Export page to Open Document format View page as slide show

Tietoturvan perusteet: johdanto uhkaajat ja yleiset suojausmentelmät

Uhkaajat

  • Suojausmenetelmien valinnassa on tärkeää tietää ketä vastaan joudutaan suojautumaan.
    • Naapurin Ville vastaan vaadittu suojautuminen on hyvin erilainen kuin CIA:ta vastaan
    • Tärkeää on myös miettiä ketkä ovat reaalisesti uhkia ja ketkä teoreettisesti
  • Uhkaajilla on erilaiset
    • motiivit
    • resurssit
    • hyökkäysmenetelmät

Krakkerit

  • (hakkeri termiä käytetään usein myös krakkereista)
  • Hakkeri: Älykäs tietokoneiden ja verkkojen kanssa tutuksi tullut monitaituri, joka yleisestä mielenkiinnosta tutkii erilaisia systeemejä ja niiden toimintaa
  • Krakkeri (to crack)
  • Hatut
    • Valko-hatut saattaa selvittää kuinka järjestelmään pääsee sisään. (white-hat)
    • Musta-hatut murtautuessaan tekevät tuhoa, todistaakseen että on käynyt paikalla. (black-hat)
  • Oma alakulttuurinsa
    • Yleensä nuoria, joilla on intoa tutkia kaikkea, Käyttävät toisistaan erilaisia koodi nimiä
    • Oikeat krakkerit ymmärtävät teknologian ja miten se toimii.
    • Script kiddiet (skriptikakarat) käyttävät valmiita työkaluja/ skriptejä, jo löydettyjen aukkojen hyväksikäyttämiseen.
  • Krakkereita vastaan vaikea suojautua.
    • Paljon aikaa, paljon resursseja. (yliopisto opiskelijoita)
    • Hyökkäys perusteet moninaisia.
      • Mielenkiintoinen kohde.
      • Koska se on siellä, koska se on mahdollista
      • Kohde ansaitsee tulla hakkeroiduksi, eettinen arvo.
  • Voivat murtautua vain näyttäkseen että se onnistuu
    • Ajatuksena murtautumisessa ei ole mitään pahaa, jos ei murretussa koneessa tee mitään.
    • Voidaanko luottaa että mitään ei olla tehty?
      • Onko systeemiin kenties kuitenkin jätetty jotain aukkoja tulevaisuuttaa varten?
    • vrt. reaalimaailma. Joku murtautuu ovesta sisään ja jättää lapun että kävi, muttei tehnyt mitään.
    • Murretun järjestelmän tarkastaminen on suuri kuluerä.
  • Tekevät erilaisia työkaluja murtautumiseen
    • Työkaluille voi olla paljon käyttäjiä–> potentiaalisesti enemmän tuhoa

Yksittäiset rikolliset

  • Niukasti resursseja
  • Eivät omaa itse suuria kykyjä
  • Käyttävät avoimen tilaisuuden hyväkseen
  • Kohteena kaupalliset järjestelmät, joissa raha yleensä pesii
  • Maailma täynnä

Järjestäytyneet rikolliset

  • Mafia, rikos syndikaatit, huumekauppiaat
  • Omaavat paljon varoja, joilla hankkia tarvittava tietotaito.
  • Voivat ottaa isojakin riskejä
  • Perinteiset rikokset siirretty digitaaliseen maailmaan
    • Varkaus, kiristys, väärennös, uhkapelit…
  • Tietotekniikkaa käytetään tukemaan perinteisiä rikoksia
    • Matkapuhelimilla pidetään yhteyksiä
    • Rahanpesua nopealla rahan liikuttelulla tileiltä toisille helppoa.

Terroristit

  • IRA, ETA, Punainen prikaati, Al-Qaeda, kettutytöt.
  • Toisen terroristi on toiselle vapaustaistelija.
  • Pitkän tähtäimen tavoitteet: oman kansan yhdistäminen, vapaus eläimille…
  • Lyhyen tähtäimen tavoitteet: kosto, kaaos, vahingon tuottaminen, julkisuus
  • Voivat ottaa isojakin riskejä
    • Itsemurhaiskut
  • Niukasti taitoa ja varoja ja heikosti organisoitu
    • Rikkaita ja hyvin organisoituja järjestöjä on.
    • Järjestö ja johtaja kohtaisia

Sisäpiiriläiset

  • Omaavat oikeudet päästä perussuojausten ohi tai muokata niitä
    • Tuntevat järjestelmän hyvin
    • Suojaukset yleensä suunniteltu ulkoista uhkaa vastaan
  • Luetettuja henkilöitä.
    • Suojautuminen mahdotonta.
  • Eivät välttämättä yrityksen omia työntekijöitä
    • Alihankkijoita korjaamassa ohjelmisto vikoja
    • Konsultteja (tietoturva-asianatuntijoita?)
    • Siivoojat, vartijat…
  • Eivät aina hyökkää systeemiä vastaan, vaan käyttävät sitä vain hyväkseen
    • Salaisten tietojen haku
    • Resurssien hukka käyttö
      • Suuret tietoliikenne laskut
  • Erilaisia motiiveja
    • Kosto
    • Raha
    • Julkisuus

Lehdistö

  • Tavoitteena saada tietoja joiden pohjalta tehdä juttuja.
  • Rahaa palkata ammattilaisia hankkimaan erilaisia tietoja
  • Voivat ottaa riskejä hyvän jutun toivossa.
    • Jotkut riskeeravat jopa henkensä hyvän jutun vuoksi
  • Vapaa lehdistö julkaisee lähes mitä tahtoo
    • Paparazzit

Poliisi, vartijat

  • Toimivat eri tavalla eri paikoissa
    • Korruption taso vaihtelee
    • Valtion politiikka uhkaa (esim. saksa toisessa maailmansodassa)
  • Varoja niukasti käytössä
  • Pääasiallisesti keräävät tietoja
    • Eri rajoituksia eri maissa, miten poliisi saa toimia ja miten käyttää tietoja
  • Oikeuksia helppo väärinkäyttää (laittomia salakuunteluita yms.)
  • Valvontakamerat, salakuuntelu…
  • Poliisivaltio, 1984, isoveli valvoo.

