Kyberhyökkäyksen toteuttaminen on suhteellisen helppoa ja tiettyjen haavoittuvuuksien hyödyntäminen on mahdollista, jopa täysin automaattisilla työkaluilla.
Pysähdy hetkeksi pohtimaan seuraavaa kysymystä. Liittyykö edustamasi yrityksen liiketoimintaan web-sovellus, jonka toimimattomuus tai sen tietojen vuotaminen vaikuttaisi liiketoimintaan merkittävästi?
Esimerkiksi jokin seuraavista verkkosovelluksista:
Jos tunnistit liiketoimintaanne liittyvän järjestelmän, jonka tiedot eivät saa päästä vääriin käsiin ja järjestelmän toimimattomuus näkyisi arjessa välittömästi. On syytä pohtia hetki tietoturvatestausta.
Edellisten kaltaisten kriittisiksi tunnistettujen järjestelmien tietoturvan taso kannattaa testauttaa tai varmistaa, että joku toinen on jo huolehtinut testauksesta. Saatat miettiä mielessäsi: “Miksi ihmeessä kannattaa testauttaa? Ei kai kukaan tee tietoturvatonta sovellusta ja kuka meitä vastaan hyökkäisi?”
Yleisesti ottaen vähintäänkin jo pidempään alalla toimineet sovelluskehittäjät ja sovellustoimittajat pyrkivät tuottamaan turvallisia ratkaisuja. Valitettavasti turvallisen verkkosovelluksen tekeminen on helpommin sanottu, kuin tehty. Oikeastaan turvallisen sovelluksen tuottaminen voidaan luonnehtia olevan todella haastava tehtävä, joka vaatii erityisosaamista ja merkittävästi tietoturvaan varattuja resursseja. Tilanne on sitä haastavampi mitä monimutkaisemmasta ja laajemmasta kokonaisuudesta on kyse. Lisämaustetta tuovat tiukat aikataulut ja tiuhaan muuttuvat vaatimusmäärittelyt.
Vaikka web-sovelluksen toteutuksesta olisi vastuussa pitkänlinjan konkareita sisältävä “seniori-tiimi”, inhimillisiä virheitä sattuu aina. Sovellukseen voi syntyä haavoittuvuuksia, vaikka maailman paras koodari olisi sorvin ääressä. Toisaalta usein kehitystiimit koostuvat myös junior-tason tekijöistä, joilla voi käytännön tasolla olla mahdollisuus toteuttaa muutoksia lähdekoodiin yhtä lailla kokeneisiin senioreihin verrattuna. Tiimityön lopputuloksena syntyy kokonaisuus, joka on niin vahva, kuin sen heikoin kohta.
Hyökkääjä vaanii ja kyttää tilaisuutta päästä hyödyntämään sovellukseen jäänyttä haavoittuvuutta. Ei ole merkitystä syntyykö haavoittuvuus inhimillisen erheen johdosta, osaamisen puutteesta, suunnitteluvirheen seurauksena tai kolmannen osapuolen tuottaman haavoittuvan komponentin käytöstä.
Kyberhyökkäyksen toteuttaminen on suhteellisen helppoa ja tiettyjen haavoittuvuuksien hyödyntäminen on mahdollista, jopa täysin automaattisilla työkaluilla. Haavoittuvuuksien hyödyntämiseen on Internetissä vapaasti saatavilla yksinkertaisia ohjeita, joiden avulla jopa suhteellisen vähän syvää osaamista hallitsevat tahot voivat toteuttaa kyberhyökkäyksiä.
Mikäli kohde on hyökkääjän näkökulmasta kiinnostava, hyökkäystä voidaan suunnitella ja valmistella pitkään teknisesti lahjakkaiden osaajien toimesta. Näissä tapauksissa jo pienikin virhe ohjelmistokehityksessä tai palvelutuotannossa saattaa johtaa erittäin ikävään lopputulokseen.
Kriittisessä kohdassa tapahtunut inhimillinen erehdys on tuhannen taalan paikka hyökkääjälle. Ohjelmistokehitys on tiimityötä ja yksi keskeinen osatekijä onnistunutta ja turvallista lopputulosta on puolueettoman kolmannen osapuolen suorittama tietoturvatestaus murtotestauksen menetelmin. Sen myötä sovelluksen tietoturva arvioidaan pahantahtoisen hyökkääjän näkökulmasta.
Verkkosovellukseen toteutettu kyberhyökkäys tai sen hakkerointi on Suomen lakien vastaista. Valitettavasti rikollisuutta ja pahantahtoisesti ajattelevia kuitenkin aina jostain ilmaantuu ja poliisi saadaan pidettyä kiireellisenä.
Internetissä tilanne on erittäin herkkä, sillä kyberhyökkäys voidaan toteuttaa vaikka toiselta puolelta maapalloa tänne koto Suomeen.
Helsingin keskustassa oleva asunto on mahdollista jättää lukitsematta työpäivän tai viikon Espanjan reissun ajaksi. Harva kuitenkaan oikeasti uskaltaa jättää ovea lukitsematta suuren kaupungin keskustassa. Yleinen elämänkokemus kertoo, että ovi laitetaan lukkoon tai voi käydä huonosti.
Sama periaate pätee verkkosovelluksissa. Etenkin, jos liiketoimintakriittinen sovellus on suoraan avoinna Internettiin. Voidaan siis kuvitella Internettiin avoinna olevan sovelluksen olevan asunto tai auto, joka jätetään oman onnensa nojaan suuren kaupungin keskustaan. Ovet on syytä lukita ja varmistaa, että ikkunat ovat kiinni. Parhaimmassa tapauksessa kytketään päälle myös murtohälytin. Tietoturvatestauksessa pyritään varmistamaan, että näin on toimittu verkkosovelluksen osalta.
Olisiko aika testata teidänkin verkkosovellus?
Tutustu tietoturvatestauksen palveluihin