Information Technology (IT) is a cornerstone of our modern society and essential for governments' management of public services, economic growth and national security. Consequently, it is of importance that IT systems are kept in a dependable and secure state. Unfortunately, as modern IT systems typically are composed of numerous interconnected components, including personnel and processes that use or support it (often referred to as an enterprise architecture), this is not a simple endeavor. To make matters worse, there are malicious actors who seek to exploit vulnerabilities in the enterprise architecture to conduct unauthorized activity within it. Various models have been proposed by academia and industry to identify and mitigate vulnerabilities in enterprise architectures, however, so far none has provided a sufficiently comprehensive scope. The contribution of this thesis is a modeling framework and calculation engine that can be used as support by enterprise decision makers in regard to cyber security matters, e.g., chief information security officers. In summary, the contribution can be used to model and analyze the vulnerability of enterprise architectures, and provide mitigation suggestions based on the resulting estimates. The contribution has been tested in real-world cases and has been validated on both a component level and system level; the results of these studies show that it is adequate in terms of supporting enterprise decision making. This thesis is a composite thesis of eight papers. Paper 1 describes a method and dataset that can be used to validate the contribution described in this thesis and models similar to it. Paper 2 presents what statistical distributions that are best fit for modeling the time required to compromise computer systems. Paper 3 describes estimates on the effort required to discover novel web application vulnerabilities. Paper 4 describes estimates on the possibility of circumventing web application firewalls. Paper 5 describes a study of the time required by an attacker to obtain critical vulnerabilities and exploits for compiled software. Paper 6 presents the effectiveness of seven commonly used automated network vulnerability scanners. Paper 7 describes the ability of the signature-based intrusion detection system Snort at detecting attacks that are more novel, or older than its rule set. Finally, paper 8 describes a tool that can be used to estimate the vulnerability of enterprise architectures; this tool is founded upon the results presented in papers 1-7. / Informationsteknik (IT) är en grundsten i vårt moderna samhälle och grundläggande för staters hantering av samhällstjänster, ekonomisk tillväxt och nationell säkerhet. Det är därför av vikt att IT-system hålls i ett tillförlitligt och säkert tillstånd. Då moderna IT-system vanligen består av en mångfald av olika integrerade komponenter, inklusive människor och processer som nyttjar eller stödjer systemet (ofta benämnd organisationsövergripande arkitektur, eller enterprise architecture), är detta tyvärr ingen enkel uppgift. För att förvärra det hela så finns det även illvilliga aktörer som ämnar utnyttja sårbarheter i den organisationsövergripande arkitekturen för att utföra obehörig aktivitet inom den. Olika modeller har föreslagits av den akademiska världen och näringslivet för att identifiera samt behandla sårbarheter i organisationsövergripande arkitekturer, men det finns ännu ingen modell som är tillräckligt omfattande. Bidraget presenterat i denna avhandling är ett modelleringsramverk och en beräkningsmotor som kan användas som stöd av organisatoriska beslutsfattare med avseende på säkerhetsärenden. Sammanfattningsvis kan bidraget användas för att modellera och analysera sårbarheten av organisationsövergripande arkitekturer, samt ge förbättringsförslag baserat på dess uppskattningar. Bidraget har testats i fallstudier och validerats på både komponentnivå och systemnivå; resultaten från dessa studier visar att det är lämpligt för att stödja organisatoriskt beslutsfattande. Avhandlingen är en sammanläggningsavhandling med åtta artiklar. Artikel 1 beskriver en metod och ett dataset som kan användas för att validera avhandlingens bidrag och andra modeller likt detta. Artikel 2 presenterar vilka statistiska fördelningar som är bäst lämpade för att beskriva tiden som krävs för att kompromettera en dator. Artikel 3 beskriver uppskattningar av tiden som krävs för att upptäcka nya sårbarheter i webbapplikationer. Artikel 4 beskriver uppskattningar för möjligheten att kringgå webbapplikationsbrandväggar. Artikel 5 beskriver en studie av den tid som krävs för att en angripare skall kunna anskaffa kritiska sårbarheter och program för att utnyttja dessa för kompilerad programvara. Artikel 6 presenterar effektiviteten av sju vanligt nyttjade verktyg som används för att automatiskt identifiera sårbarheter i nätverk. Artikel 7 beskriver förmågan av det signatur-baserade intrångsdetekteringssystemet Snort att upptäcka attacker som är nyare, eller äldre, än dess regeluppsättning. Slutligen beskriver artikel 8 ett verktyg som kan användas för att uppskatta sårbarheten av organisationsövergripande arkitekturer; grunden för detta verktyg är de resultat som presenteras i artikel 1-7. / <p>QC 20140203</p>

