Cybertrusler og menneskelige fejl: Hvorfor mennesker fortsat udgør den største risiko

Cybersikkerhed opfattes ofte som en teknisk udfordring, men i virkeligheden er det i lige så høj grad en menneskelig udfordring. Mens organisationer investerer massivt i værktøjer og infrastruktur, lykkes det angribere fortsat at udnytte noget langt mere simpelt: hvordan systemerne bruges, hvordan mennesker handler, og hvor små svagheder bliver overset.

For virkelig at forstå, hvordan cybertrusler opstår, og hvor risikoen kommer fra, er det ikke nok blot at se på teknologien. Man skal også forstå, hvordan angribere tænker, hvordan de går til systemerne, og hvorfor deres angreb lykkes.

Sådan tænker hackere: forstå moderne cybertrusler

For at forstå cybersikkerhed skal man først forstå angriberen. Den største fejl, som organisationer begår, er at antage, at hackere benytter sig af meget avancerede og komplekse teknikker. I virkeligheden lykkes de fleste angreb ikke, fordi systemerne er svage, men fordi mennesker, processer eller små fejl og mangler skaber muligheder.

Hackere tænker ikke i mål. I stedet tænker de i adgang. De scanner bredt, tester systemer og leder efter alt, hvad der virker. Hvis en vej er spærret, går de blot videre. Det minder mindre om et omhyggeligt planlagt røveri og mere om at gå ned ad en gade og prøve dørhåndtagene. »Hvis en dør er låst, går de bare videre til den næste,« forklarer Eirik Hole, ledende konsulent for offensiv sikkerhed hos NetNordic. »De behøver ikke at bryde ind overalt – de skal bare finde ét sted, der virker.«

Hackere leder efter svaghederne

En udbredt misforståelse er, at hackere »bryder ind« ved hjælp af brute force. Oftest behøver de slet ikke det. I stedet leder de efter det svageste led i en kæde, der ellers er sikker. Det kan være et overset system, en forkert konfiguration eller en glemt del af infrastrukturen.

I mange tilfælde er der slet ikke tale om en teknisk fejl. Hackere er klar over, at organisationer er komplekse og i konstant udvikling, og at der næsten altid er noget, der står ubeskyttet. »Jo større og ældre en organisation er, desto større er sandsynligheden for, at noget er blevet glemt eller overset,« siger Hole.

Når de først har fundet en vej ind, stopper de ikke der. Adgangen er kun begyndelsen. Set fra en angribers synspunkt er det egentlige mål at bevæge sig videre: på tværs af systemer, mellem konti og dybere ind i organisationen. En enkelt kompromitteret konto kan føre til langt bredere adgang, hvis miljøet tillader det.

Mennesker er den nemmeste vej ind

På trods af fremskridt inden for sikkerhedsteknologi er mennesker stadig den nemmeste vej ind. Faktisk er menneskelige fejl fortsat blandt de væsentligste faktorer, når cybertrusler udvikler sig til reelle sikkerhedsbrud. Hackere ved, at det ofte er langt nemmere at narre en person end at omgå et system, og phishing-e-mails er stadig et af de mest effektive værktøjer, fordi de udnytter hverdagens adfærd. Folk har travlt, de tager genveje, og de stiller ikke altid spørgsmålstegn ved det, der ser bekendt ud. En velformuleret besked behøver kun at overbevise én person for at lykkes.

I store organisationer bliver dette endnu mere forudsigeligt. Når der er nok brugere, vil der før eller senere være nogen, der klikker på et forkert link, genbruger en adgangskode eller gemmer følsomme oplysninger det forkerte sted.

Hackere udnytter denne sandsynlighed. De behøver ikke, at alle begår en fejl. Det er nok, at én gør det.

Hackere udnytter den måde, organisationer rent faktisk fungerer på

Ud over de enkelte brugere udnytter angribere også den måde, organisationer fungerer på i bredere forstand. De ved, at systemer ofte tages i brug, før sikkerheden er fuldt ud gennemtænkt, og at der under pres vælges hurtige løsninger. Sikkerhed betragtes ofte som en omkostning snarere end en nødvendighed, og det kan føre til kompromiser.

De ved også, at når sikkerheden bliver for restriktiv, finder folk måder at omgå den på. Hvis en proces er for langsom eller kompliceret, skaber brugerne deres egne genveje. Set fra en hackers synspunkt skaber disse genveje nye muligheder.

Selv tilsyneladende harmløse oplysninger kan være nyttige. Interne dokumenter, e-mails eller små mængder data kan hjælpe med at kortlægge systemer eller gøre fremtidige angreb mere overbevisende. Hackere leder ikke kun efter det, der har værdi. De bruger det, der er tilgængeligt.

AI ændrer omfanget, ikke tankegangen

AI har gjort cybertrusler hurtigere og lettere at skalere, men har ikke grundlæggende ændret den måde, hackere tænker på. De samme principper gælder stadig: Find svagheder, udnyt dem og gå videre.

Det, AI ændrer, er hastigheden og tilgængeligheden. Opgaver, der tidligere krævede tid og ekspertise, kan nu automatiseres. En enkelt person kan udføre flere angreb på én gang, analysere resultaterne og hurtigt justere sin tilgang. AI kan også generere mere overbevisende phishing-beskeder, hvilket gør det sværere at skelne mellem ægte og falsk kommunikation.

