Mikä on tun­keu­tu­mis­tes­ti (pen-testi)?

Pe­net­raa­tio­tes­tien (joita kutsutaan usein pen-testeiksi) avulla voidaan selvittää, kuinka to­den­nä­köi­nen hyökkäys verkkoon on, mukaan lukien verkon yk­sit­täi­set jär­jes­tel­mät ja tietyt so­vel­luk­set. Tutustu siihen, miten tällaiset testit to­teu­te­taan ja mitä ne mer­kit­se­vät jo käytössä olevalle verkolle.

Mitä on tun­keu­tu­mis­tes­taus?

Tie­to­tek­niik­ka-alalla tun­keu­tu­mis­tes­ti on suun­ni­tel­tu hyökkäys minkä tahansa kokoista verkkoa tai yk­sit­täi­siä tie­to­ko­nei­ta vastaan, jonka tar­koi­tuk­se­na on paljastaa haa­voit­tu­vuuk­sia. Tätä varten käytetään erilaisia työkaluja, joilla si­mu­loi­daan erilaisia hyök­käys­mal­le­ja, jotka pe­rus­tu­vat yleisiin hyök­käys­me­ne­tel­miin. Tyy­pil­li­siä kohteita, joille suo­ri­te­taan tun­keu­tu­mis­tes­ti, ovat:

• Verkon kyt­ken­tä­lait­teet, kuten rei­tit­ti­met, kytkimet ja yh­dys­käy­tä­vät
• Tur­va­por­tit, kuten oh­jel­mis­to- ja lait­teis­to­pa­lo­muu­rit, pa­ket­ti­suo­dat­ti­met, vi­rus­ten­tor­jun­taoh­jel­mat, kuor­mi­tuk­sen ta­sa­pai­not­ta­jat, IDS- ja IPS-jär­jes­tel­mät jne.
• Pal­ve­li­met, kuten verk­ko­pal­ve­li­met, tie­to­kan­ta­pal­ve­li­met, tie­dos­to­pal­ve­li­met jne.
• Te­le­vies­tin­tä­jär­jes­tel­mät
• Kai­ken­tyyp­pi­set verk­ko­so­vel­luk­set
• Infra­struk­tuu­ri­lait­teis­tot, esim. pää­syn­val­von­ta­me­ka­nis­mit
• Jär­jes­tel­mään kuuluvatlan­gat­to­mat verkot, kuten WiFi tai Bluetooth

Testaus jaetaan yleensä mus­ta­laa­tik­ko-, val­koi­se­laa­tik­ko- ja har­maa­laa­tik­ko­tes­tauk­seen: mus­ta­laa­tik­ko­tes­tauk­ses­sa pe­net­raa­tio­tes­taa­jil­le annetaan vain tietoja koh­de­ver­kon tai -jär­jes­tel­män osoit­tees­ta. Val­koi­se­laa­tik­ko­tes­tauk­ses­sa tes­taa­jil­la on laaja-alainen tuntemus tes­tat­ta­vis­ta jär­jes­tel­mis­tä. IP-osoitteen lisäksi he saavat tietoja käy­tet­tä­vis­tä oh­jel­mis­to- ja lait­teis­to­kom­po­nen­teis­ta. Har­maa­laa­tik­ko­tes­taus, joka on pe­net­raa­tio­tes­tauk­sen yleisin muoto, yhdistää mus­ta­laa­tik­ko- ja val­koi­se­laa­tik­ko­tes­taus­me­ne­tel­mät. IT-infra­struk­tuu­ris­ta annetaan pe­rus­tie­to­ja, kuten jär­jes­tel­mien käyt­tö­tar­koi­tus ja niiden yleinen rakenne.

Mitä tarvitsen pen­tes­tiin?

Miten voit laatia oman ver­kos­to­si tar­pei­siin rää­tä­löi­dyn tun­keu­tu­mis­tes­tin? Alla on tärkeää tietoa siitä, mitä sinun on otettava huomioon tun­keu­tu­mis­tes­tiä suo­rit­taes­sa­si.

