Ruslpósturinn er kapítalisminn í sinni verstu mynd

Í Viðskiptablaðinu í dag, á bls. 17, fimmtudag er viðtal við mig varðandi SQL-innsetningaárásir.   

Hvað er SQL innsetning og hvaða skaða veldur hún fyrirtækjum?

SQL innsetning  eða SQL-injection er aðferð tölvuþrjóta að keyra eigin fyrirspurnir á gagnagrunn fórnarlambsins.SQL-innsetning er þekkt fyrirbæri í tölvuinnbrotum. Áður fyrr var algengt að brotist var á SQL-gagnagrunna til að komast yfir kerfisstjóraréttindi. Einnig var hægt að eyða eða setja inn ný gögn, t.d. áróður með því að skrifa yfir fréttir sem fyrir voru í grunninum. Nú er komið nýtt afbrigði af árásum og hafa hundruð þúsunda vefsíðna orðið fyrir barðinu á tölvuþrjótum.

Myndin sýnir í stórum dráttum hugmyndina á bak við SQL innsetninguna hjá tölvuþrjótunum.  Notandi (lesandi) er að panta ævintýraferð á spennandi og fallega hönnuðum vef (1). Hann fyllir pöntunarformið rétt út en þegar hann ýtir á staðfesta flyst hann á vefsetur sem inniheldur spilliforrit (2).  Í árásarhrinunni sem gengur yfir núna eru þrjú vefsetur sem innihalda spilliforritin en þau verða ekki gefin upp hér af öryggisástæðum.  Þegar notandi  kemur á spillta vefsetrið, þá flyst lítið forrit, svokallaður Trójuhestur yfir á tölvu notanda og opnar „bakdyr“ (3). Forritið lætur skúrkinn samstundis vita um að það sé komið á nýjan stað og bíður frekari fyrirmæla . Notandinn er kominn í  hóp laumuneta (4).   Ef notandi er ekki með vírusvarnir, þá getur hann orðið mesti ruslpóstsendari veraldar í stað þess að vera á leið í ævintýraferð.Nokkur íslensk fyrirtæki hafa orðið fyrir barðinu á tölvuþrjótunum með tilheyrandi rekstrartruflunum, sölustoppi, viðhaldskostnaði og jafnvel hlotið álitshnekki. 

2. Hvernig er þróunin erlendis varðandi þessi mál – er þetta ,,það nýjasta” eða koma stöðugt fram nýir skaðvaldar ?

Tölvuþrjótar eru hugmyndaríkir. Þeir eru fljótir að athuga allar mögulegar glufur þar til öryggishola finnst. Til þess nota þeir oft þróaðan hugbúnað. Það er viðskiptahugmynd á bak við árásirnar. Tölvuþrjótarnir eru knúnir fram af hagnaðarsjónarmiðum. Mikil  aukning á árásum hefur verið síðustu vikur og hafa öryggisfyrirtæki fjallað um ógnina. Einnig hefur Microsoft nýlega gefið út tilkynningu um hættuna og bent á lausnir. Fyrir viku fann ég 505 þúsund vefsíður sem höfðu verið sýktar með innsetningu með einni ákveðinni leitaraðferð. Nú er talan búin að hækka um 50% .  

3. Skaðar þetta ekki frekar lítil og meðalstór fyrirtæki sem hafa síður efni, fjármuni og mannskap til að byggja upp öryggismál hjá sér?

