AI gjør grunnleggende cybersikkerhet viktigere enn noen gang

Hva har skjedd?

Onsdag 21. oktober ble flere norske nettsider plutselig stengt på grunn av to kritiske sårbarheter i PHP, et kodespråk som står bak et flertall av verdens nettsider. Hullene gjorde det mulig for angripere å ta kontroll over servere via internett, uten brukernavn eller passord.

Men, dette var ikke et enkeltstående tilfelle. AI gjør at sårbarheter blir funnet raskere og oftere enn før, både av utviklerne som skal rette dem og av angriperne som vil utnytte dem. Tiden fra et sikkerhetshull blir kjent til noen prøver å utnytte det, blir stadig kortere, og det kommer til å prege hverdagen fremover.

For ledere betyr det at oversikten over hvilken programvare bedriften bruker, og hva som er tilgjengelig på internett, er viktigere enn noen gang.

Hva er PHP?

PHP er et programmeringsspråk som brukes til å lage nettsider og nettbaserte tjenester. Det kjører på serveren og bygger innholdet før siden vises i nettleseren. PHP brukes på rundt 70 prosent av verdens nettsider, blant annet i publiseringsløsningen WordPress og i mange nettbutikker, kundeportaler og fagsystemer. Ofte vet ikke bedriften selv at nettsiden eller tjenesten bruker PHP.

Hvorfor var sårbarhetene i PHP så kritiske?

• Fordi PHP er så utbredt, ble angrepsflaten svært stor.
• Mange nettsider kjører eldre PHP-versjoner som ikke lenger får sikkerhetsoppdateringer.
• Detaljer om sårbarhetene lekket dagen før oppdateringen kom. Det fantes allerede fungerende angrepskode, og flere sikkerhetsselskaper observerte forsøk på å utnytte hullene før oppdateringen var ute.

Hvorfor hører vi så mye om sikkerhetssårbarheter nå?

PHP-saken er ikke det eneste eksempelet. Bare i oktober rettet Microsoft over 1 400 sårbarheter i sine produkter. Det er flere enn selskapet tidligere har rettet i løpet av et helt år. Mye av økningen skyldes at Microsoft selv bruker AI til å finne feil. Det er positivt, men det betyr også langt flere oppdateringer som må installeres.

Hvordan vil dette utvikle seg fremover?

En av sikkerhetssjefene i Anthropic (produsenten av språkmodellen Claude), Jason D. Clinton, advarer om at situasjonen kommer til å bli verre før den blir bedre. Hans vurdering er at vi har gått inn i en krevende periode på rundt 18 måneder hvor antallet sårbarheter som oppdages kan gjøre det utfordrende å rekke å fikse kritisk infrastruktur. Rådet hans til sikkerhetsledere er å gå til styret og be om hjelp nå, ikke til å bruke og innføre AI, men til det grunnleggende innen sikkerhet.

«Saker som PHP kommer til å bli vanligere. Derfor skjerper vi arbeidet vårt nå, både hos kundene våre og i egne systemer. Jo bedre oversikt vi har, og jo mindre som ligger åpent på internett, desto raskere kan vi handle når neste hull kommer.»

• Sven Kjartan Figved, sikkerhetssjef i Upheads

Våre råd til IT-avdelinger

Det viktigste er å:

• Ha en dynamisk oversikt over programvare og versjoner, tjenester, servere og systemer, og hvilke av dem som er koblet opp mot internett. Oversikten bør oppdatere seg selv, så den ikke blir utdatert.
• Kartlegge om det finnes alternative løsninger. Må disse være tilgjengelige på internett?
• Dersom de må forbli koblet opp mot internett, vurdere hvordan tilgangen kan begrenses og hvordan konsekvensene av en sårbarhet kan reduseres.
• Be leverandørene, for eksempel webbyrå, ekstern hosting eller programvareleverandør, bekrefte at de har vurdert om løsningene er berørt, og at oppdateringer er installert.
• Ha faste rutiner for regelmessig patching, og en plan for å kunne patche raskt når en kritisk sårbarhet blir kjent.
• Passe på at dere har andre grunnleggende sikkerhetstiltak på plass, som tofaktorautentisering, sikkerhetskopi og flere barrierer, slik at én svikt ikke er nok. Ett eksempel er å begrense hvilken trafikk som får gå ut av nettverket. Da blir det vanskeligere for en angriper som har kommet seg inn, å styre systemene utenfra.

Du kan ikke beskytte det du ikke vet at du har

PHP-saken viste hvor viktig det er å vite hva man har. For mange bedrifter var det første spørsmålet om de i det hele tatt brukte PHP, og dermed om de var berørt.

Den som har oversikt over hvilken programvare og hvilke versjoner som er i bruk, hvor de kjører og hvem som drifter dem, kan svare på det raskt. Den som ikke har det, må begynne å lete mens klokken går. Når sårbarhetene kommer tettere, blir denne oversikten en av de viktigste forutsetningene for god sikkerhet.

Hvordan jobber Upheads med kritiske sårbarheter?

Blir en alvorlig sårbarhet kjent før det finnes en oppdatering som retter den, vurderer vi kompenserende tiltak, for eksempel å begrense tilgangen til de berørte tjenestene, til oppdateringen er klar.

Når oppdateringen kommer, setter vi sammen et team tilpasset størrelsen på hendelsen. Teamet jobber parallelt, slik at flest mulig systemer blir patchet på kortest mulig tid.

Har sårbarheten vært åpen en periode uten oppdatering, eller er det kjent at den går langt tilbake i tid, sjekker vi alltid loggene etter tegn på at uvedkommende har vært inne.

Slik jobbet vi også under PHP-saken. Oppdateringen kom onsdag 21. oktober kl. 16, og vi jobbet gjennom ettermiddagen, kvelden og natten med å installere den. Berørte tjenester fant vi gjennom egen kartlegging og varsler fra sikkerhetspartnerne våre, og kundene det gjaldt, ble kontaktet direkte. Vi så også selv forsøk på å utnytte sårbarhetene.

Jo mindre angrepsflate en bedrift har, desto færre muligheter finnes det for en angriper dersom en ny kritisk sårbarhet blir kjent.