Forsvarsminister: Danske cybersoldater skal både kunne forsvare og angribe

Illustration: leowolfert/Bigstock
Danmark skal ikke angribe andre lande i cyberspace - men vi skal kunne det. Læs, hvordan forsvarsministeren forklarer forskellen til Version2.

Det var stik imod forsvarsforliget, da forsvarsminister Nick Hækkerup (S) i januar fortalte Version2, at han ikke mente en dansk, militær cyberenhed skulle være offensivt anlagt, men primært koncentrere sig om at forsvare Danmark mod cyberangreb.

Læs også: Forsvarsministeren i kovending: Danmark skal ikke lave cyber-angreb

»Vores fokus i første omgang er at tage vare på vores egen sikkerhed. Vi har med regeringens forsvarspolitik valgt at føre en meget aktivistisk udenrigspolitik, hvor vi er til stede rundt omkring i verden. Men det er ikke sådan, at vi skal have offensiv kapacitet og være til stede offensivt med vores cyberindsats,« sagde Nick Hækkerup i januar til Version2.

Nu har piben fået en anden lyd. I et nyt interview med Version2 fortæller Nick Hækkerup, at Danmarks cyberkrigsenhed alligevel skal have en offensiv kapacitet.

»Vi skal have evnen til at kunne angribe i cyberspace, men det betyder jo ikke, at vi har planer om at gøre det. Man kan vælge at se det som en slags suverænitetshåndhævelse,« siger Nick Hækkerup til Version2.

Hvordan hænger det sammen med det, du sagde til Version2 i januar om, at vi hverken skal have en offensiv kapacitet eller være til stede offensivt med vores cyberindsats?

Læs også: Minister forbereder sig på cyberangreb fra terrorister

»Det offensive og defensive er to sider af samme mønt. Ligesom vores jagerfly både kan bruges til suverænitetshåndhævelse i vores luftrum og til at angribe andre med, så kan vores cyberforsvar begge dele,« siger Nick Hækkerup til Version2.

Men holder analogien med jagerfly, der både kan angribe og forsvare, i cyberspace?

»Analogien har den begrænsning, at jagerflyenes opgaver er tæt bundet til et bestemt geografisk område, hvorimod cyberenheden opererer globalt. Ellers er det præcis det samme i cyberspace, at resurserne både kan bruges til forsvar og angreb,« siger Nick Hækkerup til Version2.

Nick Hækkerup understreger, at økonomien stadig er uændret - ca. 140 millioner kroner om året frem til 2014. Dette tal er dog noget mindre, end hvad nu forhenværende it-chef i Forsvaret Jesper Britze kalkulerede med ved forsvarsforligets indgåelse i 2009 - her lød buddet nemlig på 350 millioner kroner om året.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (9)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Robert Larsen

Forsvarsministeren ved vist ikke helt hvad han snakker om (surprise). Forsvar og angreb er muligvis to sider af samme mønt i den fysiske verden, men i den digitale er det altså ikke.

Forsvar handler om at finde og udbedre sårbarheder (muligvis også udvikle exploits som også kan bruges offensivt), samt overvåge, opdatere, og kryptere (for bare at nævne et par opgaver).

Angreb handler om at finde sårbarheder, udvikle exploits OG sikre vedblivende adgang. Der skal udvikles rootkits, slettes spor, skjule sig for antivirus og intrusion detection, laves skjulte kanaler og så videre.

Forsvar og angreb er to meget forskellige ting når vi snakker cyberspace.

  • 3
  • 2
Hans-Michael Varbæk

Du kan starte med at blive sikkerhedskonsulent og specialisere dig i f.eks. Black-box Penetration Testing (Offensiv) og White-box Vulnerability Assessments (Defensiv), hvor du også skal kende til ting som "Host Configuration Review", samt en masse andre ting, herunder mindst et eller flere programmeringssprog + viden om assembly og reverse engineering.

Medmindre Danmark selvfølgelig kun skal have point-and-click (script kiddie) værktøjer til deres "cyber soldater".