Það er enginn vefsetur óhult fyrir  árásum tölvuþrjóta. Séu veikleikar á vefþjónum, þá nýta tölvuþrjótar sé þá. Lítil og meðalstór fyrirtæki hafa í auknu mæli komið upp vefsíðum og eru oft með gagnagrunna þar á bak við til að gera vefi hraðvirkari og kvikari. Síðurnar eru oft smíðaðar í miklum flýti og viðhaldi er stundum ábótavant. Aukið flækjustig vefsíðna gerir vefþjóna berskjaldaðri og því þarf að athuga að öryggi þeirra. Það eru meiri líkur á að stór fyrirtæki innleiði öryggisstaðalinn ISO/IEC 27001 til að lágmarka tjón og efla öryggisvitund starfsmanna. Lítil og meðalstór fyrirtæki ættu að sjálfsögðu að huga að öryggismálum upplýsingakerfa og innleiðingu alþjóðlegra öryggisstaðla. Upplýsingar á vefþjónum eru verðmætar eignir og þurfa því viðeigandi vernd. Vefsíður eru auk þess andlit fyrirtækja út á við. Séu þær „hakkaðar“ verður fyrirtækið fyrir álitshnekki. Upplýsingaöryggi má líta á sem leið til að varðveita, leynd, réttleika og tiltækileika. Ef tölvuþrjótar nýta síðurnar til dreifingar vírusa er  ímyndarlegt stórslys. Upplýsingaöryggi má líta á sem leið til að varðveita, leynd, réttleika og tiltækileika.

4. Hvaða geta fyrirtæki helst gert til að sleppa undan þessu?

Besta leiðin til að koma í veg fyrir SQL innsetningu er kóðarýni. Rót vandans liggur í illa skrifuðum kóða á vefsvæði. Vefforritarar eiga að tryggja heilindi gagna sem skrifuð eru í gagnagrunninn og tryggja að ekki sé hægt að smeygja inn kóða. Fullgilding gagna á netþjóni og notkun formstikaðra reiðustefja (parameterized stored procedure) er góð aðferð. Athuga ber að tölvukerfi sem er veikt gagnvart SQL-innskotum gæti innihaldið veikleika á borð við XSS (cross site scripting) eða kóða-innskot. Rót þessara vandamála er sú sama: Gögn eru ekki fullgilt eða hreinsuð áður en þau eru notuð.Kerfisstjórar fyrirtækja ættu að banna umferð notenda á þessa þrjá þekktu vefi sem geyma spilliforritin . Sé fyrirtæki með lausnir frá þriðja aðila, t.d. fréttakerfi eða spjallborð, ættu þeir að athuga hvort ný útgáfa sé komin og uppfæra strax.  Jafnframt sækja viðbætur við forrit á vefþjóni og uppfæra reglulega.  Notendur eiga að sjálfsöguð að hafa vel uppfærðan veirurvarnarnarbúnað á tölvum sínum. Hafi vefsetur sýkst af innsetningu, þá er fyrsta verk að loka vefnum og hreinsa upp gagnagrunnin til að viðskiptavinir lendi ekki í smithættu. Síðan að hafa samband við vefforritara eða fá sérfræðinga til að gera öryggisúttekt á kóðanum, fá þá til að finna tilvik og gera tillögur að úrbótum.

 

 

Eldrefurinn (Firefox) í sókn

Það eru sviptingar á vefvaframarkaðnum.  Í lok febrúar var Netscape Navigator lagður niður eða viðhaldi hætt á honum en hann var yfirburða vafrari frá árdögum netsins. Þá notuðu um 90%  notenda vafrarann. Nú er hlutfallið komið niður í 0.6%

Mikið vatn hefur runnið til sjávar frá ári netsins 1995. Internet Explorer tók mikið stökk en aðrir vafrar hafa styrkt stöðu sína. Mozilla Firefox hefur náð góðum árangri og nota margir hann til ferðast um víðáttur netsins.  

Nú í vikunni kom í ljós öryggisvandamál í Firefox og þarf því að sækja uppfærslu en nokkrir notendur lentu í því að JavaSkript ruslasöfnunin hrundi.  Því ættur allir notendur Firefox að sækja nýjustu uppfærslu. Vafrarinn spyr notendur um hvort þeir vilji uppfæra.  Sé svo ekki, þá er hægt að fara í Help --> Check for Updates.   Útgáfa 2.0.0.14 er sú traustasta frá þeim.

Ég mæli með því að fólk sæki Firefox og hafi uppsettan á tölvum sínum. Nota hann sem varadekk ef Internet Explorer er með stæla.