Hot mot organisationers cybersäkerhet innebär stora risker för dessa. När organisationer drabbas av incidenter så som dataintrång kan de kostnader som följer av detta vara mycket höga. Tidigare forskning påvisar att forskning inom cybersäkerhet ofta brister i att utforska och förstå de utmaningar verksamheter ställs inför, med detta som motivering utforskar denna studie de lösningsförslag som relaterad forskning respektive cybersäkerhetsindustrin presenterar gällande de hot som omfattas av studien. Utifrån denna kartläggning förväntades studien att kunna bidra med att minska eventuella kunskapsluckor mellan forskningen och cybersäkerhetsindustrin ifall sådana påträffas. Denna studies frågeställning är; "Gällande de i uppsatsen studerade hoten, hur skiljer sig cybersäkerhetsindustrins lösningsförslag från de lösningar som presenteras i den vetenskapliga litteraturen?" Befintlig forskning gällande respektive hot studerades och sedan utfördes semistrukturerade intervjuer med personal från ett cybersäkerhetsföretag. Studiens resultat visar på många likheter och skillnader mellan de presenterade lösningsförslagen, identifierar en grupp relaterade bifynd och bidrar med förslag gällande vilka lösningsförslag som bör utredas ytterligare.

För att försöka förklara den rubricerade frågan har jag använt teori om säkerhetisering av hotbilder. Metoden har varit en kvalitativ jämförande fallstudie. Jag har undersökt tre fall - två inom informationssäkerhet och ett inom krishantering.Vad krävs för att en säkerhetspolitisk fråga (hotbild) ska bryta igenom ’glastaket’ och hamna på den högsta politiska nivån (i detta fall inom Regeringskansliet)? Sårbarhets- och säkerhetsutredningen föreslog 2001 samordningsfunktioner inom Regeringskansliet för både informationssäkerhet och krishantering. Regeringen valde dock att delegera ansvaret för bägge funktionerna till myndighetsnivån när Krisberedskapsmyndigheten bildades 2002. Ett antal ytterligare utredningar inom informationssäkerhet har sedan föreslagit detta på nytt, utan något resultat. Den ”Oxenstiernska”byråkratimodellen med självständiga myndigheter är svår att ändra! Den enda avgörande skillnaden mellan fallen är tsunamin 2004, där resultatet blev en krishanteringsfunktion inom Regeringskansliet. En möjlig slutsats av detta är att det kommer att krävas en ’cyber-tsunami’ för att motsvarande ska ske inom informationssäkerhet! Alternativt att samhällsdebatten förändras på ett avgörande sätt och tunga aktörer börjar kräva en sådan funktion.

Vi lever i en tid där informationstekniken tar större och större plats i vardagen för varje år, både på jobbet och på fritiden. Det är en spännande tid där många delar av det vardagliga livet övergått till att bli mer digitalt. Samtidigt ställer denna digitalisering i allt högre utsträckning krav på användaren när det kommer till säkerheten för den personliga integriteten online. Med tanke på den exponentiella utveckling av digitaliseringen och informationsteknologin det senaste decenniet, är det intressant att söka utröna huruvida säkerhetsbeteendet bland användare har ökat i samma takt eller om säkerhetsbeteendet har halkat efter. Den genomförda litteraturstudien hade som mål att undersöka vilka skillnader relaterat till kön som identifierats inom tidigare informationssäkerhetsforskning. Olika kombinationer av sökbegrepp användes för att söka igenom fem databaser med hjälp av urvalskriterier för att hitta relevanta artiklar. Detta resulterade i 30 accepterade artiklar som genomgick en kvalitativ dataanalys med hjälp av tematisk analys. Undersökningen visade på att tidigare forskning hade identifierat vissa skillnader som relaterade till kön, men också att fler studier gällande könsskillnader inom informationssäkerhet behövs för att kunna förstå sig på mänskliga fel och för att kunna hitta åtgärder som förbättrar säkerhetsbeteendet och säkerhetsmedvetenheten bland människor. / We live in a time where information technology is taking up more and more space in everyday life for each year, both at work and in our free time. This is an exciting time where everything is becoming more digital, at the same time as everything is becoming more digital, demands are also being raised on all users. Given the drastic development of digitalization and information technology in the last decade, it is interesting to identify whether security behavior among users has increased at the same rate or whether security behavior has lagged behind. The aim of the completed literature study was to investigate the differences related to gender that had been identified in previous information security research. Different combinations of search terms are used to search through five databases using selection criteria to find relevant articles. Resulted in 30 accepted articles that underwent a qualitative data analysis using thematic analysis. The study showed that previous research identified certain differences related to gender, but also that more studies regarding gender differences in information security are needed to be able to understand human errors and to be able to find measures that improves security behavior and security awareness among people.

