Avsnittet: 190 – Att genomföra förändring
Inspelat: 2022-12-08 (publicerat 2022-12-11)
Deltagare: Erik Zalitis, Mattias Jadesköld, Jan-Olof Andersson, Tobias Anders.
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet – SMS – förändring

Medan du lyssnar

Jan-Olof kallas ofta för JOA och han har 40 år i branschen. Det kan ju verka lite märkligt, men tanke på att IT-säkerhet är runt 25 år gammal som bransch. Men JOA jobbar inom Infosec har arbetat med området då det handlade mycket om fysisk säkerhet. Han är också författare till flera böcker och har talat för sitt ämne i lika länge.

Tobias däremot har bara skrivit en bok, än så länge, mne valdes till ”Årets GRC profil” av organisationen Government Risk Compliance.

Så det finns en enorm kunskapsbas dessa herrar emellan. Och vi pratar förändring av säkerhetskulturen och en hel del om ISO 27001. Det är många punkter som ett ISO 27001-certifierat företag måste kunna kryssa av och nyligen har en ny version kommit ut med flera punkter.

Mattias höll i frågorna nedan, medan jag gjorde en ihop för att bredda området lite.

Några av frågorna:

• (JOA)Jag tänkte att vi ska väva ihop säkerhetskulturen och resan mot 27001. Så först, JOA, vad är 27001?
• (Tobias) Och, Tobias, informationssäkerhetskultur. Vad är det?
• (Tobias) Jag kände mig lite träffad när du din undertitel är ”Varför det inte räcker med utbildning” – för det är ofta det man tjatar om. Berätta varför?
• (Tobias) Vad är bra säkerhetskultur respektive dålig?
• (Tobias) 3 av 10 statsanställda fruktar repressalier ifall de kritiserar. Vad sätter det för kultur?

• (JOA) om man ska införa 27001 i ett företag. Ställer det några krav på kulturen?
• (JOA) Förmåga att hantera verksamhetens behov, legala krav, brister och risker inom informationssäkerhetsområdet. Vad krävs?

• (Tobias), du beskriver kulturen som en lök med flera lager (synlig, osynlig och kärna). Berätta.
• (Tobias) ”Medarbetarnas utrymme” -vad innebär det Tobias?
• (JOA) hur påverkas medarbetarnas utrumme ifall en organisation är certifierad enligt ISO 27001 eller inte certifierad?
• (Tobias) En annan vanlig sak på en arbetsplats är att ”regler inte efterföljs” – vad är orsakerna till det?
• (Tobias) en modell över org.kultur jag fastnade för var en graf där ena axeln var intern<>ext och andra kontroll<>flexibilitet. Vad skapar det för företag?
  • Vad är vanligast?
  • Är någon bättre/sämre?

Länkar – SMS – förändring

• SIG Security
• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #190 – Att genomföra förändring dök först upp på IT-säkerhetspodden.

The episode: 170 – Sig Security about the practical use of Threat Intelligence
Recorded: 2022-05-17 (publicerat 2022-05-22)
Participants: Erik Zalitis, Jesper Olsen and Christoffer Strömblad
This episode is made in cooperation with SIG Security.

Listen to the episode, now – Threat intelligence

While listening to this episode – Threat intelligence

English, again? Yes. I thought it would make it easier to pull together with two Swedes and a Danish. I talk about nationalities here, not food, just pointing that out. Anyways, we have a old friend, Christoffer Strömblad, who was in this podcast in 2019 and a new one, Jesper Olsen. Christoffer has since left the Swedish Police and joined TrueSec, a Swedish IT-security focused company.

Jesper is Danish and works for Palo Alto Network, a very welknown creator of security appliances.

IT-admin, know thyself!

The subject is interesting, and simple goes:

”If you know the enemy and know yourself, you need not fear the result of a hundred battles. If you know yourself but not the enemy, for every victory gained you will also suffer a defeat. If you know neither the enemy nor yourself, you will succumb in every battle.”

It used to be a bit suspicious with security people quoting Sun Tzu, as it was more bravado than actual product. But here, and in this warlike state of business that is the Internet, it fits very well. We are in the middle of a coevolution between hackers and defenders.

