FIRE EFFEKTIVE TILTAK MOT DATAANGREP Olav Ligaarden Nasjonal sikkerhetsmyndighet Offentlig seminar SINTEF, Oslo 2016-01-22 SLIDE 1
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Tre andre enkle og viktige tiltak Tiltak for sikring av maskinvare Oppsummering Referanser SLIDE 2
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Tre andre enkle og viktige tiltak Tiltak for sikring av maskinvare Oppsummering Referanser SLIDE 3
Motivasjon SLIDE 4
Motivasjon SLIDE 5
Motivasjon SLIDE 6
Motivasjon SLIDE 7
Motivasjon 1-4: DE MEST EFFEKTIVE 12-13: BRANNMUR på PC 22 & 30: ANTIVIRUS SLIDE 8
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Oppgrader program- og maskinvare Vær rask med å installere sikkerhetsoppdateringer Ikke tildel sluttbrukere administrator-rettigheter Blokker kjøring av ikke-autoriserte programmer Tre andre enkle og viktige tiltak Tiltak for sikring av maskinvare Oppsummering Referanser SLIDE 9
S-01 Fire effektive tiltak mot dataangrep SLIDE 10
Oppgrader program- og maskinvare Moderne programvare Ny programvare har som oftest mindre angrepsflate enn eldre programvare - Færre sikkerhetshull - Tar i bruk ny sikkerhetsfunksjonalitet - Er i større grad herdet mot ondsinnet programvare Eksempler - Adobe Reader 11 kontra versjon 9 - Windows 10 kontra Windows XP Moderne maskinvare Ofte ny sikkerhetsfunksjonalitet - Trusted Platform Module (TPM) - Intel Trusted Execution Technologies (TXT) - AMD Secure Virtual Machine (SVM) - Virtualiseringsstøtte i maskinvaren SLIDE 11
Vær rask med å installere sikkerhetsoppdateringer Selv den beste programvare inneholder programmeringsfeil og andre sårbarheter Kan utnyttes til å kompromittere systemet Kunnskap om nyoppdagede sårbarheter spres raskt Vær rask med å installere sikkerhetsoppdateringer! Installer spesielt sikkerhetsoppdateringer for Operativsystemet Applikasjoner som er koblet mot nettverket eller leser eksterne dokumenter - Microsoft Office, Adobe Reader, Internet Explorer, Google Chrome, Adobe Flash, osv Firmware (UEFI/BIOS) - Minimum ny ved utlevering til bruker SLIDE 12
Ikke tildel sluttbrukere administrator-rettigheter Sluttbruker og angriper kan endre systemets sikkerhetskonfigurasjon og installere usikker programvare Angriper får alle rettigheter ved kompromittering av sluttbruker Microsoft sårbarheter i 2014 Windows sårbarheter i 2014 IE sårbarheter i 2014 «Microsoft Vulnerabilities Report 2014» av Avecto SLIDE 13
Blokker kjøring av ikke-autoriserte programmer «Application whitelisting» Kun godkjent programvare får lov til å kjøre Det er enklere å hviteliste enn å svarteliste! Hvitelisting ved bruk av AppLocker Hvitelister hele filmapper som «C:\Programfiler» Ukjent programvare på minnepinner eller på brukerens eget dataområde kan ikke kjøres av systemet Enormt effektivt tiltak! Fikk førsteplassen i den australske målingen SLIDE 14
DEMO av AppLocker SLIDE 15
Uten AppLocker SLIDE 16
SLIDE 17
Med AppLocker SLIDE 18
SLIDE 19
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Tre andre enkle og viktige tiltak Aktiver kodebeskyttelse Herde applikasjoner (Sikker oppstart og diskkrypto) Tiltak for sikring av maskinvare Oppsummering Referanser SLIDE 20
S-02 Ti viktige tiltak mot dataangrep SLIDE 21
Aktiver kodebeskyttelse Beskytte mot angrep som bruker kjente teknikker For eksempel angrep som utnytter buffer overflow Data Execution Prevention (DEP) Skiller kode (CPU-instruksjoner) fra data Structured Error Handling Overwrite Protection (SEHOP) Hindre misbruk av operativsystemets mekanisme for avbruddshåndtering Er bare relevant for 32-bit applikasjoner Address Space Layout Randomization (ASLR) Randomisering av hvor minne allokeres Enhanced Mitigation Experience Toolkit (EMET) Microsoft verktøy som installeres på klienter/servere Stopper angrep som benytter kjente teknikker, men som er ukjent for Antivirus-leverandørene SLIDE 22
