Kyberturvallisuuskeskuksen viikkokatsaus - 51/2022

Tällä viikolla katsauksessa käsiteltäviä asioita

• Ota joululahjat turvallisesti käyttöön
• Microsoft Exchangen OWASSRF-haavoittuvuus
• Rauhallista joulua! 

Ota joululahjat turvallisesti käyttöön

Mikäli pukin kontista paljastuu älylaite, muista muutama asia ennen sen käyttöönottoa. Tietoturva on syytä huomioida myös silloin, kun hankkii älyleluja perheen pienimmille. Tietoturvallinen lelu on tehty hyviä käytäntöjä noudattaen. Se suojaa käyttäjänsä tietoja ja estää ulkopuolisten yritykset ottaa lelu haltuun. Valmistajalla on vastuu tehdä lelusta tietoturvallinen.

Älylaitteita voivat olla niin kännykät, tietokoneet, pädit, älykellot kuin älysormukset. Tietyt perusperiaatteet pätevät, vaikka laitteita on useita erilaisia moniin käyttötarkoituksiin.

Kyberpukki haluaa kuitenkin muistuttaa internetin vaaroista. Jokaista laitetta ei tarvitse kytkeä internetiin, vaikka tuote sen mahdollistaakin. Yllä esimerkkinä luetellut tuotteet kannattaa heti käyttöönotossa asettaa lataamaan ja asentamaan päivitykset automaattisesti. Näin vältyt käyttämästä älylaitetta, jonka viimeinen päivitys on vuosien takaa. Uusimmat päivitykset mahdollistavat laitteiden jouhevamman käytön, mutta parantavat myös laitteiden tietoturvaa.

Uuden laitteen käyttöönotto

Lahjan antaja on varmasti miettinyt ennen ostospäätöksen tekemistä miksi juuri tämä laite on saajalleen sopiva ja tarpeellinen. Seuraavat laitteiden asetukset ja laitteen käytön kannalta tarpeelliset sovellukset ja seikat on syytä miettiä kuntoon.

1. Automatisoi päivitykset
2. Ota käyttöön virustorjuntaohjelma
3. Vaihda oletussalasanat
4. Asenna sovelluksia vain virallisesta sovelluskaupasta
5. Ota käyttöön monivaiheinen tunnistautuminen

Vanhasta laitteesta luopuminen

Vanhojen laitteiden käytöstä poistamisen kanssa tulee olla huolellinen. Yllättävän monissa laitteissa on tietosäilöjä, joissa olevia tietoja on hallittava turvallisesti.

Tietokoneiden, kännyköiden ja muistitikkujen lisäksi niitä on esimerkiksi monissa tulostimissa. Osa haastetta on tunnistaa laitteet, joihin on tallentunut suojattavia tietoja.

Onko käytetyn laitteen ostaminen tai myyminen turvallista?

Monet yritykset myyvät käytettyjä älylaitteita, joiden turvallisuus ja toimintakunto on tarkastettu. Yksityiseltä henkilöltä laitetta ostaessa on hyvä noudattaa arkijärkeä ja tavanomaista varovaisuutta. 

Myynti tai ostovaiheessa molempien osapuolten henkilöllisyys tulisi varmistaa mahdollisten epäselvyyksien välttämiseksi. Alkuperäisiin tehdasasetuksiin palautettu puhelin voidaan turvallisesti ottaa käyttöön ja tietokoneen voi halutessa viedä liikkeeseen tarkastettavaksi ja tyhjennettäväksi turvallisuuden varmistamiseksi.

Laitteet voi turvallisesti laittaa myyntiin, kunhan on suorittanut aiemmin mainitut tietojen siirron, tyhjennyksen ja tehdasasetusten palautuksen. 

Microsoft Exchangen OWASSRF-haavoittuvuus

Microsoft Exchange -sähköpostipalvelimesta löydettiin syksyllä haavoittuvuuksia, jotka mahdollistavat tunnistautuneelle käyttäjälle mielivaltaisen koodin suorittamisen. 

Tietoturvatutkijat ovat löytäneet uuden ja aktiivisesti hyödynnetyn hyväksikäyttötavan haavoittuvuuksille. Aiemmin Microsoftin suosittama haavoittuvuuden rajoituskeino ei estä uusinta hyväksikäyttötapaa ja  mahdollistava esimerkkitoteutus (PoC) on julkisesti saatavilla. Kyberturvallisuuskeskus suosittelee Microsoftin päivityksien asentamista. Microsoftin päivitys KB5019758 (Ulkoinen linkki) (julkaistu 08.11.2022) korjaa nämä haavoittuvuudet (CVE-2022-41040, CVE-2022-41082 ja CVE-2022-41080).

Lisätietoja haavoittuvuudesta Kyberturvallisuuskeskuksen sivuilta .

Kyberturvallisuuskeskus suosittelee organisaatioita olemaan varuilla myös pyhien aikana kyberpoikkeamien varalta. Kyberturvallisuuskeskus seuraa tilannetta ja viestii tarvittaessa, mikäli esimerkiksi jokin haavoittuvuus vaatisi toimia pikaisesti. 

Pyhien ja lomakausien aikana organisaatioiden resurssit tietoturvankin saralla ovat usein niukemmat kuin arkisin. Tämä voi tarkoittaa hyökkääjille otollista aikaa suorittaa toimenpiteitä toivoen, että kukaan ei huomaa. On tärkeää, että organisaatiot tiedostavat riskin ja seuraavat tilannetta myös pyhien yli - ja resursoivat tarvittavan määrän työntekijöitä lomakaudenkin ajaksi, mikäli mahdollista. Tripwire kertoo artikkelissaan (Ulkoinen linkki) yleisimmistä uhkista lomakauden aikana.

Rauhallista joulua!

Vuosi lähenee loppuuaan, ja nyt on hyvä hetki levätä ja muistella mennyttä vuotta. Kyberturvallisuuskeskuksessa ollaan valppaina myös jouluna ja turvaamme osaltamme joulurauhaa. Jos havaitset tietoturvapoikkeaman pyhänä tai arkena, ilmoitathan siitä meille .

Tilaa Kyberturvallisuuskeskuksen uutiskirjeet , tai RSS-syötteet , jotta saat tiedot heti kun ne julkaistaan.