Sea Traffic Management has developed with the aim of facilitating work and increasing efficiency at sea, both in terms of productivity and environmental contexts. The technical development and digitization of the equipment on ships has led to new problems that have been developed such as cyber-attacks and technical problems. This study is based on a qualitative research method. The purpose of the work is to investigate how effective STM is and how safe it is to use for merchant vessels. The study showed that STM can have a positive effect on the environment and increase time savings, provided that more vessels in the industry use it as standard equipment. Results indicate that Sea Traffic Management is a helpful tool that will increase safety for navigation and have a positive effect on the environment for longer sea voyages. However, this is assumed if the shipping industry itself is ready for a digitalized world that is constantly developing, where a new type of issues arises with a nuanced threat for both ships and land bases. / Sea Traffic Management har utvecklats i syfte att underlätta arbetet och öka effektiviteten till sjöss, både när det gäller i produktivitet samt i miljösammanhang. I samband med den tekniska utvecklingen och digitaliseringen av utrustningen på fartyg så har nya lösningar samt problem uppstått, såsom cyberattacker och tekniska bekymmer. Studien grundar sig i en kvalitativ forskningsmetod. Arbetet har i syfte att undersöka hur effektivt STM är samt hur säker den är för användning av olika handelsfartyg på marknaden. I studien visade det sig att STM kan påverka miljön positivt samt öka tidsbesparingar förutsatt att fler fartyg inom branschen nyttjar det som en standardutrustning. Resultat tyder på att Sea Traffic Management är ett hjälpsamt verktyg som kommer att öka säkerheten för navigeringen samt påverka miljön positivt för längre sjöresor. Detta är dock förutsatt om själva sjöfartsbranschen är redo för en digitaliserad värld som ständigt utvecklas, där en ny typ av problematik uppstår med en nyanserad hotbild för både fartyg och olika land baser.

Bakgrund: Banker fyller en mycket viktig funktion i samhället och har sedan digitaliseringen varit särskilt utsatta för cyberhot. Samtidigt bygger bankens verksamhet till stor del på att upprätthålla förtroendet hos sina kunder, varpå det är av stor vikt för banker att ha en hög cybersäkerhet. Framför allt kan interna cyberhot i form av mänskliga misstag konstateras vara den svaga länken i bankers säkerhetsarbete idag. Därför är det intressant att undersöka hur banker i Sverige arbetar för att öka cybersäkerheten genom formella och informella styrmedel, som kan påverka anställdas beteenden.  Syfte: Studien syftar till att bidra till ökad förståelse om hur banker styr sin verksamhet med formella och informella styrmedel för att förebygga interna cyberhot på arbetsplatsen.  Metod: Studien har ett hermeneutiskt perspektiv och är utformad enligt en kvalitativ metod. Vidare har en abduktiv ansats format uppsatsen. Syfte och frågeställningar har besvarats genom en flerfallstudie av fyra olika banker i Sverige. Det empiriska materialet har inhämtats med hjälp av intervjuer med representanter från respektive bank som arbetar med säkerhet.  Slutsats: För att förebygga interna cyberhot arbetar banker med formella styrmedel främst i form av regler, där de tar hjälp av globala standarder vid utformningen. Reglerna utformas även utifrån bankens kultur och uppdateras ofta. Vi har sett att kompetens och medvetenhet inom cybersäkerhet hos anställda är något som samtliga fallföretag värderar högt, och för att stärka kompetensen lägger bankerna stora resurser på utbildning. Att göra säkerhetstänket till en naturlig del av anställdas dagliga arbete har framför allt understrukits av respondenterna, samtidigt som arbetet med kultur till stor del görs passivt då det starka regelverket formar kulturen. Informella dialoger menas dock vara något som ökar medvetenheten och därmed stärker kulturen. Slutligen har vi identifierat att samtliga styrmedel nämnda ovan påverkar varandra, varpå det är viktigt att ha ett helhetstänk vid styrningsarbetet vad gäller cybersäkerhet. / Background: Banks play an important role in society and have since the increasing digitalization been particularly exposed to cyber threats. At the same time, the bank's operations are largely based on maintaining trust of its customers, and therefore it is of great importance for banks to have a high level of cyber security. Above all, internal cyber threats in the form of human error constitute one of the greatest risks to banks' security work today. Therefore, it is interesting to investigate how banks work to mitigate internal cyber threats through formal and informal management controls.  Purpose: This study aims to contribute to an increased understanding of how banks use formal and informal management control to mitigate internal cyber threats in the workplace.  Methodology: This study adopts a hermeneutic perspective and uses qualitative method. Furthermore, an abductive approach has shaped the essay. The purpose and research questions have been answered through a multiple case study of four different banks in Sweden. The empirical material has been obtained with the help of interviews with representatives from each bank who work with security.  Conclusion: To prevent internal cyber threats, banks work with rules which global standards and the company’s culture help design. We have noted that competence and awareness in cyber security is something that is valued highly. To strengthen the competence banks invest large resources in training. Making the idea of safety a natural part of employees' daily work has above all been emphasized by, at the same time as cultural development is largely done passively as the strong regulations shape culture. Informal dialogues, however, increase awareness and thus strengthen culture. Finally, we have identified that all the management controls mentioned above affect each other. Therefore, it is important to have a holistic approach to the governance work regarding cyber security.

