Tiedätkö, mitä organisaatiostasi näkyy internetiin?

Photo by Markus Winkler on Unsplash

Viime viikkoina olemme saaneet lukea USAn kriittiseen infrastruktuuriin kohdistuvista hyökkäyksistä, jossa internetiin kytketyt OT-järjestelmät ovat aktiivisen vaikuttamien kohteena (kts. CISAn tiedote). Vastaavasti on uutisoitu venäläisten tavasta vakoilla EU-maissa tapahtuvia sotilaskuljetuksia hyödyntäen heikosti suojattuja valvontakameroita (kts. Helsingin Sanomien uutinen).

Vaikka tietoisuus verkkoon kytkettyjen laitteiden ja kriittisten tietojärjestelmien riskeistä on lisääntynyt, on digitalisaation vauhdittumisen myötä organisaatioiden internetiin näkyvä hyökkäyspinta-ala myös kasvanut. Hyökkäyspinta-ala ei koostu pelkästään organisaation tietoisesti internetiin julkaisemista verkkopalveluista, vaan siihen voivat kuulua esimerkiksi huonosti konfiguroidut etähallintapalvelut, VPN-yhdyskäytävät, pilvipalveluihin pystytetyt ympäristöt, kamerat sekä erilaiset IoT- ja OT-laitteet.

Tämän hyökkäyspinta-alan hallinnan haasteena on erityisesti se, ettei organisaatiolla itsellään välttämättä ole ajantasaista tietoa kaikista internetiin näkyvistä järjestelmistään. Vuosien aikana pystytettyjä testiympäristöjä tai yksittäisiä palveluita voi jäädä käyttöön ilman selkeää omistajaa. Yrityskaupat, ulkoistetut palvelut ja pilvipalveluiden helppo käyttöönotto voivat edelleen kasvattaa ongelmaa. Hyökkääjän näkökulmasta palvelun “unohtuminen” ei kuitenkaan tee siitä näkymätöntä.

Internetin jatkuva skannaaminen on nykyisin arkipäiväistä, joka tarkoittaa että avoimeksi jäänyt palvelu löydetään varsin nopeasti. Tämän vuoksi ei kannata ajatella, että vaikeasti arvattava palvelun osoite tai palvelun vähäinen tunnettuus tarjoaisi sille minkäänlaista suojaa.

Hyökkäyspinta-alan hallinnassa ensimmäinen askel onkin varsin yksinkertainen. Organisaatioiden pitäisi tietää, mitä heidän järjestelmiään on kytketty internetiin. Tämän jälkeen voidaan arvioida, onko palvelun ylipäätään tarpeellista olla julkisesti saavutettavissa, kuka siitä vastaa ja ovatko esimerkiksi päivitykset ja pääsynhallinta asianmukaisesti hoidettu.

Suomalaisille organisaatioille on tarjolla erilaisia tapoja kartoittaa omaa hyökkäyspinta-alaansa, joista voi mainita mm. Kyberturvallisuuskeskuksen Hyöky-palvelun, joka on organisaatioille maksuton. Käyttöönotto vaatii hieman vaivaa, mutta mikäli organisaation resurssit riittävät pieneen projektiin, on tämä hyvinkin kustannustehokas tapa parantaa omaa tilannetta edes hiukan.

Pelkkä kertaluonteinen kartoitus ei kuitenkaan ratkaise ongelmaa. Internetiin näkyvä ympäristö muuttuu jatkuvasti uusien palveluiden käyttöönoton ja vanhojen poistumisen myötä. Hyökkäyspinta-alan hallintaa kannattaakin ajatella jatkuvana prosessina inventaarion sijaan. Olennaista ei ole pelkästään löytää palveluita, vaan myös tunnistaa niissä tapahtuvat muutokset ja saada havainnot sellaisen henkilön käsiteltäväksi, jolla on mahdollisuus tehdä niille jotain.

Kaikkia internetiin näkyviä palveluita ei luonnollisesti voida poistaa, eikä se ole tarkoituskaan. Oleellisempaa on pystyä vastaamaan muutamaan yksinkertaiseen kysymykseen: mitä organisaatiostamme näkyy internetiin, miksi se näkyy sinne, kuka siitä vastaa ja onko sen internetissä olemiseen liittyvät riskit tiedostettu ja hallittu.

Hyökkääjä tekee saman kartoituksen joka tapauksessa. Organisaation kannattaisi vain pyrkiä tekemään se ensin.