Sådan sikrer du medarbejderne mod hackerangreb

28. juni 2019 - Selvom en virksomhed har sikret sig mod cyberkriminalitet, er der stadig risiko for, at medarbejderne uforvarende kommer til at give hackere adgang til hele virksomhedens netværk. Hvordan det kan ske, viste Dubex’ it-sikkerhedsekspert på Folkemødet på Bornholm. Læs med her.

En kuffert fyldt med umiddelbart tilforladeligt it-tilbehør. Det var Dubex’ sikkerhedsekspert Keld Normans redskaber til at vise deltagerne på Folkemødet på Bornholm, hvordan man kan overtage en computer og fjernstyre en telefon.

 

Og brugt i de forkerte hænder kan it-tilbehør manipulere med signaler og systemer, så en virksomhed kan blive lagt ned på få sekunder.

 

Det var Dansk Erhvervs fagchef for IT og Digitalisering, Janus Sandsgaard, der til arrangementet ”Hacker-trylleshow med Kelds Kuffert” spillede rollen som den almindelige og uforsigtige medarbejder, der uforvarende kom til at give adgang til Dubex’ ekspert, der spillede rollen som it-kriminel.

 

Efter blot 3 sekunder blev computeren overtaget

Janus Sandsgaard forlod sin computer ulåst for at gå hen og hente kaffe. Det gav Keld Norman mulighed for i løbet af et splitsekund eller tre at sætte et USB-stik i Janus’ computer og køre et program. Da Janus kom tilbage med sin kaffe, viste computeren en falsk login-side magen til den, der normalt fremkommer, når man husker at låse sin PC.

 

Med den falske login-side anede han ikke uråd om, at computeren sendte hans adgangskode til hackeren, når han forsøgte at logge ind. USB-stikket indeholdt desuden et script, der gjorde det muligt for Keld at kopiere alt, hvad han ønskede på Janus’ computer – også selvom Janus ikke selv åbnede noget fra USB-stikket.

 

En enkel løsning til at undgå dette er at huske at låse sin computer, når man forlader den.

Se Keld Norman og Janus Sandsgaard til ”Hacker-trylleshow med Kelds Kuffert” på Folkemødet.

Pas på adgangskortet

Men det er ikke kun it-tilbehør, at man som medarbejder skal være opmærksom på. I mange store virksomheder bærer medarbejderne et adgangskort.

 

Keld Norman viste en adgangskort-kopimaskine – en Proxmark3 Rdv 4.0 – der ikke var større end et visitkort. Hvis en medarbejder lægger sit adgangskort på skrivebordet og vender sig væk et øjeblik, kan Keld hurtigt kopiere adgangskortet og lave et tilsvarende kort til sig selv. Det giver den it-kriminelle mulighed for at få fysisk adgang til virksomheden og måske også til særligt sikrede områder.

 

Det samme kan faktisk ske, hvis en medarbejder har adgangskortet på sig i det offentlige rum. En hacker, der er ferm på fingrene, kan kopiere det blot ved at sidde ved siden af medarbejderen i bussen eller kantinen.

 

Det er vigtigt at gøre medarbejderne opmærksomme på, at de altid skal have adgangskortet på sig. Samtidig skal virksomheden sikre sig, at de har en nyere type adgangskort eller en beskyttende kortholder.

 

Sæt en ledning i din mus

Ledningsfrie mus, der benytter en dongle i computeren, kan potentielt hackes. Donglen fungerer faktisk som en radio, og når Janus brugte sin mus, kunne Keld komme til at taste på Janus’ computer fra sin egen computer.

 

Der er umiddelbart to løsninger som kan afhjælpe dette problem. Man skal sørge for at opdatere firmwaren i donglen, så snart der er nye opdateringer, og ellers kan man bruge en mus med ledning. Mus, der benytter bluetooth uden en dongle, anses også for at være sikre.

 

Og husk, at det samme gælder for keyboards.

 

En falsk oplader gav adgang til rumaflytning

Keld havde ikke blot farlige USB-stik i kufferten. Også et mobilopladerkabel – der til forveksling lignede det, Janus selv havde sat i sin telefon – satte Keld til Janus’ mobiltelefon på et splitsekund. Janus anede ikke uråd, da han vendte tilbage til sin plads.

Foran tilskuerne på Folkemødet, viste Keld, hvordan kablet havde en indbygget mikrofon, så den kunne aflytte, hvad der foregik i rummet. Kablet indeholdt også en telefon og et SIM-kort. Når der var mere end 42 dB i rummet, ringede kablet op til Kelds telefon, så Keld og resten af deltagerne til arrangementet kunne lytte med.

