IT Arkitektur og Sikkerhed Virus, Malware og hvad er trusselsbilledet?

Præsentationer af emnet: "IT Arkitektur og Sikkerhed Virus, Malware og hvad er trusselsbilledet?"— Præsentationens transcript:

1 IT Arkitektur og Sikkerhed Virus, Malware og hvad er trusselsbilledet?

2 Indhold Rootkits (cont) Malware Trends Trusselsbillede

3 Rootkits fortsat

4 €45

5 Hvordan finder man dem? Tjaaaeee godt spørgsmål… Typisk fem metoder: 1. Behavioral detektion Juanna Rutkowska & Jamie Butler generer hinanden 2. Integritets detektion A lá TripWire 3. Signatur baseret detektion Præcis men ineffektiv mod nye 4. Diff based detektion SysInternal, F-Secure og Strider 5. Systemet bliver ustabilt

6 Systemet bliver ustabilt Ret normalt problem Det at hooke en APIs er svært og farligt Det gælder både user mode og kernel mode …og rootkit detectors!

7 Hvordan fjerner man dem? Geninstallation er den eneset sikre måde at fjerne det på Rootkits kan søger at sørge for at du ikke kan finde dem eller fjerne dem Det at fjerne et rootkit kan ødelække et system Du kan aldrig vide med sikkerhed hvad ellers et rootkit har lavet “Once time in Ring Zero, forever Ring Zero.” Edgar Barbosa, Avoiding Windows Rootkit Detection Sørg derfor for at det ALDRIG kommer ind

8 Det nye BIOS og USB rootkits Hvorfor: http://aving.net/newproduct/default.asp?mo de=read&c_num=10685 http://aving.net/newproduct/default.asp?mo de=read&c_num=10685

9 Det ligner…

10 Eller…

11 BIOS Rootkit Svært at finde Overlever reboots Overlever re-installationer Problem: Mange forskellige BIOS’er Hvordan løser vi det?

12 Malware trends

13 Trends 2007 er et dårligt malware-år 2007 er en dårlig årgang, når det kommer til malware. IBM's X-force har allerede nu fundet ligeså meget malware, som de gjorde hele forrige år. Af Filip Schwartz Kirkegaard, onsdag 19. september 2007, 16:06 Det ser ikke for godt ud for verdens hæderlige computerbrugere. IBM's afdeling for sikkerhed over internettet, kaldet X-force, har allerede nu registreret 210.000 eksempler på malware. Det er mere, end X-force fandt i hele 2006. Ifølge rapporten er trojanere den helt store gruppe af malware i år. Det er virus gemt i filer, som umiddelbart ser udskadelige ud. Sidste år var downloaders ellers den største kategori. En downloader er en ubetydelig virus, der installerer sig selv, så den senere kan downloade og installere en mere sofistikeret virus. Ifølge X-forces direktør Kris Lamb er der tegn på, at angreb bliver mere sofistikerede, når det kommer til at målrette angreb med virus for at skaffe penge. Derudover siger rapporten fra X-force, at det er blevet mere populært blandt de it-kriminelle at leje de forskellige former for angrebsmetoder af hinanden. Tidligere var Sydkorea den helt store kilde til phising-emails, men i år har Spanien overtaget den rolle ifølge IBM's målinger. Spanien står for 17,9 procent af den samlede phising, hvor kriminelle prøver på at opsnappe brugernavne og adgangskoder. Udskrevet fra www.comon.dk

14

15

16

17

18

19

20 Trusselsbilledet (Case)

21 21 Hvad søger vi at undgå?

22 22 Kildemateriale UK National Infrastructure Security Co-ordination Centre (NISCC) UK Department of Trade and Industry (DTI), men udarbejdet af Price Waterhouse Coopers FBI NSA Ovenstående betegnes de primære kilder. Information fra førende teknologileverandører (sekundære kilder): Cisco Microsoft IBM Symantec Webroot

23 23 Trusler De generelle trusler er inddelt i hovedgrupperne: Malware Phishing Denial-of-Service Network Attacks Passive Attacks Social Engineering Exploitation by Insiders Non-malicious (utilsigtede, sikkerhedsrelaterede trusler) som er underinddelt i ca. 50 kategorier.

24 24 Metode Metode for trusselsvurderingen: Generelle trusler  Trusselskategorier, underkategorier, eksempler m.v.  Berørte sikkerhedsaspekter: C/I/A  Angrebspunkter/sårbarheder  Typisk hensigt med angrebet  Umiddelbare konsekvenser for den angrebne  Afledte konsekvenser - spredningspotentiale  Antal varianter – aktuelt og forventet  Trusselsniveau ved standard perimeter-løsning  Trusselsniveau ved best practice modforanstaltninger  Trusselsniveau for supplerende modforanstaltninger

25 25 OCTAVE skala OCTAVE-modellen OCTAVE står for “Operationaly Critical Threat, Asset, and Vulnaribility Evaluation” Udviklet af Carnegie Mellon Univercity for CERT Anbefalet bl.a. af IT- og Telestyrelsen og meget udbredt til risikovurdering Kun skala er anvendt Risiko (trusselsniveau) er en funktion af sandsynlighed og konsekvens Skala for risiko: 0 Lav Medium Høj Kritisk Ekstrem

26 26 Skala for trusselsvurdering

27 Og så til… Gruppearbejde