Tietoturvatestaus – Varmista järjestelmien turvallisuus

Tietoturvatestaus

Tietoturvatestaus on keskeinen työkalu nykyisessä kyberturvallisuusympäristössä, jossa uhkakuvat kehittyvät jatkuvasti. Penetraatiotestaus, murtotestaus ja auditointi ovat kaikki tietoturvatestauksen muotoja, joiden tavoitteena on suojata järjestelmät ja niiden sisältämät tiedot mahdollisilta hyökkäyksiltä.

Tietoturvatestaus on tekninen toimenpide, jossa tietoturva-asiantuntijat kartoittavat järjestelmän heikkouksia ja haavoittuvuuksia tavoitteena ehkäistä tietoturvaloukkauksia ennen kuin niitä voidaan hyödyntää. Tutustu tietoturvatestauspalveluihimme.

Tietoturvatestauksen avulla voit varmistaa järjestelmäsi turvallisuuden.

Miksi tietoturvatestausta kannattaa tehdä?

Tietoturvatestauksessa saadaan riippumattoman kolmannen osapuolen näkemys kohteen tietoturvallisuudesta ilman ennakko-oletuksia. Testauksen tavoitteena on haastaa olemassa olevat tekniset ratkaisut ja tunnistaa niistä mahdolliset heikkoudet.

Monelle organisaatiolle tietoturvatestaus tulee ajankohtaiseksi esimerkiksi seuraavan kaltaisen kysymyksen myötä:

”Voidaanko meidän järjestelmäämme murtautua ulkopuolelta?”

Tunnetut tietomurrot, kuten Vastaamon tapaus, ovat osoittaneet, kuinka vakavia seurauksia tietoturvapuutteilla voi olla.

Mitä tietoturvatestauksessa testataan?

Tietoturvatestauksen kohteena voi olla yksittäinen komponentti tai laaja kokonaisuus.

Yleisiä testattavia kohteita ovat:

• Yrityksen sisäverkko (LAN)
• Yrityksen ulkoverkko (WAN)
• Web-sovellukset
• Mobiilisovellukset
• Pilvipalveluympäristöt
• API-rajapinnat
• IoT- ja Embedded-laitteet
• Yksittäiset järjestelmät
• Fyysiset turvallisuuskontrollit

Periaatteessa mikä tahansa tekninen järjestelmä voidaan testata.

Tietoturvatestauksen suunnittelu

Pelkkä kohteen määrittely ei riitä. On tärkeää selvittää myös seuraavat asiat:

• Mitä testauksella halutaan saavuttaa?
• Testataanko tuotanto- vai testiympäristöä?
• Kuinka laaja ja monimutkainen järjestelmä on?
• Miten autentikointi on toteutettu?
• Kuinka monta palvelinta tai laitetta kuuluu kohteeseen?
• Kuinka monta API-rajapintaa järjestelmä sisältää?
• Kuinka monta käyttäjäroolia järjestelmässä on?
• Mitä teknologioita käytetään?
• Milloin testaus voidaan suorittaa?
• Voiko testaus aiheuttaa käyttökatkoja?
• Mitkä osat rajataan testauksen ulkopuolelle?
• Mitä loppuraporttiin sisällytetään?
• Suoritetaanko korjausten validointi?

Hyvin suunniteltu projekti säästää aikaa sekä asiakkaalta että testaajalta.

Testaustyypit

Tietoturvatestaus voidaan toteuttaa kolmella eri tavalla.

Black Box -testaus

Mustalaatikkotestauksessa testaajalla ei ole ennakkotietoja järjestelmästä.

Tämä vastaa aidon ulkopuolisen hyökkääjän näkökulmaa. Testaaja pyrkii tunnistamaan haavoittuvuuksia pelkästään järjestelmän näkyvien rajapintojen perusteella.

Hyödyt

• Vastaa realistista hyökkäystä
• Ei vaadi järjestelmän sisäisiä tietoja

Haitat

• Voi kuluttaa paljon aikaa
• Kaikki hyökkäysyritykset eivät välttämättä ole teknisesti mahdollisia

Esimerkki:

Testaaja yrittää SQL-injektiota sovellukseen, jossa ei käytetä SQL-tietokantaa.