Miten voin val­mis­tau­tua tie­to­tur­va­tes­tauk­seen?

Jotta pe­net­raa­tio­tes­ti onnistuu, on tärkeää laatia ensin selkeä suun­ni­tel­ma. Selvitä, mitkä osat on tes­tat­ta­va, onko käy­tet­tä­vis­sä­si kaikki tar­vit­ta­vat työkalut ja mikä on aikataulu kunkin yk­sit­täi­sen testin sekä verkon ko­ko­nai­sar­vioin­nin osalta.

Val­mis­te­lu­vai­he on vieläkin tärkeämpi, jos palkkaat ul­ko­puo­li­sia testaajia ja aiot käyttää white box -tes­taus­me­ne­tel­mää. Jos haluat käyttää tätä me­ne­tel­mää, sinun on toi­mi­tet­ta­va tes­taus­ryh­mäl­le kaikki tiedot ver­kos­ta­si ja sen jär­jes­tel­mis­tä sekä jär­jes­tel­mää­si koskeva do­ku­men­taa­tio. Black box -tes­tauk­ses­sa prosessi on erilainen. Tässä me­ne­tel­mäs­sä sinun tarvitsee ilmoittaa vain niiden kom­po­nent­tien koh­deo­soit­teet, jotka on tarkoitus testata.

Mitkä ovat parhaat työkalut tun­keu­tu­mis­tes­tauk­seen?

Koska hyök­käyk­siä on niin mo­nen­lai­sia, on järkevää, että tun­keu­tu­mis­tes­tauk­seen on käy­tet­tä­vis­sä runsaasti erilaisia työkaluja. Tär­keim­piä niistä ovat:

• Port­tis­kan­ne­rit: port­tis­kan­ne­rit käyttävät erityisiä työkaluja jär­jes­tel­män avoimien porttien tun­nis­ta­mi­seen.
• Haa­voit­tu­vuuss­kan­ne­rit: haa­voit­tu­vuuss­kan­ne­rit tutkivat jär­jes­tel­miä et­siäk­seen olemassa olevia tie­to­tur­va-aukkoja, vir­heel­li­siä mää­ri­tyk­siä sekä puut­teel­li­sia salasana- ja käyt­tä­jä­käy­tän­tö­jä.
• Snifferit: snifferiä käytetään verk­ko­lii­ken­teen ana­ly­soin­tiin. Mitä vahvempi salaus on, sitä vähemmän tietoa se pystyy keräämään.
• Pa­ket­ti­ge­ne­raat­to­rit: pa­ket­ti­ge­ne­raat­to­rei­ta käytetään verk­ko­lii­ken­ne­tie­to­jen luomiseen tai si­mu­loi­mi­seen. Tämä mah­dol­lis­taa verk­ko­lii­ken­teen jäl­jit­te­le­mi­sen tun­keu­tu­mis­tes­tien aikana.
• Sa­la­sa­nan­mur­ta­jat: pe­net­raa­tio­tes­taa­jat käyttävät sa­la­sa­nan­mur­ta­jia keinona hankkia sa­la­sa­no­ja, jotka eivät ole tur­val­li­sia.

Monet edellä lue­tel­luis­ta työ­ka­luis­ta on kehitetty ni­me­no­maan verk­ko­tur­val­li­suus­tes­taus­ta varten, minkä vuoksi ne on rää­tä­löi­ty tiet­tyi­hin tes­tausa­luei­siin. Vaikka valtaosa näistä oh­jel­mis­ta on avoimen läh­de­koo­din alalta, on olemassa myös joitakin kau­pal­li­sia tie­to­tur­va­so­vel­luk­sia, joiden do­ku­men­taa­tio on yleensä kat­ta­vam­paa ja joihin kuuluu kattava IT-tuki.

Mitkä ovat pe­net­raa­tio­tes­tin eri vaiheet?