Keld kunne også benytte et andet kabel, der i stedet havde et indbygget keyboard, så han kunne taste kommandoer på Janus’ computer.

Heldigvis findes der måder, hvorpå man kan beskytte sig mod falske mobilopladere, som især kan være et problem offentlige steder, som fx lufthavne. Man kan fx bruge et USB-kondom, som gør det om ikke umuligt, så sværere at tiltuske sig adgang til en mobiltelefon eller en computer via opladning.

Et USB-kondom er et lille stik, som sættes imellem ens udstyr, der skal have strøm, og laderen eller PC’en, der bruges som strømkilde. I de mest anvendte USB-typer, er der fire ledninger – de to ledninger benyttes til data og de andre to til strøm. Et USB-kondom afbryder de to dataledninger, så man kun får strøm til sin telefon. Så kan et ondsindet kabel ligeledes ikke få fat i computeren og fx emulere et keyboard. Man skal dog være opmærksom på, at en kreativ hacker potentielt kan lave et fjendtligt USB-kondom.

Et godt råd er, at man som udgangspunkt ikke forbinder sin telefonen til computeren, men at man i stedet bruger en oplader, der går direkte i stikkontakten.

Flere gode råd

Først og fremmest anbefalede Keld Normann generelt at lade være med at bruge de gængse kodeord. Hackernes robotter finder lynhurtigt de mest brugte kodeord. Det er ikke kreativt fx at bruge ord fra de ting, der ligger på skrivebordet, eller sin fødselsdag, navnet på hunden eller familiemedlemmer. Heller ikke, hvis man bruger tallet 1 eller et årstal – eller snabel-a, udråbstegn eller punktum. Og så skal man heller ikke bruge det samme kodeord forskellige steder.

 

Løsningen er at gøre brug af en passwordmanager, anbefalede Keld Norman, og kan man snige et dansk bogstav som æøå ind i kodeordet eller et mellemrum, er det også atypisk og gør det sværere for de internationale hackere.

 

Det er ikke bare nemt og bekvemt at have sine passwords samlet et sted, det øger også sikkerheden. Man bliver fx informeret via password manageren, hvis et af de sites, som man har log-in til – fx LinkedIn – er blevet hacket. Så kan man hurtigt skifte sit password.

 

Sikkerheden øges endnu en tand, hvis man bruger to-faktor autentifikation. Det gør fx, at når der forsøges at blive logget ind på ens computer, dukker der en besked op på ens telefon, hvor man så kan af- eller bekræfte, at der skal gives adgang.

 

Få en sandkasse

Endelig kan man sikre sin virksomhed mod fjendtlig indtrængen – udover at bruge de gængse antivirus-systemer – ved at bruge sandboxing.

 

Sandboxing fungerer som en slags mundskænk eller en sandkasse. Hvis en virus slipper forbi antivirusprogrammet, kommer den ind i sandkassen, før den får adgang til resten af computeren. Og hvis den ødelægger noget i sandkassen, bliver den stoppet, inden den ødelægger noget i computeren.

 

Det kan ses lidt som en mundskænk, der i gamle dage lige smagte på maden, inden kongen fik den. Sandboxen finder ud af, om filen, som man forsøger at downloade eller får vedhæftet i en mail, er inficeret ved at åbne den eller køre den. Sletter filen løs, når den køres, eller laver den andre ulykker, så sker det på den virtuelle computer, som konstaterer, at noget er galt. Den lukker så ned og er, som før den blev inficeret, når den starter igen. Og så får man ikke filen og undgår dermed at blive inficeret.

Virksomheder: Vi er under angreb hver eneste dag

På Folkemødet i år fortalte to topchefer fra henholdsvis NRGi og Region Sjælland, at de hver dag lever med bekymring for at blive hackede. Dubex’ hacker-ekspert Keld Norman gav de to topchefer og mødedeltagerne gode råd med hjem.

Kan man tillade sig at bruge red teams?

Kan man tillade sig at sende en lokkedue for at teste sikkerheden, når det involverer rigtige mennesker? Det må overvejes, inden vi gør brug af red teams, for det er i høj grad også et etisk dilemma. Derfor arbejdes der lige nu på et branchekodeks.

5 samfundstendenser, der påvirker din it-sikkerhed i 2019

Udfordringerne for it-sikkerheden i Danmark har aldrig været større. Men hvor kommer truslerne fra? Og hvilke overordnede tendenser påvirker trusselsbilledet? Vi har bedt Dubex’ CTO Jacob Herbst om at udpege 5 af de væsentligste tendenser, der har stor indvirkning på it-sikkerheden i 2019.

Tak for din henvendelse. Du hører fra os hurtigst muligt.