- Da de slapp bompen på Iran, ga de samtidig hele verden oppskriften. Den blir studert av alle typer offensive aktører, sier Ashar Aziz, administrerende direktør og teknologisjef i sikkerhetsselskapet Fireeye.
”Bomben” som Aziz snakker om var ikke av den eksplosive sorten, det var en dataorm som har blitt kalt Stuxnet, og ifølge Aziz var dette en prøvesmak på noe som kan ramme hele land mye bredere i fremtiden. Han snakker om avansert "cyberkrig" rettet mot samfunnskritisk infrastruktur.
Stuxnet var et svært avansert og skreddersydd verktøy, som ukjente bakmenn laget for å forstyrre Irans atomprogram. Det lyktes de også med, og anrikingen av uran ble forsinket.
Sårbare
Dette er en type angrep som verdens nasjoner nå ruster seg for, mener Aziz. Han påpeker at land som Kina og USA har egne militæravdelinger for digital krigføring, og hevder oppgaven deres er å angripe samfunnets infrastruktur.
- Jeg tror alle avanserte land i dag har kapasiteten til å lansere en seriøs offensiv, sier han.
Dette er dagens systemer knapt klare for å forsvare seg mot, mener Aziz – angriperne har mer avansert teknologi enn forsvarerne.
Ublodig alvor
Det er liten tvil om at denne typen trussel nå tas alvorlig verden rundt. Nylig kom nyheten om at Australia har nektet kinesiske Huawei å delta i konkuransen om å bygge deres nasjonale bredbåndsnettverk, en kontrakt til hele 38 milliarder dollar. Begrunnelsen var it-sikkerhet. Huawei har ambisjoner om å bli verdens største leverandør av tele-infrastruktur, og er godt på vei, blant annet som leverandør til Telenor. Men de har blitt blokkert i USA fra før, og fått andre samarbeid avsluttet på grunn av bekymringer for sikkerheten.
Les også: Frykt for elektroniske angrep
Frykten er at produsenter av slikt utstyr kan legge inn bakdører eller overvåkingsmuligheter i utstyret, som er skjult helt frem til det aktiveres. Huawei har vel å merke aldri vært involvert i slike avsløringer, og britiske BT insisterer på at de ville funnet slike bakdører hvis de eksisterte, skriver The Guardian.
Nato-tema
Cyberkrig ble for alvor et tema for Nato etter en konflikt om et russisk minnesmerke i Estland i 2007, påpeker Stig Frode Mjølsnes, professor ved Institutt for telematikk ved NTNU. Estlands internett kom da under angrep fra enorme mengder trafikk, som overbelastet og senket deres nettverk, et såkalt DDOS-angrep.
Mjølsnes påpeker at stadig mer av samfunnets infrastruktur er sårbart for nettangrep.
- Mer og mer kommunikasjon går over fra spesialnett til internett. Det er en del av rasjonaliseringen og effektiviseringen, sier han.
Han mener vi ikke er godt nok forberedt, men at myndighetene er klar over problemet. Foreløpig har man imidlertid ikke klart å bestemme om dette skal forsvares av sivile eller forsvaret i Norge, og dette er et hett stridstema. I Estland har man valgt en sivil løsning, mens de militære har fått oppdraget i USA.
Kilde: Wikipedia
Sårbare
Norge fikk en oppvekker i forhold til sårbarhet da Altinn nylig måtte stenges i tre dager etter å ha delt ut opplysninger fra selvangivelsen til uvedkommende. Dette var ikke noe angrep, bare en feil, men det viser hvordan store deler av samfunnet kan rammes samtidig.
Stadig større del av samfunnets funksjoner dekkes nå av nettjenester, og dermed blir vi mer sårbare overfor nettangrep. Men ifølge Aziz risikerer vi også at enda mer grunnleggende tjenester rammes.
-Tenk deg at nettbanken blir borte, at pengene i banken, telefonnettene og elektrisiteten forsvinner. Vår moderne sivilisasjon sitter på en digital grunnmur, men den er svak, sier han.
Han mener det nå er mulig å ”ta ut” hele land med dataangrep. Men foreløpig har det ikke skjedd, og Aziz mener angrepet på Esland ikke var et ekte cyberangrep - bare et svært enkelt forsøk på å overbelaste nettet. Det han snakker om er skreddersydde angrep rettet mot ulike deler av landenes infrastruktur.