Pe­net­ra­tion-testin tes­taus­me­net­te­ly voidaan jakaa seu­raa­viin neljään vai­hee­seen:

Arvioi ver­kos­to­kon­sep­ti

Tun­keu­tu­mis­tes­ti voi paljastaa verkoston suun­nit­te­lus­sa tai yk­sit­täi­sis­sä osissa olevia epä­joh­don­mu­kai­suuk­sia tai heik­kouk­sia jo val­mis­te­lu­vai­hees­sa. Jos esi­mer­kik­si useille so­vel­luk­sil­le on mää­ri­tet­ty eri käyt­tö­oi­keus­ryh­miä, tämä voi nopeasti aiheuttaa ongelmia ja muodostaa tur­val­li­suus­ris­kin koko ver­kos­tol­le, vaikka verkosto ja yk­sit­täi­set isän­nöi­dyt ohjelmat oli­si­vat­kin asian­mu­kai­ses­ti suo­jat­tu­ja. Osa näistä ta­pauk­sis­ta voidaan ratkaista jo alus­ta­vien neu­vot­te­lu­jen aikana, kun taas toiset voidaan vahvistaa vasta käytännön testin avulla.

Testien suo­jaus­me­net­te­lyt

Verkossa käy­tet­tä­vien jär­jes­tel­mien mah­dol­li­sim­man korkean tie­to­tur­va­ta­son var­mis­ta­mi­nen on tur­val­li­sen yri­tys­ver­kon perustana. Pe­net­ra­tion-testin aikana on tärkeää tarkistaa jo käytössä olevat suo­ja­toi­men­pi­teet. Tähän kuuluu asen­net­tu­jen oh­jel­mis­to­jen, kuten käyt­tö­jär­jes­tel­mien, jär­jes­tel­mä­pal­ve­lui­den ja so­vel­lus­ten, tar­kis­ta­mi­nen, joiden tulisi olla aina ajan tasalla. Jos käytössä on vanhempia versioita niiden yh­teen­so­pi­vuu­den vuoksi muiden so­vel­lus­ten kanssa, jär­jes­tel­män suo­jaa­mi­sek­si on ryh­dyt­tä­vä vaih­toeh­toi­siin va­ro­toi­miin. Lisäksi yk­sit­täis­ten jär­jes­tel­mien ja ohjelmien käyttö- ja to­den­nus­vaa­ti­muk­set ovat tärkeässä roolissa. Tässä yh­tey­des­sä pe­net­ra­tion-testissä kä­si­tel­lään muun muassa seuraavia asioita:

• Käyt­tö­oi­keu­det
• Sa­la­sa­no­jen käyttö ja salaus
• Olemassa olevien ra­ja­pin­to­jen ja avoimien porttien käyttö
• Mää­ri­tel­lyt säännöt (esim. pa­lo­muu­ri­sään­nöt)

Etsi tun­net­tu­ja haa­voit­tu­vuuk­sia

Tur­val­li­suusauk­ko­jen ha­vait­se­mi­nen ei yleensä vie kauan, minkä vuoksi tun­keu­tu­mis­tes­taa­jat tuntevat yleensä hyvin tut­kit­ta­vien kohteiden haa­voit­tu­vuu­det. Verkko-osien suojausta koskevan sel­vi­tyk­sen aikana ke­rää­mien­sä versio- ja päi­vi­tys­tie­to­jen avulla testaajat pystyvät nopeasti tun­nis­ta­maan, mitkä so­vel­luk­set muo­dos­ta­vat tur­val­li­suus­ris­kin. Jos lyhyessä ajassa on ana­ly­soi­ta­va useita jär­jes­tel­miä, haa­voit­tu­vuus­tar­kis­ti­mien käyttö voi olla hyö­dyl­lis­tä, vaikka ne eivät aina anna tarkkaa tulosta.

