Lue uutinen mobiilisivustolla

Haavoittuvuuskartoitus on it-osaston terveystarkastus

25.11.2005 12:24 Haavoittuvuustestien avulla pyritään olemaan askelen pari edellä verkossa liikkuvia haavoittuvuuksien etsijöitä.
? Haavoittuvuuskartoitusta voisi verrata terveystarkastukseen. Se pitää tehdä säännöllisesti, sanoo Nixun johtava tietoturvakonsultti Jonna Särs.

Haavoittuvuuskartoituksia tehdään yrityksissä niin tietojärjestelmien ulkopinnoissa kuin järjestelmien sisälläkin. Näissä skannauksissa etsitään haavoittuvuuksia, joiden kautta ulkopuolinen tai asiaankuulumaton taho voi päästä käsiksi yrityksen tietojärjestelmiin.

Haavoittuvuustestauksia syvällisempiä ovat murtotestit, joissa ei ainoastaan etsitä haavoittuvuuksia vaan myös käytetään niitä tietojärjestelmiin murtautumiseen.

Testejä tekevän Nixun johtava tietoturvakonsultti Jonna Särs kertoo, että murtotestejä voidaan tehdä paloharjoituksen tavoin. Tällöin yrityksen it-henkilöstö ei tiedä, että kyseessä on testi vaan olettaa, että kyseessä on oikea hyökkäys.

Vaikka tehtaillulla hyökkäyksellä saadaankin selville yhtä ja toista yrityksen kyvystä toimia hyökkäystilanteessa, Särs pitää useimpiin tilanteisiin sopivampana testiä, johon yrityksen it-henkilöstö osallistuu. Näin aukot löydetään tehokkaammin.

– Haavoittuvuuskartoitusta voisi verrata terveystarkastukseen. Se pitää tehdä säännöllisesti. Pienille yrityksille riittää ehkä kerran vuodessa, mutta esimerkiksi tietyn kokoisilta luottokorttitietoja käsitteleviltä yrityksiltä vaaditaan testausta neljästi vuodessa, Särs sanoo.

Särsin mukaan kannattaa ennemmin panostaa ennaltaehkäisyyn kuin odottaa, että jotain tapahtuu. Terveysvertausta jatkaen: vaikkei hammaslääkärissä käynti miellytäkään kaikkia, lykkääminen yleensä kostautuu suurempina hoitokuluina.

Ylimääräisiäkin koneita löytyy

– Jos ajattelee asiaa tietohallinnon kannalta, eivät haavoittuvuustestauksessa löydetyt asiat välttämättä ole kovin imartelevia. Tieto testauksista menee joka tapauksessa yritysjohdolle. Toisaalta ulkopuolinen testaaja voi antaa löydöksille enemmän painoarvoa ja toimia korjaavien toimien vauhdittajana, Särs arvelee.

Yleisiä haavoittuvuustestauksessa löytyviä asioita ovat Särsin mukaan muun muassa palvelut, jotka eivät ole ajan tasalla, kun päivityksiä ei ole asennettu.

Joskus löytyy myös ylimääräisiä koneita ja usein palveluita, joiden olemassaolosta ylläpidolla ei ollut käsitystä. Koneet on saatettu periaatteessa poistaa käytöstä, mutta käytännössä ne ovat jääneet verkkoon kiinni. Tällaisiin koneisiin ei luonnollisesti ole myöskään asennettu päivityksiä.

Skannauksissa saattaa löytyä myös konfiguraatio- eli määrittelyvirheitä ja hakemistoja web-palvelimilta, joihin ei ole tarkoituskaan päästä käsiksi. Myös oletussalasanoja putkahtaa esiin. Niitä ei ole muutettu käyttöönoton jälkeen.

Virtuaalilähiverkot vaikeuttavat

Yritykseen sisäverkkoon ujuttaudutaan esimerkiksi sähköpostin liitetiedoston avulla, joka on muokattu sen näköiseksi, että käyttäjä uskoo sen olevan kohdistettu paremmin itselleen kuin vain viesti kivoista kuvista. Tässä työtä on usein pohjustettu hankkimalla tietoja vastaanottajasta etukäteen.

Toinen käytetty tekniikka on Cert-fi:n tietoturva-asiantuntija Arsi Heinonenmukaan lähettää linkki joillekin verkkosivuille. Tiedostoja varotaan enemmän kuin linkkejä, mutta hämäräntuntuisia linkkejäkään ei pitäisi painella, sillä näin voidaan selain saada juttelemaan kolmannelle sovellukselle, jonka avulla hyväksikäyttäjät pääsevät sisään yrityksen verkkoon.

Sisäverkkoon päästyään tunkeutujat voivat edetä työasemalta toiselle niin, että verkkoon ei lähetetä paljon skannausliikennettä, mikä pienentää paljastumisen vaaraa.

Tässä haavoittuvuustestaus menee Heinosen mielestä usein harhaan, kun se keskittää testauksen yhdelle palvelimelle, vaikka tunkeutuja eteneekin samaan aikaan verkossa ja lähettää saamansa tiedot ulos tavallisena http-liikenteenä, jota on vaikea havaita palomuurissa.