Christoffer and Jesper talks about what the properties of common victims are and have three rules to go by to assess the situation:

• Archetypes – who gets attacked?
• Vulnerabilities – How to they get attacked?
• Recognizance – How to they find you?

This may seem like the same discussion like it always was, and yes, to a certain point it is. But it’s 2022 and the methods they describe are pretty new as in ”a new way of doing the same”. In the IT-security business, this counts. Brand new, never seen attacks are few. But new takes on old tricks, is what we see all the time as attackers try to remain in control. They crawl around our latest defences. Right now, TrueSec has seen an uptick in USB-drive attacks. Why? Listen to the podcast. It’s around 19 minutes into the show.

But don’t worry, we also got a new development for you:

Initial Access Brokers

At 20:57 I ask Jesper about IABs. That is hackers selling access to organizations instead of data. As the business of hacking matures, it gets more specialized as I wryly note. This is at least new for me and the big development is not how something appears for the first time. Rather when it becomes a thing. You can’t go full hipster and say ”I knew about that attackvector before everyone did! Dude, like they sold out!”.

Worse than the decease – the Therac 25

On or about 19:00 I mentiod an X-ray machine killing a patient. It was a device known as Therac-25 and had a bug that sometimes, very uncommonly delivered deadly doses of radiation. The software bug was eventually found, but it was nearly impossible to reproduce the conditions until you knew them. The device had multiple failsafe, but in the end, it did not matter. I’ll add a link in the bottom of this page, where you can read the story. But this qoute should scare you:

What they found was shocking. The software appeared to have been written by a programmer with little experience coding for real-time systems. There were few comments, and no proof that any timing analysis had been performed. According to AECL, a single programmer had written the software based upon the Therac-6 and 20 code. However, this programmer no longer worked for the company, and could not be found.

Links – Threat intelligence

• Nordlo
• Killed by a machine – the Therac-25 incidents

Errors and omissions

• Nothing to report at this time.

Inlägget #170 – Sig Security about the practical use of Threat Intelligence dök först upp på IT-säkerhetspodden.

Avsnittet: 136 – På plats hos GTCC
Inspelat: 2021-09-08 (publicerat 2021-09-26)
Deltagare: Erik Zalitis, Olle Mulmo, Conny Larsson, David Jacoby och Victor Lazlo.
Detta avsnitt är ett samarbete med SIG Security och Nordlo AB.

Lyssna på avsnittet – GTCC

Medan du lyssnar

Ulf startade hela evenemanget som om det var uppställning och sedan rullade allting igång snabbt och effektivt. Jag sprang runt och pratade med folk och tittade på hur det hela var upplagt. GTC är ju ”Government”, ”Technology” och ”Cloud”. Och allting var uppdelat i tre spår därefter. Jag försökte få tag i representanter för dem alla, men det visade sig svårare än jag trodde. Jag var ju tvungen att vänta till föredragshållaren gjort sitt tal eller om de hade tid före det. Och då missade jag andra talare. Men så är det ju när man är där som ”flygande reporter”. Det är ju inte vettigt att störa folk bara för att få en intervju.

Och här är de du kommer få höra i avsnittet om GTCC:

Victor Lazlo

Jag hängde in genom dörren och klev sedan in och satte med medan Victor visade slajdar och pratade om säker utveckling. Efteråt frågade jag honom om saker han pratat om men slängde även in mitt paradnummer: ”Var är den där röda knappen som gör allting säkert?”

Conny Larsson

Advokat och tillika SIG Securitys ordförande. Han kan vara hejdlöst rolig med brutala kommentarer, men måste givetvis vara mer städad när han blir intervjuad. Innan vi började intervjun, sa han att ”Nationalstaterna kommer försvinna” och det bara jag honom kommentera även i intervjun. Han tillhörde GTCC:s talare i Government-spåret.

Olle Mulmo

Omegapoint var huvudsponsor och Olle fick berätta varför de valt att sponsra evenemanget och vilka talare han ville höra mer av.

David Jacoby

David fick nästan ingen tid alls i avsnittet och det beror på att han fick ett helt eget avsnitt för några veckor sedan och det får räcka. Men han hinner förklara problemet MAC-datorers säkerhet, som han berättade om på SEC-T.

Länkar – GTCC

• GTCC:s hemsida.
• SIG Securitys hemsida.
• Nordlos hemsida.

