Haavoittuvuusskannaukset osana organisaation tietoturvallisuuden kehittämistä

Abstract

Tietoverkkorikosten määrä on ollut viime vuosina voimakkaassa kasvussa. Tietoverkkorikosten keskeinen mahdollistaja on eri tekijöistä johtuva haavoittuvuus. Tietojärjestelmien teknisten haavoittuvuuksien etsimiseen luotuja automatisoituja työkaluja kutsutaan haavoittuvuusskannereiksi. Tässä diplomityössä selvitetään, mitä haavoittuvuusskannaukset ovat, miten niitä suoritetaan ja mitä hyötyä niistä voi olla organisaatiolle. Pääpaino on IP-verkon TCP- ja UDP-pohjaisten palveluiden haavoittuvuusskannauksissa.

Työ on luonteeltaan kirjallisuusselvitys, joka jakautuu tietoteknisen haavoittuvuuden tarkasteluun sekä haavoittuvuusskannauksiin ja niistä tehtäviin havaintoihin. Työssä esitellään haavoittuvuusskannausprosessi suunnittelusta skannauksiin ja tulosten analysointiin, sekä nostetaan esimerkkien avulla esiin asioita, joihin haavoittuvuusskannauksissa tulisi kiinnittää huomiota. Työssä otetaan kantaa myös skannaustyön ulkoistamisessa huomioitaviin seikkoihin. Skannerituotteista esitellään tarkemmin Nessus Professional -haavoittuvuusskanneri.

Johtopäätöksenä voidaan todeta, että haavoittuvuusskannaukset ovat kustannustehokas keino löytää tietojärjestelmissä olevia haavoittuvuuksia. Aukkojen ja heikkouksien varhainen löytäminen ja korjaaminen torjuvat tehokkaasti tietojärjestelmiin kohdistuvia hyökkäyksiä, jotka muuten voisivat johtaa esimerkiksi tietomurtoihin ja olla riski liiketoiminnalle. Haavoittuvuusskannausten on oltava säännöllisiä, ja havaittujen puutteiden korjaustoimenpiteiden toteutumista täytyy valvoa. Lisäksi organisaatiossa on huomioitava sellaisetkin verkkomaailman uhkat, joihin tietojärjestelmiä skannaamalla ei voi vaikuttaa. Tällaisia ovat esimerkiksi sosiaalisen vaikuttamisen kautta etenevät hyökkäykset.

The number of cybercrimes has been growing strongly in recent years. A key enabler of cybercrime is vulnerability. Automated tools created to search for technical vulnerabilities in information systems are called vulnerability scanners. This thesis examines what vulnerability scanning is, how it is utilized and what benefits it can bring to an organisation. The focus is on vulnerability scans for TCP and UDP-based services on the IP network.

This thesis is a literature review, which is divided into an examination of IT vulnerabilities and vulnerability scans and observations made from them. This thesis explores the vulnerability scanning workflow from planning to the scanning process and analysing results. Examples are used to highlight issues that should be addressed in vulnerability scans. Nessus Professional vulnerability scanner product is described in more detail.

In conclusion, vulnerability scans are a cost-effective way to find vulnerabilities in information systems. Finding and fixing vulnerabilities is an effective way to prevent and mitigate attacks that could otherwise lead to, for example, data breaches and pose a risk to business. Vulnerability scanning must be regular, and the implementation of remedial actions need to be monitored. In addition, organisation must bear in mind that not all kind of online threats can be detected by vulnerability scanners. These include, for example, social engineering attacks.