DTU: Når uheldet er ude …

Et hackerangreb en fredag eftermiddag i august blev startskuddet til de fleste IT-ansvarliges værste mareridt. Det gælder også for Anders Fosgerau, Kontorchef for IT Service hos Danmarks Tekniske Universitet. Det, som han og hans kollegaer først troede var et mindre sikkerhedsbrud, viste sig at være mere alvorligt. I et tæt samarbejde med Microsoft, fik DTU lukket hullerne. Sagen er overstået, men lektien lært.

”Det er den bedste team building-øvelse, vi nogensinde har haft”, siger Anders Fosgerau med et ironisk grin. For der var hverken tale om en øvelse eller noget særlig morsomt. Ikke mindst fordi angrebet skete fredag eftermiddag, hvor de fleste på DTU var begyndt at gøre sig klar til weekenden, og der derfor ikke var mange tilbage i Anders Fosgeraus afdeling, da den første alarm lød. ”Vi troede, vi havde indkapslet hændelsen og pustede i første omgang ud. Efter 24 timer gik det op for os, at de – hvem de så end er – var kommet meget længere ind i vores systemer, end vi først antog. Nu handlede det først og fremmest om at standse ulykken”, siger Anders Fosgerau og sammenligner indsatsen med at minimere skaderne af en brand til et enkelt rum i huset uden, at den spreder sig til de øvrige værelser.

Man skal som IT-person finde den magiske balance mellem at råbe ”Ulven Kommer” og på den anden side stole på, at sikkerhedsskruen allerede er strammet så meget, at man er immun.

– Anders Fosgerau, Kontorchef for IT Service, DTU

Den usynlige fjende

I situationer som den, DTU og Anders Fosgerau og hans team stod i, er tiden afgørende. Samtidig kæmper man ofte mod en usynlig fjende. ”Vi aner ikke, hvem hackerne er, hvad de var efter, hvilket motiv de havde, og hvor meget de ville ødelægge på deres vej ind i vores systemer. Det er super frustrerende og lidt ligesom at bokse med bind for øjnene”, siger Anders Fosgerau. Anders Fosgerau fik carte blanche til at skaffe sig hjælp udefra. Og efter en gåtur for at klare hjernen, kontaktede han Microsoft og blev sat i direkte forbindelse med Hasan Rahman, der er Chief Security Advisor hos Microsoft Danmark. ”Det kan synes som en lille ting, men jeg var meget glad for, at Hasan og teamet mødte op fysisk. Det virker enormt betryggende i sådanne situationer. Samtidig blev persongalleriet udvidet betragteligt. Microsoft hentede de nødvendige ressourcer ind og bidrog aktivt til at løse problemet med ”boots on the ground”. Ikke kun rådgive os på distancen. Det giver også et moralsk boost, at vi har nogen, der møder op og siger: Jeg er til for at hjælpe dig, for man føler sig alt andet lige temmelig sårbar og meget er på spil”. Microsofts assistance bestod i at danne sig et hurtigt overblik over situationen, diagnosticere hændelsen og bidrage til at få isoleret problemet, så det ikke spredte sig til andre systemer. Det indebar bl.a. en såkaldt tiering af Active Directory.

Vi lever af vores omdømme

Konkret havde hackerne fået adgang via en studieportal, som de studerende bruger til at løse og aflevere opgaver hjemmefra. Herfra rettede hackerne et angreb mod den centrale infrastruktur, hvilket betød, at mere end 25,000 brugere af DTU’s systemer skulle skifte password. Alligevel er Anders Fosgerau og resten af teamet lettede: ”Hackerne har ikke trukket data ud af systemet eller ødelagt noget på deres vej. Vi ved ikke, hvad de var efter, og om det var et ’nation state attack’ eller en ’script kiddy’, men vi kan konstatere, at de ikke har haft held med deres forehavende”, siger han.

”DTU lever af at være en attraktiv samarbejdspartner. For studerende, virksomheder og andre universiteter – både nationale og internationale. Derfor er det afgørende, at man kan stole på os. At man ved, at vi passer godt på den information, som vi er blevet betroet, og forskningsdata som vi selv frembringer. Ellers er risikoen, at det ikke længere er attraktivt at samarbejde med os”, siger Anders Fosgerau. Derfor var angrebet også noget man hos DTU tog særdeles alvorligt. ”Når det er sagt, så er det vigtigt at understrege, at alle kan blive angrebet, uanset hvem man er. Hvis man har noget, der er vigtigt for en selv, er det også vigtigt for hackerne. Spørgsmålet er, hvordan man håndterer det, og hvordan man sikrer sig, at det ikke sker igen.”, siger Anders Fosgerau.

Viden forpligter

Hændelsen har ført til ændringer i måden, som DTU arbejder med sikkerhed på, og ifølge Anders Fosgerau har angrebet medført et nyt bevidsthedsniveau: ”På sin vis er mit arbejde nu blevet lettere. Der er ingen tvivl om at IT-sikkerhed er en kerneprioritet for os. Det fylder på alle niveauer og er en meget vigtig strategisk prioritering. Og jeg skal ikke kæmpe for at få opmærksomhed om dagsordenen. Men viden forpligter også. Vi har nu bedre og dybere indsigt og ikke mindst bedre og flere værktøjer. Det betyder, at vi naturligvis også er forpligtet til at sætte nye arbejds- og sagsgange op, så de matcher den viden, vi nu har tilgængelig.” For Anders Fosgerau og teamet har hændelsen nemlig også betydet, at man har taget et kritisk blik på tidligere procedurer: ”Hvor vi tidligere løste opgaver på ad-hoc niveau, er der nu standardiserede og automatiserede processer, der sætter indsatsen i system. Og det betyder både øget tryghed i hverdagen, men også langt flere projekter at holde styr på. Vi er klart bedre rustet nu end tidligere, og vi har lært en masse – men jeg håber ikke, vi skal igennem det igen”, afslutter Anders Fosgerau.