Tehokas tapa estää näin tapahtuvaa soluttautumista on pilkkoa yritys sisäisin palomuurein tai jakaa lähiverkko virtuaalisiin lähiverkkoihin. Verkossa tuskin on tarpeen, että kaikki koneet juttelevat kaikkien koneiden kanssa.

Testaaja varmistaa testaajan

Haavoittuvuusskannausten tekijöiksi ilmoittautui Särsin mukaan vielä jonkin aikaa sitten kaikenlaista yrittäjää.

Nyt tilanne on hänestä kuitenkin rauhoittunut, kun on ilmennyt, ettei se ollutkaan niin helpon rahan lähde kuin kuviteltiin. Osa asiakkaista varmistaa Särsin mukaan auditointinsa edelleen niin, että käytetään monen yrityksen palveluita.

– Myös isoilta ulkoistuspalveluita tarjoavilta yrityksiltä saa tällaista palvelua, mutta olen suositellut asiakkaille, etteivät he käyttäisi järjestelmien toteutuksesta ja ylläpidosta vastaavaa palveluntarjoajaa ainakaan ainoana tarkastajana, Särs sanoo ja neuvoo käyttämään riippumatonta tarkastajaa, jottei pukki olisi kaalimaan vartijana.

Testaus on myös pienemmän yrityksen ulottuvissa, sillä se maksaa pienessä ympäristössä muutaman sata euroa konetta kohti. Jos täysautomaattista skannausta täydennetään ihmislogiikalla, hinta nousee. Ihmistyö tuottaa luotettavimmat tulokset.

Pelkkä haavoittuvuustestaus ei kuitenkaan paljonkaan auta. Havaitut aukot pitää myös tukkia ja lisäksi työntekijöiden tulee noudattaa varovaisuutta omassa käyttäytymisessään.

Isoissa yrityksissä tietoturva-asioihin suhtaudutaan vakavasti, mutta keskisuurista pienempään kokoluokkaan mentäessä valveutuneisuus vähenee. Heinonen näkee näissä yrityksissä tarvetta haavoittuvuustestaukselle, mutta hän muistuttaa, että se on vain osa tietoturvatyöstä.

– Joissakin organisaatioissa on hyvinkin räikeitä tietoturvaongelmia, niin hallinnollisia kuin teknisiä. Ja organisaatioissa tiedetään ongelmista, mutta niitä ei korjata. Uskotaan, ettei mitään kuitenkaan tapahdu tai ylläpidon resurssit on vedetty niin tiukoille, ettei korjauksia kyetä tekemään, Heinonen sanoo.

Monesti yrityksissä ollaan Heinosen mukaan sitä mieltä, ettei niillä ole sellaisia tietoja, jotka kiinnostaisivat ulkopuolisia. Kuitenkin esimerkiksi yrityksen asiakas- tai tarjoustietokannan vuotaminen voi jopa pysäyttää yrityksen toiminnan.

Sovellusten testaus räätälintyötä

TietoEnatorin tietoturvaneuvonantaja Tomi Tuominen on sitä mieltä, että Suomessa tehdään haavoittuvuustestausta huomattavasti paljon vähemmän kuin esimerkiksi Saksassa tai Ranskassa.

– Usein kyse on myös siitä, ettei testaukseen ole budjettia. Harva päättäjä edes tietää, mistä testausta pitäisi hankkia. Suomessa ei toisaalta ole yrityksiä, jotka olisivat erikoistuneet sovellusten tietoturvatestaukseen, Tuominen sanoo.

Sovellusten testaaminen on räätälintyötä toisin kuin valmiita määrittelyitä käyttävä haavoittuvuusskannaus. Sovellustestauksessa tutkitaan sovellusten sisäistä logiikkaa, kun taas skannereilla tutkitaan esimerkiksi ip-verkkoavaruutta tai sitä löytyykö sovelluksista päivittämättömiä versioita.

– Valtaosa tietomurroista tapahtuu www-sovellusten kautta. Jos niitä ei ole tarkistettu suunnitteluvaiheessa, pitäisi tarkistaa räätälintyönä myöhemmin, etteivät jotkin syötteet vaaranna järjestelmän eheyttä, Tuominen sanoo.

Luonnonlakia muistuttavan todennäköisyyden mukaan suurempi sovellus on haavoittuvampi kuin pienempi. Suurista ohjelmistotoimittajista erityisesti Microsoft on ollut haavoittuvuuksiensa vuoksi julkisuuden hampaissa. Tuomisen mielestä lokaa on kuitenkin heitetty turhan paljon.

– Toisin kuin muilla, Microsoftilla on prosessit kunnossa. Muilla olisi paljon oppimista haavoittuvuuksien käsittelystä. Uskon myös, että pitkäjänteisen tietoturvatyön hedelmät alkavat pian näkyä Microsoftin ohjelmistojen laadussa, Tuominen sanoo.

Tuominen muistuttaa, että vaikka mitään hopealuotia tietoturvauhkien eliminoimiseksi ei ole olemassa, suojauksiin kannattaa panostaa. Hän vertaakin haavoittuvuuksien etsijää autovarkaaseen, joka ottaa ennemmin seuraavan auton kuin sen, jossa on käynnistyksenestojärjestelmä.

Antti Lagus toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Ampuja keskeytti opinnot ja armeijan

• Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa