Blogi
Etäluettavien maksukorttien turvallisuudesta
Lisätty 13.05.2013
NFC-maksukorttien (Near Field Communication) eli etäluettavien maksukorttien tulosta on puhuttu alan seminaareissa jo pitkään, ja niiden on vakuutettu olevan täysin turvallisia. Etäluettavalla kortilla tapahtuvaa maksua kutsutaan lähimaksamiseksi. Kortin turvallisuus perustuu mm. seuraaviin tekijöihin:
- Lähimaksujen maksimisumma on rajattu Suomessa 25 euroon
- PIN-koodia kysytään muutaman maksutapahtuman jälkeen
- Lukumatka on lyhyt, vain joitakin senttimetrejä
- PIN-koodin käyttö vähenee, mikä vähentää PIN-koodin urkintaan liittyviä riskejä
- Kortilta saa luettua vain rajallisen määrän tietoa.
Jo alusta saakka on kuitenkin käynyt ilmi, että kortilta voi lukea mm. maksukorttinumeron sekä kortin voimassaoloajan.
Maksukorttiturvallisuutta arvioiville tarkastajille (PCI QSA, Payment Card Industry Qualified Security Assessor) opetetaan, että ostoksen tekoon vaaditaan vähintään juuri nämä tiedot. Näin ollen radioteitse luettua tieto olisi mahdollista väärinkäyttää.
Päätimme Nixussa selvittää käytännön kokeella miten helppoa kortin väärinkäyttö on. Hankimme suomalaisen NFC:tä tukevan VISA Debit -maksukortin ja muutaman kympin maksaneen lukijan, ja luimme alle sekunnissa kortin ollessa lompakossa ja taskussa seuraavat tiedot:
(kuvan kortti ja lukija eivät liity testeihimme)
- Maksukorttinumero
- Voimassaoloaika
- Kortinhaltijan nimi (ei välttämätön ostoksen tekoon).
Tämän jälkeen kirjauduimme keksityllä sähköpostiosoitteella erääseen suureen, kansainväliseen verkkokauppaan ja teimme yli 25 euron ostoksen edellä olevia tietoja hyväksikäyttäen. Ostokset tilattiin eri osoitteeseen kuin mihin kortti on rekisteröity, aivan kuten oikea hyökkääjäkin tekisi. Ostos hyväksyttiin ja tuotteet toimitettiin perille muutaman päivän kuluttua. Verkko-ostoksen summa ei siis ole rajattu 25 euroon, vaan sitä rajaa ainoastaan pankkitilin saldo tai luottoraja sekä mahdolliset kortille asetetut käyttörajat.
Tämä esimerkki osoittaa, että kortilta luettuja tietoja on mahdollista väärinkäyttää. On totta, että hyvin suuri osa verkkokaupoista kuitenkin edellyttää vielä erillisen turvakoodin sekä muita varmennuksia, ennen kuin hyväksyvät ostokset. Voidaan kuitenkin kysyä onko sillä merkitystä niin kauan kun meillä on yksikin verkkokauppa, joka ei näin toimi? Monille verkkokaupoille ostamisen helppous on niin tärkeä kilpailuetu, että ne ovat valmiita hyväksymään siitä koituvat riskit, eivätkä siksi edes halua lisätä turvatasoaan.
Etälukua vierustoverin taskusta
Väärillä maksukorttitiedoilla tehdyt ostokset myös kiinnostavat rikollisia, sillä ostetut tuotteet on helppo vaihtaa rahaksi. Esimerkiksi monet muodissa olevat teknologiatuotteet (älypuhelimet, tabletit jne.) ovat erittäin kysyttyä tavaraa pimeillä markkinoilla, ja niistä ollaan myös valmiita maksamaan hyvä hinta.
Lyhyt lukumatka tietysti ehkäisee tämän tyyppistä toimintaa, mutta ei tee sitä kuitenkaan mahdottomaksi. Kotikäyttöön tehdyillä laitteilla päästään noin 10 cm etäisyyksiin, joka mahdollistaa vierustoverin kortin lukemisen ruuhkaisissa tiloissa. Joissain tutkimuksissa on kerrottu jopa yhden metrin etäisyydestä ammattimaisilla laitteilla, mikä avaa vielä paremmat mahdollisuudet skannailuun.
