Danmark bør styrke sit cyberforsvar - Stigende cyberangreb på kritisk dansk infrastruktur, understreger behovet for at styrke det danske cyberforsvar
Foto: Dansk kritisk infrastruktur er eksponeret for trusler om både kinetiske og digitale angreb. I december 2023 øvede Forsvaret sig på at beskytte havvindmølleparker som en del af det britisk ledede forsvarssamarbejde JEF. Fotograf Steffen Fog/ Arkiv: Forsvarsgalleriet.
Af Rasmus Dahlberg, lektor, Ph.D., og Mikkel Storm Jensen, major, Ph.D., Center for Samfundssikkerhed, Forsvarsakademiet.
En søndag i november udsendte SektorCERT en højst alarmerende rapport om et omfattende, men indtil da hemmeligholdt cyberangreb på dansk kritisk infrastruktur, som fandt sted i maj 2023. SektorCERT er cybersikkerhedsorganisation (CERT står for Computer Emergency Response Team) ejet og finansieret af danske selskaber inden for kritisk infrastruktur, der samarbejder med andre CERT’er i Europa. Det er de kritiske sektorers fælles cyberenhed, som overvåger bl.a. energisektoren og forsvarer kraftværker, forsyningsselskaber og elnettet mod forsøg på indtrængning fra ubudne gæster. Ikke mindre end 22 virksomheder, hver med ansvar for en del af Danmarks vitale energiinfrastruktur, blev kompromitteret i et koordineret angreb, som har alle kendetegn for at have en statslig aktør som afsender. De aktuelle angreb var sandsynligvis rettet mod at etablere en grad af kontrol med systemerne, der så senere ville kunne anvendes til at gennemføre sabotagelignende operationer, i stil med hvad en russisk efterretningstjeneste gjorde mod ukrainske elværker med angrebet ”Black Energy” i 2015. Angrebene var særdeles målrettede og påfaldende diskrete. Det ligner ikke et kriminelt motiveret angreb: Kriminelle netværk og individer angriber som regel meget bredt og med det formål at tage data eller systemer som ”gidsler” med henblik på at kræve løsesum.
Hvis angriberne havde haft held med deres forehavende, kunne det have påvirket mere end 100.000 danskeres energiforsyning og med en dansk samfundsmodel, der hviler på et gennemdigitalisereret fundament, hvor en stabil og velfungerende elforsyning er vital, vil det selvsagt have en enorm impact. Populært siger man, at Maslow’s berømte behovspyramide i dag hviler på et solidt fundament af wifi og strømforsyning. Hvis elektriciteten forsvinder fra stikkontakten, vil det i løbet af timer og ikke mindst dage få alvorlige konsekvenser for mange samfundsvigtige funktioner, herunder sundhedssektoren, transportområdet samt leverancer af varme og vand. Derfor reguleres og overvåges elsektoren nøje. Elsektoren er udpeget som kritisk infrastruktur i både alle danske cyber- og informationssikkerhedsstrategier siden 2014 og EU’s NIS-direktiv fra 2016, der forpligter medlemslandene at pålægge kritisk infrastruktur skærpede sikkerheds- og beredskabsforanstaltninger for at styrke samfundets resiliens over for angreb og uheld. Elsektoren består for hovedparten af meget store enheder, der har ressourcerne til at leve op til kravene. De 22 virksomheder havde i alt ca. 100.000 tilknyttede brugere, hvilket indikerer, at der er tale om mindre leverandører. Men som angrebet viser, var der altså 22, formentlig mindre leverandører, der ikke var lige så hurtige som de store til at lappe den cyber-svaghed, som angriberne udnyttede. Angrebet illustrerer dermed, hvordan der er forskellige modenhedsgrader i den kritiske infrastrukturs resiliens – ikke bare mellem sektorerne men også internt i de enkelte sektorer i Danmark. Nogle er langt fremme – andre er bagud.
Ved angrebet i maj udnyttede angriberne en sårbarhed i routere fra producenten Zyxel. En sårbarhed, der godt nok var blevet opdaget en uges tid forinden, men som af forskellige årsager hos en lang række virksomheder endnu ikke var blevet udbedret. Derfor var der adgang til de firewalls, hvis funktion er at beskytte den egentlige operationsteknologi (OT), som styrer elproduktion, forsyningsnet m.v. ude i den kritiske energisektor. SektorCERT anfører i rapporten, at angrebets første bølge den 11. maj var velkoordineret og bar præg af grundig planlægning, hvorfor afsenderne anses for ressourcestærke. Angrebets anden bølge, som ramte sektoren den 22. maj. havde andre karakteristika, hvorfor SektorCERT formoder, at der var tale om to forskellige angribere, men man udelukker ikke, at der kan have været tale om samme ”arbejdsgiver”. Begge angrebsbølgers karakter og udførelse tyder som sagt mere på en statslig aktør end kriminelle motiver.
