The Cyber Security of Online Automated Environmental Measurements Kai Rasmus Master’s thesis November 2020 Technology Master’s Degree Programme in Cyber Security Description Author(s) Type of publication Date Rasmus, Kai Master’s thesis November, 2020 Language of publication: English Number of pages Permission for web 80 publication: Yes Title of publication The Cyber Security of Online Automated Environmental Measurements Degree programme Master ́s Degree Programme in Information Technology, Cyber Security Supervisor(s) Tero Kokkonen, Jari Hautamäki Assigned by Abstract Online automatic measurements are a way of doing cost effective environmental monitoring. The systems consist of a network of remote measurement stations connected to a central dissemination service via some form of backbone connection over which the user has no control. It is important to secure such systems because the measurement results may be connected to large business interests. The 12 most important primary and secondary assets related to these systems were identified from the viewpoint of the user. The most important asset was the measurement data itself and data integrity was identified as a separate asset. A list of 32 security controls were listed to secure these assets after the interconnections between the assets were identified. Protocols were introduced to increase the situational awareness and to help against social engineering. The risks related to connecting measurement stations to a central service were quantitatively analyzed using a Monte Carlo model. It was found that the probability of breaching the central service was independent of the number of nodes connected to the service, but depends on the network layout and on how many stations were directly connected to the central service. Cyber security awareness was increased by developing the superhero model for cyber security. In this method cyber security events were taken from popular culture and analyzed in a descriptive way using thematic content analysis. Even though this is subjective and speculative, it could help in raising cyber security awareness which is not at a high enough level even amongst professionals. Keywords/tags (subjects) Environmental monitoring, online service, quantitative risk assessment, awareness Miscellaneous (Confidential information) 1 Description Tekijä(t) Julkaisun laji Päivämäärä Rasmus, Kai Master’s thesis Marraskuu 2020 Julkaisun kieli Englanti Sivumäärä Verkkojulkaisulupa 80 myönnetty: Kyllä Työn nimi Automaattisten ympäristönmittausasemien kyberturvallisuus Tutkinto-ohjelma Master ́s Degree Programme in Information Technology, Cyber Security Työn ohjaaja(t)) Tero Kokkonen, Jari Hautamäki Toimeksiantaja(t) Tiivistelmä Automaattiset ympäristönmittausasemat antavat mahdollisuuden tehdä ympäristön seurantaa kustannustehokkaasti. Järjestelmät koostuvat etämittausasemista, jotka ovat yhteydessä keskuspalveluun jonkin yhteyskäytävän kautta. Loppukäyttäjillä ei ole vaikutusmahdollisuuksia yhteyskäytävään. Ympäristönmittausjärjestelmien suojaus on tärkeää, koska mittaustulokset voivat olla merkittäviä esimerkiksi liike-elämässä sekä tieteellisessä tutkimuksessa. Opinnäytetyössä listattiin kaksitoista näihin asemiin liittyvää ja käyttäjän näkökulmasta tärkeintä voimavaraa tai ominaisuutta. Tärkein näistä on mittaustulokset, etenkin niiden yhtenäisyys. Asemiin liittyvien tärkeiden voimavarojen ja ominaisuuksien väliset yhteydet määriteltiin ja suojattiin sen jälkeen yhteensä 32 suojausmenetelmällä. Opinnäytetyössä kehitettiin hyviä toimintamalleja hyvän tilannekuvan luomiseen ja suojaamaan sosiaaliselta hakkeroinnilta. Mittausasemien liittäminen keskuspalveluun tuo mukanaan riskin, jonka suuruuden laskemiseen käytettiin määrällistä Monte Carlo -mallinnusta. Riskin eli keskupalvelun murtamistodennäköisyyden huomattiin riippuvan mittausasemaverkon muodosta, ja siitä kuinka monta mittausasemaa oli suoraan kiinni keskuspalvelussa. Kuten monilla muillakin aloilla, myös ympäristönmittausalalla henkilöstön tietoturvallisuustietoisuudessa on puutteita. Opinnäytetyössä käytettiin tietoisuuden lisäämiseen populaarikulttuurin tietoturvatapahtumien analysointia. Tapahtumia etsittiin Batman -televisiosarjasta. Analyysin avulla luotiin supersankarimalli tietoturvallisuustietoisuuden lisäämiseksi. Mallin avulla voidaan tehdä tietoturvallisuus kiinnostavaksi ja saada tietoisuus siitä aiempaa helpommin lisääntymään. Avainsanat (subjects) Ympäristönmittausasema, määrällinen mallinnus, tietoturvatietoisuus 2 Contents List of Abbreviations .............................................................................................. 9 1 Introduction ................................................................................................. 11 1.1 Online Automatic Environmental Measurements .................................... 11 1.2 Comparison to Traditional Measurements ............................................... 12 1.3 Importance of Online Automatic Measurement Security ......................... 13 1.4 The CIA triad .............................................................................................. 14 1.5 Cyber Security Awareness ......................................................................... 14 1.6 Formal Methodology ................................................................................. 15 1.7 Layout of this thesis ................................................................................... 15 2 Research....................................................................................................... 15 2.1 The Main Research Question: ................................................................... 15 2.2 Methodology ............................................................................................. 16 2.2.1 Multimethod Research ......................................................................... 16 2.2.2 Constructive Methodology ................................................................... 16 2.2.3 Quantitative Methodology ................................................................... 17 2.2.4 Thematic Content Analysis ................................................................... 18 2.3 Research Objectives .................................................................................. 18 2.4 Research Design ........................................................................................ 18 2.5 Ethical Principles and Data Protection ...................................................... 19 3 Theory .......................................................................................................... 20 3.1 Definition of information security ............................................................. 20 3.2 Definitions of Information Security Terms ................................................ 21 3.2.1 Asset ..................................................................................................... 21 3.2.2 Confidentiality ...................................................................................... 21 3.2.3 Integrity ................................................................................................ 22 3 3.2.4 Availability ............................................................................................ 22 3.2.5 Authentication ...................................................................................... 23 3.2.6 Non-repudiation ................................................................................... 23 3.2.7 Security Event and Security Incident .................................................... 24 3.2.8 Physical controls ................................................................................... 24 3.2.9 Information Security Management system (ISMS) .............................. 24 3.2.10 Cyber Security Awareness .................................................................... 25 3.2.11 Situational Awareness .......................................................................... 26 3.3 From Information Security to Cyber security ............................................ 27 3.4 Cyber Security Frameworks ....................................................................... 27 3.5 Intrusion Detection System ....................................................................... 29 3.5.1 Anomaly-Based IDS ............................................................................... 29 3.5.2 Misuse-Based IDS ................................................................................. 29 3.6 Relevant Standards .................................................................................... 30 3.6.1 The ISO/IEC 27000 Set of Standards ..................................................... 30 3.6.2 Other Relevant Standards .................................................................... 30 3.7 Risk as an Abstract Entity .......................................................................... 31 3.8 Network Attacks ........................................................................................ 33 3.8.1 Detection .............................................................................................. 33 3.8.2 Taxonomy ............................................................................................. 33 3.8.3 Mitigation Controls for Attacks ............................................................ 34 3.8.4 Targetting.............................................................................................. 35 3.8.5 AI Based Attacks in the Future