Tidningen Energi 1
Tema It-säkerhet H appy hunting! Det smått absurd
a meddelandet dyker upp på dataskärmen strax innan det är dags att klicka på ”Attack”. Med hjälp av verktyg som jag har kunnat skaffa gratis på internet har jag kunnat ta mig förbi flera brandväggar utan problem. Om några sekunder kommer jag kunna ta över offrets dator och orsaka kaos i styrsystemet. Övningen äger rum i Linköping, hos Totalförsvarets forskningsinstitut, FOI. Hit till anläggningen, som heter Crate, kan företag med samhällsviktig verksamhet, som energibranschen, komma för att träna på hantering av it-incidenter i nätverk. I samarbete med Myndigheten för samhällsskydd och beredskap, MSB, arrangerar FOI flera kurser i it - säkerhet om året. Kurserna kostar inget och vänder sig till alla slags företag. – Många företag är inte medvetna om hur sårbara deras system är för cyberattacker. Men det är viktigt att du vet vilka hot som är riktade mot dig och vilka som kan vara intresserade av att angripa just ditt system. Om du förstår hur lättillgängligt ditt system är kan du lättare vidta åtgärder, säger Lars-Göran Emanuelson, chef för enheten för skydd av kritisk infrastruktur och cybersäkerhet på MSB. Framför allt är det energibolag och trafiksektorn som går på MSB:s och FOI:s kurser. – Jämfört med andra branscher är energibranschen mer utsatt. Om strömmen försvinner får det stora konsekvenser. Samtidigt tror jag att energisektorn är den samhällssektor som har kommit längst när det gäller att skydda sig, säger Lars Westerdahl, forskare på FOI i Linköping. Gratis verktyg på nätet Traditionellt sett har industriella informations- och styrsystem varit isolerade från omvärlden. Men idag ansluts de i allt högre grad till både internet och interna nätverk för att man både vill utbyta information och effektivisera verksamheten. Enligt amerikansk statistik som FOI har tillgång till kommer riktade angrepp, som ska störa tillvaron för många, att öka under 2019. Så fort du har någon kontakt utifrån är du ett möjligt mål, förklarar Jonas Almroth som är forskningsingenjör på FOI och ansvarig för Crate. – Om du får in ett virus på din dator eller har en hårdvara som är nätansluten med ett säkerhetshål kan angripare ta över datorn eller koppla upp den till sitt botnät och styra samordnade attacker. När en tjänst på internet går ner på knäna är det ofta 100 000 datorer som går till attack mot en webbserver och överbelastar den. En av MSB:s och FOI:s kurser är grundläggande och riktar sig till den som arbetar praktiskt med informa40 Tidningen ENERGI Nr 2 2019 Jonas Almroth är ansvarig för Crate. LÄR DIG MER om it-säkerhet MSB och FOI har två kurser inom it-säkerhet: Säkerhet i industriella informationsoch styrsystem är en praktiskt inriktad tvådagarskurs för dem som arbetar med informations- och styrsystem, till exempel drifts- och utvecklingsingenjörer. Praktisk incidenthantering i industriella informations- och styrsystem genomförs under 3,5 dag. Kursen innehåller föreläsningar, laborationer och övningsförberedelser. Mer info: foi.se Forskaren Mats Persson på FOI visar för tidningens reporter Paula Isaksson hur enkelt det är att hacka sig in ett styrsystem för trafikljus. tions- och styrsystem för samhällsviktig verksamhet. Förutom en introduktion i hot och risker och behovet av it-säkerhet ingår en övning där deltagarna själva får gå till angrepp mot ett styrsystem. Offret är ett trafikljussystem i en gatukorsning och på den här dagens övning råder fullständig koncentration. Ljuset från skärmarna lyser upp våra ansikten som mer och mer börjar likna fågelholkar. Kan det verkligen vara så här enkelt att hacka sig in i någon annans dator? Först kartlägger vi systemet för att se vilka datorer som är exponerade mot internet. Därefter kör vi en inventering som visar vilken av datorerna som är mest sårbar. Knappt en timme senare är vi framme vid målet och kan manipulera systemet så att alla bilar får grönt eller stoppljus i samma ögonblick. Eller varför inte låta