Tietoturva Nyt!
Palveluiden ja verkkosivujen elinkaaren hallintaan kuuluu olennaisena osana myös niiden hallittu alasajo. Tämä pätee myös verkkotunnuksiin, niiden aliosoitteisiin sekä nimipalvelutietoihin. Jos alasajotoimenpiteitä ei tehdä johdonmukaisesti kaikki riippuvuudet huomioiden, voi taustalle jäädä esimerkiksi organisaation tai sen asiakkaiden tietoturvan vaarantavia asetuksia.
Oman onnensa nojaan jätetyt verkkosivut ja verkko-osoitteet sekä huonosti ylläpidetyt nimipalvelutiedot houkuttevat verkkorikollisia, koska ennemmin tai myöhemmin ne jäävät alttiiksi luvattomille tunkeutujille esimerkiksi verkko-osoitteiden vanhentumisen tai löydettyjen haavoittuvuuksien vuoksi. Verkkoon unohdetut palvelut ja sivustot mahdollistavat tilanteesta riippuen esimerkiksi organisaation nimissä esiintymisen tai organisaation työntekijöiden tai asiakkaiden huijaamisen ja vakoilun.
Käytössä olevien järjestelmien ylläpidon ja kehityksen lisäksi onkin tärkeää huolehtia tietoturvan ja käytettävyyden suunnittelusta ja varmistamisesta jo ennen palveluiden käyttöönottoa sekä myös niiden elinkaaren ehtoopuolella.
"Varjoinfrastruktuuri" vaarantaa sekä organisaation että asiakkaan tietoturvan
Järjestelmää tai verkkosivua alas ajettaessa tai poistettaessa käytöstä on tärkeää varmistua siitä, että verkkoon ei jää ilman aktiivista valvontaa tai ylläpitoa olevaa niin sanottua varjoinfrastruktuuria. Palveluiden alasajo kannattaa tehdä johdonmukaisesti ja varmistaa myös, että kaikki suunnitellut toimenpiteet on tehty. Esimerkiksi projekteissa, hankkeissa tai kampanjoissa on hyvä huomioida se, miten näiden aikana pystytettyjen ja käytettyjen palveluiden tai sivustojen ylläpito tai sulkeminen hoidetaan projektin päättymisen jälkeen.
Elinkaaren hallinta ei myöskään koske ainoastaan paikallisesti tuotettuja palveluita vaan myös pilvipalveluita ja muita ulkoistettuja palveluita. Asiakassuhteessa ollessa kannattaa niin ikään varmistua jo ennakkoon siitä, että palveluntarjoaja tai -toimittaja on suunnitellut myös alasajon kunnolla. Kaikissa palvelutoimitustavoissa (oma tuotanto, ulkoistus, pilvihankinnat) kannattaa nähdä erillinen vaiva palvelun hallitun sammutuksen varmistamiseksi.
Alla käsitellään konkreettisia esimerkkejä tilanteista, joissa tiettyjen toimenpiteiden unohtaminen voi aiheuttaa tietoturvariskin.
Case: DNS ja pilvipalvelu
Organisaatio hankkii suuresta, kansainvälisesti toimivasta pilvipalvelusta, esimerkiksi Azuresta tai Amazonista, itselleen verkon ylitse käytettäviä palveluita. Organisaation nimipalveluissa luodaan DNS-tietue osoittamaan kohti kyseistä palvelualustaa, ja palvelualustalla tehdään kyseistä nimeä vastaava palvelu ja siihen liittyvä konfiguraatio. Esimerkinomaisesti extranet.example.com asetetaan osoittamaan Amazonin S3-palveluita kohti, ja Amazonin puolella luodaan http/s-pohjaista liikennettä kuunteleva instanssi vastaamaan ja tarjoamaan sisältöä, kun Amazonin S3-pilveä kohti tulee kyselyitä kyseistä osoitetta kohti.
