveri øker...3 Debatt om nettbanksikkerhet...3 Behov for viktige sikringstiltak og beredskap...3 Bakgrunnssjekk mangler ved ansettelser...4 TRUSLER OG SÅRBARHETER...4 Trusselbilde i endring...4 Nettsamfunnet MySpace er hacket...4 Microsoft-sårbarheter...4 MSN-trojaner...4 Apple Quicktime...4 NYTT FRA NORSIS...5 Security Valley...5 NYTTIGE LENKER...5 Ønsker du en e-post om våre siste nyheter, så meld deg på vår e-post liste. NorSIS og NorCERT er norske myndigheters helhetlige satsing på informasjonssikkerhet i Norge. Vi anbefaler også å lese månedsrapporten fra NorCERT, som er mer teknisk orientert og fokuserer på IKT trusler mot samfunnskritisk infrastruktur og informasjon. - NorSIS bevisstgjør om trusler og sårbarheter, opplyser om tiltak og påvirker til gode holdninger - Side 2

3 Nyheter ID-tyveri øker Microsoft beskrev et oppdatert trusselbilde på RSA konferansen i London, og konkluderte med at ID-tyveri er det primære målet for kriminelle hackere. Siste halvår er det store økninger av phishingangrep og trojanere som stjeler passord. Sårbarhetene som er avdekket er mer kritiske og enklere å utnytte for kriminelle. Generelt er metoder for å stjele personlig informasjon blitt mer avansert, variert og målrettet. Les mer her. VG beskriver at idoldommer Jan Fredrik Karlsen har opplevd å bli frastjålet sin identitet. Ved å misbruke hans personnummer hadde noen forandret hans adresse i folkeregisteret og også hengt opp postkasse med hans navn på den nye adressen. I følge en undersøkelse fra FTC for 2006 har nesten 4 % av alle voksne amerikanere opplevd å bli frastjålet sin identitet. ID-tyvene brukte personopplysningene til å åpne bankkonto, skaffe seg kredittkort, teletjenester, e-post svindel eller helseforsikring. Bare i Norge har mange hundre tusen personer lagt ut personlig informasjon om seg selv på Facebook. Informasjonen kan lett hentes ut av hvem som helst; enkelt, systematisk og lovlig. Nye applikasjoner som brukeren kan legge til har tilgang til dataene. Facebook forbeholder seg retten til å bruke all informasjon brukerne legger inn. Dette gjelder lagring, salg, gjenbruk og publisering. Uthenting av store mengder personlig informasjon kan utnyttes i ID-tyveri. Les mer i PC World Norge og på NorSIS. Debatt om nettbanksikkerhet «Mange av dagens nettbankløsninger har en konstruksjonsfeil», sier post.doc. Kristian Gjøsteen og professor Kjell Jørgen Hole i en kronikk i Aftenposten. Forskerne mener at nettbankene kan svindles. Sparebankforeningen og Finansnæringens hovedorganisasjon svarte på kronikken I Aftenposten og forsikrer at det er trygt å bruke norske nettbanker for kundene. Postog teletilsynet, som tilsynsorgan for elektroniske sertifikater, avviser i Aftenposten påstanden om at personlig BankID ikke er knyttet til en bestemt person. Behov for viktige sikringstiltak og beredskap Da Jernbaneverket, ikke har reserveløsning for strøm, førte en brann i høyspentkablene til full stans i all NSB-togtrafikk på hele Østlandet i ca ett døgn. Direktoratet for samfunnssikkerhet og beredskap sier at hendelsen på Oslo S med all tydelighet viser hvor sårbare vi er i et moderne samfunn. Les mer i Aftenposten og hos NorSIS. Andre eksempler på at den daglige driften lett blir rammet, er en trappeprodusent i Gudbrandsdalen, som i følge GD fikk store problemer etter at PC-en med konstruksjonsprogrammet for trapper ble stjålet. Side 3

