Haavoittuvuuskartoitus vai penetraatiotestaus?

Skannaus on työkalu, kartoitus on kokonaisuus

Haavoittuvuusskanneri löytää esimerkiksi avoimia palveluita ja ohjelmistoversioita, joihin liittyy julkisesti tunnettuja haavoittuvuuksia. Kartoitus on enemmän kuin skannerin tuloste. Siihen kuuluvat kohteiden rajaus, tulosten tulkinta ja arvio siitä, mikä korjataan ensin.

Julkisesti tunnetut haavoittuvuudet kirjataan CVE-tunnisteella, joka on muotoa CVE-vuosi-numero. Niiden vakavuus arvioidaan yleensä CVSS-asteikolla nollasta kymmeneen. Korkea pistemäärä kertoo haavoittuvuuden yleisestä vakavuudesta, ei sitä, kuinka vakava se on juuri teidän ympäristössänne.

Siksi korjausjärjestystä ei kannata päättää pelkän CVSS-pisteen perusteella. Yhdysvaltain kyberturvallisuusviranomainen CISA ylläpitää luetteloa haavoittuvuuksista, joita tiedetään jo hyödynnetyn (englanniksi), ja neuvoo käyttämään sitä korjausten priorisoinnissa. FIRST:n EPSS-malli (englanniksi) arvioi, kuinka todennäköisesti haavoittuvuutta hyödynnetään seuraavan 30 päivän aikana. Asia on ajankohtainen: Verizonin vuoden 2026 tietomurtoraportin (englanniksi) mukaan 31 % tietomurroista alkaa nyt ohjelmistohaavoittuvuudesta. Se on ohittanut varastetut salasanat yleisimpänä sisäänpääsytapana.

Tulkintaa tarvitaan, koska skanneri erehtyy. Palvelimen ilmoittama versionumero voi näyttää vanhalta, vaikka korjaus on jo asennettu. Avoin portti voi olla auki tarkoituksella. Hyvä raportti erottaa havainnon, päätelmän ja epävarmuuden toisistaan.

Mitä penetraatiotestaus lisää?

Penetraatiotestaaja yrittää hyödyntää löytämiään puutteita sovituissa rajoissa. Hän voi yhdistää useita pieniä heikkouksia ja tavoitella sovittua päämäärää, esimerkiksi pääsyä asiakasrekisteriin. Tulos ei ole lista puutteista vaan kuvaus siitä, mitä niiden avulla saavutettiin.

Britannian kyberturvallisuuskeskus NCSC muistuttaa, että penetraatiotestaus ei ole ensisijainen tapa löytää haavoittuvuuksia. Sillä varmistetaan, toimiiko organisaation oma haavoittuvuuksien hallinta (NCSC: Penetration testing, englanniksi).

Testi räätälöidään aina. Ennen aloitusta sovitaan kirjallisesti kohteet, ajankohta, sallitut menetelmät, keskeytysehdot ja yhteyshenkilö. Jos palvelu toimii hosting- tai pilvipalvelussa, palveluntarjoajan ehdot pitää tarkistaa sekä testissä että kartoituksessa, sillä yhteisessä webhotellissa skannaus voi olla kielletty. Koska työ on pitkälti käsityötä, penetraatiotestaus maksaa yleensä selvästi enemmän kuin kartoitus.

Lupa tarvitaan, koska oikeudeton tunkeutuminen tietojärjestelmään on rangaistava tietomurtona (rikoslain 38 luvun 8 §), ja saman pykälän 3 momentin mukaan myös yritys on rangaistava. Korkein oikeus katsoi ratkaisussaan KKO:2003:36 porttiskannauksen tietomurron yritykseksi, koska skannauksella haettiin keinoa päästä järjestelmään luvatta. Skannaus ei edes läpäissyt palomuuria. Pelkkä skannaus ilman lupaa voi siis olla rikos, kun sillä haetaan pääsyä järjestelmään. Myös Kyberturvallisuuskeskus muistuttaa, että tietojen luvaton käsittely voi täyttää rikoksen tunnusmerkit.