Felaktigheter – GTCC

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #136 – På plats hos GTCC dök först upp på IT-säkerhetspodden.

Avsnittet: 133 – MAC-attack med David Jacoby
Inspelat: 2021-09-08 (publicerat 2021-09-12)
Deltagare:  Erik Zalitis, David Jacoby
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

GTCC hölls den 8 september 2021 på hotell Birger Jarl i central Stockholm. Jag åkte dit och mötte några av talarna och det avsnittet kommer ni få höra inom några veckor. Men David hade så mycket att säga att det blev ett helt eget avsnitt om någon han undersökt: hur är det egentligen med MAC-datorer och deras säkerhet? Vi har talat om MAC och säkerhet förut, men denna gång handlar det om det något tunna skydd som finns för en användare även om hackaren inte kan ta över datorn och utföra en MAC-attack.

Windows har en skyddad area för användaren lösenord, medan Linux och MAC har en ”Keychain”. Denna öppnar användaren med sitt lösenord. MAC har dock inte skyddad denna Keychain, vilket ger hackaren en unik väg till att göra en ”MAC-attack”.

1. Hackaren lurar användaren att klicka på en länk till skadlig kod.
2. Den skadliga koden ansluter till hackaren och ger denna kontroll över användarens session.
3. Hackaren laddar hem hela den krypterade Keychain-filen och annan värdefull data.
4. Nu kan hackaren knäcka den offline och få tillgång till användaren lösenord och användarkontots lösenordshash.

Lokal phishing?

19:32 berättar David att OASScript i MAC kan användas för att skapa väldigt trovärdiga dialogrutor och lura användaren att systemet har något att säga. Ännu en MAC-attack, alltså.

Länkar – MAC-attack

• ”Demystifying the MacOS Attack Chain” – David talar om attacken på SEC-T 2021.
• Våra tidigare avsnitt med David Jacoby.
• Alla våra avsnitt om MAC-säkerhet.

Felaktigheter – MAC-attack

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #133 – MAC-attack med David Jacoby dök först upp på IT-säkerhetspodden.

Avsnittet: 129 – GTCC, möt 18 skarpa IT-hjärnor i september
Inspelat: 2021-07-07 (publicerat 2021-07-18)
Deltagare:  Kent Illemann, Ulf Berglund, Erik Zalitis och Ina Nordqvist
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Va, är vår semester redan slut? Nix, men vi har ändå tid att ge er nyheten om Nordens nya IT-säkerhetskonfens: GTC. I samarbete med SIG Security tar vi nu alltså pulsen på de 18 säkerhetsexperter som kommer berätta om vad som händer i IT-säkerhet- och InfoSec-området just nu.

Kent, Ulf och Ina samlades hemma hos mig en onsdag eftermiddag där vi hade allt uppkopplat. Man samlades ute på min balkong, medan jag gjorde klart det sista och sedan körde vi igång. Det skulle ha blivit 90 minuter, men istället märkte vi att 45 räckte. Efter att ”saxen” gått i ”bandet”, var vi nere i nästa 37 minuter. Detta är exakt som det ska vara. Det är bara fördelar med att hålla sådana här diskussioner rimligen korta och koncisa. Allt viktigt hann sägas.

Talarna

Jacob Henricson
CISO, Skanska Sverige
http://skanska.com

Erik Blomberg
CISO, Handelsbanken
http://handelsbanken.se

Eva Throne-Holst
Information Security Officer, Nordnet Bank
http://nordnet.se

Sandra Elvin
CISO, Microsoft
http://microsoft.com

Tony Kylberg
CSO, Head of Group Security & Cyber Defence and Third Party Governance, SEB
http://seb.se

Thomas Nilsson
CIO, Försvarsmakten
http://forsvarsmakten.se

Anne-Marie Eklund Löwinder
Säkerhetschef, Internetstiftelsen
http://internetstiftelsen.se

Rebecca Ihrfors
Chef ledningssystem, FMV
http://fmv.se

Brian O’Toole
Head of Digital Services Security Center, Ericsson
http://ericsson.com

Helena Lindberg
Sveriges Riksrevisor, Riksrevisionen
http://riksrevisionen.se

David Jacoby
Senior Security Researcher, Kaspersky
http://kaspersky.com

Marcus Södervall
Head of Security & DPO, Stravito
http://stravito.se

Nicklas Kjellin
CTO, Covr Security AB
http://covrsecurity.com

Viktor Laszlo
Grundare, Devfinity

Daniel Melin
Moln- och datacenterstrateg, Skatteverket
http://www.skatteverket.se

Johan Christenson
Grundare och VD, City Network
https://citynetwork.se/om-foretaget/

Magnus Bergström
It-säkerhetsspecialist
http://imy.se

Anna Rehnström
VP Infrastructure & Platform Services, Basefarm
http://basefarm.com

Länkar

• Boka din plats här.
• SIG Security.

