Page 35

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 34 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Siksi keskeistä ei ole se, onko organisaatio “kiinnostava”, vaan se, onko se riittävän suojattu. Käytän termiä volyymiperiaate, joka tarkoittaa haitanteossa suurien kohdemäärien hyödyntämistä. Nordean verkkopankin kaatanut syyskuun vuoden 2024 palvelunestohyökkäyksessä palvelujen ruuhkauttamiseen käytettiin suurta tietoliikennemäärää, johon palvelut eivät pystynyt vastaamaan vaan menivät jumiin. Hyökkäys oli poikkeuksellinen aiempiin verrattuna: voimallinen, pitkäkestoinen ja tekotapa laaja. 360 hyökkäystä 30 päivässä. Mistä liikenne tuli: Hyökkäyksestä hyödynnettiin luultavimmin pohjoismaisia verkkoja ja niissä kiinni olevia laitteita, joiden omistajat eivät tienneet osallistuneensa hyökkäykseen. Mahdollisesti nettiin kytketty jääkaappi, valvontakamera, pesukone, ilmalämpöpumppu välineinä, joiden tehokas suojaus useimmiten unohtuu. Kiristyshaittaohjelmahyökkäyksissä tai tiedonkalastelussa käytetään myös suuria kohdemääriä. Esimerkiksi automaatio tai tekoäly voi kerätä netistä satunnaisesti minkä tahansa toimijoiden sähköpostiosoitteita, sanotaan vaikka 50 000 kappaletta. Näihin sähköpostiosoitteisiin lähetetään viesti, jonka liite sisältää haittaohjelman. Haittaohjelma leviää sisäverkossa tai tallennustilasta muillekin laitteille ja tietokoneille. Muutama prosentti käyttäjistä klikkaa sähköpostin liikkeen auki, saa tietokoneen datan lukittavan, lunnaita pyytävän haittaohjelman tietokoneelleen ja muutama prosentti näistä sitten vielä maksaa lunnaita. Eli kun kohteena tai datamääränä on isot volyymit, näin haitantekijät saavat niin sanotusti liikevaihtoa ja tulosta aikaan. Tämän vuoksi volyymiperiaate (quantity principle) on tehokas: pienikin klikkausprosentti konvertoi suuren kohdemäärän myötä kannattavaksi rikollisuudeksi, ja tekoäly (artificial intelligence, AI) voimistaa tätä skaalaetua tekemällä massahyökkäysten kohdentamisesta ja viestien personoinnista entistä helpompaa. Puolustuksessa on toimittava sekä estävällä (preventive) että rajoittavalla (restrictive) tasolla: estoon kuuluvat esimerkiksi SPF/DKIM/DMARC -asetukset, roskapostin (spam) ja liitteiden (attachments) skannaus, liitteiden hiekkalaatikkotestaus (sandbox analysis) ja URLskannaus (URL scanning). Tunnistusta ja nopeaa havainnointia tukevat päätelaitteiden havainnointi (EDR, Endpoint Detection and Response), lokien ja tapahtumien hallinta (SIEM, Security Information and Event Management), verkon laitemonitorointi (network monitoring) sekä uhkatiedustelu (threat intelligence). Rajoituksina kannattaa käyttää verkkosegmentointia (network segmentation), vähimmän oikeuden periaatetta (least privilege), monivaiheista tunnistautumista (MFA, multi-factor authentication) ja tiukkaa käyttöoikeuksien hallintaa (access control), jotta haitta ei pääse leviämään. Vahinkojen rajoittamiseksi tarvitaan offline-varmuuskopioita (offline backups), erillisiä palautusympäristöjä (isolated recovery environments) ja kyky eristää päätelaitteita (endpoint isolation). DDoS-hyökkäyksiä vastaan auttavat skaalautuva DDoS-suojaus (DDoS protection), sisällönjakeluverkot (CDN, content delivery network) ja liikenteen puhdistuspalvelut (traffic scrubbing).