På mange måder fungerer AI i dag som en junior pentester. Den er effektiv til at iværksætte en bred vifte af angreb og teste for kendte sårbarheder, men mangler ofte evnen til at kombinere mere avancerede teknikker i målrettede angrebsforløb. I stedet afprøver den mange forskellige tilgange for at se, hvad der virker.

Det er også vigtigt at tage højde for omkostningerne. Brugen af AI-værktøjer medfører ofte løbende udgifter, som i nogle tilfælde kan overstige fordelene sammenlignet med at benytte erfarne menneskelige eksperter.

For at være virkelig effektiv kræver AI derfor stadig vejledning fra eksperter. Der er brug for dygtige fagfolk til at styre indsatsen, fortolke resultaterne og finjustere strategierne. Uden dette input kan effekten være begrænset.

Anbefalet læsning: Penetrationstest – nøglen til digital modstandsdygtighed

Angribere forventer fejl, fordi de altid sker

Kernen i hackerens tankegang er en enkel antagelse: Intet system er perfekt. Hackere behøver ikke at bryde igennem et stærkt sikkerhedsforsvar overalt. De skal blot finde det ene sted, hvor det svigter. Uanset om der er tale om en menneskelig fejl, et forældet system eller en forkert konfiguration, forventer de, at noget et eller andet sted er blevet overset.

Derfor er absolut sikkerhed umulig. Målet er ikke at fjerne al risiko, men at mindske sandsynligheden for, at et angreb lykkes, og begrænse konsekvenserne, når noget alligevel går galt.

I stedet for at stole på en enkelt stærk barriere bygger moderne sikkerhed på princippet om defense in depth, altså sikkerhed i flere lag. Det betyder, at der etableres flere lag af sikkerhedskontroller i IT-miljøet. Hvis ét lag svigter eller omgås, er der stadig andre lag, der kan opdage, forsinke eller standse et angreb.

En nyttig tilgang er løbende at spørge: Hvad sker der, hvis dette sikkerhedslag svigter?

Ved at indbygge redundans i sikkerhedskontrollerne kan man reducere risikoen for, at en enkelt fejl fører til et omfattende kompromis.

I praksis betyder det fokus på nogle få centrale områder:

• Reducér organisationens angrebsflade, især de dele, der involverer brugere
• Test systemerne løbende frem for at nøjes med enkeltstående kontroller
• Behandl sikkerhed som en central del af driften, ikke som noget, der tilføjes bagefter
• Implementér sikkerhed i flere lag med flere kontrolpunkter på tværs af systemer og processer

Denne lagdelte tilgang tager højde for, at fejl vil ske, men skal forhindre, at én fejl automatisk giver en angriber succes.

Etisk hacking: test før angriberne gør det

En af de mest effektive måder at forstå den reelle risiko på er gennem etisk hacking. Men hvad er etisk hacking?

Det er en metode, hvor man på en kontrolleret og lovlig måde simulerer virkelige cyberangreb for at afdække svagheder, før ondsindede aktører finder dem.

Etiske hackere anvender de samme teknikker som angriberne, men med tilladelse og et klart mål: at afdække sårbarheder og hjælpe organisationer med at lukke dem. Disse øvelser, der ofte kaldes penetrationstest eller pentest, giver indsigt i, hvordan systemer, brugere og processer reagerer under et angreb.

I stedet for at basere sig på antagelser får organisationerne et realistisk billede af, hvor de er eksponeret, og hvordan sikkerhedshullerne kan lukkes.

Vil du vide mere om cyberrådgivning? Så tøv ikke med at kontakte os.

Styrk sikkerheden med NetNordic som din sikkerhedspartner

At forstå, hvordan angribere tænker, er kun det første skridt. Det er handlingen på baggrund af denne indsigt, der gør forskellen.

Her kan NetNordic være jeres sikkerhedspartner. Med dyb ekspertise inden for offensiv sikkerhed og penetrationstest hjælper NetNordic organisationer med at afdække reelle sårbarheder, prioritere det væsentlige og gå fra en reaktiv sikkerhedsindsats til en proaktiv strategi mod cybertrusler.

I et trusselslandskab, hvor angribere konstant leder efter den nemmeste vej ind, kan den rette sikkerhedspartner hjælpe med at identificere og lukke disse muligheder, før de bliver udnyttet.

Forfatter

Eirik Hole

Ledende sikkerhedskonsulent

About Eirik Hole

Eirik Hole er sikkerhedskonsulent hos NetNordic med speciale i offensiv cybersikkerhed. Han arbejder praktisk med penetrationstest, sårbarhedsvurderinger og red team-opgaver, hvor han hjælper organisationer med at afdække reelle svagheder, før angribere gør det. Med over otte års erfaring inden for cybersikkerhed kombinerer Eirik teknisk ekspertise med en angribers tankegang – hvor han ikke kun fokuserer på systemets sårbarheder, men også på, hvordan menneskelig adfærd og huller i processerne kan udnyttes. Han har desuden erfaring med håndtering af sikkerhedshændelser og teamledelse. Eirik deltager aktivt i Capture The Flag (CTF)-konkurrencer og er en del af det norske hold RumbleInTheJungle, hvor han løbende finpudser sine færdigheder i realistiske angrebsscenarier. Hans arbejde bygger på ét princip: at forstå, hvordan angribere rent faktisk får adgang – og at omsætte den indsigt til praktiske sikkerhedsforbedringer.