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #129 – GTCC, möt 18 skarpa IT-hjärnor i september dök först upp på IT-säkerhetspodden.

Avsnittet: 124 – Cyberpsykologi – en grundsten i riskhantering
Inspelat: 2021-05-14 (publicerat 2021-05-16)
Deltagare: Mattias Jadesköld, Erik Zalitis och Robert Willborg
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Nu har vi ju många gånger sagt att social engineering är den mest kraftfulla attacken mot ett företag. Alltså att lura folk att hjälpa dig läcka ut deras data, ta över deras system eller helt enkelt gör det du säger till dem att göra. Inga brandväggar skyddar mot sådant.

Vi har talat om hur insiderhoten ser ut, så nu är det dags att diskutera riskhanteringen i frågan: alltså hur hanterar du risken som dina användare kan vara? Cyberpsykologi! Alltså att se våra mänskliga beteenden som en viktig del i riskmodellering och hantering.

Detta kan verka självklart och till och med floskelvarning, men det är skillnad på att säga att det är viktigt gentemot att faktiskt skapa policies, arbetsmetoder och sköta riskerna konsekvent genom att se psykologin som en central faktor. Alltså, fråga dig själv detta: hur ofta bryr du dig om att tänka på säkerhet ur ett psykologiskt perspektiv?

A) Ibland om det känns bra,
B) Har väl gjort det någon gång.
C) Vi gör inte det idag. Men vi tänker på att införa det.
D) En gång gjorde jag det… Låt mig berätta om detta tillfälle… Allt jag vet om IT-säkerhet bygger på denna händelse.
E) Vi gör det idag och har en plan där alla delar är byggda så att vi tar hänsyn till hur människor tänker och agerar.

Allt annat än E) är att inte inte göra någonting alls.

Det är också viktigt att inte skapa personberoenden, att se till att IT-avdelningen inte blir den sura grindvakten som säger ”Nej” till det mesta, att förstå men inte acceptera att folk pinkar in revir, få bort ”my little server”-administratörerna som hellre startar ett krig mot IT-avdelningen än att bli av med den där servern som de har under skrivbordet.

Men var är säkerheten i detta? Svaret är att det blir säkrare när folk känner att de är delaktiga i att följa policies, acceptera att de inte kan få behålla sina höga behörigheter utan att det finns en anledning och att man gör instruktioner och utbildningar som är lätta att förstå och ta till sig.

Att använda cyberpsykologi är att kunna bygga en organisation som faktiskt arbetar mot att hålla en högre säkerhetsnivå rent allmänt.

Diskussionen kommer också in på frågan om hur vi gör när vi anställer folk. När vi tittar på deras bakgrund, är det konstigt om det inte finns några avtryck på nätet? För en 60-åring? Kanske inte? För en 20-åring? Ja, det är mer rimligt att det borde finnas.

Sen är moral och vad vi ser som varningstrianglar när vi tittar på andra personer också något som förändras över tiden. Bill Clinton vågade inte erkänna att han ”rökt på”, så han sa ”I smoked, but did not inhale”. Detta gjorde att han klarade den, för den tiden, kontroversiella frågan. I slutet av 2006 fick Obama också frågan och sa med humor i rösten: ”I inhaled frequently…that was the point.”. Vid den tiden och med tanke på Obamas ungdomliga framtoning, var det inte längre ett problem.

Länkar

Rekommenderade böcker inom cyberpsykologi:
Mary Aiken: The Cyber Effect
Christopher Hadnagy: Social Engineering, the art of human hacking
Patrik Wincent: Den Digitala Drogen
Yasmin Winberg och Julia Lundin: Badfluencer
Kevin Mitnick: The art of Deception
Kevin Mitnick: The art of Intrusion

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #124 – Cyberpsykologi – en grundsten i riskhantering dök först upp på IT-säkerhetspodden.