Ammattirikollisille löytyy varmasti helpompia tapoja hankkia maksukorttinumeroita kuin ohikulkijoiden skannailu, mutta voisiko tällainen toiminta nousta pikkurikollisten suosioon? Kohta meillä nimittäin on tilanne, jossa kaikilla on etäluettava kortti mukanaan, mutta myös niiden lukija, eli älypuhelin. Kun skannauksen voi tehdä vieläpä varsin huomaamattomasti ja ilmeisesti lakia rikkomatta, niin se saattaa lisätä kiinnostusta. Jos vaihtoehtona on kaupasta näpistely ja perinteiset taskuvarkaudet tai korttien skannaus, niin kumman valitsisit?
PIN-koodin kyselytarpeen väheneminen pikkuostoksien yhteydessä on tervetullut uudistus, joka osaltaan vähentää rikollisuutta, sillä PIN-koodin urkinta muuttuu vaikeammaksi. Tämän toteuttaminen ei toisaalta vaadi NFC:tä. Asia olisi nimittäin voitu toteuttaa siten, että sirukortti työnnetään normaalisti lukijaan ja pikkuostoksissa PIN-koodin syöttöä ei edellytetä. Tällöin maksaminen olisi lähes yhtä nopeaa kuin kortin vilauttaminen, mutta korttinumeron kopiointi olisi huomattavasti vaikeampaa.
On hyvä muistaa, että kuluttaja ei joudu maksumieheksi väärinkäytöstilanteessa, vaan kulut jäävät pankin ja kauppiaan väliseksi asiaksi. Harmia siitä voi kuitenkin koitua, etenkin jos kortti joudutaan sulkemaan, eikä toista korttia ole matkassa mukana.
Etäluettavat kortit eivät missään nimessä ole huono asia, vaan esimerkiksi erilaiset matkakortit toimivat jo nyt erittäin hyvin, ja niiden väärinkäyttö on vaikeaa. Aika näyttää onko etäluettavien maksukorttien turva riittävällä tasolla, vai tullaanko niitä hyödyntämään maksukorttirikollisuudessa.
Tämän ja vanhempien blogikirjoituksien kommentointiominaisuus tulee käyttöön viiveellä sivustouudistuksen takia.
Tietovuotojen ehkäiseminen – katsaus DLP:hen
Lisätty 29.04.2013
D? L? P?
Termi DLP tulee sanoista Data Leak Prevention tai Data Loss Prevention, riippuen siitä puhutaanko tiedon vuotamisesta sellaiselle taholle, jolle nämä tiedot eivät kuulu vai tiedon menettämisestä, jolloin tieto ei ole enää yrityksen hallussa. Tämä suojeltava tieto voi olla mitä tahansa luottokorttitiedoista yrityssalaisuuksiin tai henkilötietoihin. DLP:stä puhuttaessa tietotyypit jaetaan yleensä kolmeen eri kategoriaan:
- Tieto on käytössä käyttäjän työasemalla
- Tieto siirtyy tietoverkon yli
- Tieto on varastoituna, esimerkiksi tiedostopalvelimella tai tietokannassa.
Tiedon suojaustavat vaihtelevat tietotyyppikategorian mukaan.
DLP ohjeistaa käyttäjää
DLP:llä pyritään havaitsemaan ja estämään salaisen tiedon vuotaminen. DLP-järjestelmä voi esimerkiksi valvoa tietyllä digitaalisella vesileimalla merkittyjen piirustusten liikkeitä tai vaikkapa tunnistaa, kun webbichattiin kirjoitetaan salaisen projektin nimi. Lisäksi sen avulla voidaan ohjeistaa käyttäjiä tiedon oikeaan käyttöön luomalla varoituksia käyttäjille politiikan vastaisesta toiminnasta. Ulkoisten vaatimusten täyttämisessä se auttaa mm. PCI DSS:n edellyttämän luottokorttitietojen käsittelyn seurannan ja KATAKRI:n korkean tason edellyttämän käytön diarioinnin osalta.