- Er dette å spre ubegrunnet frykt?
- Det er en balanse mellom paranoia og likegyldighet, og nå tror jeg nålen peker mot likgyldighet, sier han.
- Cyberterror har blitt snakket om, minst siden 11.september 2001, men det har skjedd svært lite?
- Selv om dette aldri har skjedd, betyr det ikke at det ikke vil skje, sier han.
Se hvor sårbar vår infrastruktur kan være: Faller dette treet kan halve Norge miste mobilforbindelsen
For dyrt for terrorister
Aziz mener Iran-angrepet i 2010 var en forsmak på det som kan komme, og at grunnen til at vi ikke har sett mer er at dette foreløpig er komplekse og dyre angrep.
De som sto bak Stuxnet hadde trolig kjøpt inn samme utstyr fra Siemens som Iran bruker, for å spesialtilpasse angrepet, mener Aziz. Han hevder grunnen til at så lite har skjedd er at de som har kunnskapen ikke har hatt motivasjonen, mens de med motivasjonen ikke har nok kunnskap og midler. Han anslår at skikkelige angrep vil koste noen titalls millioner dollar, og dette er det først og fremst stater som har kapasitet til, ikke terroristgrupper.
Ikke som andre kriger
Noe av det spesielle med denne typen angrep er at våpenet ikke ødelegges ved bruk, slik som en bombe. Da Stuxnet ble sluppet løs på Iran ble det samtidig spredt, slik at alle som var interessert kunne studere programmets oppbygging. Takket være dette angrepet har flere fått kunnskap om slike angrep.
- Vi vet ikke hvordan en cyberkrig vil arte seg, for vi har aldri hatt en, sier han, og påpeker at det ofte kan være vanskelig å vite hvem man blir angrepet av.
- Vi debatterer fremdeles hvem som lagde Stuxnet, sier han.
Privat kontroll er et problem
Men hvordan kan vi forberede oss? Bør vi ta lærdommen og senke tempoet på digitaliseringen av samfunnet?
- Du kan ikke stoppe digitaliseringen, men du må finne ut hvordan du skal leve et moderne liv med sikkerhet. Vi må forbedre, ikke begrense det, sier han, og smiler til påstanden om at han selv vil være uten jobb hvis vi skulle gå tilbake til papirsamfunnet.
Foruten bedre programvare mener han mye må gjøres med lover og regulering. Han mener privat eierskap til viktig infrastruktur er et sikkerhetsproblem.
- Det er normalt regjeringens oppgave å beskytte befolkningen, men dette drives ikke av regjerningen, sier han, og anbefaler at landene jobber med regulering og lovgiving som krever at privat sektor gjør en god jobb for å beskytte vital infrastruktur.
- Vi lar ikke vannverk levere dårlig vann, men vi lar dem kjøre usikre nett, sier han.
Hadde han vært norsk ville han kanskje brukt mobilnettene som eksempel, for de har vist seg å være sårbare, både fysisk og systemmessig. I fjor sommer falt store deler av landets mobilkommunikasjon ned fordi alle aktørene var avhengig av de samme to tynne fibertrådene, som ble tatt av et tre og en gravemaskin. Og i romjulen kom stormen Dagmar og slo ut all kommunikasjon i mange områder, inkludert bredbånd og fastnettelefoni. Samtidig hadde Telenor hatt enorme problemer to helger på rad på grunn av systemfeil. Først etter dette kom myndighetene på banen og krevde bedre sikkerhet fra mobilbransjen.
- Hvordan mener du maktbalansen er i dag?
- Angrepsvåpnene er mer avansert enn det meste av forsvar i dag. Vi trenger mer avansert forsvar, sier Aziz.
Se hvor sårbar vår infrastruktur kan være: Faller dette treet kan halve Norge miste mobilforbindelsen (Vilkår)Copyright Dagens Næringsliv AS og/eller våre leverandører. Vi vil gjerne at du deler våre saker ved bruk av lenke, som leder direkte til våre sider. Kopiering eller annen form for bruk av hele eller deler av innholdet, kan kun skje etter skriftlig tillatelse eller som tillatt ved lov. For ytterligere vilkår se her.