Certified Network Forensics Examiner (CNFE)

Endnu en forensic certificering på plads!


Det er økonomisk smart, at betragte it som et aktiv, der på lige fod med virksomhedens øvrige aktiver, skal passes på. Derfor er det klogt, at investere i it sikkerhed. 

Når den erkendelse er nået, er det tid til at tænke endnu smartere og se på hvilke muligheder man har for at sikre beviser i forhold til ekstern og intern it kriminalitet. 

Og det er her virksomhedens forensic team eller eksterne forensic samarbejdspartner kommer til sin ret. Intelligent it forensic kan betragtes som en forsikring der sparer virksomheden for en ubehagelig og uoprettelig merudgift.

Jeg vil i efteråret 2014 deltage i to større proof-of-concept projekter omkring hensigtsmæssig brug af netværksefterforskning - så følg med her på bloggen. 


Kenneth B. Jørgensen
CCFE & CNFE

Har du du en Android mobil - så brug 10 sekunder her!

I forbindelse med at du accepterer googles vilkår accepterer du blandt andet også at google lager informationer om hvor du har været. 

Du kan selv tjekke det ved, at besøge siden http://google.com/locationhistory og logge ind med din googlelkonto. Nu kan du grafisk og på en tidslinje se hvor du har været siden du fik telefonen. 

Eksempel på Google Location History

Grundlæggende en skræmmende men også cool funktion der jo både kan bruges og misbruges! Ved at få fingre i ungernes, konens eller mandens password har du fuldstændig styr på vedkommendes færden. 

Så vær obs på hvilke lokalitetstjenester du har på din mobil uanset hvilket en type telefon du har. Overvej også om du synes det er ok, at dine informationer om din færden ligger et eller andet sted i verden.

Virksomheder vil ikke forebygge internt svig!

Kommentar til arktikel i Børsen 1. maj Sektion 1 side 8 - “Virksomheder magtesløse over for internt it-svig” (*)

Det eneste der glæder mig ved artiklen er at Shehzad Ahmad fra DK-Cert mellem linjerne får sagt, at det jo kan være virksomhederne ikke prioriterer den interne sikkerhed højt nok. 

Jeg tror alle virksomheder ville nå langt hvis de istedet for holdningen “det sker ikke for os” indtog holdningen “det sker allerede - spørgsmålet er bare hvor og i hvilket omfang".

Virksomheder kan idag - hvis de vil - i høj grad sikre, at der ikke sker internt svig. Men hvilken virksomhedsejer i Danmark kan se det fornuftige i, at betale for at have et team af intilligente it-forensic eksperter. I mine øje svarer det egentlig bare til at at tegne en forsikring og dermed burde visse virksomheder spørge sig selv om de har råd til at lade være.  

Jeg er tildels enig i, at en enkeltstående person der vil lave rav i den godt kan gøre det. Men at der er adgang til alle data uden nogen former for dobbeltkontrol eller logs burde ikke være muligt. Ligeledes skulle en sund virksomhedskultur og logiske observationer få alarmklokkerne til at ringe, når noget foregår systematisk over længere tid. 

I mit virke ser jeg alt for mange eksempler på, at informationer der er personfølsomme eller kritiske for virksomhederne på ingen måder er beskyttet. Med andre ord så kan eleven eller vikaren downloade alt uden der er nogen som helst der ville reagere på det eller for den sags skyld kunne finde ud af hvem der havde gjort det.

Jeg håber nogle journalister vil lave en spændende undersøgelse af hvor mange af vores samfundkritiske virksomheder og offentlige organisationer der har en decideret og dedikeret it-forensic afdeling/team. Min påstand (der er for egen regning) er, at svaret vil være ret skræmmende. 

Så NETS - det er sikkert korrekt at I har styr på it-sikkerheden, men erkend at I ikke har haft tilstrækkelig styr på forensic delen!

(*) Bemærk artiklen er desværre bag købsmur men her er link til erhvervsnyhederne.dk hvor artiklen er så godt som identisk.