Harhaluulot DLP:stä
Usein järjestelmän hankkineella on käsitys, että tiedot ovat suojassa koska kallis järjestelmä on asennettu. DLP on kuitenkin juuri niin fiksu kuin sille määritetyt politiikat ja säännöt ovat. Tärkeintä DLP-järjestelmän käyttöönottoprojektissa onkin löytää kaikki paikat joissa suojeltavaa tietoa on ja luokitella niissä sijaitsevat tiedot esimerkiksi julkisiksi, salaisiksi tai luottamuksellisiksi. Tämän jälkeen DLP-järjestelmään tehdään luokittelua vastaavat politiikat ja säännöt. Jatkossa ympäristön muuttuessa myös DLP-järjestelmän sääntöihin tulee päivittää vastaavat muutokset.
DLP ei kuitenkaan ole mikään hopealuoti, joka yksinään estää tietojen vuotamisen. Jos yritys on valinnut vain käytössä olevan tiedon suojaamisen DLP:llä, tarkoittaa se työasemalla pyörivän agenttiohjelman asennusta. Ensimmäinen käytännön ongelma tulee vastaan agenttiohjelmien käyttöjärjestelmätuessa – usein vain Windows on tuettu. Jos ei ole agenttia, ei ole myöskään suojausta. Toisaalta omaan työasemaansa pääkäyttäjän oikeudet saanut työntekijä voi sulkea agentin, vaikka sellainen olisikin asennettu. Voi myös olla, että agentti tarjoaa DLP-liitännäisen Firefoxiin ja Internet Exploreriin, mutta ei Opera-selaimeen.
Allekirjoittanut on myös käyttänyt onnistuneesti kehittyneitä hakkerointityökaluja DLP-agentin huijaamiseen: komentokehote ja uskalias copy-komennon käyttö poikivat DLP-järjestelmän valmistajalle korjauspyynnön.
Oikein käytettynä tehokas työkalu
Tekeekö DLP:llä sitten mitään? Mielestäni tekee, kun vain valitaan oikea tuote ja käytetään sitä tarkoituksenmukaisesti. Mikäli yritystä huolestuttavat sähköpostin kautta lähetetyt tiedot, tulisi sen sallia sähköpostin lähetys vain oman sähköpostipalvelimensa kautta, johon on liitetty DLP-välityspalvelin. Välityspalvelin tarkastaa sähköpostin liitteineen ja sallii lähetyksen vain mikäli sähköpostissa ei ole suojeltavaa tietoa. Sääntöjä voi muokata monipuolisesti: esimerkiksi johtoryhmän raporttia ei voi liittää liitetiedostoksi jos joku vastaanottajista ei ole johtoryhmässä tai kohdeosoite ei ole yrityksen hallinnoima sähköpostiosoite.
Mikäli tietojen pelätään vuotavan webin kautta, sallitaan nettiliikenne yrityksestä ulos vain yrityksen DLP-välityspalvelimen kautta. Kun nettiin on vain yksi väylä, voidaan sitä valvoa tehokkaammin. Tietoverkkoa valvomaan voi asettaa myös kaikkia verkkoprotokollia seuraavan DLP-monitorin. Julkisuudessa olleiden APT-hyökkäysten (Advanced Persistent Threat) ja esimerkiksi haittaohjelmien aiheuttamat tietovuodot olisi voitu estää, jos joku olisi valvonut mitä tietoa verkossa liikkui ja kuka sitä käsitteli.
DLP-agentti työasemassa voi estää tietojen tahattoman vuotamisen ja monissa tapauksissa tahalliset vuotamisyrityksetkin. Teknisesti osaavaa ja sinnikästä vuotajaa on kuitenkin hyvin vaikea estää. Viimeisenä vaihtoehtona vuotaja voi näpsäistä dokumentista kuvan vaikka kännykällä ja voipa vanhan koulukunnan hakkeri käyttää kynää ja paperiakin. Usein vuotaja ei kuitenkaan onnistu ensimmäisellä yrittämällään ja epäonnistuneista yrityksistä jää lokimerkintä, joka voidaan havaita esimerkiksi SIEM-järjestelmän avulla.
