Nationalbanken klapper i om Solarwinds-sagen: Her er Version2s ubesvarede spørgsmål

Men farlige beslutninger som denne, og at ignorere en ukendt server, samt et farligt setup (kritiske servere direkte på nettet, manglende efterforskning) kan ikke undskyldes med at angriberen er statsstøttet.

Det er netop ekstra farligt når der er tale om en statslig aktør. Kommercielle hackere har brug for et return of investment relativt hurtigt. Specielt fordi evt. huller kan blive lukket fra den ene dag til den anden og så er investeringen tabt.

Statslige aktører har brug for sovende malware der kan aktiveres når det måtte blive nødvendigt. Fx. i en krise- eller krigssituation.

at de tager manglende indikationer på at enkeltsystemer er inficeret som indikation på at de ikke er det. Det virker som en meget farlig beslutning.

Her rammer du hovedet på sømmet. Men farlige beslutninger som denne, og at ignorere en ukendt server, samt et farligt setup (kritiske servere direkte på nettet, manglende efterforskning) kan ikke undskyldes med at angriberen er statsstøttet. Nationalbanken er National - statens. Det er super kritisk infrastruktur.

Når Kronos2 laver en lille fejl er konsekvenserne store - det så vi i 2018 august, hvor alle overførsler og betalinger imellem banker fejlede og værdipapirhandel stoppede. Det førte til at mange netbanker stoppede.https://www.version2.dk/artikel/fejl-hos-nationalbanken-lukker-kundeadgang-netbanker-1086088

Hvis sådan en lille forbipasserende “Parameterfejl” i Kronos2 (som Nationalbanken bortforklarede det som) kan skabe så meget ravage, hvad kan Russerne så ikke opnå ved bevidste handlinger, hvis de har systemet under fjernkontrol i 7 måneder?

Den sag lugter langt væk af informationssikkerhedsmæssig inkompetence, ikke umuligt men udeligt.

Det er en meget stærk udtalelse og på det foreliggende syndes der ikke at være belæg for den.

Ingen systemer logger alt. Specielt fordi det handlede om et network management system som tager kontakt til rigtigt mange systemer på nettet for at overvåge dem, så vil trafikken ikke nødvendigvis være unaturlig. Jeg har fx. svært ved at forestille mig noget system der logger alle SNMP requests på et niveau der gør det muligt at se detaljer i kommunikationer.

Såfremt det er russiske stats-hackere der står bag (og det synes flere efterretningstjenester at være enige om), så har de haft gode muligheder og ressourcer for at udvikle metoder til at hoppe videre fra Orion på måder der ikke efterlader spor. Stats-hackere har sandsynligvis en hel sæk af zero day exploits der kan sættes ind når man først at komme ind ad døren.

Problemet er snarere at de tager manglende indikationer på at enkeltsystemer er inficeret som indikation på at de ikke er det. Det virker som en meget farlig beslutning. Jeg gætter også på at det ikke er IT folket der har truffet den beslutning.

Ved kompromitterede systemer er det ofte sådan at der rettes i indeholdet i logfiler, for at slette spor.

Som Marlene skriver, så lader man kun servere hoste sine egne logfiler, hvis man er inkompetent eller ikke har noget vigtigt på sit netværk. Der findes masser af muligheder for ekstern log. For 16 år Siden brugte vi så vidt jeg husker syslogNg, der må være noget tilsvarende til Windows.

Jeps. Nationalbanken er vist ret autonom, så man kan vel ikke lægge politisk pres på den for nogle svar?

Toppen, den kgl. direktør, udnævnes af regeringen. Om man bare kan pege på en ny, kan jeg ikke finde ud af.

Men denne sag tyder på at der er behov for nye koste.

Hvis der kan rettes i indholdet i logfilerne har man jo ikke sikret sine logfiler tilstrækkeligt, hvilket må være et minimumskrav når man er Nationalbanken. Der er masser af muligheder for at gøre dette med overførsler af logfiler til et SIEM system der igen er tilstrækkeligt sikret imod komprimittering. Havde man haft et detection and response system sat op og håndteret efter best practise havde man også haft et forholdsvis godt billede af om man var komprimiteret, det må man jvf tidslinjen formode at de ikke havde, for så havde man vidst det FØR en hændelse og ikke efter en konstatering af en bagdør og i forbindelse med forensics. Det hele peger på sikkerhedsmæssig inkompetence.

hvis man ikke har tilstrækkelige logfiler til rådighed og overblik over sine systemer,

Jeg undre mig over BECs kommentar: "BEC skriver selv, det nærmest er umuligt at bevise, adgangen gennem SolarWinds ikke er blevet misbrugt." Men de har jo fundet noget? Nuvel, det er "umuligt" hvis man ikke har tilstrækkelige logfiler til rådighed og overblik over sine systemer, men det er jo ikke umuligt hvis man har sikret et tilstrækkeligt sikkerhedsniveau, hvilket man godt kunne have forventet når der er tale om Nationalbanken. Hvor er Nationalbankens audit af deres sikkerhedsforanstaltninger hos leverandøren - har man glemt det og dermed "glemt" at sikre Nationalbanken tilstrækkeligt? Den sag lugter langt væk af informationssikkerhedsmæssig inkompetence, ikke umuligt men udeligt.

Jeps. Nationalbanken er vist ret autonom, så man kan vel ikke lægge politisk pres på den for nogle svar? Rent bortset fra, at det nok er sommerferie.

I betragtning af hvor vigtig Nationalbanken er for Danmark og resten af verden, er det bydende nødvendigt, at vi kan have tillid til, at de tager sikkerhed alvorligt.

Deres håndtering af denne sag tyder ikke på, at der er grund til en sådan tillid.