Set i et samfundssikkerhedsperspektiv er hændelsen væsentlig af flere årsager. Den viser først og fremmest, at de mest kritiske af de kritiske sektorer i Danmark er mål og nogle gange sårbare over for ondsindede forsøg på indtrængning. Havde det ikke været for SektorCERTs overvågning og hurtige reaktion (hvilket cyberenheden ikke lægger skjul på i deres egen rapport), kunne angrebet have fået konsekvenser for den nationale energiforsyning og deraf afledte effekter. I yderste konsekvens kunne betalingssystemer i områder, der er afhængige af de ramte leverandører, ville risikere at gå ned, mobiltelefoner og computere miste forbindelsen til netværk og transportsystemer lammes. Efter få døgn vil også brændstof-, varme- og vandforsyning og mange andre basale samfundsfunktioner potentielt være lagt ned. Angrebet er også væsentligt, fordi det tilsyneladende var første gang, hackere i stor stil var tæt på at få adgang til de systemer, som rent faktisk styrer den kritiske infrastruktur.
Mens det ikke er afklaret endnu hvem, der stod bag angrebet i maj 2023, tegner der sig en sandsynlig afsender i form af Rusland på hovedparten af de mange såkaldte DDoS-angreb, der har ramt f.eks. danske ministerier, banker, hospitaler, kommuner og lufthavne. Angriberne overbelaster i en periode de ramte institutioners hjemmesider med millioner af ”opkald” til systemerne, så man ikke kan komme i kontakt med dem, mens angrebet står på. Ofte tager angriberne et billede af den ramte hjemmeside, der så lægges ud på sociale medier sammen med en nedladende meddelelse med direkte reference til politiske udmeldinger eller handlinger. Angrebene er ofte koordineret og udført af kriminelle grupper, der på den russiske stats vegne angriber mål i Vesten mod til gengæld at kunne udøve deres indbringende cyberkriminalitet i fred for myndighederne.
Mange af DDos-angrebene i februar 2024 italesættes således som en straf for statsministerens løfte efter et NATO-topmøde om at støtte Ukraine og indeholder ofte trusler om, at der vil komme flere angreb i fremtiden. Angrebene får, især når de kommer i bølger som eksempelvis i december 2022 og februar 2024, hvor f.eks. ministerier, lufthavne, hospitaler og banker blev ramt, stor medieomtale, selv om de har meget ringe direkte effekt på de ramte institutioners evne til at fungere og løse sine opgaver. Disse DDoS-angreb går ”kun” ud over hjemmesider, mens den bagvedliggende teknologi og dermed funktionaliteten ikke er i fare. Angrebene er dog ikke ufarlige, fordi de over tid kan underminere befolkningens tillid til myndighedernes evne til at beskytte den kritiske infrastruktur i cyberdomænet. Men når det gælder prioritering af statens og den kritiske infrastrukturs begrænsede ressourcer til cybersikkerhed og resiliens, udgør diskrete angreb som det i maj, der kan være forberedelse til sabotage, en langt større trussel mod det danske samfund end de spektakulære DDOS angreb. DDoS angreb er træls, men relativt ufarlige, mens staters destruktive cyberangreb og kriminelles gidseltagning af samfundskritiske funktioner er en særdeles alvorlig trussel.
Angrebet på Netcompany i februar 2024, som bl.a. udvikler programmer til mange offentlige myndigheder, falder tidsmæssigt sammen med en bølge af russiske DDoS-angreb. Det lykkedes en angriber at trænge ind i Netcompanys systemer, hvorfra en del informationer er hentet ud. Disse interne dokumenter blev lagt ud på nettet bid for bid, formentlig i håb om at Netscape ville betale for at undgå yderligere offentliggørelser. Angrebet viste sig efterfølgende at være et ”insider-attack”. En ansat i firmaet er nu anklaget for at have gennemført angrebet. Han forsøgte tilsyneladende at camouflere sig som en udenlandsk, og måske delvist politisk motiveret gruppe. Angrebet er en alvorlig påmindelse om den konstante og voksende trussel fra kapable kriminelle, der kan angribe såvel udefra som indefra og udnytte hullerne hos selv sikkerhedsbevidste organisationer som Netcompany.
Nu kan man forledes til at tro, at det bare er i Danmark, den er gal. Men cybertrusler rammer også mange af de lande, vi normalt sammenligner os med. I slutningen af april 2024 gik det for eksempel ud over Systembolaget i Sverige, hvis logistikleverandør blev lagt ned af et formentlig nordkoreansk ransomwareangreb med deraf følgende potentielt samfundslammende konsekvenser for svenskerne i form af manglende alkoholleverancer.