Yhteenveto
DLP:llä on tärkeä rooli yrityksen tietojen suojaamisessa, samalla tavalla kuin palomuurilla, virustorjunnalla, yritykselle laadituilla tietosuojapolitiikoilla ja pääsynhallinnallakin. Mikään edellä mainituista ei yksin riitä juuri mihinkään, mutta yhdessä ne vievät yrityksen tietoturvaa oikeaan suuntaan. Ne ovat kukin tärkeitä paloja tietoturvapalapelissä, joka toisin kuin tavanomaisemmat palapelit, kasvaa jatkuvasti suuremmaksi, paljastaen uusia tyhjiä kohtia joihin tarvitaan sopivat palat. DLP on niistä yksi.
Kirjoittaja Veli Pekka Jutila toimii tietoturvakonsulttina Nixun turvallisia verkkoratkaisuja ja tilannekuvaa tuottavassa yksikössä.
Tietoturvatasot ja lokienhallinta
Lisätty 15.04.2013
Valtiohallinnon Tietoturvatasojen noudattamista edellytetään lokakuun 2013 alusta. Tietoturvatasot asettavat vaatimuksia lokienhallinnalle valtiohallinnon organisaatioissa sekä niiden yksityisen sektorin kumppaneissa. Tämä kirjoitus keskittyy käymään läpi vaatimuksia ja pohtimaan erilaisia tapoja täyttää niitä.
Perustason vaatimukset:
“Kohta 6, Vaatimus 2, perustaso: Sekä onnistuneet että epäonnistuneet sisäänkirjautumiset kirjoitetaan lokiin niin, että yksittäisen käyttäjän kirjautumiset järjestelmään voidaan selvittää ja yhdistää hänen henkilöllisyyteensä luotettavasti.”
Tämä kohta on enemmän ohjaava kuin teknologialla ratkaistava asia. Kohta ei aseta suoranaisia vaatimusta keskitetylle lokienhallinnalle, vaan se edellyttää lokin tuottamista järjestelmän kaikista sisään- ja uloskirjautumistapahtumista kaikista järjestelmistä. Kuulostaa perustoiminnallisuudelta, mutta tätä eivät kaikki järjestelmät tänäkään päivänä täytä.
Kuten vaatimus sanoo tulee käyttäjän tunnistaminen olla riittävää sekä jokainen käyttäjätunnus tulee yksilöidä käyttäjään. Yhteistunnukset eivät siis lähtökohtaisesti ole mahdollisia, koska tunnuksen käyttäjää on vaikea yksilöidä. Keskitetty lokienhallinta mahdollistaa pääsynhallinnan keskitetyn käytönseurannan ja raportoinnin.
”Kohta 11. Vaatimus 1, erityisvaatimus: Sähköisten viestien, tunnistamistietojen sekä paikkatietojen luottamuksellisuudesta ja oikeasta käsittelystä huolehditaan myös lokitietojen käsittelyssä (Sähköisen viestinnän tietosuojalaki 4§ ja 5§).”
Lokien oikea käsittely on huomattavasti helpompi todistaa, mikäli käytössä on keskitetty lokienhallintaratkaisu, joka seuraa käsittelyä ja valvoo lokien muuttumattomuutta.
”Kohta 11. Vaatimus 2, perustaso: Laitteet, ohjelmistot sekä tietojärjestelmät tekevät riittäviä lokeja ja kirjausketjuja toiminnastaan.”
Vaatimus asettaa ehtoja järjestelmille ja niiden lokitukselle. Se mitä vaatimuksessa mainittu “riittävyys” tarkoittaa, jää auditorin päätettäväksi. Voidaan kuitenkin sanoa, että tietojärjestelmän/laitteen/ohjelmiston tulisi ainakin tuottaa luotettava kirjausketju kriittisistä asetusmuutoksista ja virhetilanteista sekä pääkäyttäjätason toimista. Lisäksi lokitietojen tulee olla hyödynnettävissä riittävän pitkään.
