Dei stel ingenting – kvifor angrip dei universitet?

– Tenk deg ein butikk med kjempelang kø. Tusen kundar kjem inn, men 900 av dei har ikkje tenkt å kjøpa noko. Dei står berre i kø og hindrar dei ekte kundane i å koma fram. Til slutt må butikken stengja fordi han ikkje får selt noko.

Slik forklarar Hanne Hugem (23), masterstudent i informasjonssikkerheit ved Universitetet i Oslo (UiO), eit distribuert tenestenektangrep, eller forkortet som DDoS.

I staden for falske kundar blir ei nettside bombardert med automatiserte førespurnader. Vanlege brukarar slepp ikkje til.

Universitas skreiv 2. september at fleire norske universitet var råka av dataangrep. 

Oslomet opplyser òg til Universitas at universitetet har sett ein auke i talet på digitale angrep det siste året. 

Den russlandvennlege hackargruppa Server Killers hevda å stå bak fleire av angrepa. UiO hadde allereie blitt råka 29. august. Den 4. september blei òg Feide, den felles påloggingsløysinga i universitets- og høgskulesektoren, råka av eit tenestenektangrep.

Til saman har tre av dei siste angrepa påverka UiO. To var retta direkte mot universitetet, medan det tredje råka UiO gjennom Feide.

«Angrepa mot UiO har vore tenestenektangrep, ikkje forsøk på innbrot i systema våre. Det er ikkje noko som tyder på at angriparane har fått uautorisert tilgang til interne system eller data ved UiO», skriv IT-direktør Gard Thomassen i ein e-post til Universitas.

Ein digital blokade

Lothar Fritsch er professor i anvendt informasjonssikkerheit ved Oslomet. Han blei ikkje overraska då universiteta blei råka.

– Det trengst veldig lite teknologisk kunnskap for å utføra dette. I prinsippet er alle system sårbare dersom dei ikkje har vern som kan handtera ein slik angrepstrafikk.

Eit DDoS-angrep stel ikkje informasjon.

– Det er berre ein blokade. Ingen kan bruka systema slik dei skal.

– Kvifor angripa eit universitet når ingen data blir stolne?

Fritsch seier merksemd og irritasjon kan vera ein del av svaret. Universitet kan vera gode mål fordi eit angrep raskt blir synleg for svært mange.

– Dersom målet er å svekkja tilliten til styresmaktene og irritera flest mogleg, er universiteta eit godt angrepsmål. Då er det hundretusenvis av studentar som kan sitja og tenkja at styresmaktene ikkje får det til.

Hugem peikar på noko av det same.

– Tenestenektangrep er ganske enkle angrep. Då er spørsmålet om det er riktig å gi dei så mykje merksemd dersom merksemd er noko av det dei ønskjer.

Ho meiner likevel angrepa kan visa eit taktskifte.

– Før tenkte ein kanskje ikkje at utanlandske aktørar kom til å angripa UiO. No må me vera klare for det.

Meir enn timeplanar

Kva for slags betydning har desse angrepa hatt, og kvifor skjer det?

DDoS-angrep gjer tenester utilgjengelege. Eit faktisk innbrot kan vera langt meir alvorleg.

Universitet og høgskular forvaltar forskingsdata, personopplysningar, teknologi og kunnskap. Det gjer sektoren interessant for kriminelle og statlege aktørar, ifølgje Direktoratet for høgare utdanning og kompetanse (HK-dir).

«Sektoren har tilgang på høgaktuell forsking, avansert teknologi og innovasjonar. Statlege eller statsstøtta aktørar frå mellom anna Kina, Russland og Iran søker aktivt å skaffa seg denne teknologien for å styrka sin eigen posisjon eller omgå sanksjonar», skriv fagdirektør Agnethe Sidselrud i Direkoratet for høgare utdanning og kompetanse (HK-dir).

Ho trekkjer fram forsking innan forsvar, beredskap, energi, helse og maritim teknologi. Universiteta sit òg på store mengder personopplysningar og digitale ressursar.

Sidselrud skriv at det ofte berre skal éin uoppmerksam brukar til før ein trusselaktør får innpass gjennom svindelforsøk eller skadevare.

Studentdata som kjem på avvegar, kan brukast til å kartleggja, svindla eller pressa folk lenge etter sjølve lekkasjen, fortel Fritsch.

– Risikovurderingar av kva dei moglege konsekvensane er dersom ei lekkasje faktisk skjer, er lite utvikla.

Ulikt bilete av utviklinga

Oslomet ser fleire angrep enn før. HK-dir ser ikkje den same utviklinga for sektoren samla.

Avdelingsdirektør Guro Berild opplyser at nettsida til Oslomet blei direkte angripen. Tenester som krev Feide-innlogging blei òg påverka medan Sikt var under angrep. Det er ingen teikn på at angriparane fekk tilgang til, eller prøvde å få tilgang til data eller system ved Oslomet.

Oslomet opplyser òg at universitetet har sett ein auke i talet på digitale angrep det siste året.

For sektoren samla ser HK-dir inga tilsvarande auke.

«Ifølgje våre data er mengda digitale angrep mot sektoren omtrent den same som i tidlegare år», skriv Sidselrud.

Direktoratet er meir uroa for at angrepa blir meir avanserte. HK-dir meiner kunstig intelligens kan auka både frekvensen og alvoret i digitale angrep.

Fritsch peikar på same utvikling.

– Risikoen no er at kunstig intelligens automatiserer ein del av angrepsarbeidet. Då må ein rekna med at både frekvens og intensitet aukar ei stund framover.

Kjenner risikoen – manglar tiltak

I HK-dir si ferske risikovurdering kjem det fram at tryggingsarbeidet ikkje er på plass overalt. Dei fleste institusjonane gjennomfører risiko- og sårbarheitsanalysar, men oppfølginga av konkrete tiltak varierer.

Delar av sektoren manglar òg fullstendige planar for å halda kritiske digitale tenester i gang under alvorlege hendingar. Sidselrud peikar på ressursproblem, avhengigheit av enkeltpersonar og manglande tryggingsopplæring som delar av forklaringa.

Fritsch meiner bemanning er ein sentral del av problemet.

– Alle verksemder som er underlagde sikkerheitslova, slåst om den same kvalifiserte arbeidskrafta med høg lønn. Me i offentleg sektor fell rett og slett ut av det lønnskappløpet.

Han seier universiteta sit med hundrevis av system som skal driftast og sikrast, samtidig som IT-avdelingane har avgrensa bemanning.

Likevel meiner UiO og HK-dir at universiteta i utgangspunktet er godt rusta. Oslomet opplyser på si side at universitetet arbeider kontinuerleg med å styrkja tryggingstiltaka og samarbeider med nasjonale fagmiljø om utviklinga i trusselbiletet.

«Inga verksemd kan garantera at ho aldri vil bli råka av alvorlege digitale angrep», skriv Thomassen.

– Ingenting er sikkert. Men så langt har dei klart å oppretthalda tilliten min, seier Hugem.