Grey Box -testaus

Harmaalaatikkotestauksessa testaajalle annetaan rajallinen määrä tietoa järjestelmästä.

Tyypillisesti käytössä voi olla esimerkiksi:

• käyttäjätunnukset
• dokumentaatio
• rajapintakuvaukset
• arkkitehtuurikaavioita

Tämä on yleisin tietoturvatestauksen muoto, sillä sen avulla voidaan kohdistaa testaus tehokkaasti tärkeimpiin osa-alueisiin.

White Box -testaus

Valkolaatikkotestauksessa testaajalla on täydellinen näkyvyys järjestelmään.

Käytettävissä voi olla esimerkiksi:

• lähdekoodi
• arkkitehtuuri
• infrastruktuuri
• dokumentaatio

Tällä menetelmällä voidaan löytää myös sellaisia haavoittuvuuksia, joita ulkopuolinen hyökkääjä ei helposti havaitsisi.

Mistä tietoturvatestauksen työmäärä muodostuu?

Työmäärä perustuu pääasiassa asiantuntijan käyttämään aikaan.

Tyypillinen projekti etenee seuraavasti:

1. Aloituspalaveri
2. Tietoturvatestaus
3. Raportointi
4. Raportin läpikäynti asiakkaan kanssa
5. Korjausten validointi (tarvittaessa)
6. Loppupalaveri

Pienet projektit voidaan toteuttaa muutamassa päivässä.

Tyypillinen tietoturvatestaus kestää noin 5–15 työpäivää, mutta suuremmat kokonaisuudet voivat vaatia huomattavasti enemmän aikaa.

Mihin asiantuntijan aika kuluu?

Tietoturvatestauksen aikana asiantuntija käyttää aikaa esimerkiksi seuraaviin tehtäviin:

• Kohteen tutkiminen
• Dokumentaation läpikäynti
• Testausympäristön valmistelu
• Dynaamiset haavoittuvuusskannaukset
• Manuaalinen testaaminen
• Lähdekoodin analysointi
• Reverse engineering
• Verkkoliikenteen analysointi
• Staattinen analyysi
• Testiskriptien kehittäminen
• Havaintojen dokumentointi
• Raportointi
• Asiakasviestintä

Mitä tietoturvatestaus maksaa?

Tietoturvatestauksen hinta määräytyy yleensä:

• kohteen laajuuden
• teknisen vaativuuden
• käytettävän työmäärän
• asiantuntijoiden kokemuksen

mukaan.

Laadukas tietoturvatestaus vaatii riittävästi aikaa, jotta asiantuntija voi seistä työnsä laadun takana.

Mitä asiakkaalta tarvitaan?

Ennen testauksen aloittamista asiakkaan tulee yleensä järjestää:

• Testausympäristö (tarvittaessa)
• Tarvittavat käyttäjätunnukset
• Järjestelmän esittely
• API-dokumentaatio
• Muu tekninen dokumentaatio

Mitä asiakas saa?

Tietoturvatestauksen tuloksena asiakas saa kattavan raportin, joka sisältää:

• löydetyt haavoittuvuudet
• riskiluokitukset
• tekniset kuvaukset
• korjaussuositukset
• mahdolliset jatkotoimenpiteet

Riippumattoman asiantuntijan laatima raportti toimii usein myös hyvänä työkaluna johdon päätöksenteossa.

On kuitenkin hyvä huomioida, että tietoturvatestaus kuvaa järjestelmän tilaa testaushetkellä. Järjestelmän jatkuva kehitys voi muuttaa turvallisuustilannetta myöhemmin.

Yhteenveto

Tietoturvatestaus on keskeinen osa nykyaikaista kyberturvallisuutta.

Sen avulla organisaatio voi:

• tunnistaa haavoittuvuuksia
• pienentää tietomurtojen riskiä
• arvioida tietoturvan nykytilaa
• kehittää turvallisuutta järjestelmällisesti

Parhaat tulokset saavutetaan, kun asiakas ja tietoturva-asiantuntijat tekevät tiivistä yhteistyötä koko projektin ajan.