Du kan sagtens lære alt det her, og blive sikkerhedskonsulent. (Samt blive penetration tester, ja, den type stilling findes, men næsten ikke i Danmark da vi stadigvæk er et U-land når det kommer til det område.)

Der er et par enkelte firmaer i Danmark som har hele markedet, men som generelt ikke har junior stillinger overhovedet. Så jeg anbefaler du f.eks. flytter til England hvor det er forholdsvist let at få en junior position indenfor IT-sikkerhed. (Junior er lidt ligesom praktik, du skal kunne noget, men ikke særligt meget, og du bliver betalt.)

Du kan godt prøve at ansøge i Danmark, men det er relativt lidt af firmaerne som har at gøre med rigtig Penetration Testing, altså den offensive del af etisk hacking. (Hvilket skyldes firmaernes indstilling til IT-sikkerhed.)

Det første skridt er dog uddannelse. Jeg ved ikke om du kan studere "Computer Science" på Universitetet i Danmark, men det åbner nogle døre senere hen. Først og fremmest, skal du dog lære en masse om IT hvis du ikke ved det allerede, og så skal du fokusere på at få en basis samt special viden, som du kan enten købe via special designede kurser som kan være ret dyre, eller hvor du selv søger viden på Internettet, hvilket betyder at du under alle omstændigheder skal være dedikeret, og virkelig gerne ville det her, da IT-sikkerhed ikke bare er point-and-click :-) (Ellers kunne de lige så godt sætte en server op som C&C og så bruge alle NemID brugere som bots i et botnet.)

Alle ytringer i det her svar / indlæg, er selvfølgelig kun mine egne.

  • 2
  • 0
Johnny Vestergaard

@Robert Jeg er ikke helt enig i at angreb og forsvar i det digitale domæne er to meget forskellige ting.

Indenfor normal fysisk krigsførsel og sabotage/spionage virksomhed gør man principelt helt det samme som i det digitale domæne: Man finder og forbedre svage punkter i eget forsvar, og identificere og udnytter svage punkter i fjendens forsvar - helt i traditionel Sun Tzu stil.

Den helt store forskel når vi taler det digitale domæne er hastigheden hvormed en trussel kan manifestere sig.

For en god ordens skyld skal det nævnes at ovenstående er egne personlige holdninger.

  • 0
  • 0
Kaj Nielsen

Johnny, hvis du lige læser Roberts svar igen, vil du se at når han snakker om forsvar er det også at udvikle exploits, men at angreb bl.a. handler om hvordan man holder kommunikations veje åbne efter et succesfuldt angreb.

  • 0
  • 0
Johnny Vestergaard

@Kaj Ja, netop :-)

I sit digitale forsvar kan man udvikle exploits af to årsager: 1. For at finde og teste ukendte sårbarheder i eget setup, 2. For vha. en exploit at levere en payload til angriberen gennem hans angrebs software.
Nøjagtig det samme gør man i traditionel krigsførsel blot med "normale" våben og forskellige former for beskyttelse.

I et traditionelt angreb er en af de største udfordringer netop: At holde kommunikationslinjerne åbne.

Mht. kommunikationslinjer mener jeg nu ikke at det er absolut nødvendigt at holde disse åbne, ved eksempelvis klandestine digitale sabotage operationer kan det endda være en unødvendig risiko. (Det er lettere at opdage lidt kommunikation frem for ingen kommunikation).

  • 0
  • 0
Robert Larsen

I sit digitale forsvar kan man udvikle exploits af to årsager: 1. For at finde og teste ukendte sårbarheder i eget setup, 2. For vha. en exploit at levere en payload til angriberen gennem hans angrebs software.

Netop som jeg skrev, men det er så dér lighederne slutter.

Digital forsvar indeholder ikke udvikling af rootkits, udvikling af covert channels, sletning af spor.

Digital angreb har intet med opsætning af VPNs at gøre, implementering af kryptografi alle steder, implementering og vedligeholdelse af IDSer og så videre at gøre.

  • 0
  • 0
Log ind eller Opret konto for at kommentere