Avsnittet: #118 – Praktiska råd efter Schrems II
Inspelat: 2021-03-26 (publicerat 2021-04-03)
Deltagare: Erik Zalitis och Per Gustavsson
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Så vad göra när molnet är en röra av legala fällor och möjlighet för Amerikanska myndigheter att begära ut Europeers data från datacenter placerade i USA?

Visst har vi pratat om det hela i avsnitt 102 med Agnes Hammarstrand, men helt ärligt, det känns som vi gärna vill ta detta även med en organisation som kan berätta om hur Schrems II påverkat dem i verkligheten. Denna organisation är Göteborgs stad som via SIG Security givit Per Gustavsson, deras Chief Information Security Officer (CISO), möjligheten att förklara situationen för oss.

Så vad innebär det att Schrems II-domen invaliderar USAs ”Privacy Shield” ? Detta är något som Göteborgs stad varit tvungna att ta hänsyn till. Man har också varit en av de få i Sverige som använt Microsofts customer lockbox, något som de nu överger, men varför? Lyssna på avsnittet så får du klarhet i frågan.

Länkar

• SIG Security
• Microsofts ”Customer Lockbox”
• Vår radioteater om resan till molnet

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #118 – Praktiska råd efter Schrems II dök först upp på IT-säkerhetspodden.

Avsnittet: #115 – Supply Chain Cyber Security med Jonas Lejon
Inspelat: 2021-03-12 (publicerat 2021-03-14)
Deltagare: Mattias Jadesköld, Erik Zalitis och Jonas Lejon
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Allt är ju elände som vanligt. Nu kan man inte ens lita på att den där hemliga kryptotelefonen, superavancerade servern eller programvaran är pålitlig även om man skaffat den genom en trovärdig leverantör. Supply chain-attacker handlar om att flytta attacken till leverantörssidan, så det du köper levereras ”för-hackat”.

Många fick säkert kaffet i vrångstrupen när nyheterna vrålade ut att Huawei installerat ”ris-kornsstora” spionchip i servrar de sålde. Det visade sig inte vara sant, men för många var det ett sent uppvaknande och en insikt om att saker kan levereras i ett olämpligt skick. Och det är inget nytt. På 90-talet lyckades en tidning leverera ett virus genom en diskett som följde med tidningen. Därefter har vi hört om virus på USB-stickor direkt från affären ett antal gånger.

Förr kanske det var vanligt att detta var ett misstag, men numera är det nästan garanterat att det är ett medvetet drag. Och leverantören själv kan vara helt oskyldig. I detta avsnitt, som är ett samarbete mellan oss och SIG Security, pratar vi om Sky ECC-attacken, Solarwinds-hacket och diverse andra kända supply-chain-attacker med Jonas Lejon.

Jonas driver en egen blogg (kryptera.se), utför penetrationstester och håller föredrag om IT-säkerhet.

Länkar

• SIG Security
• NIST riktlinjer för att hantera Supply-chain-attacker
• CIS Control (Hardware assets)
• CIS Control (Software assets)
• En summering av supply side-attacker publicerad på Github

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #115 – Supply Chain Cyber Security med Jonas Lejon dök först upp på IT-säkerhetspodden.

Inlägget Show Notes för #103 – GDPR 2.0 med Agnes dök först upp på IT-säkerhetspodden.

Avsnittet: #102 – Schrems II med Agnes
Inspelat: 2020-11-27 (publicerats 2020-11-29)
Deltagare: Erik Zalitis, Mattias Jadesköld och Agnes Hammarstrand.

Schrems 2-domen sänder svallvågor över hela Europa. Men Agnes kan ge sakliga besked om vad det faktiskt innebär i verkligheten. Upplysande och även lugnande. Men detta innebär inte att det bara är att slappna av och fortsätta som om ingenting hänt.

I samarbete med SIG Security dessutom.

Länkar

Schrems2 – vad innebär det?

SIG Security:
https://www.sigsecurity.org/gdpr-privacy-shield-schrems-ii-nytt-poddavsnitt/

Inlägget Show Notes för #102 – Schrems II med Agnes dök först upp på IT-säkerhetspodden.