Kumpi sopii teille?

Ette tiedä tarkasti, mitä teillä on internetissä

Aloittakaa selvittämällä, mitä teistä näkyy internetiin. Testi jää vajaaksi, jos osa kohteista puuttuu listalta. Kyberturvallisuuskeskus suosittelee tarkistamaan aika ajoin, mitkä palvelut näkyvät internetiin.

Haluatte tietää, mitä tunnettuja puutteita palvelimillanne on

Haavoittuvuuskartoitus antaa listan puutteista perusteluineen ja kertoo, mistä aloittaa.

Haluatte varmistaa, kestääkö tärkeä järjestelmä oikean hyökkäyksen

Pyytäkää penetraatiotestaus, jonka tavoite ja näyttö sovitaan etukäteen.

Käytössä on valmis verkkosivualusta, kuten Wix tai Shopify

Alustaa ei saa testata ilman sen omistajan lupaa. Selvittäkää ensin, mitä saatte testata ja mistä alustan toimittaja vastaa. Vastuunjako selviää alustan ehdoista. Ulkoisessa tarkastuksessa näkyvät ne asetukset, jotka ovat yleensä teidän hallinnassanne, kuten verkkotunnus ja sähköposti.

Esimerkkejä valinnasta

Kuvitellaan Esimerkki Oy, jonka henkilöstö ottaa etäyhteyden yrityksen omalle palvelimelle. Yritys haluaa tietää, mitä tunnettuja puutteita palvelimessa on ja mitä korjataan ensin. Siihen riittää haavoittuvuuskartoitus.

Kuvitellaan Esimerkkikauppa Oy, joka julkaisee oman verkkopalvelun. Asiakkaat näkevät siellä laskunsa. Yritys haluaa tietää, näkeekö kirjautunut asiakas toisen asiakkaan laskut. Tähän tarvitaan penetraatiotestaus, sillä skanneri ei tiedä, kenen tietoja kunkin kuuluu nähdä.

Todellinen tapaus: Helsingin kaupungin kasvatuksen ja koulutuksen toimialan verkkoon murtauduttiin keväällä 2024 etäyhteyspalvelimen kautta. Kaupungin mukaan palvelimen haavoittuvuuteen oli olemassa korjauspäivitys, jota ei ollut asennettu. Juuri tällaisia puutteita haavoittuvuuskartoitus etsii.

Mitä Kybervartion kartoitus sisältää?

Kybervartion Laajatarkastus on haavoittuvuuskartoitus, joka tutkii sovitulta palvelimelta näkyvät palvelut, julkisesti tunnetut haavoittuvuudet ja asetukset. Löydettyjä aukkoja ei käytetä sisäänpääsyyn, joten kyse ei ole penetraatiotestauksesta. Korjausten jälkitarkistus kuuluu hintaan. Tarkat menetelmät ja rajat on kerrottu palvelusivulla.

Jos teillä ei ole omaa palvelinta, tietoturvan perustarkastus vastaa tarpeeseen todennäköisesti paremmin.

Mitä raportilta kannattaa vaatia?

Pyytäkää luettelo tutkituista kohteista ja käytetyistä menetelmistä, löydösten varmuus sekä korjausohjeet. Sopikaa myös, kuuluuko korjausten jälkitarkistus hintaan.

Puhdas raportti kertoo sovitusta testistä sovittuna päivänä. Se ei todista, ettei heikkouksia ole.

Esimerkki: CISA:n mukaan (englanniksi) CL0P-kiristyshaittaohjelmaryhmä alkoi 27.5.2023 hyödyntää MOVEit Transfer -tiedostonsiirto-ohjelmiston aiemmin tuntematonta haavoittuvuutta (CVE-2023-34362). Tunnettuja haavoittuvuuksia etsivä skanneri ei löydä aukkoa, jota ei vielä tunneta. Siksi kartoitus kannattaa toistaa säännöllisesti.