Korotetun tason vaatimukset:
”Kohta 6, Vaatimus 5, korotettu taso: Pääsynvalvontalokit säilytetään niin, että niitä ei päästä jälkikäteen muuttamaan.”
Keskitetyn lokienhallinnan avulla lokien suojaaminen on usein merkittävästi edullisempaa tuottaa kuin lokien suojaaminen ja tallentaminen paikallisesti – joskaan suoranaista vaatimusta keskittämiselle ei ole. Tulee muistaa, että vaatimus koskee kaikkia pääsynvalvontalokeja ei vain käyttöjärjestelmän. Ongelmaksi voi myös muodostua lokin muuttumattomuuden takaaminen paikallisesti, koska järjestelmän pääkäyttäjillä on aina paikallisesti mahdollisuus manipuloida lokia.
Keskitetty lokienhallintaratkaisu on suunniteltu lokien turvalliseen säilyttämiseen ja käyttöoikeudet on helppo määrittää roolipohjaisesti. Lisäksi järjestelmälle voidaan määrittää omat käyttäjät, jolloin vältytään tilanteelta jossa valvottavat valvovat itseään. Kolmas keskitetyn lokijärjestelmän etu on lokien tallennuspaikassa. Kun lokit tallennetaan sitä tarkoitusta varten toteutettuun järjestelmään ei niitä tarvitse säilyttää liiketoiminnan tuotantopalvelimilla kuluttamassa niiden kapasiteettia.
Korkean tason vaatimukset:
”Kohta 11. Vaatimus 4, korkea taso: Lokien seurannan perusteella muodostetaan tilannekuvaa ja havaitaan tietoturvapoikkeamia sekä kehitetään toimintaa.”
Käytännössä tämä asettaa suoran vaatimuksen SIEM-järjestelmälle. Toisin sanoen pelkkä lokien keruu ei tässä kohtaa riitä, vaan vaaditaan SIEM-järjestelmän toiminnallisuutta, jossa lokimassasta muodostetaan kokonaisvaltaista tilannekuvaa, tietoturvapoikkeamat havaitaan kehitetyillä hälytyksillä ja raporteilla sekä toiminta on jatkuvaa sekä sitä kehitetään (ajantasaiset raportit ja hälytykset).
Keskitetty lokienhallinta:
Kuten aiemmissa kappaleissa todettiin, keskitetty lokienhallinta helpottaa tietoturvatasojen täyttymistä merkittävästi. Lokien tallentamisen lisäksi sitä voidaan käyttää raportointiin ja virhetilanteista hälyttämiseen.
Keskitettyä lokienhallintaa voidaan toteuttaa kaupallisilla ja avoimen lähdekoodin tuotteilla. Avoimen lähdekoodin ratkaisuna pieniin ympäristöihin, joihin kohdistuvat vain perustason vaatimukset, voi keskitettynä lokienhallintaratkaisuna toimia kevyt Linux-pohjainen Syslog-palvelin (esim. Syslog-NG) riittävillä tietoturvakovennuksilla. Windows- ja tiedostopohjaisten lokien keräämisen haasteet tulee kuitenkin huomioida ratkaisua suunniteltaessa.
Korotetulle tasolle mentäessä tulee vaatimus pääsynvaltalokien muuttumattomuuden takaamisesta. Tämä on helpoin täyttää kaupallisilla ratkaisuilla, jossa lokin muuttumattomuus on taattu. Sama toiminnallisuus voidaan toki rakentaa avoimen lähdekoodin ratkaisuunkin, mutta niiden heikkoudet ovat usein järjestelmän ylläpitoon vaadittava tekninen kompetenssi ja valmistajan ylläpidon puute ongelmatilanteissa.
Korkean tason vaatimus on helpoin täyttää lokienhallintaa älykkäämmällä SIEM-ratkaisulla. Tällainen järjestelmä voidaan toteuttaa avoimen lähdekoodin ratkaisulla, mutta usein kaupalliset ratkaisut tulevat kustannustehokkaammiksi tarjonnan kypsyyden takia.
