IT Arkitektur og Sikkerhed

1. IT Arkitektur og Sikkerhed Virus, Malware og hvad er trusselsbilledet?

2. Indhold • Rootkits (cont) • Malware Trends • Trusselsbillede

3. Rootkits fortsat

4. €45

5. Hvordan finder man dem? • Tjaaaeee godt spørgsmål… • Typisk fem metoder: • Behavioral detektion • Juanna Rutkowska & Jamie Butler generer hinanden • Integritets detektion • A lá TripWire • Signatur baseret detektion • Præcis men ineffektiv mod nye • Diff based detektion • SysInternal, F-Secure og Strider • Systemet bliver ustabilt

6. Systemet bliver ustabilt • Ret normalt problem • Det at hooke en APIs er svært og farligt • Det gælder både user mode og kernel mode • …og rootkit detectors!

7. Hvordan fjerner man dem? • Geninstallation er den eneset sikre måde at fjerne det på • Rootkits kan søger at sørge for at du ikke kan finde dem eller fjerne dem • Det at fjerne et rootkit kan ødelække et system • Du kan aldrig vide med sikkerhed hvad ellers et rootkit har lavet • “Once time in Ring Zero, forever Ring Zero.” • Edgar Barbosa, Avoiding Windows Rootkit Detection • Sørg derfor for at det ALDRIG kommer ind

8. Det nye • BIOS og USB rootkits • Hvorfor: http://aving.net/newproduct/default.asp?mode=read&c_num=10685

9. Det ligner…

10. Eller…

11. BIOS Rootkit • Svært at finde • Overlever reboots • Overlever re-installationer • Problem: Mange forskellige BIOS’er • Hvordan løser vi det?

12. Malware trends

13. Trends 2007 er et dårligt malware-år 2007 er en dårlig årgang, når det kommer til malware. IBM's X-force har allerede nu fundet ligeså meget malware, som de gjorde hele forrige år. Af Filip Schwartz Kirkegaard, onsdag 19. september 2007, 16:06 Det ser ikke for godt ud for verdens hæderlige computerbrugere. IBM's afdeling for sikkerhed over internettet, kaldet X-force, har allerede nu registreret 210.000 eksempler på malware. Det er mere, end X-force fandt i hele 2006.Ifølge rapporten er trojanere den helt store gruppe af malware i år. Det er virus gemt i filer, som umiddelbart ser udskadelige ud.Sidste år var downloaders ellers den største kategori. En downloader er en ubetydelig virus, der installerer sig selv, så den senere kan downloade og installere en mere sofistikeret virus.Ifølge X-forces direktør Kris Lamb er der tegn på, at angreb bliver mere sofistikerede, når det kommer til at målrette angreb med virus for at skaffe penge.Derudover siger rapporten fra X-force, at det er blevet mere populært blandt de it-kriminelle at leje de forskellige former for angrebsmetoder af hinanden.Tidligere var Sydkorea den helt store kilde til phising-emails, men i år har Spanien overtaget den rolle ifølge IBM's målinger. Spanien står for 17,9 procent af den samlede phising, hvor kriminelle prøver på at opsnappe brugernavne og adgangskoder. Udskrevet fra www.comon.dk

20. Trusselsbilledet (Case)

21. Hvad søger vi at undgå?

22. Kildemateriale • UK National Infrastructure Security Co-ordination Centre (NISCC) • UK Department of Trade and Industry (DTI), men udarbejdet af Price Waterhouse Coopers • FBI • NSA Ovenstående betegnes de primære kilder. Information fra førende teknologileverandører (sekundære kilder): • Cisco • Microsoft • IBM • Symantec • Webroot

23. Trusler De generelle trusler er inddelt i hovedgrupperne: • Malware • Phishing • Denial-of-Service • Network Attacks • Passive Attacks • Social Engineering • Exploitation by Insiders • Non-malicious (utilsigtede, sikkerhedsrelaterede trusler) som er underinddelt i ca. 50 kategorier.

24. Metode Metode for trusselsvurderingen: • Generelle trusler • Trusselskategorier, underkategorier, eksempler m.v. • Berørte sikkerhedsaspekter: C/I/A • Angrebspunkter/sårbarheder • Typisk hensigt med angrebet • Umiddelbare konsekvenser for den angrebne • Afledte konsekvenser - spredningspotentiale • Antal varianter – aktuelt og forventet • Trusselsniveau ved standard perimeter-løsning • Trusselsniveau ved best practice modforanstaltninger • Trusselsniveau for supplerende modforanstaltninger

25. OCTAVE skala OCTAVE-modellen • OCTAVE står for “Operationaly Critical Threat, Asset, and Vulnaribility Evaluation” • Udviklet af Carnegie Mellon Univercity for CERT • Anbefalet bl.a. af IT- og Telestyrelsen og meget udbredt til risikovurdering • Kun skala er anvendt • Risiko (trusselsniveau) er en funktion af sandsynlighed og konsekvens • Skala for risiko: • 0 • Lav • Medium • Høj • Kritisk • Ekstrem

26. Skala for trusselsvurdering

27. Og så til… • Gruppearbejde