Når tillid bliver til naivitet ...

- kort betragtning udledt af den igangværende sag om se(t) og hør(t) (udfra et it-forensic fokus).

Jeg er stor Løgstrup fan og tror på tankerne om den grundlæggende tillid, der gør vi som mennesker tør leve sammen og være sammen. Det jeg frygter, er når tilliden gør os til lalleglade ignoranter der ikke vil indse, at vi bliver nødt til at tage vores forholdsregler.

Hvordan kan det være at IBM, NETS og SE & HØR på ingen måde har haft kontroller, monitoreringer og tests, der kunne mistænke/afsløre et langvarigt ulovligt forhold. Sikkert fordi “overvågning” af medarbejdere er noget man i Danmark helst ikke taler om eller ud fra en misforstået etisk forståelse ikke tør anvende. 

En naturlig opmærksomhed (som er noget andet end mistænkeliggørelse) samt “kendte” kontroller af den digitale aktivitet, bør som minimum være tilstede i de virksomheder der er kristiske for vores samfund. 

Disse (og andre) virksomheder bør tage tilgangen og erkende, at det ikke er et spørgsmål OM der foregår noget uhensigtsmæssigt men mere om HVAD og HVOR!

Istedet for at tænke, at overvågning er uetisk eller forbudt, så få implementeret en intelligent forebyggende opmærksomhed på flere fronter, alene med det formål, at beskytte virksomheden, kunderne og medarbejderne. 

Heartbleed / Heartbeat – i korte forhåbentlige forståelige træk

it verden har i de sidst par døgn været helt på tåspidserne. Årsagen er, at en fejl i et af de "moduler" der skal sikre vores data når det transporteres på internettet, gør at udefrakommende uopdaget kan hente informationer fra servere og websites som vi ellers stoler på.

I værste tilfælde kan dine brugeroplysninger og passwords være opsnappet og gemt til senere brug. Mange eksperter råder til at skifte passwords, men jeg deler den holdning, at det er det værst tænkelige tidspunkt at gøre det på. Sårbarheden er kendt af alle nu og mange vil se hvad de kan få ud af de servere der endnu ikke er opdateret. Hvis du skifter dit password på en sårbar side nu, er sandsynligheden stor for, at nogen opfanger dit passwordskifte. Havde dit password været gemt ville det sandsynligvis allerede (da hullet har været der i ca. 2 år) været brugt mod dig.

Jeg anbefaler at du finder ud af om den side du overvejer kan være ramt også faktisk er ramt. Brug et testsite til at teste en side/server - hvis du får et positivt resultat så brug lidt tid på at finde ud af hvorfor ved at læse årsagen til resultatet - da det kan skyldes andre ting (blandt andet at der er sat et værn op mod sårbarheden).

Alternativt er at se på denne liste over ikke sårbare sider (samt sider man skal være varsom med til man ved mere)

Hvis siden er ramt eller på listen - VENT med at skifte password - hvis den er sikker SKIFT password

Hold også øje - uden at gå i panik - med dine kontoudtog hvis du på nogle af de sårbare sider har brugt betalingskort.

Jeg har set en top 10000 liste og der er ikke umiddelbart sider som jeg vurderer der er mange danskere der bruger, men igen har jeg ikke overblik over situationen på danskernes foretrukne sider.

Hvis du vil læse mere på dansk og se flere værktøjer så blandt andet test af din egen server, så læs Henrik Lund Kramshøjs blog


Lidt mere teknisk

Så længe man bruger en af de sårbare versoner af OpenSSL (version 1.0.1 og 1.0.1f og 1.0.2-beta1) er der et problem.

Er du i tvivl eller ønsker du jeg tester din server / NAS ect. så kontakt mig endelig.

Løsningen er er opgradere din openSSL, indsætte regler for IDS der blokerer muligheden samt overveje udskiftning af nøgler (se Henrik Kramshøjs blog).

