Det er slett ingen grunn til å avskrive trusselen fra cyberterrorister.

– Vi må venne oss til at det må brukes mer penger på sikkerhet, sier forsker Niklas Vilhelm i Nasjonal sikkerhetsmyndighet (NSM).

Terror i litt mindre skala

I går fortalte forskning.no hvordan Forsvarets forskningsinstitutt (FFI) fastslår at krig og terror gjennom datanettet ikke er så enkelt som Hollywood vil ha det til.

• Les også: Liten fare for cyberterror

Forsker og tidligere forsvarssjef Sverre Diesen gikk langt i å avdramatisere faren for at terrorister vil bruke nettet til å ta kontroll over for eksempel strømmen eller telenettet. Det er teknisk vanskelig og krever for stor innsats.

Ifølge NSM er ganske riktig en terroraksjon som lammer samfunnet totalt, enormt ressurskrevende, og ikke noen realistisk trussel på kort sikt. Men i mindre skala, eller på lenger sikt, advarer Vilhelm mot både terrorister, fremmede makter og tenåringer på gutterommet:

Tenåring overtok trikken

– I mindre skala, for eksempel et angrep mot fly, tog eller skip, er trusselen mye mer nærliggende, sier han, og viser til et eksempel fra Łódź i Polen i 2008. Der tok en 14-åring kontroll over trikketrafikken.

Tenåringen, som lærerne beskrev som en modellelev og et teknologisk geni, bygde en innretning som så ut som fjernkontrollen til et TV-apparat, men som kunne styre sporvekslene. Fire trikker sporet av og 12 ble skadet mens han lekte med trikkene som med en gigantisk modelljernbane.

– Det går ikke an å utelukke den typen hendelser, selv om det er en litt annen sak enn å lamme samfunnet, sier Niklas Vilhelm.

Han peker også på at det er fullt mulig å lamme strømnettet i en hel landsdel bare ved å kutte en ledning ved et uhell.

– Til en viss grad vil det være fare for at den typen ting kan skje via cyberdomenet, også, sier han.

Kan hacke strømmåleren

I fremtiden kommer folk flest til å ha strømmålere stasjonert hjemme hos seg, for å lese av strømforbruket. Gjennom disse kan være mulig å ta seg inn i datanettet til strømleverandøren og gjøre skade:

– Dette er enheter som har kapasitet som små datamaskiner, og som er direkte koblet til infrastrukturen. Det er uvisst hvordan de kan sikres på en trygg måte, og vi har allerede sett at installeringen ble forsinket fordi det ble påvist at de ikke var så trygge som vi trodde i utgangspunktet, sier Vilhelm.

Han mener det er mulig å modifisere slike strømmålere slik at de kan sende ting inn i nettet som ikke skulle vært der.

– Fremmede land kan klare det

I gårsdagens artikkel beskrev Sverre Diesen fra FFI hvor komplisert det er å ta seg inn i industrielle styringssystemer, som for eksempel et kjernekraftverk. En hacker må gjennom mange lag av systemer, programvare og passord. Svært mye informasjon om systemene må til for å lykkes med angrepet.

Niklas Vilhelm er enig med FFI i at det er veldig vanskelig å komme seg inn i flere systemer på en gang.

– Men dette er kapabilitet som bygges opp av fremmede stater, sier han, og kan ikke si mer konkret om den saken.

– Men det er ikke vanskelig å gjette hvilke stater det gjelder. Der sitter det heltidsansatte, ekstremt godt utdannede mennesker på heltid og prøver å komme seg inn i systemer og utforske dem for å ha muligheten til å angripe dem, sier han.

Vilhelm trekker også frem at cyberkriminalitet er blitt en veldig stor industri. Dermed er det penger å tjene på å utvikle arbeidsverktøy til de kriminelle, og dette er verktøy som også etterretningstjenester og terror- og aktivistgrupper kan dra nytte av.

– Per dags dato er det veldig mye arbeid som legges ned i den typen teknologi, sier Vilhelm.

– På kort sikt kan vi regne med at trusselen neppe er overhengende. Men i et langtidsperspektiv vil dette trusselbildet fort kunne endre seg. Vi vet for lite om hva som er mulig å få til. Men det er mye synsing, hype og uttalelser som ikke er vel underbygd i forhold til fakta, sier NSM-forskeren, som ikke vil utelukke noe på dette området.

Bestikkelser og press

Selv om det er mange lag med sikkerhet å forsere for den som vil gjøre skade, så er det mulig, er budskapet fra Nasjonal sikkerhetsmyndighet.

Etterretningsorganisasjoner kan gjennomføre klassiske operasjoner, og bruke bestikkelser, press eller penger for å innhente data fra mennesker. De kan også levere ut minnepinner for å hente data fra beskyttede systemer.

– Antagelsen om at det er for vanskelig å vite nok om systemene, er ikke helt riktig, sier Vilhelm. – Man bør ikke anta at andre ikke kan noe om systemene, og så bruke det som en sovepute. Det er ikke noen trygg tilnærming.

Penger og kunnskap

Rådet fra Nasjonal sikkerhetsmyndighet er å bruke penger og dokumentasjon til å forberede seg på fremtidige angrep.

– Systemeierne må dokumentere systemene sine bedre. På systemer som har eksistert i lang tid og er tilpasset etterhvert, har folkene som har arbeidet med dem, gjerne gått over i andre stillinger, og kunnskap har gått tapt, sier Niklas Vilhelm.

Han innrømmer at dokumentasjonen i seg selv er en sikkerhetstrussel hvis den kommer i gale hender, men mener at det er en mye større trussel å eie et datasystem som du ikke helt kjenner innholdet i.

– Dessuten er det er viktig for dem som leverer kritisk infrastruktur, å overvåke bedre hva som skjer i nettverket, sier han.

Med kritisk infrastruktur tenker han på alt fra strømnett og elektronisk kommunikasjon til veier og vannledninger.

Vil ha øvelser

– De må logge aktiviteten, de må trene noen til å lete etter spor etter innbrudd, og de må gjennomføre øvelser, forklarer han.

Et eksempel på tiltak er å legge ut honningfeller, det vil si fiktive områder som gir seg ut for å være en del av kontrollsystemet, men som ikke er det. Hvis noen skaffer seg tilgang til en slik felle, skal alarmen gå, for der har ingen reelle brukere noe å gjøre.

– Dette er kjente, konvensjonelle metoder, men som bør tilpasses en industriell sammenheng, sier Vilhelm.

Han innrømmer at arbeidet er ressurskrevende:

– Vi må trene opp folk, og sikkerhetseksperter er mangelvare. Dette vil kreve flere hoder. Systemeierne må anerkjenne at vi lever i en verden som stadig vekk blir mer farlig, med et trusselbilde som blir mer alvorlig.

– Vi må venne oss til tanken på at det må brukes mer penger på sikkerhet, sier Niklas Vilhelm.