Muutto on mahdollisuus – sössiä tietoturva

Paikallisella firmalla on muutto kesken – ollut jo muutaman kuukauden. Ohessa havaintoja (case 1). Perässä myös pari muuta tapausta tosielämästä.

Case 1: Muutto kesken

Osa asiakastiedoista säilytetään perinteisesti mapeissa ja mapit on nimetty asiakkaittain. Mapit on sijoitettu siististi muuttolaatikoihin. Laatikko on sen verran lähellä ikkunaa, että asiakkaat on helposti tunnistettavissa.

Työpöytä on myös ikkunapaikalla, tottakai. Siinä on (helposti varastettava) läppäri ja työstettävät paperit siistissä järjestyksessä. Näyttöä voi katsella kadulta.

Vaikka papereista ja asiakastiedoista ei mitään luottamuksellista löytyisikään, niin ei tämä toimintamalli ainakaan luotettavuutta lisää. Entäs varmuuskopiot, jos paperit ja läppäri lähtee? Laittaisi nyt vaikka jonkun näkösuojan papereiden ja laatikon päälle. Ja läppärin piiloon.

Muista puhtaan pöydän periaate.

Case 2: Paperiton toimisto

Muutto on hyvä mahdollisuus digitalisoida toimintaa. Kaikki turhat paperit kiertoon. Itsekin olen pari kertaa istunut silppurin vieressä ja pohtinut, mahtuisiko vielä viideskin paperi samalla kerralla silppuriin.

Aina paperishow ei mene yhtä putkeen. Joskus papereita saa jahdata pihalla tuulessa ja sateessa. Tietoturvaa edistävää taukoliikuntaa!

Case 3: Tarkista mihin muutat

Kerran erään yrityksen IT-asiantuntija pohti, missä mahtaa olla toimistotilan datakaappi. Se, mihin perinteiset nettijohdot kytketään. Ilmeni, että kaappi oli toimistotilan ulkopuolella olevalla käytävällä. Samassa kaapissa oli myös toisen toimiston verkkopistokkeet. Käytännössä kuka tahansa rakennuksessa vieraileva henkilö olisi voinut kytkeä itsensä näiden toimistojen tietoverkkoon.

Toimitilojen tietoturvaohjeesta (VAHTI 2/2013) saa hyviä vinkkejä toimiston fyysiseen tietoturvallisuuteen

Muutto on erikoistilanne, joka mittaa yrityksen tietoturvakulttuuria.

Miksi Log4shell-tietoturvaongelma on niin vaarallinen?

Log4j-järjestelmästä löydettiin vaarallinen tietoturvaongelma eli haavoittuvuus joulukuussa 2021. Mikä tekee tästä Log4shell-haavoittuvuudesta niin vaarallisen? Alla on kuvattu ongelmaa eri näkökulmista. Kirjoitin myös aikaisemmin, mistä Log4j-tietoturvaongelmassa on kyse.

Tilanteen ymmärtämisen vaikeus

”Vaikuttaako Log4shell-tietoturvaongelma meihin?” taisi olla yleisimpiä kysymyksiä organisaatioissa, kun tieto haavoittuvuudesta julkaistiin. Ei muuta kuin kyselemään IT-asiantuntijoilta ja palveluntarjoajilta.

Vastauksen löytäminen ei kuitenkaan ole ihan yksinkertaisin asia. Log4j on yksittäinen taustajärjestelmän osa, komponentti, jonka olemassaolosta ei välttämättä ole edes tietoa. Vaikka Log4j ei olisikaan otettu suoraan käyttöön ”asenna Log4j” -tyyppisesti, niin se saattaa silti asentua jonkin toisen ohjelman kylkiäisenä. Kannattaa tutustua Googlen mielenkiintoiseen selvitykseen aiheesta.

Laaja levinneisyys

Log4j on yleisesti ja laajasti käytössä ympäri maailmaa. Laajaa levinneisyyttä kuvaa hyvin se, että netissä on julkaistu erilaisia listoja, joista löytyy tietoja, onko jokin tietty sovellus altis tietoturvaongelmalle. Pari listaa on saatavilla esim. tästä Kyberturvallisuuskeskuksen haavoittuvuustiedotteesta.

Asennuksia löytyy myös muualta, kuin perinteisistä nettipalveluista. Esimerkiksi Trendmicro on tutkinut Log4shell-haavoittuvuuden vaikutuksia autoihin asennetuissa järjestelmissä ja latausasemissa.