Teollisuusvakoojat

  • Laillisen ja laittoman raja hämärtyy bisnestä tehdessä
  • Tarkoituksena saada etu muihin nähden.
  • Etsitään tietoa muiden tuotteista
  • Yleensä riittävän paljon varoja käytettävissä tiedon hankkimiseen

Tiedustelupalvelut

  • NSA, CIA, MOSSAD, FSB, MI6….
  • Paljon varoja käytössä
  • Paljon tietotaitoa käytössä
    • Entisiä hakkereita usein palkattuna
    • Matemaattiset lahjaakkuudet värvätään
  • Välttävät riskejä
    • Ei haluta lehtien palstoille.
  • Tavoitteena kerätä tietoa eri kohteista.
    • Sotilas informaatio, aseiden kehittely, diplomaattien informaatio….
  • Metodit yritetään pitää salassa
    • Tieto siitä että puhelimia kuunnellaan aiheuttaa siirtymisen muihin kommunikointi menetelmiin.
  • Jotkut tiedustelupalvelut tekevät myös teollisuusvakoilu vahvistaakseen oman maan yhtiöiden kilpailukykyä.
    • Tarjouskilpailuissa muiden tarjouksien selvittäminen
    • Tietoja uusista keksinnöistä.
  • Kaikki keinoja käytetään: hakkeri työkaluja, liikenteen seurantaa, liikenne tapoja jopa itse hakkereita
    • “Et pysty murtautumaan tuohon kohteeseen”
  • Tietoturvatuotteissa tarkoituksellisia takaovia valtion tieduste

Infosotilaat

  • Informaation kulun estoa sodankäynnissä
    • Sähkökeskusten pommittamiset, linkkimastojen tuhoamiset jne.
  • Disinformaation levittäminen
  • Paljon varoja käytössä

Yleiset puolustuskeinot

  • Salaaminen
    • Varmistaa tiedon luottamuksellisuuden
    • Tietoturvan sydän
    • Tärkeä, muttei ratkaise läheskään kaikkia ongelmia
    • Heikko salaus antaa väärän turvallisuuden tunteen
      • mielummin ilman salausta kuin huonolla salauksella?
  • Ohjelmistojen hallinta
    • Sisäinen hallinta
      • Itse ohjelman mahdollistamat käyttöoikeuksien hallinnat
    • Käyttöjärjestelmän tuottamat mahdollisuudet
    • Ohjelmistokehityksen hallinta
      • Laatustandardit joiden pohjalta ohjelma on
        • suunniteltu
        • toteutettu
        • testattu
        • ylläpidetty
  • Laitteistohallinta
    • Käyttäjätunnistukset laitteille
    • Eristäminen
    • Tunnistaminen
    • Laadunvarmistus
  • Autentikointi
    • Aidoksi tunnistaminen
    • Varmennetaan että henkilö/laite/yritys jne on se joka väittää olevansa
  • Käyttöpolitiikka (policy)
    • Kuka käyttää, mitä käyttää, kuinka käyttää
      • Auktorisointi
    • Koulutus ja tiedon ylläpito
  • Lait ja etiikka
  • Fyysinen kontrolli
    • Lukot, kaapit, ovet, seinät
  • Tehokkuus
    • Ongelmatietoisuus
      • Tiedettävä miksi ja mihin eri keinoja käytetään
    • Käytön todellisuus
      • Lukko ei auta avoimessa ovessa
    • Järjestelmälliset tarkistukset
      • Uusia aukkoja ja ongelmia voi löytyä ja ne pitää korjata

Suojausten arviointi

  • Ketä vastaan tieto on suojattu?
    • Vakooja, rikollinen, firman oma työntekijä, naapurin Ville…
  • Mitä vastaan tieto on suojattu?
    • Pommi, ilkeämielinen ohjelma, tietomurto, tulva…
  • Millä ehdoilla turvallinen?
    • Kunnes koneteho ylittää tietyn rajan, kun koneelle pääsy on rajattu…
  • Mitä on oikeasti suojattu?
    • Dokumentit, käyttäjätiedot, väliaikaistiedostot…

Yleinen malli suojautumiseen

1. Hyökkäykseen varautuminen

  • Politiikka, koulutus, tiedon ja laitteiston luokitus
  • Haluttujen suojamenetelmien asentaminen (palomuurit, virustorjunta)
    • Aktiivinen päivitys

2. Hyökkäyksen huomaaminen

  • Tarkkailu (IDS-järjestelmät)
  • Käytettyjen ohjelmien toimivuuden seuranta

3. Hyökkäyksen selvittäminen

  • Lokit

4. Hyökkäyksestä toipuminen

  • Varmuuskopiot
  • Politiikan kehittäminen

5. Rikkomusten käsittely

  • Kuka teki, mitä teki, miten rangaistaan
  • Yhdenmukaisuus rangaistuksissa
Last modified: 2013/07/01 14:50