Hvor stor er truslen så? For at forstå det kan man dels lade sig inspirere af aktuel kunst, dels af aktuel krig. På Netflix kan man se hele USA blive lammet og ødelagt af et cyberangreb i Julia Roberts-filmen ”Leave the World Behind”, som har bl.a. Michelle og Barack Obama som executive producers. I virkeligheden er situationen nok ikke helt så slem, som Hollywood gerne vil fremstille den, men som krigen i Ukraine viser, er cybertrusler alvorlige nok, hvis man ikke styrker sit beredskab. Mange forventede, at Rusland ville udføre omfattende og ødelæggende cyberangreb på Ukraine i forbindelse med invasionen den 24. februar 2022. Det ”digitale Pearl Harbor” kom dog aldrig, men det skyldtes ikke, at Rusland ikke prøvede. Rusland angreb og angriber stadig mål i Ukraine i forsøg på at lamme fx regeringsførelse, energiforsyning og mål i sundhedssektoren. De manglende resultater skyldes ikke et fravær af russisk vilje, men manglende russisk evne til at overkomme det ukrainske cyberforsvar og -modstandsdygtighed. For nyligt var der tale om et større angreb. Et af de få vellykkede russiske angreb ramte 12. december 2023 den ukrainske mobiltelefonudbyder Kyivstar og påvirkerede flere end 25 mio. brugere. Ud over at angrebet satte Rusland i stand til at indhente en lang række informationer fra Kyivstars telefoner og netværk, forhindrede angrebet kommunikation og ikke mindst udsendelse af varsler om russiske luftangreb, der sker via en app.
Angrebet på Kyivstar i december er et eksempel på, hvor hårdt det ukrainske samfund ville være blevet ramt, hvis ikke landet, støttet af venlige nationer og store private aktører som Amazon, Google og Microsoft, havde været i stand til at standse eller begrænse de mange russiske angreb. Angrebet illustrerer dog også en anden styrke i Ukraines cybermodstandsdygtighed, nemlig cyber-resiliens: Allerede 20. december var Kyivstars netværk nemlig oppe igen.
Utilstrækkeligt beredskab
På cyberområdet er de overordnede retningslinjer for beredskab og modstandsdygtighed siden 2014 udstukket gennem Danmarks nationale cyber- og informationssikkerhedsstrategier, senest i 2021. De suppleres med og drives frem af EU’s Direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen (i daglig tale: NIS2-direktivet), der trådte i kraft i 2023 og skal være endeligt implementeret i dansk lovgivning senest i oktober 2024. Danmark når dog ikke i mål med implementeringen inden for fristen – det måtte Forsvarsministeriet meddele den 5. februar i år. Forsinkelsen begrundende forsvarsminister Troels Lund Poulsen (V) med, at det lovforberedende arbejde have taget længere tid end forventet og udtalte: ”Det kan jeg kun beklage. Jeg ved, at virksomheder og myndigheder lægger et stort arbejde i at blive klar til at arbejde efter de nye regler.”
Implementeringen af NIS2, som på nuværende tidspunkt er to måneder forsinket, sker efter sektoransvarsprincippet: De enkelte sektorer er ansvarlige for, at virksomheder, der er udpeget som kritisk infrastruktur, etablerer og vedligeholder beredskab, modstandsdygtighed og evnen til at opretholde et vist fastsat mål af funktionalitet, når de er under angreb. På grund af opgavernes og sektorernes individuelle aktørers, dvs. myndigheders og virksomheders, meget forskellige karakter og ressourcer, er man imidlertid ikke alle steder nået lige langt.
Decentraliseringen af opgaven med at etablere resiliens og opretholde beredskab giver god mening, da ekspertisen findes naturligt ude i de enkelte sektorer og virksomheder. Ansvaret for, at det også rent faktisk sker, kunne man derimod overveje at ændre til en mere centraliseret løsningsmodel, sådan som man fx har i Finland, hvor en sikkerhedskomite i Forsvarsministeriet har et centralt og tæt overblik over resilienstiltag og rapporterer direkte til præsidenten. En lignende myndighed i Danmark ville styrke statens overblik og evnen til at koordinere samfundets modstandsdygtighed i hverdagen og ikke kun under kriser som i den nuværende danske konstruktion.