Helppo löydettävyys

Kuka tahansa voi etsiä haavoittuvia Log4j-asennuksia internetistä. Haavoittuvuuden etsiminen ei edellytä esim. käyttäjätunnuksia palveluun. Esimerkiksi Microsoft on havainnut, että rikolliset hyödyntävät mm. olemassa olevia botnet-verkkojaan löytääkseen haavoittuvia Log4j-asennuksia internetistä.

Toiminnan automatisointi

Haavoittuvien palveluiden etsiminen ja niihin hyökkääminen voidaan automatisoida. Tämän takia esimerkiksi pienemmät firmat eivät voi ajatella, että he eivät ole rikollisten kiinnostuksen kohde. Automaattista hyökkäystyökalua ei kiinnosta, onko uhrina iso vai pieni organisaatio.

Vaadittava nopeus

Tietoturvaongelma ja todiste toimivasta hyökkäyskoodista tuotiin julkisuuteen yhtä aikaa (lähde Lunasec). Kyseessä on siis niin sanottu nollapäivähaavoittuvuus. Kun tämä yhdistetään helppoon löydettävyyteen ja automatisointiin, on kaaoksen ainekset kasassa. Suojaukset ja korjaukset on kehitettävä ja otettava käyttöön nopeammin, kuin rikolliset ehtivät tilaisuutta hyödyntämään.

Monipuoliset haittavaikutukset

Log4shell-haavoittuvuuden avulla hyökkääjä voi ajaa itse valitsemiaan hyökkäyskomentoja kohteessa. Näin hyökkääjä voi esim. ohittaa suojauksia ja saada pääsyn muihin järjestelmiin. Hyvä yleiskuvaus vaikutuksista löytyy Kyberturvallisuuskeskuksen haavoittuvuustiedotteesta.

Haastavat jälkiselvitykset

Jos organisaatiosta löytyy järjestelmiä, jotka ovat alttiita Log4shell-ongelmalle, tulisi näille järjestelmille tehdä tietomurtotutkinta. Tutkinnan tarkoituksena on selvittää, onko haavoittuvuutta ehditty käyttää hyväksi. Ja jos on, niin miten? Tietomurtotutkinta on vaativaa asiantuntijatyötä. Lisäksi pitää arvioida riskit henkilötiedoille.

Log4shell-haavoittuvuudessa yhdistyy monta eri tekijää, jotka muodostavat yhdessä vaarallisen kokonaisuuden.

Log4j-tietoturvaongelma – tästä on kyse

Log4j-järjestelmään liittyvä tietoturva-aukko on poikkeuksellisen vaarallinen. Ongelman korjaaminen on aiheuttanut valtavaa liikehdintää eri organisaatioissa ympäri maailmaa. Lue alta, mistä tässä ongelmassa on kyse.

Mikä on Log4j?

Log4j on nettipalvelun taustajärjestelmän osa, joka vastaa nettipalvelun lokitietojen käsittelystä. Lokitietoa muodostuu aina, kun käytät nettipalvelua. Lokitieto kertoo palvelun ylläpitäjälle, miten palvelu toimii ja miten palvelua on käytetty. Esim. mitä sivuja on avattu (kts. kuvio alta). Lokeihin kirjautuu myös palveluun liittyvät virhetilanteet yms. tekniset asiat.

Miksi tämä tietoturva-aukko on vaarallinen?

Tietoturva-aukon sisältävä lokijärjestelmä on laajasti käytössä ympäri maailmaa. Tietoturva-aukkoon on mahdollista hyökätä yksinkertaisella keinolla, mistä päin internetiä tahansa. Valitettavasti keinot ja esimerkki hyökkäyksen toteuttamisesta on myös julkaistu internetissä. Jos rikollinen onnistuu hyökkäyksessään, hänellä on laaja pääsy kohdejärjestelmään.

Pitääkö nyt tehdä jotain?

Yksittäinen kansalainen ei voi tehdä Log4j-ongelmalle mitään. Sen sijaan suurin vastuu on nyt IT-järjestelmien tekijöillä ja IT-palveluiden ylläpitäjillä. Järjestelmiin on tehtävä korjauksia. Kun järjestelmien tietoturvapäivitykset tulevat saataville, on kaikkien asennettava ne viipymättä.

On arvioitu, että Log4j-ongelman ongelman selvittely ja korjaaminen tulee jatkumaan pitkään maailmalla. Ongelman todelliset vaikutukset tulee näkymään vasta myöhemmin.

Miten Log4j tietoturva-aukkoon hyökätään?