In a world where much of society is dependent on digital infrastructure, various cyber threats can pose a great risk to businesses, critical infrastructure and potentially entire nations. For this reason, research and education as well as the preparation of strategies,  training of personnel etc., is imperative. Cyber ranges can provide ''safe environments'' in which for example cyber security exercises and experiments can be conducted. While easier to deploy and configure than ''real'' infrastructures, monitoring of such environments during ongoing exercises/experiments poses a number of challenges. During this thesis work, the question of what types of data and information could be relevant to provide in a monitoring system for this context was investigated, with regard to aspects such as providing technical support or gaining situational awareness during exercises. Results gained from a survey with participants from relevant organizations, contributed greatly to this question. The survey and literature study also provided insights into challenges and potential problems of developing and running such monitoring. CRATE is a cyber range developed and maintained by the Swedish Defence Research Agency (FOI). In this thesis work, some of the challenges and potential problems found are tackled with a suggested design and an implemented monitoring system prototype for CRATE. Apart from providing functionality to retrieve information about accounts and privileges as well as status of services, the design of the prototype also lays the foundation for a flexible and extensible monitoring system -- fully adapted for use within a cyber range. With cyber exercises becoming both more prevalent and extensive, the need for capable monitoring of exercise environments will naturally arise. While the developed prototype may facilitate future cyber exercises/experiments in CRATE, the results of this thesis work are also ready to be used as a source of inspiration for other cyber range operators.

As cyber attacks are an ever-increasing threat to many organizations, the need for controlled environments where cyber security defenses can be tested against real-world attacks is increasing. These environments, called cyber ranges, exist across the world for both military and academic purposes of various scales. As the function of a cyber range involves having a set of computers, virtual or physical, that can be configured to replicate a corporate network or an industrial control system, having an automated method of configuring these can streamline the process of performing different exercises. This thesis aims to provide a proof of concept of how the installation of software with known vulnerabilities can be performed and examines if the software is vulnerable directly after installation. The Cyber Range And Training Environment (CRATE) developed by the Swedish Defence Research Agency (FOI) is used as a testbed for the installations and FOI-provided tools are used for launching automated attacks against the installed software. The results show that installations can be performed without Internet access and with minimal network traffic being generated and that our solution can rewrite existing software packages from the package manager Chocolatey to work with an on-premises repository with an 85% success rate. It is also shown that very few publicly available exploits succeed without any manual configuration of either the exploit or the targeted software. Our work contributes to making it easier to set up environments where cyber security research and training can be conducted by simplifying the process of installing vulnerable applications.

