OVERSETT: Og det mest oversette it-sikkerhetsproblemet er uten tvil barn, mener Torben Clemmensen. (Foto: Istock)

Den største trusselen mot bedriften din?

KOMMENTAR: Det er barna dine – min sønn blir angrepet 10-15 ganger om dagen i et forsøk på å ramme meg.

Publisert Sist oppdatert

Det nye arbeidsmiljøet med satellitt- og hjemmekontorer har gjort at it-kriminelle har funnet nye veier inn i bedrifters nettverk – og den absolutt enkleste, men dessverre ofte oversette veien, er via ditt barns datamaskin. Det må bedrifter ta med i sin it-sikkerhetsstrategi.

Vår nye virkelighet med hjemmearbeidsplasser, har skapt en rekke tidligere ukjente risikoer som bedrifter nå er nødt til å forholde seg til. For mens det beviselig har gitt større arbeidsglede og fleksibilitet for de ansatte uten å gå på bekostning av produktiviteten, så skaper det nye angrepsflater for it-kriminelle som ønsker å kompromittere bedrifters nettverk.

Og det mest oversette it-sikkerhetsproblemet er uten tvil barn. Til tross for at vi har forholdt oss til Covid i over to år, har de færreste bedrifter brukt et eneste øyeblikk på å tenke på barna våre i forbindelse med beskyttelse av selskapets ytterste mur – som hjemmekontorene våre jo har blitt.

10-15 angrep om dagen

Og det er ikke bare en teoretisk mulighet: Jeg har selv en avtale med min tenåringssønn om at han kan gjøre hva han vil på nettet, både for å gi ham best mulige digital dannelse og nysgjerrighet, men også for å stressteste meg selv og min egen nettverksbeskyttelse.

Torben Clemmensen, Pre-Sales Engineer, VIPRE Security

Man hører forferdelige historier om at barn blir presset til å gjøre ting eller sende penger, men den mest vanlige trusselen kommer fra nedlasting.

Jeg registrerer 10-15 forsøk på inntrenging i nettverket mitt via min sønns PC hver eneste dag – og den er kun på tre-fire timer om dagen og blir primært brukt til gaming. Brannveggen min jobber overtid når han skrur på PC-en.

Målet er ikke barna, men bedriften din

Det skal sies at jeg har et beskyttelsesnivå som de færreste kommer i nærheten av, inkludert brannvegg og honningkrukke, samt separat VLAN til henholdsvis mitt arbeid, min kones VPN og barnas gaming. Det har ikke Ola og Kari Nordmann, for det koster både tid og penger (rundt 20.000 kroner i utstyr). Langt de fleste har kun den routeren som teleoperatøren står for, og den er omtrent like sikker som å sove med ulåst dør og et skilt utenfor der det står «Gratis B&O-anlegg– kom inn og hent».

De fleste går ikke engang inn og kikker i innstillingene som finnes i routeren, men endrer kanskje bare kode og SSID-navn (PrettyFlyForAWiFi har aldri vært morsomt – slutt nå), og det er det.

De daglige 10-15 angrepene er ikke målrettet mot min sønn. Han har ikke spesielt mye av verdi på PC-en sin, men kompromitteres han så er de it-kriminelle inne på nettverket og kan bevege seg videre rundt og i siste instans få tilgang til bedriftens nettverk. Hackerne anser barna som den inngangen som kan føre til størst verdiskaping. Det er deres formulering, for deres mål er ikke å gjøre skade, men å tjene penger.

Bedriftene beskytter sine ansattes pc-er med endpoint-løsninger og VPN-forbindelser, men det er i seg selv ikke nok. Tvert imot, for en VPN-løsning er en dør direkte inn i bedriftens nettverk. Og det utnyttes.

Et tenkt, men realistisk eksempel

Et realistisk tankeeksperiment starter med et CS:GO-«skin», altså et spesielt utseende til et våpen i det populære spillet Counter-Strike: GO. Skins kjøpes og selges over nettet, og vi kan forestille oss at ditt barn kjøper et ganske sjeldent skin fra en hyggelig russer som kaller seg Boris. Han fremstår umiddelbart ytterst sympatisk og hjelpsom, og forklarer ditt barn at en fil må installeres før skin-et virker. Ditt barn er tillitsfullt (eller eventuelt naivt), og installerer filen og får et skin til sin AK-47.

Nå er hackeren inne på barnets PC.

Ditt barns PC har med 99 prosent sikkerhet ikke annen beskyttelse enn for eksempel Windows Defender.