4 Harddisker er sårbar teknologi og daglig oppstår det feil på harddisker. Musikk du har kjøpt på ittunes, programvare du har lastet ned over internett osv kan forsvinne dersom disken krasjer. Det kan være lurt å ta en sikkerhetskopi. Mange situasjoner i det daglige viser at ingenting er så galt at det ikke kan bli verre. NorSIS oppfordrer alle bedrifter til å være føre var: gjennomfør risikovurderinger og forebyggende sikringstiltak - og lag en beredskapsplan i tilfelle alt går galt. Bakgrunnssjekk mangler ved ansettelser Åtte prosent av norske virksomheter måtte si opp ansatte på grunn av straffbare forhold i En undersøkelse presentert av Næringslivets sikkerhetsråd viser at 68 % av virksomhetene aldri har sjekket om vitnemål er riktige. Les mer her. Trusler og sårbarheter Trusselbilde i endring Amerikanske forskere mener at det kun er et tidsspørsmål før dataterror får alvorlige konsekvenser. Generalmajor Arnvid Løvbukten, sjef for Forsvarets fellesstab beskriver truslene som betydelig større enn det politikere og folk flest hittil har forstått. Nasjonal sikkerhetsmyndighet planlegger en egen cyberøvelse i Nettsamfunnet MySpace er hacket Flere kontoer på nettsamfunnet MySpace er hacket og brukes for å spre ondsinnet kode til besøkende. Les mer i Computerworld. Det er funnet flere typer ondsinnet kode på de angrepne MySpace-kontoene. Angriperen prøver å infisere deg gjennom å be deg laste ned nye «codecs» ved videoavspilling, samt gjennom kjente sårbarheter i Windows og Mac OSX. MySpace har blitt ordnet og den skadelige koden er nå fjernet. Microsoft-sårbarheter Andre tirsdag hver måned slipper Microsoft nye oppdateringer. Tirsdag 13. november offentliggjorde de to nye sikkerhetsoppdateringer. Den ene er en kritisk sårbarhet i Windows som tillater kjøring av ondsinnet kode, og den andre er en viktig sårbarhet i Windows DNS-server. Den tillater en angriper å sende spesielt utformede forespørsler til en DNS-server, for å lure brukere inn på illegale websider. MSN-trojaner En ny hissig og raskspredende trojaner sprer seg via nettpratprogrammet MSN Messenger. MSN meldingen inneholder en zip fil som i utpakket tilstand ser ut til å inneholde et bilde. "Bildet" er et ondsinnet program som er programmert til å skanne etter Virtuelle Maskiner samt koble seg opp mot et botnet. Apple Quicktime Dagen etter Microsofts patchetirsdag kom Apple med oppdateringer for 41 sikkerhetshull, deriblant sikkerhetshull i kjernen, nettverkskomponenter og nettleseren Safari. Les mer om Apples sikkerhetsanbefalinger eller hos Secunia. Side 4

5 Et par uker senere ble det oppdaget kritisk sårbarhet i mediespilleren Apple Quicktime, som det allerede er utnyttet. QuickTime brukes av veldig mange brukere, da det blant annet brukes i itunes, som installeres av alle som bruker ipod. NorSIS anbefaler Oppdater programvare etter leverandørens anbefaling Der det er mulig bør automatisk oppdatering aktiveres Nytt fra NorSIS NorSIS har også i november holdt flere foredrag hos bedrifter og på konferanser. Vi har også hatt flere møter med aktuelle samarbeidsbedrifter. Security Valley Gjøvik Kunnskapspark, Høgskolen i Gjøvik, NorSIS og andre bedrifter med sikkerhetsfokus satser nå på å bygge opp en større nasjonal satsning på informasjonssikkerhet - Security Valley. Security Valley skal være et internasjonalt og ledende kompetansemiljø innen sikkerhet med en tilpasset infrastruktur hvor det er gunstig å etablere/spinne av virksomhet og å operere fra. Dette skal gjenspeiles i samfunnsgeografien, sentral infrastruktur, bygningsmasse, teknologiplattformer og i rammebetingelser. Nyttige lenker Nasjonal sikkerhetsmyndighet Datatilsynet Upresis markedsføring/ salg Post- og teletilsynets nettvett Forening for kommunal informasjonssikkerhet Trygg bruk av Internett for barn og unge Informasjon fra NorSIS er hentet fra flere kilder. NorSIS vurderer informasjon før publisering, men NorSIS kan ikke holdes ansvarlig for skade eller tap som kan oppstå som følge av ukorrekt, manglende eller utilstrekkelig informasjon. Side 5