Lectures for 2008 - KTH

KURSKOMPENDIUM NÄTVERKSSÄKERHETSKURS
___________________________________________________________________________
systembelastningar förlorade funktionalitet eller kraschade. Morris dömdes 1990 till tre års
villkorligt fängelse, 400 timmars samhällstjänst samt böter på $10 000 65 .
Förutom det rättsliga efterspelet stängdes Morris av från vidare studier vid
Cornelluniversitetet. En effekt av Internetmasken och det bryska IT-säkerhetsmässiga
uppvaknandet ledde till var skapandet av incidenthanteringscenters så som CERT/CC
(Computer Emergency Response Team Coordination Center) och CIAC (Computer Incident
Advisory Capability).
Det går att dra åtminstone par viktiga tekniska slutsatser från denna tidiga incident. Den första
observationen är att masken var kapabel att sprida sig till olika operativsystem på olika
hårdvara. Masken medflyttade färdigkompilerad objektkod som den nyttjade beroede på
vilket operativsystem som målsystemet hade. Detta ledde till att den lyckades få en så pass
bred spridning som den fick. En annan observation är att den bara spred sig i binär form och
hade krypterat, visserligen med en enkel algoritm, den överförda binärerna för att försvåra
analys.
3.2 Virusskydd
Virusskydd brukar normalt användas på klientdatorerna eller på filservrar. Ur ett
nätsäkerhetsperspektiv kan virusskydd användas i kombination med brandväggar eller
liknande utrustning för att automatiskt viruskontrollera överförd information, till exempel data
överförda via FTP, HTTP eller e-post. En annan viktig aspekt är att ha antivirusprogram
installerade på bastiondatorer i brandväggsområdet - för att undvika att dessa blir drabbade av
virus eller angrepp från maskar. Ofta finns det tyvärr vita fläckar på nätet – maskiner som inte
har virusskydd installerat. Bärbara datorer är ett sorgebarn som ofta släpar efter i uppdatering
eller inte underhålls alls, vilket ofta ställer till problem när dessa flyttas mellan
hemarbetsplatser och det interna nätverket. Andra oskyddade system kan vara skrivar-,
databas-, applikationsservrar,
inpassagesystem och liknande som glöms bort eller man anser det vara onödigt att skydda. En
annan vanligt förekommande vit fläck på virusskyddskartan är system som baserat på annat
än Windows. Stora serverlösningar baserade på UNIX, Linux, VMS och liknande brukar
sällan förses med något antivirusskydd.
Att ha dessa medvetna eller okända undantag är självbedrägligt. Ett relaterat problem, som
kommer av att inte alla maskiner har antivirusskydd, är att dessa maskiner gör att maskar kan
dröja sig kvar på internnätet och ställa till problem långt efter själva uppstädning, hanteringen
av AV-uppdatering och patchning gjorts klart.
Det är viktigt att understryka att antivirusprogram i sig inte är ett fullgott skydd mot skadlig
kod såsom virus, nätmaskar och liknande. Det finns många exempel där antivirusprogrammen
reagerat för sent – efter infektion, eller inte alls på ett angrepp eller infektion. Många moderna
maskar, virus och liknande använder många metoder för att undvika upptäckt. En metod är att
komma in via ett hål i ett program, ofta via någon variant av buffertöverskrivningsattack, och
sedan bara existera i minnet, vilket gör det svårt för antivirusprogrammen att upptäcka
65 Lawrence Kestenbaum (1990) Robert Morris Sentencing. http://www.potifos.com/morris.html
Copyright (c) 2003-2008 Robert Malmgren AB. All rights reserved Sid 60 (139)