Vel. Da har vi kommet til tiden på året hvor defcon og blackhat videoer begynner å dukke opp på youtube.

Og like sikkert som at den første snøen kommer like overraskende som "julekvelden på kjærringa" hvert år, så er det noen som ikke har god nok oversikt over alle teknologiene som kan benyttes for å beskytte et nettverk og datamaskiner, som mener noe.
Og dette blir brukt til å skape unødvendig drama.

Jeg synes at det er flott at flere mennesker blir bevisste når det gjelder datasikkerhet, og personlig er det greit for meg at stemmer blir talt manuelt.

Til og med jeg blir usikker på kompetansen til de som skal passe på at dette går riktig for seg, når de ikke kommer med noe godt svar på disse spørsmålene, som blir stilt etter at noen har sett en blackhat video.

Hvorfor ikke noen mer kompetent enn meg har kommet med et "motsvar" på all FUD (Fear, Uncertianty & Doubt) som har blitt skapt rundt dette, kan man jo bare spekulere i.
Men de som er det har kanskje så mye på tapeten at de ikke har tid?

-----

Men, det å påstå at det er noe problem at disse tellemaskinene er koblet til internet, forstår jeg ikke.

Så, la meg fortelle, i detalj, hvordan man kan være sikker på at ikke noe utstyr i denne "supplykjeden" har blitt "hacket".
Og hvordan man kan verifisere dette i ettertid.

Kan begynne å sette ting litt i perspektiv
Facebook har 2 milliarder månedlige brukere.
Gmail har 1 milliard månedlige brukere.
BankID har 3,7 millioner kunder totalt?

Her snakker vi om noen hundre, eller tusen tellemaskiner som vi skal være sikre på ikke har blitt kompromittert av uærlige aktører.

Norge er et bittelite land.

-----

Hvilke teknologier og ressurser trenger vi for å kunne gjøre dette?

Et par dusin kvinner og menn vi kan stole på, og som kan teknologiene jeg omtaler her.

"Microsoft Domain Controller"
"Microsoft Active Directory"
"Microsoft Group Policy" og muligheten dette gir for å administrere Windows maskiner.

Hvitelisting av programmer som får kjøre på disse Windows maskinene.

Obs. Jeg personlig har ikke administrert Windows domener siden rundt 2004 (SBS 2003).
Denne kom f.eks. ferdig konfigurert med en åpen proxy server.

Microsoft og mange andre har heldigvis i senere tid gått over til mantraet "Secure by Default". Noe som er bra.

En upatchet 'Windows XP' maskin er ikke "Secure by Default".

Men det er egentlig ikke noe problem.
Fordi utvidet logging kan fortelle oss hver eneste minste ting denne maskinen har gjort mens den var i bruk.

Og her må jeg komme med noen forbehold, eller et "caveat" som det heter på nynorsk.

Jeg har hverken sett eller tatt på noen norske tellemaskiner.
Er dette "embedded" systemer?
Virker jo ikke sånn når det blir påstått at de kjører 'Windows XP'. Kjører de 'Windows CE'?

Jeg forutsetter at disse maskinene kjører en fullversjon av 'Windows XP', har muligheten for å bli innlemmet i et domene, og dermed bli styrt via "Microsoft Group Policy".

----

En brannmur med mulighet for å "ta opp" all nettverkstrafikk (.pcap).
Jeg foretrekker pfSense. Men her er det mange valg.
Vi må ha en av disse på hver lokasjon tellemaskiner er.

-----

En managed switch med mulighet fot å speile fysiske porter.

-----

En maskin som kjører 'Security Onion' eller liknende "appliance".
Denne brukes også til å "ta opp", og analysere all nettverkstrafikk i sanntid.
Jeg liker 'bro'

-----

VPN (Virituellt Privat Nettverk).

-----

VLAN (Segmentering av nettverk)

-----

Faste IP-adresser på lokasjonene tellemaskinene er.

-----

Statistisk analyse.

Skal være forsiktig med å si AI(Kunstig Intelligens)om dagen.
Det er for mange som ikke skjønner dette uttrykket.
Vi er fortsatt veldig langt unna "generell AI" det som de fleste tror AI er (Elon Musk blant annet).
Her er en video fra Darpa om AI fra februar i år:

Her kan du lære deg hvordan AI'en i selvkjørende biler virker:

(Ikke bli skremt av formlene som er på tavlen bak foreleseren.
Det er veldig lite matematikk i denne)

Selv noen som jeg anser er flinkere enn meg kan missforstå hva en AI faktisk kan gjøre om dagen.

