Kan vi lage forsvarbare informasjonssystem?

Transkript

1 Kan vi lage forsvarbare informasjonssystem? Mass Soldal Lund SINTEF-seminar 18. juni

2 Introduksjon Utvikling av forsvarbare informasjonssystem som konsept Forsøk på svar på utfordringar i tradisjonell sikkerheitspraksis Det beste frå ulike leire Defensible networks Software Security Engineering Cyberoperasjonar Ikkje ferdigtenkte tankar... 2

3 To problematiske sider ved sikkerheit Sikkerheit som perimetersikring Sikkerheitsarbeidets reaktive natur 3

4 PLA Unit PLA Unit Avanserte cybertruslar / APT Avanserte Persistente Truslar (APT) Avanserte Kompetente Sofistikerte Persistente Målretta Uthaldande Tilstadesverande Tilgang på store resursar Ikkje naudsynleg økonomiske vinning som mål Spionasje Sabotasje Preparing the Battlefield? Operation Olympic Games/Stuxnet 4

5 Forsvarbare nettverk Bejtlich (2005) introduserte defensible networks Four security prinsiples state that defensible networks Can be watched Limit an intruder's freedom to maneuver Offer a minimum number of services Can be kept current 5

6 Forsvarbar informasjonsinfrastruktur Cyberforsvaret har ein eigen variant Fem arkitekturprinsipp for ein forsvarbar informasjonsinfrastruktur Overvaka Kontrollert Minimert Oppdatert Sporbarheit Skilnaden ligg i "kontrollert" Moglegheita til å endre infrastrukturen under åtak Gjev handlingsalternativ og moglegheit til å "manøvrere" 6

7 Cyberoperasjonar I "overvaka og kontrollert" ligg implisitt ei operasjonell side Defensive cyberoperasjonar (Cyber Defence) kan delast i Proactive network operations Normal sikkerheitspraksis Defensive Counter Cyber "Kontrollere" Defensive Countermeasures "Overvake" 7

8 Informasjonsinfrastruktur og informasjonssystem Kva vil overgangen frå "nettverk" til "informasjonsinfrastruktur" seie? Informasjonsinfrastruktur = nettverk + informasjonssystem Informasjonssystem Samling av hardware, software, data, nettverk, prosedyrer og menneske Brukt til å samle, prosessere, lagre, analysere og dissiminere informasjon for eit spesifikt føremål Informasjonsinfrastruktur og informasjonssystem er meir enn nettverk Introduserer menneske (brukarar), organisasjon, arbeid og føremål 8

9 Problem med forsvarbarheitsdefinisjonane Forsvarbare nettverk "protecting the broken stuff from the bad guys by putting a 'thing' in between the two (a firewall of some kind)" (McGraw 2014) Løyser i avgrensa grad dei problematiske sidene ved sikkerheit Forsvarbar informasjonsinfrastruktur Underslår at informasjonssystem skal understøtte ein organisasjon i å gjennomføre oppgåver Design av minimale system utan å ta omsyn til brukarar og oppgåvene deira fører til brukarfiendtlege system Tvinger brukarane ut av den overvaka og kontrollerte omgjevnaden 9

10 Alternativ Software Security Engineering "build more-robust, higher-quality, defect-free software that continues to function correctly under malicious attack" "building security in" Best-practice for sikkerheit i systemutviklingsmodellen Brukarsentrering Lage systema slik at brukarane ikkje tvingast til å verte sikkerheitsrisiko Best-practice for brukarsentrert systemutvikling Problem Sikkerheit som statisk eigenskap 3. parts-komponentar Potensiell konflikt mellom Software Security Engineering og brukarsentrering 10

11 Proaktivt Forsvarbar IS Kontrollert Software Security Engineering er pro-aktivt men statisk Forsvarbarheit er operasjonelt men reaktiv Minimert 11

12 To problem med nettverksovervaking To problem så lenge du berre overvakar eiga nettverk Korleis skal du oppdage ein trussel du ikkje kjenner (Dei du kjenner er filtert bort) Du kan ikkje gjere anna enn å reagere på det du oppdagar (Sjølv om du kan kontrollere) Korleis kan vi vere operasjonelle og pro-aktiv? Vite kva du ser etter? Handle før du detekterer? 12

13 Etterretningsbasert cyberforsvar Med ei forståing av fienden kan vi betre Predikere kva han vil gjere Vite kva for indikatorar å sjå etter Forstå kva vi observerer Setje inn tiltak før eller tidleg i åtaket Setje inn passande tiltak på passande tidspunkt Denne forståinga krev etterretning Overvaking av eiga infrastruktur Rapportar frå eigne tilsette Oppdatert informasjon om sårbarheiter og malware Sikkerheitstrendar Samfunnsmessige trendar Bransjespesifikk etterretning 13

14 Lockheed Martin's intrusion kill chain for APTs Forsvarets ingeniørhøgskole Trusselmodellar Etteretningsbaserte cyberoperasjonar må vere modellorienterte Forståing av fienden er ikkje berre etterretning Etterretninga må organiserast i ein modell av fienden Reconnaissance Weaponization Delivery Exploitation Installation Command & Control Actions on objectives 14

15 Risikoanalyse Etterretningsbaserte cyberoperasjonar må vere risikoorienterte Trusselmodellane må informerast av ei forståing av verdiane i systemet Analysen av etterretninga må informerast av ei forståing av sårbarheitene i systemet Tiltaka må informerast av ei forståing av konsekvensane av handlingsalternativ kost/nytte Cyberoperasjonane må vere informerte om risiko 15

16 Proaktivt Modellorientering Forsvarbar IS Kontrollert 16

17 Oppsummering Forsvarbarheit er ein eigenskap Proaktive tiltak kan Auke motstandskrafta Leggje til rette for betre forsvar Men kan ikkje utgjere forsvaret Forsvar er ein prosess/operasjon Krev moglegheit for handling For at forsvaret skal vere pro-aktivt må det vere Etterretningsbasert Modellorientert Risikoorientert 17