Oheisessa kuviossa on esitetty esimerkinomaisesti, miten Log4j tietoturva-aukkoon hyökätään.

Log4 esimerkki

Verkkopalvelun vierailijat käyttävät palvelua normaalisti, ja siitä tallentuu merkintöjä lokijärjestelmään. Järjestelmässä oleva tietoturva-aukko mahdollistaa kuitenkin sen, että tietyllä tavalla muotoillut haittakoodit latautuvat lokijärjestelmään virheellisesti. Rikollinen syöttää haittakoodin mukana tiedon siitä, missä rikollisen hyökkäyspalvelin sijaitsee. Lokijärjestelmä käsittelee tiedon virheellisesti, ja merkinnän sijaan avaakin yhteyden rikollisen hyökkäyspalvelimelle. Sitä kautta rikollinen saa etäyhteyden verkkopalvelun taustajärjestelmään ja voi näin asentaa esimerkiksi haittaohjelmia verkkopalveluun.

Lisätietoja esim. Kyberturvallisuuskeskuksen nettisivuilta.

Vasara avuksi riskienhallintaan

Nurkissa pyöri muutama vanha kiintolevy, joille piti löytää uusi osoite. Eikun DBAN-sovellus pyörimään ja levyt täyteen random-dataa.

Kiintolevyn tiedostot tulee poistaa kunnolla, kun levy on lähdössä uudelle omistajalle tai kierrätykseen. Pelkkä käyttöjärjestelmän Poista-komento ei riitä.

Tiedoston poistaminen ei siis poista tiedostoa!

Ylen loistavassa Team Whack -hakkerisarjassa näytetään, mitä tietoa levyiltä on palautettavissa. Tavallisesti poistettujen tiedostojen palauttaminen on myös kotioloissa melko yksinkertaista.

Palautustoimenpiteitä vastaan voidaan suojautua usealla tavalla. Yritysmaailmaan vinkkejä voi ottaa esimerkiksi Kyberturvallisuuskeskuksen ohjeesta ”Kiintolevyjen elinkaaren hallinta – Ylikirjoitus ja uusiokäyttö

Yksi kiintolevyistäni oli sen verran huonossa kunnossa, että ylikirjoitus ei onnistunut luotettavasti. Riskinä oli, että tiedostot voidaan palauttaa kotikonstein. Tämän takia edellä mainittua kirjainyhdistelmää piti hieman soveltaa:

Drill, Bang and Neutralize.

kiintolevyn tuhoaminen

Riskiarvio oikaistiin vasaralla.

Miksi yrityksiä hakkeroidaan?

Päivittäinen tietoturvauutisointi pistää miettimään. Verkkorikollisuus on jatkuvasti pinnalla. Onko olemassa yritystä, joka ei kelpaisi kohteeksi?

Rikollisia kiinnostaa meidän rahat, resurssit ja osaaminen.

Rahaa yritetään saada monin eri tavoin. Rahaa rosvotaan väärennetyillä laskuilla ja maksutiedoilla, varastettuja (henkilö)tietoja myymällä ja kiristämällä.

Resursseista rikollisia kiinnostavat esimerkiksi erilaiset tietojärjestelmät. Verkkomedioissa on uutisoitu esimerkiksi siitä, että eri korkeakoulujen kirjastoihin on tehty kohdennettuja tietoturvahyökkäyksiä, joilla tavoitellaan pääsyä kirjastojen tietokantoihin.

Kyllä, kirjatkin viedään käsistä!

IT-resurssejamme (läppärit, puhelimet, palvelimet, IoT-laitteet jne.) yritetään puolestaan valjastaa osaksi laajempia verkkohyökkäyksiä. Osaamisen varastaminen on käytännössä vakoilua. Onneksi vanha vitsaus ”meillä ei ole mitään salattavaa” jäi viime vuosikymmenelle. Toteamusta ei ole hetkeen kuulunut.

Välillä tuntuu siltä, että verkkorikollisille kelpaa kaikki.

Kyberturvallisuuskeskuksen julkaisema Kybersää-raportti avaa hyvin suomalaisten organisaatioiden tietoturvahaasteita. Tässä muutama lumettoman talven värinen poiminta nykytrendeistä:

  • ”Office 365 -tilien kalastelu johtaa edelleen tietomurtoihin päivittäin.” (Kybersää 10/2019)
  • Tietomurroissa ”…Office-365-tapaukset ovat uusi normaali”. (Kybersää 1/2020)

On siellä Kybersäässä myös aurinkoisempia uutisia. Kannattaa tutustua!