Kíkjum að lokum á nýjustu tölur um markaðsstöðu vefvafrara um áramótin síðustu.

Heimildir:

Market share

Mozilla

Krákan

Kraken eða krákan er sæskrímsli sem dvaldi í fyrir utan strendur Íslands og Noregs.  Skrímslið var gríðarstórt, allt að 13 metrar með mörgum löngum örmum. Það gerði árásir á minni skip og sökkti þeim.

Nú er krákan komin á kreik. Hún býr ekki í sjónum við strendur okkar. Heldur býr hún djúpt í tölvukerfum heimsins. Hún gerir  árásir á tölvukerfi og sendir ruslpóst sem víðast. Hún getur sökkt illa vörðum tölvum á augabragði.

Kraken er stórt net laumuforrita (Botnet). Talið er að um 400.000 tölvur knýi það áfram. Svo telja sérfræðingar öryggisfyrirtækisins Damballa.  Talið er 50 af  500  fyrirtækjum á Fortune listanum hafi sýkst af aðgerðum Kraken og 80% af vírusvörnum þekki ekki brögð hennar. Kraken er ekkert annað en ruslpóstsendir sem knúin er af hagnaðarsjónarmiðum.  „Kapítalisminn í sinni verstu mynd“.

Slæmu fréttirnar eru þær að Kraken laumuforritanetið fer stækkandi  sé að ná Storm laumunetinu að stærð. Því fer ruslpósti fjölgandi.

Vonum að töluöryggissérfræðingar finni út meðlimi Krákunnar og komi undir lás og slá.

Dæmigerður lífsferill ruslpósts sem á uppruna sinn í laumuneti.

(1) Vefsíða ruslpóstsendanda    (2) Spammari   (3)Vélbúnaður ruslpóstsendanda

(4) Sýkt tölva   (5) Vírus eða Trojan  (6) Póstþjónn    (7) Notandi   (8) Vefumferð

 

Heimild: 

Wikipedia

SecurityProNews

Yfir milljón tölvuóværur í umferð

Konungur laumuforritana sleppur líklega við fangelsi

Hann er ekki gamall, aðeins 18 ára, Nýsjálendingurinn Owen Thor Walker sem er kallaður hefur verið konungur laumuforritana (Botnet).

Hann er talinn höfuðpaur í gengi sem sýkti 1.3 milljónir tölva víða um heim frá 30. janúar 2006 til 28. nóvember 2007 og hagnaðist hann töluvert af þeirri iðju.

"Konungur laumuforritana" sem gekk undir nöfnunum, "AKILL", "Snow Whyte", og "Snow Walker" hefur játað að hann hafi vitað að verknaðurinn væri ólöglegur en ekki glæpsamlegur.

Dómur fellur í málinu í lok maí en talið er líklegt að hann sleppi við fangelsi en fái sekt og þurfi að inna af hendi samfélagsþjónustu.  Ungur aldur er brotin voru framin og Asperger sjúkdómur hjálpa til við vægan dóm.

Fólk í upplýsingatækni er frekar ósátt, verði þetta niðurstaða dómsins. Telja að verið sé að senda tölvuþrjótum röng skilaboð. Það sé allt í lagi að smita tölvur með spillihugbúnaði og stela upplýsingum, refsingin sé engin.

Myndband á netöryggi.is sem útskýrir laumuforrit, (Botnet eða Zombie)

Heimild:

http://www.sophos.com/pressoffice/news/articles/2008/04/owen-walker.html?_log_from=rss

 

#9

Fjöldi nía, eða "units of nine" er frasi sem notaður er í sambandi við uppitíma tölvukerfa.

99.9999%  er í raun sex níur  (6 9's)  og þíðir að tölvukerfið er uppi allt árið nema í 31,5 sekúndu.  99.999% eru 5.26 mínútur yfir árið.

En hefur einhver aðili svona góðan uppitíma? 