Kirjoittaja Jussi-Pekka Liimatainen toimii asiantuntijana Tilannekuva-ratkaisuja tuottavassa yksikössä. Kirjoittamiseen osallistui Pietari Sarjakivi.
Malware.lu-sivuston raportti APT1-hyökkäyksestä
Lisätty 09.04.2013
Luxemburgissa toimiva Malware.lu-sivusto ja iTrust Consulting ovat julkaisseet yhdessä teknisen raportin (.pdf) liittyen Mandiantin raportoimaan (.pdf) APT1-hyökkäykseen. Malware.lu:n tarkoituksena oli löytää APT1-hyökkäyksessä käytetyt kontrollipalvelimet ja aktiivisen vastahyökkäyksen keinoin tutkia näitä palvelimia sekä itse hyökkäyksen anatomiaa. Malware.lu onnistui selvittämään hyökkääjän infrastruktuurin, murtamaan salatun liikenteen ja selvittämään hyökkäyksen toimintatavan. Hyökkääjän identiteettiä ei kuitenkaan pystytty selvittämään.
APT-hyökkäyksiltä suojautuminen
Malware.lu:n raportin perusteella voidaan todeta, ettei APT1-hyökkäyksessä loppujen lopuksi käytetty erityisen edistynyttä teknologiaa vaan paljon yleisesti saatavilla olevaa teknologiaa. Vastahyökkäyksen onnistuminen myös osoitti sen, etteivät hyökkääjät odottaneet aktiivisia vastatoimia tai joutumista muiden “hakkeroimaksi”.
Hyökkäyksen menetelmien selvittämisen myötä voitaisiin pohtia miten näitä hyökkäyksiä voitaisiin havaita ja niiltä suojautua? Perinteisen tietoturvanäkemyksen mukaan pyritään hyökkääjän pääsy yrityksen verkkoon estämään palomuurien ja verkkojen segmentoinnin avulla. Kehityksen myötä on palomuurien ja muiden verkon ulkoreunan kontrollien ominaisuuksia pyritty parantamaan. Toisaalta mikään ihmisen keksimä kontrolli ei ole absoluuttinen, joten hyökkääjän näkökulmasta voidaan korkeintaan puhua “hidasteista”.
Yksin hidasteet eivät riitä, vaan tietomurto on myös kyettävä havaitsemaan, jotta tarvittaviin vastatoimiin voidaan ryhtyä (hidaste -> havaitseminen -> seuranta/valvonta -> vastatoimet). Verizonin viime vuonna tekemässä Data Breach Investigations Report -julkaisussa todettiin, että tietomurron havaitseminen kestää normaalisti kuukausia ja joissakin harvoissa paikoissa havainnointi tapahtuu tunneissa:
Kuukausia kestäneen tietomurron jälkeen voidaan lähinnä puhallella haavoihin, siivota paikat ja toivotella pikaista paranemista, koska vahinko on jo päässyt tapahtumaan. Tärkeää on siis saada lyhennettyä aikaa tietomurron tapahtumisen ja sen havaitsemisen välillä.
Käytännön työkalut
Tietomurtojen hidastamiseksi tulee tietoturvan olla riittävällä tasolla, jota luonnehtivat segmentoitu verkko, kontrollit segmenttien välillä (palomuurit, proxyt, hyppykone, VPN) ja tietoturvaa edesauttavat yleiset toimintaperiaatteet. Erilaiset verkon toiminnan poikkeamien ja haittaohjelmien havaitsemiseen tarkoitetut tekniikat – haittaohjelmien torjunta eli antivirus (AV), työasemakohtainen tunkeutumisenesto (HIDS), sähköpostin turvaratkaisut, tunkeutumisen esto- ja havainnointijärjetelmät (IPS/IDS) sekä uudet kehittyneet tekniikat auttavat lisäämään sen todennäköisyyttä, että hyökkääjän toiminnasta sekä jäljistä nousee lippu pystyyn valvontajärjestelmissä.