Muligt "hul" på LinkedIn

UPDATE: 

Trods en tests igår viser det sig ved efterfølgende tests at "hullet" ikke slår igennem udaftil. Derfor kan vi konkluderer, at der ikke er et sikkerhedsproblem selvom vi undrer os over funktionerne. 


_____

Det viser sig at være muligt, at ændre vitale informationer hos alle ens 1. connections og på alle man har inviteret til at connecte (selvom de ikke har accepteret) på LinkedIn. Om der er tale om en fejlindstilling i administrationen af en enkelt profil eller om det er et kendt "hul" vides ikke. Uanset hvad er det meget uheldigt. 

"Jeg har personligt set, hvad det er eMino Security kan gøre og det skræmmer mig, at det er muligt" siger Birgitte Kofod, formand for rådet for digital sikkerhed. 

eMino Security går nu igang med, at undersøge "hullet" til bunds og forventer at kunne give LinkedIn en melding i løbet af fredag. eMino Security ønsker ikke, at offentliggøre "hullet" da det kan skabe unødig uro.

Pas nu på med de informationer på nettet!

Vi har efterhånden lært at mails fra skat der kræver konto oplysninger ikke er rigtige, så hvad gør hackerne så? De målretter deres angreb ved at bruge lidt tid på info søgning og håb om at man accepterer en fiktiv venneanmodning eller linkedin connection. 

Fakta er at vi i stigende grad afgiver informationer om os selv på nettet via sociale medier, blogs, kommentarer, evalueringswebsites, dba, ect. Om man helt skal holde sig væk er et godt spørgsmål. Helt grundlæggende så er det summen af de samlede informationer man kan finde der udgør en risiko. Når man kommenterer indlæg som her eller f.eks. på en avis giver man uvildigt informationer der kan bruges mod en.

Og det er tit chokerende for folk når vi præsenterer dem for hvad vi på lovlig vis kan finde ud af om dem på kort tid ved, at bruge de rigtige værktøjer. 

Hvis jeg skulle give et råd så opret en fiktiv mail og identitet og brug den de steder hvor du afgiver "følsom information". Lad være med at bruge din Facebook eller Twitter konto til login på diverse services.

Et eksempel er et sted som Trustpilot. Trustpilot indeholder ret interessante informationer om brugerne. Heldigvis er der mange der ikke lige afslører deres identitet ved at kalde sig f.eks. "Kunde". Men som et lille åbenlyst eksempel så se på denne profil:

Eksempel 

Det er ret let at finde ud af at brugeren Erik Lund Panduro formegentlig er gift med Lissie. Erik arbejder hos Nordisk Institutionsmedia og bor Krovej 2B, 5874 Hesselager. Erik kan fanges på 21472740. For en hacker eller identitetstyv vil det være let at fortsætte og finde flere informationer og enddag vide fra hvilke firmaer der skulle sendes fiktive mails for at forsøge at få f.eks. dankort oplysninger. Man kunne begynde at se om Anja og Line Maria kunne være døtrene. Men fakta er at viden om salg af guld og hurtiglån er brugbar viden i en hackers/tyvs verden. 

Hvorvidt det er en reel trussel handler om hvem man er, hvad man har på spil og om man kan gennemskue de mails og connections man får. Desværre viser vores undersøgelser at alt for mange accepterer venneanmodninger og connections uden at vide hvem de lukker ind, ligesom man ukritisk deler informationer der alene synes ufarlige men samlet kan udgøre en reel trussel.  

Og det er ikke kun hackerne der bruger informationerne. Vi har gennem tiden hjulpet mange med at få et overblik over de samlede informationer på nettet og få fjernet dem der er uønsket ved at kontakte dataholder. På den anden side har har vi hjulpet arbejdsgivere, forsikringsselskaber og detektivbureauer med at finde informationer om personer. Så overvej hvordan du bruger nettet og hvad du inddirekte og direkte fortæller om dig selv.