Sögur segja að NSA (þjóðaröryggisráð Bandaríkjanna) hafi sett upp í AT&T byggingunni kerfi til að veiða upplýsingar og hafi uppitíma upp á sex níur, 99.999%.  Það er því hægt að ná þessu markmiði en það er óhóflega dýrt. Það þarf að tryggja svo mörg atriði, t.d. rafmagn, nettengingar og diskar.

Í dag eru helstu stýrikerfi og diskar svo óstöðug eða ófullkomin að tölvukerfi geta ekki náð þessu takmarki án mikils tilkostnaðar en með tilkomu SSD  disksins (Solid State Disk) verður 99.999%takmarkið um tiltækilega mögulegt.

Alþjóðlegt aðgangsbrotanet afhjúpað

Lögreglan í Quebec í Kanada, upplýsti í gær að þeir hefðu komið upp um net þrjóta sem stunda aðgangsbrot (hacking network) sem brutust inn á milljón óvarðar tölvur víða um heim. 

Þrjótarnir náðu að koma fyrir Trójuhestum og ormum í tölvum hjá einstaklingum og stofnunum. Flestir notendur voru í Póllandi og Brasilíu. Einnig notendur í Kanada og Bandaríkjunum.  Íslendingar virðast hafa sloppið vel í þetta sinn.

En græða þrjótarnir eitthvað á þessu annað en athygli. Jú, heldur betur. Þrír milljarðar var hagnaður gengisins.

Tölvuþrjótarnir voru 14 að tölu á aldrinum 17 til 26 ára og verða ákærðir fyrir að nota tölvur í óleyfi.

Mórallinn af þessari frétt er sá að verja tölvurnar. Fjárfesta í eldvegg og vírusvörnum. Rannsóknir sýna að það tekur ekki nema fimm mínútur fyrir tölvuþrjóta að koma spillihugbúnaði fyrir á óvarinni.

Hugsaðu áður en þú smellir

Hugsaðu áður en þú smellir
Ein góð regla í tölvupóstsamskiptum er að opna ekki tölvupóst ef þú þekkir ekki sendandann. "Vinalegi" tölvupósturinn hér fyrir neðan er nú í gangi á Netinu í ýmsum útgáfum. Hann ber ýmis merki válegra tíðinda. Dularfull uppbygging, slök stafsetning og dularfull vefslóð.

PS

Ekki SMELLA nokkurn tímann á tengil í svona tölvupóstum ef þeir eru til staðar - beint í ruslatunnuna með skeytið.

Hello friend!
You have just received a postcard from someone who cares about you! It has been a long time since I haven't heared about you! I've just found out about this service from Claire, a friend of mine who also told me that...." If you'd like to see the rest of the message, click here http://[link removed]ro/postcard. gif.exe to receive your animated postcard! Thank you for using http://[link removed].com's services !!! Please take this opportunity to let your friends hear about us by sending them a postcard from our collection!

Var XRumer á ferðinni?

Blog.is á vefþjóni mbl.is hefur lent í alvarlegri áras í dag. Bloggvefurinn hefur verið meira og minna niðri yfir háannatíma.

Skyldi XRumer spilliforritið hafa átt þátt í þessari leiðinlegu árás? Spilliforritið er hannað til að senda amapóst um vefsíðu á málþing, blogg- og wiki síður og markmiðið er að hækka viðkomandi síðu á leitarvélum.  Spilliforritið er brögðótt og kemst framhjá vörum eins og notendaskráningu, CAPTCHA (slá inn stafi af mynd) og skráningu með tölvupósti.

Auk þess notast það ríkulega  við opna staðgengilsþjóna (open proxies) til að fela slóðina og gera kerfisstjórum sem reka bloggsíður lífið leitt.

Það er hægt að nálgast XRumer á Netinu og kostar $450 og getur póstað yfir 1100 athugasemdum á innan við korteri.

Spilliforritið kom á markað fyrir ári síðan og er höfundur þess Rússinn Aleksandr Ryanchenko.

Það er óhuggulegt að svona öflugt spilliforrit skuli vera til sölu á netinu fyrir 27.000 krónur.  Því miður er veruleikinn svo að við getum átt von á fleiri árásrum í framtíðinni.