Og hackere er tålmodige. Ditt barns PC har med 99 prosent sikkerhet ikke annen beskyttelse enn for eksempel Windows Defender, så hackeren kan fritt sniffe på nettverket og se hva foreldrene ser på og hvordan de kommuniserer. På den måten kan han skape den perfekte angrepsvinkel. Han ser for eksempel en VPN-forbindelse, for faren arbeider eksempelvis i finanssektoren. Bingo, tenker hackeren Boris.

VPN-nøkler alene beskytter ikke nok. Ni av ti VPN-løsninger er satt opp så internettrafikk fortsatt dirigeres via PC-en og ikke via VPN-en. Skulle all trafikk gå gjennom VPN-en, ville man drukne virksomhetens nettverk, så det er en praktisk forståelig, men likevel usikker løsning. Problemet er nemlig at det skaper en dør inn for it-kriminelle.

Kanskje kan Hackeren Boris – via din sønns kompromitterte PC – se at du leser Finansavisen. Så kan han omdirigere trafikken til en adresse som likner Finansavisens https-side, men som er en falsk adresse, og på den måten kompromittere din PC.

Tålmodighet

Nå venter Hackeren Boris igjen. Neste mål er å hindre din PCs endpoint i å oppdage hackeren, men uten å stoppe selve endpoint-løsningen.

En stund etterpå logger du på bedriftens VPN-løsning. Herfra kan Hackeren Boris skanne hele din bedrifts nettverk innenfor brannmuren. Når du har skapt en VPN-tunnel så har du i praksis skapt et LAN, og LAN skannes ikke fordi man stoler på LAN-tilkoblede enheter.

Med tilgang via VPN er Boris direkte inne i produksjonsnettet – for det er igjen de færreste bedrifter som deler opp nettverket sitt i noen særlig grad – og så er det ikke vanskelig å omgå resten av systemet. Hackeren vet jo nøyaktig hvem de skal lete etter, som for eksempel dem som har admin-rettigheter og liknende. Og de har nok av tid. Når et ransomware-angrep skjer har hackeren gjerne vært inne på bedriftens nettverk i fire-seks måneder, og noen ganger enda lenger.

Fra Boris solgte din sønn et AK-47-skin til han er inne på din bedrifts nettverk, har det gått en måned.

Hva skal man gjøre?

Det tenkte eksempelet er ikke usannsynlig: Jeg har sett det skje og lest hackere skryte av det på Darkweb, men det er mulig å beskytte seg mot det. Det krever dog en innsats fra både foreldre og fra bedriften.

Du – som hjemmearbeidende og som forelder – bør:

  • Huske på at den medfødte skepsisen som vi har ovenfor den digitale verden, ikke er til stede hos unge. Det betyr at du bør gjøre digital dannelse og atferd til en del av oppdragelsen på lik linje med bordskikk.
  • Det finnes verktøy som kan vise hva barnet ditt gjør på nettet. Et eksempel er Microsoft Family, og du kan gjøre det samme på deres smarttelefoner. Det betyr ikke at du skal overvåke dem døgnet rundt, men det kan være godt å vite hvilke sider barna besøker når de beveger seg vekk fra Instagram og TikTok.
  • Invester 10-15 minutter i å sjekke at PC-en er sikret godt nok med et skikkelig endpoint – det man kalte antivirus i gamle dager. De fleste endpoint-løsninger fungerer i dag også som brannvegg.

Deretter kommer vi til bedriftene, og det er de som bør gjøre mest. Å investere i it-sikkerhetsløsninger som beskytter hele den ansattes nettverk inkludert tilkoblede enheter, bør være selvsagt etter to år med Covid.

Bedrifter bør:

  • Gi endpoint-løsninger til alle den ansattes familieenheter – også barnas gaming-PC. Det gir synlighet på bedriftens «edge». Med tanke på å overholde GDPR, kan det angis i innstillingene hva bedriften kan se og ikke se.
  • Kjøp inn bedre maskinvare i form av routere til de ansatte. En ordentlig router koster kanskje 3000 kroner, men så kommer den også med VLAN-muligheter så gaming- og jobbtrafikk kan skilles.
  • Inkorporer Ring of Fire: Send så mye av trafikken som mulig vekk fra PC-en og nettverket, la nettleseren kjøre i skyen fremfor på din egen PC, og «sandbox» filer før de rammer PC-en.
  • Benytte Zero Trust: Også mellom medarbeidere og ansatte via VPN.

Barn er den absolutt enkleste veien inn for hackere og it-kriminelle, og derfor må bedrifter ta dem på alvor som en åpenlys sårbarhet i sikkerhetsstrategien sin. Gjør din bedrift det?

Torben Clemmensen, Pre-Sales Engineer, VIPRE Security