Hyök­käys­me­ne­tel­mien koh­den­net­tu käyttö

Testaaja voi selvittää, voidaanko löydetyt haa­voit­tu­vuu­det hyödyntää, vain ko­kei­le­mal­la niitä käy­tän­nös­sä. Täl­lai­sis­sa hyök­käyk­sis­sä käy­tet­tä­vät ko­men­to­sar­jat ovat yleensä eri in­ter­net­läh­teis­tä han­kit­tu­ja skriptejä. Niitä ei kui­ten­kaan aina ole oh­jel­moi­tu tur­val­li­ses­ti. Jos suo­ri­te­taan epävarma hyökkäys, on olemassa riski, että tes­tat­ta­va sovellus tai jär­jes­tel­mä kaatuu ja pa­him­mas­sa ta­pauk­ses­sa tärkeät tiedot voivat korvautua. Siksi tun­keu­tu­mis­tes­taa­jien tulisi olla va­ro­vai­sia ja käyttää vain luo­tet­ta­via skriptejä hy­vä­mai­nei­sis­ta lähteistä tai jättää haa­voit­tu­vuu­den tes­taa­mi­nen kokonaan väliin.

Mitkä ovat tun­keu­tu­mis­tes­tauk­sen edut ja haitat?

Yh­te­näi­set tie­to­ko­ne­ra­ken­teet kuuluvat men­nei­syy­teen. Ny­ky­päi­vän ha­jau­te­tut IT-rakenteet voivat aiheuttaa päi­vit­täin uusia haa­voit­tu­vuuk­sia ja virheitä. Vaikka oh­jel­mis­to­jen ke­hit­tä­jät pystyvät toisinaan kor­jaa­maan nämä virheet nopeasti, ongelmien rat­kai­se­mi­nen voi joskus viedä heiltä hieman enemmän aikaa.

Tässä ti­lan­tees­sa tun­keu­tu­mis­tes­taus osoittaa vah­vuu­ten­sa ja tarjoaa seuraavia etuja:

• Pe­net­raa­tio­tes­tit tar­kas­te­le­vat jär­jes­tel­miä paljon pe­rus­teel­li­sem­min kuin ta­val­li­nen tie­to­tur­va­tar­kas­tus.
• Pe­net­raa­tio­tes­tauk­sen pe­rus­ta­voit­tee­na on tarkistaa, kuinka hyvin yk­sit­täi­set kom­po­nen­tit toimivat yhdessä.
• Ulkoisen testaajan avulla saatte toisen mie­li­pi­teen sekä uuden nä­kö­kul­man perustana olevaan tie­to­tur­va­kon­sep­tiin­ne.
• Am­mat­ti­mai­set tun­keu­tu­mis­tes­taa­jat ovat saaneet eri­tyis­kou­lu­tuk­sen ja lä­hes­ty­vät jär­jes­tel­mää­si samalla tavalla kuin hakkeri.

Pe­net­raa­tio­tes­tauk­ses­sa, ja eri­tyi­ses­ti yh­teis­työs­sä ulkoisten tes­taa­jien kanssa, on kuitenkin myös omat hait­ta­puo­len­sa:

• Pe­net­raa­tio­tes­tin aikana tes­taus­ryh­mäl­lä on pääsy sisäisiin tietoihin ja pro­ses­sei­hin.
• Pe­net­raa­tio­tes­teis­sä on aina mah­dol­lis­ta, että testi aiheuttaa kor­jaa­ma­ton­ta vahinkoa.
• Pen-testit antavat vain ti­lan­ne­ku­van verk­ko­jär­jes­tel­mis­tä­si, eikä niitä siksi pitäisi koskaan käyttää syynä luopua ta­van­omai­sis­ta tur­va­toi­mis­ta.

On myös tärkeää muistaa, että pe­rin­tei­sis­sä pe­net­raa­tio­tes­teis­sä ei arvioida so­si­aa­li­seen ma­ni­pu­loi­mi­seen liittyviä riskejä. Monet yritykset tarjoavat palveluja, joilla tun­nis­te­taan tällaisia haa­voit­tu­vuuk­sia, sekä jär­jes­tä­vät eri­tyis­kou­lu­tuk­sia so­si­aa­li­sen ma­ni­pu­loin­nin hyök­käys­ten tor­ju­mi­sek­si.