Rapporteringen om cyberangrepp handlar nästan alltid om verktyget. Vilken skadlig kod, vilken sårbarhet, vilket system som föll. Det är sällan den upplysande frågan. Verktyg byts ut på veckor, medan motiv och arbetssätt håller i år. Den organisation som bygger sitt försvar mot förra månadens skadliga kod försvarar sig mot något som redan har ersatts, medan den som förstår vem som kommer och varför kan förutse ungefär hur.
Kapitlet börjar med varför aktörsperspektivet är mer användbart än verktygsperspektivet och delar sedan in angriparna i fyra huvudkategorier efter drivkraft och resurser. Skillnaden mellan dem är praktisk snarare än akademisk. Den avgör hur uthållig angriparen är, vad som utlöser intresset och vad som får den att ge upp. Därifrån går kapitlet vidare till hur de kriminella ekosystemen är organiserade, alltså hur åtkomst, skadlig kod och utpressning har blivit separata tjänster som köps av varandra i en arbetsdelning som liknar vilken bransch som helst. Darkweb behandlas som den marknadsplats den är, och verktygsmarknaden med sin gråzon av dubbla användningsområden får ett eget avsnitt. Sedan följer angreppskedjan, från första fotfästet via kartläggning och rättighetshöjning till utpressning, och tre svenska fall som visar samma mönster i olika skepnader. De sista avsnitten vänder på perspektivet och frågar hur den egna organisationen ser ut från utsidan, vilket är själva utgångspunkten för det arbete som behandlas i kapitel 16 om detektion och respons.
Varför det angår dig nu handlar mindre om att hotet är nytt och mer om att tröskeln har sjunkit. Angreppsverktyg kräver inte längre djup teknisk förmåga, och den som saknar kompetens kan köpa den som tjänst med support. Samtidigt har svenska organisationer blivit intressanta av skäl som ligger utanför dem själva, genom vem de är leverantör till och vilken funktion de fyller i något större. Ett litet bolag med en kritisk kund är ett mer attraktivt mål än sin storlek antyder, och det är en bedömning angriparen gör innan organisationen själv har gjort den.
Sidan visar vad kapitlet omfattar och varför aktörsbilden styr försvaret. De fyra kategorierna, de svenska fallen och angreppskedjan i detalj finns i kapitel 2 i boken.
Du försvarar inte mot verktyg. Du försvarar mot människor med motiv.
Nyckelinsikter
- Motivet avgör angriparens uthållighet. En kriminell grupp som möter motstånd byter mål, en statsstödd aktör med uppdrag gör det inte.
- Ransomware är en arbetsdelad bransch med specialiserade roller, inte en ensam angripare som gör allt.
- Åtkomst till svenska organisationer köps och säljs. Marknaden finns oavsett om någon i organisationen känner till den.
- Angreppskedjan är förutsägbar, och just därför går den att bryta på flera ställen innan skadan är gjord.
- Din organisation ser annorlunda ut utifrån än inifrån, och det är den yttre bilden angriparen arbetar mot.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Ordlista och resurskatalog
Slå upp begrepp som darkweb, initial access broker och ransomware-as-a-service.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.