Usein eri lähteistä saatavaa tieto on kuitenkin mahdotonta yhdistää kokonaiskuvan luomiseksi. Yksi havainto ei myöskään vielä välttämättä riitä laukaisemaan järjestelmän hälytystä, mutta useamman järjestelmän keräämät havainnot muodostavatkin yhdessä hälytyksen arvoisen tapahtuman. Tätä ongelmaa taklaamaan on kuitenkin olemassa SIEM-järjestelmiä, joihin eri lähteiden lokit voidaan kerätä yhdessä käyttöjärjestelmien ja ohjelmistojen lokien kanssa. SIEM-järjestelmä itsessään ei ole mikään oikotie onneen, vaan voidaan puhua järjestelmästä, joka moninkertaistaa olemassa olevien tietoturvahenkilöiden työpanoksen arvon. SIEM-järjestelmä vaatii siis aktiivista muokkaamista, jotta se toimii tehokkaasti. Kattava lokitus ja keskitetty lokienhallinta tekee tietomurtojen havaitsemisen ja nopean tutkimisen huomattavasti helpommaksi.
Etäkäyttötyökalujen toimintatapa, jota APT1-hyökkäyksessäkin käytettiin, pitää sisällään yhtenä askeleena tiedonkeruuvaiheen, jossa skannataan murretun järjestelmän rekisteri ja tiedostojärjestelmän sisältö kiinnostavien kohteiden löytämiseksi. Tiedonkeruuvaiheen havaitsemiseksi voidaan käyttöjärjestelmien omien työkalujen ja SIEM-järjestelmän avulla rakentaa “miinoja”, jotka hyökkäystyökalut laukaisevat aiheuttaen näin hälytyksiä. Tulee kuitenkin muistaa, että hidasteet ja valvonta ovat hyviä ja niitä tulee olla, mutta niitä mietittäessä tulee niistä saatavan hyödyn määrän ylittää niiden aiheuttaman haitan, eli kustannukset ja lisätyöt.
Tietoa tietomurron merkeistä ja siitä mitä tehdä jos epäilet joutuneesi tietomurron kohteeksi löydät Nixun oheisista blogikirjoituksista:
Mitä tehdä jos epäilet joutuneesi tietomurron kohteeksi?
Tietomurtojen merkkejä – Antivirus
Kirjoittaja Jussi-Pekka Liimatainen toimii turvaverkkoasiantuntijana Nixun tilannnekuvapalveluita tuottavassa yksikössä.
Automaatioverkkojen tietoturvallisuus ilman mystiikkaa
Lisätty 28.03.2013
Aalto-yliopisto julkaisi hiljattain tutkimuksen Suomen automaatioverkkojen haavoittuvuudesta. Tutkimuksen julkistamisen jälkeen julkisessa keskustelussa on esitetty tutkimukseen viitaten, että Suomen liikenteen ja muun infrastruktuurin saisi valtakunnallisella tasolla helposti sekaisin, jopa aiheutettua onnettomuuksia, hyödyntämällä tutkimuksessa havaittuja ongelmia. Johtopäätöksenä Suomen kyberturvallisuus olisi pohjoiseurooppalaista pohjasakkaa.
Aalto-yliopiston tutkimuksen menetelmien yksityiskohdat eivät välttämättä aukea kadunmiehelle. Yksinkertaistaen voisi sanoa, että tutkimuksessa käytetty Shodan-hakukone on kuin keltaiset sivut, joka on tehty ilman yrityksen pyyntöä, soittamalla kaikkiin numeroihin ja kuuntelemalla kuka vastaa. Tässä Aallon tutkimuksessa etsittiin sitä keiden suomalaisten automaatioverkkojen palvelujen tiedot löytyvät tästä hakemistosta.
Tämän jälkeen vain soitettiin numeroon ja katsottiin vastaako sama palvelu numerosta edelleen. Tutkimuksesta ei käynyt ilmi kuinka kriittinen palvelu on kyseessä ja onko palvelussa todellisuudessa haavoittuvuuksia, joita voidaan helposti hyödyntää.