<florida AI tweet>

-----

En ELK-stack som det kalles.
Elasticsearch, logstash og Kibana.
Dette brukes til loggføring av alle hendelser.
Dette er et "helvete" å sette opp. Men når det virker, så virker det.
-----

SNMP i Unicast

-----

U2F 2-faktor hardware nøkler.
Her kan vi bygge våre egne? U2Fzero.
Eller bruke f.eks. YubiKey.
-----

Et SIEM system.
SIEM står for "Security Information and Event Management"
<link til SANS artikkel>

-----

Det første vi må lære oss er hva et VPN-nettverk er.

Nei, vi må faktisk gå enda et grunnleggende skritt tilbake først.
Hvilke protokoller som blir brukt over internet, og vi må lære oss hva en port er for noe.

https://en.wikipedia.org/wiki/Internet_protocol_suite

En datamaskin som er koblet til internett har potensielt 65535 "anngrepsflater", eller porter om du vil.

Når du går til f.eks. http://vg.no så kobler du deg til denne serveren via port 80.
Som er en standardisert port for ukryptert (usikker) internettrafikk.
IANA bestemmer dette:
https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml

Når du går til https://altinn.no så kobler du deg til port 443. Som er standard port for sikre (krypterte) nettsider.

Her gjør jeg en portscan av http://vg.no, og https://altinn.no

<bilde-vg>

Som dere ser så har http://vg.no kun to porter åpne.
Port 80 og 443.

Allerede her så har VG nedsnevret mulige "angrepsflater" fra 65535 (porter) til to.

Hvis du som "hacker" ønsker å angripe http://vg.no så må du ha en ukjent (0-day) feil som du kan kan bruke mot enten port 80 eller 443.
I VG sitt tilfelle så ser det ut til at de kjører Apache på CentOS?
Jeg er også ganske sikker på at de kjører Varnish og memcache et eller annet sted.

-----

Hva om det kinesiske OCR-programmet som teller stemmene forsøker å "ringe hjem".
Nei. Det er ikke noe trafikk som får lov til å gå ut av dette private VPN-nettverket.

-----

Hvordan forhindre fysisk sabotasje?

Et enkelt triks er glitter-neglelakk på skruer.

Man kan 3D-printe sine egne skruer om dagen.
Denne spesialdesignede skruen og tilhørende verktøy kan med fordel 3D printes.
Da vil det kun være vi (Norge) som har design på denne.
(Ta nå ikke patent på den)

Jeg er ikke fan av "security by obscurity"

Men her vil det kanskje virke.

De av oss som har skrudd litt på bil har sikkert kommet over såkalte "tamperproof" torx.
http://www.biltema.no/no/Verktoy/Handverktoy/Skrutrekkere-og-Bits/Bitssett/Bits--og-pipesett-torx-2000031768/

-----

Putt superlim i alle eksterne USB-porter.
Nå må man inn i selve maskinen for å få tilgang til USB.
-----

Vi trenger å kjøre et liksomvalg noen ganger for å få statistikk på hvordan et "normalt" valg ser ut på alle enheter og nettverkstrafikk.

Dette er selvfølgelig en "møkkajobb". Men kan ikke sosialklienter eller norske fengsels-innsatte gjøre dette?

Som tidligere straffedømt så synes jeg dette er en god ide.

Man får med sikkerheten som følger med et fengsel "på kjøpet".
Er ingen der som har USB-pinner, eller skrujern.

-----

Jeg tenker automatisk "ut av boksen" hvordan jeg skal beskytte meg mot norske myndigheter.
Dette er både en bug og en feature.

En russer eller ti er ikke jeg redd for.
De er utenfor mitt "scope".

-----

Disse administratorene skal ikke svare på epost som ikke er signert med en PGP-nøkkel.

-----

Utenom å beskytte systemet vi har i dag på ovenfornevnte måte, så har jeg også noen tanker om hvordan dette kan gjøres enda sikrere i fremtiden. Jeg liker tanken på det å "spinne"-opp en ny virtuell maskin for hver enkelt stemme (tenk Docker).

Process hollowing detection.
Ja, dette kan detekteres. (Kronos som eksempel).

-----

Og "holy shit".
Er det virkelig 64 mennesker som leste den forrige "pasten" min?
Eller er alt bot-trafikk?

Hvis det faktisk er noen som har lest denne disposisjonen min (eller en fyllerant om du vil).

Jeg veldig interessert i og få hjelp av mennesker som kan mer enn meg.

Jeg kan som sagt for lite om f.eks. AD.
Men jeg har fulgt med litt på hva powershell kan gjøre om dagen.

Det er mye jeg ikke kan noe om. Jeg kan litt om nettverk.

Men jeg har sett _alle_ videoer som har blitt publisert av de 10 viktigste sikkerhetskonferansene i verden de siste 10 årene.

Så fort man begynner å jobbe med noe profesjonelt, så havner man akterut på sin research?
Med mindre jobben din er å arrangere sikkerhetskonferanser.

Ta en prat med @telenorOSC. De passer på millioner av IP-adresser daglig.
I sanntid.

Min tankegang er forsvar.
"If this, then what?"