It-nedlukning: ”Det er en meget alvorlig sårbarhed”

Opdatering: Adgangen til it-systemerne er genåbnet. Læs opdatering her: Adgangen til AU’s it-systemer er genåbnet

I øjeblikket er adgangen til mange af AU’s it-systemer, herunder STADS, lukket ned på grund af et muligt sikkerhedshul, som gør AU sårbart over for angreb fra cyberkriminelle. Over hele verden rammes virksomheder og organisationer af samme sårbarhed, som indgår i et meget brugt stykke software.

DKCERT (Danish Computer Security Incident Response Team), der overvåger sikkerheden på forskningsnettet, vurderer sårbarheden til 10 på en skala fra 1 til 10. En så kritisk vurdering gives ifølge DKCERT sjældent, og når det sker, ”... er den et udtryk for nem udnyttelse og høj impact”.

Derfor tager man også situationen meget alvorligt i AU IT, forklarer Steffen Longfors, der er konstitueret vicedirektør i AU IT.

”Det er en meget alvorlig sårbarhed, som er nem at udnytte. Det generelle trusselsbillede for danske universiteter er meget højt. Vi er et interessant mål for cyberkriminelle fra hele verden. Kombinationen af et højt trusselsbillede og en sårbarhed, der er meget nem at udnytte, betød, at universitetsdirektøren traf en afgørelse mandag morgen om at lukke webadgangen til systemerne ned,” siger Steffen Longfors.

Steffen Longfors forklarer, at det er adgangen ude fra internettet og ind til AU’s systemer, der er lukket ned. Det er den adgang, som hackere vil benytte for at tilgå systemerne.

”På det tidspunkt, vi lukkede for adgangen, havde vi allerede identificeret usædvanlig trafik imod vores systemer, så der var allerede nogle, som var i gang med at lede efter en indgang,” siger Steffen Longfors.

Han understreger dog, at der er tale om en forebyggende foranstaltning.

”Der er ikke sket et sikkerhedsbrud. Alt det, vi gør, er præventivt. Imens er vi i gang med at finde ud af, hvilke af vores systemer der kan være sårbare.”

Står ved døren og venter

Center For Cybersikkerhed udgiver hvert år en trusselsvurdering for forsknings- og uddannelsessektoren. Heri fremgår det, at truslen for blandt andet cyberkriminalitet og cyberspionage mod universiteterne er 'meget høj', hvilket er det højeste niveau. Derfor er en sårbarhed, som er nem at udnytte, meget alvorlig, forklarer Steffen Longfors.

Står der cyberkriminelle på standby, som er klar til at udnytte sådan en sårbarhed til at bryde ind i AU's systemer? 

”Ja. Det er sådan, det er. Dagligt afviser vi rigtigt mange forsøg på at bryde ind i vores systemer. Der er professionelle cyberkriminelle, som døgnet rundt prøver at få adgang,” siger Steffen Longfors.

Scanner for sårbarhed

Ifølge Steffen Longfors er sårbarheden opstået i en opdatering af en softwarekomponent, som man bruger til at logge hændelser i systemer. Opdateringen findes i en bestemt version af et bibliotek til programmeringssproget Java og er derfor brugt i rigtigt mange systemer.

”Verden over har man brugt dette bibliotek, og så har det efterfølgende vist sig, at det er sårbart. Der er sendt en ny opdatering ud, og så gælder det om at få den implementeret så hurtigt som muligt. Men det tager selvfølgelig noget tid,” siger Steffen Longfors.

I øjeblikket er AU IT i gang med at scanne alle AU’s systemer for at finde ud af, om det sårbare stykke software er blevet implementeret på AU’s systemer.

”Vi har brugt perioden, hvor adgangen har været lukket, til at scanne vores systemer for at finde ud af, i hvilke systemer sårbarheden kan være. Det brugte vi det meste af dagen på i går og det meste af formiddagen i dag. I går eftermiddag kontaktede vi et eksternt sikkerhedsfirma, der hjælper os med at scanne, så vi er sikre på, at resultatet er rigtigt,” siger Steffen Longfors og fortsætter:

”De systemer, hvor vi finder sårbarheden, lukker vi ned, indtil de er blevet sikkerhedsopdateret, og så åbner vi for adgangen til de øvrige systemer igen.”

Hvor lang tid nedlukningen vil vare, kan Steffen Longfors ikke sige noget om endnu.

Konsekvenser for eksamen

Lukningen af adgangen til it-systemerne har fået konsekvenser for studerende, som skulle til skriftlig eksamen tirsdag morgen og formiddag. Trine Kvitzau, som er funktionschef i Studiesystemer ved AU Uddannelse, forklarer, at man i AU Uddannelse vurderede, at det ville være mest skånsomt for alle at aflyse eksamen.

”Det var stor usikkerhed omkring, hvorvidt de eksamener, de studerende afleverede, ville blive lagret korrekt. Vi ville ikke risikere at stå i den situation, at studerende havde siddet i fire-fem timer og skrevet en eksamen, som måske ville gå tabt i systemet på grund af et nedbrud. Det ville være meget uretfærdigt over for de studerende,” siger Trine Kvitzau.

Ifølge Kommunikation og Presse på AU har cirka 220 studerende fået aflyst skriftlig eksamen tirsdag morgen og formiddag. Tirsdag eftermiddag oplyser AU, at man igen kan afvikle eksamener som planlagt, og fakulteterne tilstræber at få afviklet de aflyste eksamener hurtigst muligt.