XRumer á Wikipedia og itWeb

Ráðist á blog.is

Áhættumat í upplýsingatækni

"Heimurinn er fullur af hættum". Svo mælti Tumi engispretta við Gosa Jakobsson á leikfangaverkstæði Jakobs. En Gosi var að fikta í smíðaverkfærum föður síns og skapaði mikla slysahættu. 

Ég og Ari litli vorum að koma af leikritinu GOSI í Borgarleikhúsinu og minntu þessi orð Tuma mig á vinnu mína en gerð áhættumats í upplýsingatækni er í starfslýsingunni.

Daglega stöndum við frammi fyrir ákveðinni áhættu og heilbrigð skynsemi hjálpar okkur að taka skynsamar ákvarðanir á augabragði svo við komumst oftast ósködduð frá deginum. 

Þegar hlutirnir verða flóknari þá hafa verið þróaðar aðferðir til að meta áhættuna - Áhættumat.  Mat á áhættu er mikilvægur þáttur í allri ákvarðanatöku okkar.

Áhættumat er framkvæmt í mörgum greinum. Dæmi um nýlegt áhættumat í umhverfi er Urriðafossvirkjun. Meginniðurstaða áhættumats fyrir virkjunina er sú að bygging hennar leiðir ekki til aukinnar áhættu á svæðinu.  Fjármálastofnanir framkvæma áhættumat vegna útlána.  Áhættumat er lykilþáttur í vinnuvernd á vinnustöðum.  

Í upplýsingatækni er áhættumat mikilvægur hluti af upplýsingaöryggi.  Áhættumat er mat á ógnum sem steðja að upplýsingum og upplýsingavinnslu, áhrifum þeirra og viðkvæmni fyrir þeim og líkum á að þær gerist. Metin er hættan á því að óviðkomandi fái aðgang að upplýsingum, geti breytt upplýsingum eða skert öryggi þeirra að öðru leyti.

Áhættumat tekur einnig til athugunar á umfangi og afleiðingum hættunnar m.t.t. eðlis þeirra upplýsinga sem unnið er með. Markmið áhættumats er að skapa forsendur fyrir vali á öryggisráðstöfunum. Áhættumat skal endurskoða reglulega

Við hjá Stika gerum áhættumat með hugbúnaðinum RM Studio sem er þróaður hjá fyrirtækinu til að framkvæma áhættumat í samræmi við kröfur ISO/IEC 27001:2005.

RM Studio er leiðandi hugbúnaður í innleiðingu upplýsingaöryggis og hefur vakið verðskuldaða athygli hér á landi. Sókn er hafin á erlenda markaði, útrás heitir það öðru nafni.

Smugan, miðstöð tækni- og lista fyrirtækja

Fór eftir vinnu í dag á opnunarhátíð Smugunnar á Klapparstíg 28.  Þar eru til húsa fyirirtækin Marimo ehf., Sjá ehf., Sprettur ehf., 2 Global ehf., Pooldb, Love Corporation ofl. Þetta eru hugbúnaðar og/eða lista fyrirtæki.  Það var gaman að koma inn í húsið sem er með starfsemi á þrem hæðum. Það á sér mikla sögu og það var gaman að vera innan um nörda og listamenn.  Miklar andstæður, gamalt hús með  gömlum innréttingum en nýtísku net- og vélbúnaður.

Frumherjarnir í CCP sem þróuðu tölvuleikinn Eve-oneline voru áður til húsa á Klapparstíg en með vaxandi velgengni sprengdu þeir húsið utan af sér og eru þeir komnir út á Granda.

Frumkvöðlar hverfandi stétt er frétt í 24 stundir í dag. Þorsteinn Ingi Sigfússon segir grátlegt að sjá á eftir góðum nemendum í banka. Lista og tæknifólkið í Smugunni hefur  kosið að vinna ekki fyrir áhættufjárfesta heldur skapa eitthvað nýtt. Það eru góðar fréttir.