Her kunne Danmark samtidig lade sig inspirere af Sverige, hvor der for alvor er kommet kul på kedlen under minister for civilt beredskab Carl-Oskar Bohlins ledelse siden hans tiltrædelse i oktober 2022. Selv om Sverige i lighed med Danmark afmonterede totalforsvaret efter afslutningen på den kolde krig, er man på den anden side af Øresund (ligesom i Norge) kommet hurtigere ud af startboksen med at retablere det. Det handler om tydeliggørelse af myndighedsansvar, involvering af samarbejdspartnere, herunder privat sektor, og strategisk tænkning om samfundsrobusthed. Senest holdt han søndag den 7. januar 2024 en brandtale ved Folk och Försvars rigskonference, hvori han gjorde det klart, at krigen kan komme til Sverige i form af russisk aggression, som udløber af ukrainekrigen, og at tid kan vise sig at være den mest knappe ikke-vedvarende ressource, man har i beredskabet, eftersom hybridtruslerne allerede er evidente. Med andre ord: Hellere en god løsning i morgen end en perfekt om fem år. SektorCERTs detaljerede og skræmmende beskrivelse af angrebet i maj viser nemlig med al tydelighed, at vi ikke må lade erfaringerne fra Ukraine blive en sovepude – at Rusland ikke er lykkedes med at slukke for Ukraine gennem cyberangreb skyldes ikke manglende vilje, men udelukkende manglende evne til at overkomme det ukrainske cyberforsvar. Måske er det Digitale Pearl Harbor ikke en realistisk trussel, men der findes statslige aktører derude, som besidder viljen til at forsøge at slukke lysene i de danske hjem.
Lav risiko, stor skade
På grund af de tekniske særkender ved cyberangreb, hvor de kan gennemføres skjult, fordækt og på afstand, er de et velegnet middel for stater til at true og undergrave modstandere med henblik på at få dem til at genoverveje at ændre fx udenrigspolitik. Man kan gøre meget for at skjule, hvem der angriber, og den angrebne er ofte ikke interesseret i at indrømme, hvor meget man ved om angrebet for ikke at afsløre forsvars- og efterretningskapaciteter. Samtidig er angrebene alvorlige og har reelle omkostninger, men stadig så langt nede på eskalationsstigen og diffuse, at risikoen for at udløse andre modforanstaltninger end diplomatisk ”blaming and shaming” er begrænset. De russiske ”cyberaktivisters” højtprofilerede DDoS-angreb på danske ministerier, banker, lufthavne etc. kan fortolkes som forsøg på at skabe usikkerhed i Danmark om, hvad prisen er for at støtte Ukraine.
Angrebene i foråret på den kritiske infrastruktur kunne – med det in mente, at der ikke fra dansk side er udpeget nogen bestemt aktør bag angrebene – fortolkes som forsøg på at etablere tilstedeværelse i systemerne, der senere ville kunne udnyttes til cyber-sabotage. Det forhold at FE vurderer, at truslen fra ødelæggende cyberangreb i den nuværende situation er lav, er ikke ensbetydende med, at Danmarks modstandere ikke vil forsøge at opbygge evnen til at udføre sådanne angreb, hvis situationen skulle ændre sig.
Nogle stater, fx USA, lægger stor vægt på afskrækkelse i deres cyberforsvarsstrategier. Her er budskabet, at cyberangreb vil kunne udløse en straf i form af modangreb med cyber eller andre midler. Da Biden mødtes med Putin i 2021, kort efter, at russiske cyberkriminelle med et angreb på Colonial Pipeline havde skabt kaos i 14 delstater ved at lukke for benzin-rørledninger i ugevis, sagde han noget i retning af, at angrebet var uacceptabelt, og at der var mange rørledninger i Rusland, der kunne komme slemt afsted, hvis det skete igen. Det er måske svært at forestille sig Mette Frederiksen og Putin have den samme samtale. For en småstat som Danmark er der sandsynligvis mere gevinst ved at gøre sig til et så vanskeligt mål som muligt samt besidde en stor og demonstreret evne til ikke bare at modstå, men også overkomme cyberangreb. Det vil virke afskrækkende på den måde, at modstandere vil skulle yde en større indsats for at angribe, forvente en mindre og mere kortvarig effekt og derfor kigge sig om efter mindre resiliente stater at angribe. Denne tankegang betegnes ”resiliens som afskrækkelse”.
Uanset hvor resiliente samfund bliver mod cyberangreb, er det en løbende indsats, hvor mål og midler permanent er under forandring. Cyberangreb er, som demonstreret i Ukraine, ikke et mirakelvåben. Men det er så fremragende et middel til hybrid krigsførelse og interstatsligt drilleri, at det fortsat vil blive anvendt og givetvis kun hyppigere og hyppigere i takt med udviklingen af offensive cyberkapaciteter hos en bred vifte af internationale stater. Og uanset om det internationale samarbejdsklima skulle gå i en mere positiv retning engang i fremtiden, er truslen fra højtkvalificerede cyberkriminelle, der er villige til at afpresse hele samfund ved at tage kritisk infrastruktur som gidsel, rigelig til at motivere en styrkelse af samfundets cyberresiliens.