Herde applikasjoner Herde applikasjoner som behandler data fra Internett Microsoft Office Internet Explorer Adobe Reader Google Chrome Bruk Protected Mode og Protected View Finnes i Microsoft Office, Internet Explorer og Adobe Reader Kjører med svært lave privilegier i den delen av applikasjonen som kommuniserer med nettverket og leser/redigerer eksterne dokumenter - En kompromittering vil derfor få begrenset omfang og trolig ikke påvirke andre brukerprosesser Må aktiveres helt og brukerne må ikke kunne slå de av SLIDE 23
(Sikker oppstart og diskkrypto) Stoppe/detektere uønsket fysisk tilgang til maskinen Beskytte data ved tyveri/tap av maskinen Oppdage manipulering av maskinvare og programvare BitLocker + Trusted Platform Module (TPM-brikke) Kryptering av hele C-partisjonen Validering av maskinenes integritet før dekryptering av C-partisjonen Sikker oppstart Hindre rootkits og bootkits fra å bli lastet under oppstart - Secure Boot, Trusted Boot og Measured Boot - Early Launch Anti-Malware (ELAM) Krever moderne maskinvare (TPM og UEFI) og operativsystem (Windows 8/10) SLIDE 24
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Tre andre enkle og viktige tiltak Tiltak for sikring av maskinvare Sikring av firmware Fjerne mikrofon og kamera Oppsummering Referanser SLIDE 25
Sikring av firmware Applikasjoner Sikkerhet Operativsystem Hardware / Firmware Høyere tillit og flere privilegier SLIDE 26
Sikring av firmware SLIDE 27
Sikring av firmware Patch, patch, patch!!! Tillatt kun signerte oppdateringer Aktiver downgradebeskyttelse Begrens tilgangen til firmware «Lås ned» firmware SLIDE 28
Fjern mikrofon og kamera Maskiner med mikrofoner og kameraer kan misbrukes til avlytting og overvåkning av virksomheten Dersom sentrale servere kompromitteres kan angriper utføre systematisk og gjennomgående avlytting/avtitting av en hel virksomhet Slå av eller fjern intern mikrofon og kamera Bør helst bestille maskiner uten intern mikrofon og kamera SLIDE 29
Fjern mikrofon og kamera SLIDE 30
Innhold Motivasjon Fire effektive, enkle og viktige tiltak Tre andre enkle og viktige tiltak Tiltak for sikring av maskinvare Oppsummering Referanser SLIDE 31
Oppsummering Få først på plass de fire viktigste tiltakene (S-01) Oppgrader program- og maskinvare Vær rask med å installere sikkerhetsoppdateringer Ikke tildel sluttbrukere administrator-rettigheter Blokker kjøring av ikke-autoriserte programmer Fokuser deretter på seks andre viktige tiltakene (S-02) og spesielt Aktiver kodebeskyttelse Herde applikasjoner (Sikker oppstart og diskkrypto) Til slutt ser man på hvordan man kan sikre maskinvare Sikring av firmware Fjerne mikrofon og kamera SLIDE 32
Referanser De 4 + 6 tiltakene NSM. S-01 Sjekkliste: Fire effektive tiltak mot dataangrep, 2014. NSM. S-02 Sjekkliste: Ti viktige tiltak mot dataangrep, 2014. NSM. U-01 Grunnleggende tiltak for sikring av Windows 7, 2012. Veiledningene er tilgjengelige fra https://www.nsm.stat.no/publikasjoner/regelverk/veiledning er/veiledning-for-systemteknisk-sikkerhet/ SLIDE 33
Referanser Tiltak fra Australian Signals Directorate (ASD) ASD. Top Four Mitigation Strategies to Protect Your ICT System, 2012. - http://www.asd.gov.au/publications/protect/top_4_mitigations.pdf ASD. The Top 4 in a Linux Environment, 2013. - http://www.asd.gov.au/publications/protect/top_4_mitigations_for_linux.pdf ASD. Strategies to Mitigate Targeted Cyber Intrusions Mitigation Details, 2014. - http://www.asd.gov.au/publications/mitigation_strategies_2014_details.pdf Administrator-rettigheter Avecto. Microsoft Vulnerabilities Report 2014, 2014 - http://learn.avecto.com/ms-vulnerabilities-report-14 SLIDE 34
Referanser Andre publiserte veiledninger fra NSM NSM. U-02 Kryptering av e-postoverføring, 2014. NSM. U-03 Sikring av Windows TLS, 2015. NSM. U-04 Grunnleggende tiltak for forebygging av DDoS, 2014. NSM. U-05 Grunnsikring av Windows Server 2012, 2015. NSM. U-06 Grunnsikring av Windows 7 SP1, 2015. NSM. U-07 Grunnsikring av Office 2013, 2015. NSM. U-08 Sikkerhetsbaseliner, 2015. Veiledninger som kommer fra NSM NSM. U-xx Sikring av Network Time Protocol (NTP), 2016. NSM. U-xx Systemovervåkning ved bruk av ELK-stakken, 2016. NSM. U-xx DNS Response Policy Zone (RPZ), 2016. Veiledningene er tilgjengelige fra https://www.nsm.stat.no/publikasjoner/regelverk/veiledning er/veiledning-for-systemteknisk-sikkerhet/ SLIDE 35