As the financial sector has become increasingly digitized, its vulnerability to cyberattacks has increased. Distributed Denial of Service attacks are one of the biggest threats on the internet today and has been growing steadily for the last few years. The increase applies to both the size and frequency of the attacks. DDoS-attacks have been a threat especially towards banks and therefore it is important to have a well functional cyber security strategy to withstand the attacks. This thesis investigates Swedish banks perception regarding the threat picture of DDoS-attacks against banks. As a result of a qualitative case study, Swedish banks opinion has been investigated through interviews with IT security managers at Swedish banks. The banks are considered to have effective strategies to prevent and manage DDoS-attacks but the threat of cyber attacks continues to increase. The participants mention various factors that show an increase in DDoS-attacks and the media can be an influence. The empirical material is analyzed using the National Cybersecurity Strategy (NCSS) framework developed by the European Union Agency for Cybersecurity (ENISA).

The digital twin is a concept that has attracted the attention of both industry and academia in the last decade with the advent of Industry 4.0 and the adoption of future technologies. Previous research has shown that the automotive industry is facing significant challenges as demand for advanced, connected systems increases, and with it, cybersecurity risks. As the automotive industry has evolved, this concept has become prevalent in many areas and is now applied to products and systems throughout their lifecycle, which also means that the digital twin plays a key role in many development processes. Therefore, it is important to investigate what the cybersecurity stands in terms of cybersecurity. This study takes an exploratory approach that primarily aims to investigate and gain a broader perspective on a relatively unexplored topic, namely cybersecurity for digital twins in the automotive industry. The application of digital twins in the automotive industry was explored to determine what security challenges exist and whether these challenges can be solved using existing security paradigms. Industrial use cases were developed to illustrate the digital twins that exist in the automotive industry. In addition, at an overall level, a threat analysis and risk assessment (TARA) is conducted, again using STRIDE, one of the most commonly used threat models, to identify potential risks and attacks that exist and how they might be addressed in each case. Semi-structured interviews were also conducted with four experts working with digital twins and future innovations in the automotive industry to gain insight into how the experts view the digital twin in the context of cybersecurity, risks and threats of digital information. The results of the TARA analysis and the interviews showed that there are many different risks for digital twins that may vary between digital twins, and that there is a common denominator for all of them that can be defined as the biggest challenge for the digital twin, which is data and its related risks. Thus, it can be said that the security paradigms for solving the digital twin are based on the threats and risks of the individual digital twin. / Digital tvilling är ett koncept som har uppmärksammats av både industrin och akademin under det senaste decenniet i och med uppkomsten av Industri 4.0 och introduktionen på framtidens tekniker. Tidigare forskning visar på att bilindustrin står inför stora utmaningar där efterfrågan på avancerade uppkopplade system efterfrågas, i samband med detta har även cybersäkerhetsriskerna ökat. Detta koncept har även med bilindustrins utveckling adopterats brett inom många områden och tillämpas idag på produkter och system under hela dess livscykel, vilket även innebär att den digitala tvillingen har en nyckelroll i många utvecklingsprocesser. Därmed är det relevant att undersöka hur den digitala tvillingen står sig gällande cybersäkerhet. Denna studie har en explorativ ansats som primärt syftar till att undersöka ett relativt outforskat ämne och få ett bredare perspektiv, nämligen cybersäkerhet för digitala tvillingar inom bilindustrin. Tillämpningen av den digitala tvillingen inom bilindustrin undersöks för att ta reda på vilka säkerhetsutmaningar som finns samt identifiera om dessa utmaningar kan lösas med befintliga säkerhetsparadigm. Industriella användningsfall tas fram för att exemplifiera på digitala tvillingar som finns inom bilindustrin, vidare utförs hotanalys och riskbedömning (TARA) på en övergripande nivå där även STRIDE, ett av de mest tillämpade hotmodeller, används för att kartlägga möjliga risker och attacker som finns hur de möjligtvis kan åtgärdas för det enskilda fallet. Semi-strukturerade intervjuer utfördes med fyra experter som arbetar med digital tvilling och framtida innovationer inom bilindustrin för att få insikt på hur dessa experter ser på den digitala tvillingen i kontexten cybersäkerhet, risker och hot av digital information. Med resultaten från TARA analysen samt intervjuerna gick det att få fram att det finns många olika risker för digitala tvillingar som kan variera mellan de enskilda digitala tvillingarna samt att det finns en gemensam nämnare för samtliga som går att definiera som den största utmaningen för den digitala tvillingen vilket är data och dess relaterade risker. Med detta kan man säga att säkerhetsparadigmerna för att lösa den digitala tvillingen baseras på den enskilda digitala tvillingens hot och risker.