Mahdollista, mutta motiivi ja tekijät vaaditaan
Nixun näkemyksen mukaan tutkimuksessa on tuotu esiin asiallisia huomioita tietoturvallisuuden tärkeydestä yhteiskunnan perustoiminnoissa, mutta julkisessa keskustelussa esitetyt johtopäätökset tutkimuksen tuloksista ovat yliampuvia. Teimme myös oman vertailun Shodanin tietoihin perustuen ja tuloksemme vastasivat tutkimuksen tuloksia. Suurin osa internetissä näkyvistä automaatiolaitteista eivät välttämättä ole yleisen kyberturvallisuuden osalta merkityksellisiä. Yksittäisen organisaation osalta tietomurrot aiheuttavat kuitenkin paljon päänvaivaa ja näitä tietomurtotapauksia tutkiessamme kyseessä ovatkin olleet tämänkaltaiset tietoturvallisuuden perusasioiden laiminlyönnit.
Tutkimuksessa oltiin huolestuneita siitä, että Suomessa on väkilukuun suhteutettuna eniten internetiin kytkettyjä automaatiolaitteita. Tämä ei kuitenkaan mielestämme tarjoa yksin perusteita sille, että Suomessa tilanne olisi poikkeuksellisen huono tietoturvallisuuden osalta muuhun maailmaan verrattuna. Internetiin kytketyksi automaatioverkkojen laitteet ovat päätyneet joko tarkoituksella tai inhimillisen erehdyksen kautta, koska yleensä automaatioverkkojen näkyvyyttä internetiin ei seurata. Automaatioverkkoihin liittyviä laitteita voi kytkeä internetiin myös turvallisesti konfiguroituna ja asianmukaisesti suojattuna. Alalla yleisesti tiedetään, että automaatioverkkojen tietoturvallisuudessa on runsaasti parannettavaa kaikkialla maailmassa – meillä Suomessakin. On kuitenkin vielä pitkä matka siihen, että naapurin tietokonenörtti aiheuttaisi Suomen voimalaitoksissa tai liikenteessä helposti onnettomuuksia. Emme kuitenkaan kiistä sitä mahdollisuutta, etteikö taitava hakkeriryhmä riittävällä panostuksella kykenisi tekemään mittavaa vahinkoa missä tahansa maailman kolkassa – oli kyseessä sitten yhdysvaltalaiset, kiinalaiset, israelilaiset, iranilaiset, ruotsalaiset tai suomalaiset automaatioverkot.
Oletko tietoinen organisaatiosi tietoturvan tasosta?
Aalto-yliopiston tutkija on esittänyt, että Suomeen tulisi perustaa kansallinen palvelu, joka säännöllisesti seuraisi kriittisten automaatioverkkojen tietoturvallisuuden tilaa. Olemme Nixussa samaa mieltä ja siksi olemme tuottaneetkin vastaavaa palvelua jo yli kymmenen vuotta. Nykyisellään palvelun piirissä on mm. valtion virastoja, valmistavan teollisuuden, finanssi- ja kaupanalan toimijoita – yhteensä satoja tuhansia internetiin kytkettyä IP-osoitteita. Joukossa on myös automaatiolaitteita. Tämä palvelu on parantanut merkittävästi palvelun piirissä olevien järjestelmien tietoturvallisuutta sekä lisännyt organisaation näkyvyyttä internetiin näkyvään omaan laitteistokantaan. Tällä hetkellä vastaava kansallinen palvelu olisi Suomen kyberturvallisuuden kannalta lyhyellä tähtäimellä tehokkain investointi, koska suurimmalla osalla yksityisistä yrityksistä ei ole edes tämän tason näkyvyyttä verkkojensa tietoturvallisuuteen.
Ratkaisuna ongelmaan haluamme tarjota huhtikuun aikana kampanjanomaisesti kaikille suomalaisille automaatiolaitteita käyttäville yrityksille edullisen tilaisuuden kartoittaa oma uhkakenttä Nixu Watson -palvelun avulla. Ota yhteyttä Nixun myyntiin nixu.sales(at)nixu.com.
Kirjoituksen laatimiseen ovat osallistuneet Matti Suominen ja Petteri Arola.