Stockholm Waterfront 25-26 november 2019

Överbelastningsattacker – en katt- och råttalek?

.SE:s säkerhetschef Anne-Marie Eklund Löwinder gästbloggar om senaste tidens överbelastningsattacker:

Knappast någon har väl missat de krigsrubriker som mötte oss på löpsedlarna för ett par veckor sedan i samband med överbelastningsattacker med Anonymous som avsändare. Media löpte amok och bidrog i hög grad till omfattningen av de störningar som vi kunde se genom att de och andra intresserade upprepade gånger försökte besöka de webbplatser som stod listade som potentiella offer för attacken, vilket fick till påföljd att de blev just överbelastade.

Under dagen inträffade dessutom andra saker som INTE orsakades av överbelastningsattacker, nämligen oavsiktliga händelser av teknisk karaktär. TeliaSoneras IP-telefoninät, SJ:s biljettbokning och The Pirate Bay hade var och en för sig avbrott på grund av fel i hård- eller mjukvara. Men i den allmänna villervallan tillskrevs även dessa avbrott till de pågående överbelastningsattackerna.

Vem behöver fiender, med sådana vänner?

Fredagen skulle bli domedagen. Hundratals eller kanske tusentals unga så kallade script-kiddies installerade verktyg (HOIC eller High Orbit Ion Cannon) enligt de anvisningar som spreds via nätverk, för att kunna bidra till attacken under frukostrasten eller när de nu hade möjlighet. Utan medias onyanserade uppmärksamhet hade detta sannolikt inte fått samma omfattning.

Att ha blivit utsatt för överbelastning är inte heller samma sak som att bli hackad. Det kräver inte att någon tar sig in i systemen, utan att man fyller upp alla tillfarter med irrelevant trafik.

För att skydda sig mot attacker av detta och andra slag krävs att man funderar igenom risker, konsekvenser, kostnader med mera. Det vill säga vanligt traditionellt säkerhetsarbete. Om webbplatsen försvinner några timmar kanske inte är verksamhetskritiskt på något sätt och något man kan leva med. Om driften av verksamhetskritiska system försvinner under lika lång tid kanske är avgörande för fortlevnaden. Men det vet man inte förrän man gjort en seriös bedömning.

Under Internetdagarna kommer vi att diskutera driftssäkerhet, robusthet och andra viktiga aspekter på tillgänglighet under passen: