Kolme tapaa muuttaa vanhentunut järjestelmä turvalliseksi

Päivittämätön liiketoimintakriittinen ohjelmisto on houkutteleva kohde kyberrikollisille.

Kirjoittaja: Eija Paajanen
Päivämäärä: maaliskuu 29, 2016
Lukuaika: 3 Minuuttia

Oletteko yksi niistä organisaatioista, jonka ohjelmisto on saavuttanut elinkaarensa pään?

Olemme havainneet käytännön kenttätyössä, että useimpien asiakkaiden nurkissa on palvelimia tai asiakassovelluksia, joita ei ole toviin päivitetty – eikä niitä tulla lähiaikoina päivittämään. Kyse on usein liiketoimintakriittisistä ohjelmistoista, kuten ERP, CRM, laskutus ja kulujen käsittely. Organisaatioissa kyllä ymmärretään, että nämä ohjelmat ansaitsisivat kunnollisen ylläpidon.

Mutta… Nämä järjestelmät ovat liian vanhoja, liian arvokkaita ronkittaviksi. Ja aivan liian harvat ihmiset tietävät, miten ne korjataan, jos ne lakkaavat toimimasta. ”Parempi olla läikyttämättä.” Toivottavasti tilanne ei ole sentään ihan niin paha kuin esimerkkitapauksessamme vuodelta 2005… Näistä syistä järjestelmä jätetään päivittämättä – ja samalla jätetään hyökkääjille ovi auki organisaation verkkoon.

Onapses-yhtiön toimitusjohtaja Mario Nunez totesi RSA-konferenssissa vuonna 2014:

Yli 95 % tutkituista ERP-järjestelmistä oli altistunut haavoittuvuuksille, joiden kautta kyberhyökkääjät voivat ottaa koko liiketoiminnan täysin hallintaansa. Kaikissa näissä tapauksissa tieto haavoittuvuudesta oli ollut tiedossa yli 5 vuotta.

 

Eikä tässä vielä kaikki. Järjestelmän toimittaja tai palveluntarjoaja, joka toi järjestelmän yrityksen verkkoon, yleensä aktiivisesti kehottaa olemaan parantamatta tietoturvaa. Takuut, SLA:t, tukipalvelut ja etäylläpidon palvelut (kyllä, he haluavat sisään ja jättävät vähän valinnanvaraa) lopetetaan, jos päätät yksipuolisesti virittelemään vanhentunutta järjestelmää, joka istuu syvällä verkkosi sisällä.

Organisaatiot usein piilottavat tällaiset ratkaisut sisäverkkoonsa luottaen siihen, ettei niihin päästä käsiksi. Väärin ajateltu. Kun yrityksen verkkoon on murtauduttu, hyökkääjät voivat hankkia keinot, joilla he siirtyvät vanhentuneisiin järjestelmiin. Joskus jopa järjestelmän toimittajan itseään varten käyttöön ottaman etäyhteyden kautta?

Mitä siis voimme tehdä?

Edellä luetelluista syistä olisi tietysti parasta päivittää vanhentuneet ratkaisut. Aina se ei kuitenkaan ole mahdollista. On siis keksittävä muita keinoja, joilla järjestelmistä saadaan mahdollisimman turvallisia. On monenlaisia tapoja edetä. Voidaan tehdä strateginen päätös pilvipalveluihin siirtymisestä tai täydellisesti eristää vanhentuneet järjestelmät ja rajoittaa niihin pääsy minimiin.

Kyberturvallisuusneuvonantaja Erka Koivunen kertoo miten:

  1. Siirrä mätä vanhentunut järjestelmä pois verkostasi. Monista nykyaikaisista CRM-, ERP- ja laskutusjärjestelmistä on pilviperustainen eli selaimella toimiva versio yrityksesi vanhentuneesta, omaan palvelimeen tukeutuvasta järjestelmästä. En väitä, että pilvi maagisesti ratkaisee ongelmasi, ongelmat vain muuttavat muotoa. Pilviratkaisussa ei tarvitse murehtia päivittämättömistä palvelimista. Joudut sen sijaan miettimään, miten pilvi tallentaa yrityksesi datan ja miten turvallisia päätelaitteesi ja selaimesi ovat. Siirry modernimpaan järjestelmään tai ala suunnitella lukitusprojektia. Molemmissa tapauksissa palvelutilaus pitää neuvotella uudestaan.
  1. Eristä palvelimet, rajoita pääsyä ja seuraa käyttöä. Varmista, että päivittämättömät palvelimet siirretään eristettyyn verkkoon. Liikennettä ei saa lähteä eikä tulla ellei liikenteelle ole selvää tarvetta liiketoiminnassa ja ellei toiselle osapuolelle ole erikseen annettu lupaa liikennöintiin. Ota käyttöön tapahtumaloki kaikilla tasoilla palvelimissa, runkoverkon solmupisteissä ja verkon ulkoreunalla. Varmista, että lokit säilytetään ja ne tallennetaan turvalliseen paikkaan. Lokeja pitää aktiivisesti seurata epäilyttävän liikenteen havaitsemiseksi.
  1. Tunnista käyttäjien ja liiketoiminnan tarpeet ja estä pääsy kaikilta muilta. Poista toimistoverkon ja muiden palvelinten aiheuttamat uhkat segmentoimalla verkko. Siirrä suojattaviin palvelimiin pääsyn tarvitsevat etuoikeutetut käyttäjät erillisiin lähiverkkoihin. Kesäharjoittelijat eivät todennäköisesti tarvitse pääsyä laskutusjärjestelmään, eikä toimiston koko verkko tarvitse pääsyä palkkahallintoon. Rajoita siis pääsy. Harkitse yrityksen sisäisiä VPN-yhteyksiä avainkäyttäjille, jos verkon topologia on liian matala segmentointiin.  Harkitse pääsyn rajoittamista haavoittuviin palveluihin, jos eristetyn verkon liikkuvat päätepisteet aiheuttavat liikaa hässäkkää. Yksi keino on päätepalvelu, kuten Terminal Services tai Citrix, joka eristetään toimistoympäristöstä.  Voit ”julkaista” käyttäjille asiakassovelluksia toimistoverkossa, vaikka sovellus todellisuudessa toimii eristetyssä ympäristössä. Samalla ratkeaa myös sellaisen sovelluksen ongelma, joka vaatii tietyn vanhentuneen selaimen ja liitännäisen. Valtaosa päätepisteiden infrastruktuuria saa kaikki viimeisimmät päivitykset eikä tarvitse kantaa huolta vanhentuneiden järjestelmien yhteensopivuusongelmista.

 

Alkuperäinen valokuva, Miguel Virkkunen Carvalho


Vastaa

Täytä tietosi alle tai klikkaa kuvaketta kirjautuaksesi sisään:

WordPress.com-logo

Olet kommentoimassa WordPress.com -tilin nimissä. Log Out / Muuta )

Twitter-kuva

Olet kommentoimassa Twitter -tilin nimissä. Log Out / Muuta )

Facebook-kuva

Olet kommentoimassa Facebook -tilin nimissä. Log Out / Muuta )

Google+ photo

Olet kommentoimassa Google+ -tilin nimissä. Log Out / Muuta )

Muodostetaan yhteyttä palveluun %s