Tietoturva

Belgialaismies murtautuu työkseen firmoihin – yksi seikka tekee suomalaisista erityisen haavoittuvaisia

Julkaistu:

Tietoturva
Red teaming -hyökkäystestauksessa varastetaan firman salaisuudet – laillisesti.
Redteaming eli tigerteaming on turvabisnestä, jossa palkatut hyökkääjät yrittävät päästä käsiksi yrityssalaisuuksiin yrityksen itsensä palkkaamana. Tietoturvakonsultit etsivät ja pyrkivät tukkimaan aukkoja, joita todelliset hyökkääjät voisivat käyttää.

– Kyse on todellisista murroista, mutta tiilen sijaan lyömme kohdetta tyynyllä. Saamiamme tietoja ei käytetä väärin, sanoo F-Securen belgialaissyntyinen turvakonsultti Tom Van de Wiele Ilta-Sanomat Digitodaylle.

Redteamingista on puhuttu viime aikoina paljon. Onko kyseessä jonkinlainen muoti-ilmiö?

– Redteamingin juuret ovat kylmässä sodassa. Sen alkuperäinen tavoite oli toimia kuten vihollinen toimisi. Toiminta ei piittaa kohteen organisaatiokaavioista, vastuualueista tai toimintatavoista tavoitteeseen pyrkiessään, Van de Wiele selittää.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Viisivaiheinen prosessi

Tyypillinen redteaming-prosessi kestää 3–4 kuukautta, ja siinä työskentelee tyypillisesti 3–4 ihmistä. Ensimmäinen vaihe on kohteen kartoitus, jota tehdään muun muassa LinkedInissä ja tonkimalla firman roskiksia.

Juttu jatkuu kuvan jälkeen.

Seuraavassa vaiheessa laaditaan skenaariot, joilla kohteessa olevat ihmiset saadaan toimimaan halutulla tavalla. Tämä voi olla ihmisten harhauttamista antamaan tietoja, oven avaamista tunkeutujalle tai vaikkapa haittaohjelman asentamista tietokoneelle ”mikrotuen” pyynnöstä.

Tätä seuraa itse tunkeutuminen, jonka voi toteuttaa monella tavalla: Murtautumalla yritykseen verkon kautta tai fyysisesti. Ensimmäistä tehdään esimerkiksi tarkasti suunnitelluilla sähköpostiviesteillä, toista vaikkapa livahtamalla autotallin ovista tai kävelemällä sisään tikkaita kantavana, palovaroitinta vaihtamaan tulleena ”huoltomiehenä”.

– Autotallin ovista pääsee yllättävän helposti sisään ilmapalloa käyttäen. Ovien sisäpuolella on usein liiketunnistimet ja ujuttamalla ilmapallo ovien alta ne usein reagoivat ja ovi aukeaa, Van de Wiele jakaa yhden kikoistaan.

 

Kun työntekijät ovat kuulleet murtoyrityksistä, heitä on helppo harhauttaa mikrotuen tai turvallisuusosaston nimissä.

Konsultti muistuttaa, että toiminta tapahtuu lain puitteissa. Tämä tarkoittaa esimerkiksi sitä, että kriminalisoitua identiteettivarkautta ei harrasteta. Hiipparien kulkuluvassa lukee Mickey Mouse (Mikki Hiiri).

Tunkeutumisen jälkeen firmasta hankitaan jalansija. Se voi olla esimerkiksi firman tietokoneelle asennettu ohjelmisto, jonka avulla voi toimia verkossa vapaasti. Ovia käytettäessä se on usein kopioitu kulkulupa.

– Viimeisessä vaiheessa pitää miettiä, miten tiedot saadaan ulos kohteesta. Usein niitä on tera- tai jopa petatavukaupalla. Jos firma hoitaa asiansa hyvin, on olemassa tätä vaikeuttava turvallisuuskerros, Van de Wiele kertoo.

Projektin loppuvaiheessa murtautujat yrittävät jäädä kiinni tarkoituksella nähdäkseen, miten yritys reagoi. Ja vaikka murtautujat jäisivät kiinni aikaisemminkin, se ei estä toimintaa.

– Huhut liikkuvat firmoissa nopeasti. Kun työntekijät ovat kuulleet murtoyrityksistä, heitä on helppo harhauttaa mikrotuen tai turvallisuusosaston nimissä.

Konsultin mukaan heidän onnistumisprosenttinsa on 100. Varsinainen tavoite ei ole kuitenkaan tehdä kohteesta murtamatonta linnoitusta, sillä se ei olisi mahdollista ja tekisi sen toiminnasta kohtuuttoman hankalaa.

– Tarkoitus on tehdä hyökkäämisestä niin aikaa ja rahaa vievää, että se ei maksa vaivaa hyökkääjälle. Hankalan tapauksen äärelle joutuessaan he valitsevat yleensä helpomman kohteen. Tarkoitus on siis tehdä asiakkaasta naapuria parempi, Van de Wiele selittää.

Suomalaiset eivät vastustele

Turvabisneksen toiminta on kansainvälistä, ja Van de Wielellä on kokemuksia myös suomalaisyrityksistä. Millaisia suomalaiset ovat tunkeutujan näkökulmasta?

– Suomalaisilla, kuten muilla pohjoismaalaisilla, on taipumusta välttää konfliktitilanteita. Kun yhtiön tiloissa on ilmiselvästi asiaankuulumaton hiippari, he kääntävät mieluummin katseensa muualle ja ajattelevat, että ”tämä ei kuulu minulle, olen vain kirjanpitäjä, joku tuon on kuitenkin päästänyt sisään”.

– Siellä on hyvin helppoa kävellä läpi toimistojen mikkihiirikulkulupaa kantaen.

Eli toisin sanoen voi sanoa, että suomalaiset ovat erityisen alttiita?

– Kyllä.

Konsultilla on olemassa tähän myös parannuskeino. Firmoissa olisi oltava joustava systeemi, jolla kuka tahansa voi virkatien seuraamisen sijaan raportoida havainnoistaan.

Haastattelun jälkeen Van de Wielellä ei ole vaikeuksia asettua kuvattavaksi – toisin kuin monelle redteaming-konsultille.

– Kasvoni muistaa korkeintaan joku turvallisuusosastolta. Ja jos tulen verkon tai autotallin kautta, siitäkään ei ole hyötyä, Van de Wiele naurahtaa.

Kommentit

    Näytä lisää
    Kommentointi on päättynyt