Jossain vaiheessa organisaatio päättää lopettaa kyseisen palvelun kokonaisuudessaan, irtisanoo palvelun ja poistaa sen konfiguraatiot pilvestä. DNS-osoitus organisaation omissa nimipalveluissa jää kuitenkin voimaan kohti kyseistä pilveä. Hyökkääjä havaitsee tilanteen ja pystyttää oman instanssinsa Amazonin pilveen alkuperäisen instanssin poiston jälkeen.
Tämän jälkeen hyökkääjä pystyy kontrolloimaan täysin extranet.example.com-sivustolla olevaa sisältöä, ja käyttämään sitä esimerkiksi tunnusten kalasteluun tai haittaohjelmien jakeluun. Organisaatio pystyy estämään tämän poistamalla extranet.example.com-osoituksen nimipalveluistaan, jolloin kyseiseen palveluun osuminen on käytännössä äärimmäisen epätodennäköistä. Suojaava toimenpide on yksinkertainen mutta unohtuessaan mahdollistaa hyökkääjälle moninaisia toimenpiteitä, kuten organisaation asiakkaiden ohjaamisen haitalliseen sisältöön tai tietojenkalastelun.
Case: DNS-nimien vanhentuminen
Organisaatio on fuusioitunut vuosien varrella ja vaihtanut myös omaa nimeään. Osa palveluista on pystytetty aikanaan DNS-nimiin, jotka eivät ole enää aktiivisesti käytössä. Joissakin palveluissa DNS-tiedot ovat ketjuuntuneet mallilla organisaationuusinimi.com -> example.com -> IP-osoite. Koska organisaatio ei käytä enää osoitetta example.com aktiivisesti, se vanhenee vahingossa ja vanhentuvia verkkotunnuksia aktiivisesti seuraava hyökkääjä rekisteröi osoitteen itselleen.
Toinen skenaario on, että organisaatio on käyttänyt jossakin yhteydessä kausiluontoisesti osoitetta kampanja.organisaatio.fi, joka on osoitettu kampanjaa varten rekisteröityyn palveluun kampanjaosoite.fi. Kampanjan päättyessä kampanjaosoite.fi on jätetty uusimatta, mutta alkuperäinen osoitus organisaation osoitteista on edelleen voimassa. Hyökkääjä rekisteröi kampanjaosoite.fi:n itselleen. Ilmiö tunnetaan nimellä "subdomain takeover" eli aliverkkotunnuksen kaappaus.
Hyökkääjä pystyttää haitallisia sivustoja ja sähköpostipalveluita kaappaamansa domain-nimen alle. Tämän jälkeen hyökkääjä pääsee välikätenä joissain palveluissa kontrolloimaan käyttäjille näytettävää materiaalia – siis esimerkiksi jakelemaan haittaohjelmia tai tekemään muita huijauksia. Hyökkääjä voi myös esiintyä organisaation vanhalla nimellä sähköpostin välityksellä tai vastaanottaa vanhentuneeseen verkkotunnukseen lähetettyjä sähköposteja.
Ratkaisuna on hallita nimipalvelutietueiden ketjuja tehokkaasti, välttää DNS-tietojen pitkää ketjuttamista ja pitää organisaation aiemmin käytössä olleet verkkotunnukset rekisteröitynä organisaatiolle itselleen riittävän kauan. Vanhojen DNS-nimien alla ei tarvitse ajaa mitään palveluita, mutta kukaan muukaan ei pysty käyttämään niitä organisaation nimissä. DNS-tietoja tulisi myös tarkastella säännöllisin väliajoin määräaikaisesti käytössä olleiden osoitusten osalta, jotta turhia tietueita ei jää roikkumaan.
Ota palveluiden elinkaari haltuun ja huolehdi myös nimipalvelutiedoista
Kyberturvallisuuskeskus suosittelee organisaatioiden vastuuhenkilöitä ja ylläpitäjiä käymään läpi ajatuksella palveluiden elinkaaren hallinnan prosessin ja siihen liittyvät käytännön toimenpidelistat elinkaaren eri vaiheissa. Tämän lisäksi säännöllisiä tarkasteluita palveluiden konfiguraatioista, esim. verkkoon, palomuuraukseen sekä nimipalveluihin liittyen, tulisi suorittaa määräajoin, jotta mahdollisia katveita ei pääse syntymään.