docMistä verkkopalveluiden heikkoudet johtuvat?
download 
Report Transcription
Mistä verkkopalveluiden heikkoudet johtuvat?
Mistä verkkopalveluiden heikkoudet johtuvat? Suomalainen tietoturvayhtiö Silverskin Information Security tutki 130 verkkosovellusta pankeista keskustelupalstoihin. Lähes jokaisesta sovelluksesta löytyi tietoturva-aukko. TUTKIMUS OSOITTI: Tietoturvapuutteiden yleisin syy on huono suunnittelu ja ohjelmointi Verkkopalvelu näyttää hyvältä ja sitä on mukava käyttää. Käytettävyys ei valitettavasti kerro mitään turvallisuudesta. Palveluntarjoaja ja asiakas käyttävät sovellusta siihen, mihin se on suunniteltu, esimerkiksi kaupankäyntiin tai asiakastietojen hallintaan. Mitä tapahtuu, kun hakkeri keksii käyttää sovellusta johonkin, mihin sitä ei ole suunniteltu? Tietoturvayritys Silverskin tarkasti 130 verkkopalvelua.Yli puolesta tutkituista sovelluksista löytyi kriittisiä heikkouksia. Näin tutkimus toteutettiin Silverskin testasi tietoturvan pitävyyttä yhteistyössä asiakkaidensa kanssa. Koehyökkäyksillä selvitettiin toimivatko järjestelmät stressitilanteissa oikein. Testeillä tarkastettiin sovellusten keskeisiä osa-alueita eli syötteenkäsittelyä, istunnon hallintaa, pääsynhallintaa, järjestelmän suojausta ja suorituskykyä suojaavat kontrollit. Heikkouksien takana olevat syyt tilastoitiin. Tulokset pisteytettiin ja sovelluksille annettiin arvosanat. Ne tutkimukseen osallistuneet palvelut, joissa tarkastus tehtiin varhain ja kontrollit otettiin jo sovelluksen määrittelyvaiheessa huomioon, saivat paremman arvosanan. LEPSU SUUNNITTELU VAARANTAA KOKO SOVELLUKSEN Vakavien tietoturvaongelmien takaa löytyvät tutkimuksen perusteella useimmiten inhimilliset erheet.Yleisimmät syyt isoille tietoturvariskeille ovat huono suunnittelu ja huolimaton ohjelmointi.Vakavimpien heikkouksien syynä 47 prosentissa tutkituista tapauksista oli ohjelmointivirhe ja 38 prosentissa suunnitteluvirhe. Keskisuuria tietoturvariskejä aiheutetaan sovelluksiin usein konfigurointi- eli asennusvaiheessa.Virheiden taustalta löytyi kolmenlaisia syitä: 2) Ohjelmointivirheet Vakavat riskit johtuvat usein myös ohjelmointivirheestä. Tiukassa aikataulussa koodaajan huomio herpaantuu, puhelin soi ja jokin arvo jää tarkistamatta. Seurauksena esimerkiksi asiakkaiden henkilötiedot vuotavat ulos. Pieni huolimaton koodausvirhe on suunnitteluvirhettä helpompi korjata, mutta pahimmillaan se ehtii viedä yrityksen maineen. 1) Suunnitteluvaiheen virheet Suunnitteluvaiheen virheet ovat vaikeimpia ja työläimpiä korjata. Tietoturva-aukko syntyy, kun suunnitteluvaiheessa ei ajatella väärinkäyttäjien varalle kunnon kontrolleja. Hälyttävintä tutkimuksessa oli, että useassa tapauksessa kontrollit oli unohdettu täysin. Käytännössä sovelluksesta oli suunniteltu talo ilman ovia. Jos esimerkiksi pääsynvalvonnasta löytyi tietoturva-aukko, 90 prosentissa tapauksista selvisi, että tietoturvakontrolli oli unohtunut suunnittelusta kokonaan. 3) Konfigurointivirheet Hyvin suunniteltu ja koodattu sovellus voidaan vielä pilata konfigurointi- eli asennusvaiheessa. Alusta, johon sovellus asennetaan, voi tarjota väärinkäyttäjille takaportin muuten turvalliseen järjestelmään. Konfigurointivirheet aiheuttivat yli 50 prosenttia tutkimuksessa havaituista keskisuurista tietoturvaheikkouksista. 9% 8% 8% TUNNISTAUTUMINEN TUNNISTAUTUMINEN 39% 39% SYÖTTEENKÄSITTELY SYÖTTEENKÄSITTELY PÄÄSYNHALLINTA PÄÄSYNHALLINTA 19% 19% JÄRJESTELMÄN SUOJAUS JÄRJESTELMÄN SUOJAUS ERITTÄIN VAKAVAN TIETOTURVARISKIN SYITÄ: 38% 38% 47% 47% 16% 16% 1) SUUNNITTELUVIRHE 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE 1) SUUNNITTELUVIRHE 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE KESKISUUREN TIETOTURVARISKIN SYITÄ: 24% 24% 25% 25% 51% 51% 1) SUUNNITTELUVIRHE 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE 1) SUUNNITTELUVIRHE 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE 16% 16% KONFIGURAATIOVIRHE KONFIGURAATIOVIRHE Tietoturvauhat estetään paremmalla suunnittelulla Keskitetty tietoturvakontrolli on kuin sähkökaappi eteisessä: kaikki sähkö kulkee sen kautta. Jos valot sammuvat, jokaista lamppua ei lähdetä näpelöimään erikseen, vaan sähkökaapista vaihdetaan sulake. Keskitetyillä tietotur- vakontrolleilla riskien ehkäisemisestä ja vaaratilanteiden hallinnasta tulee varmempaa. Kun virhe on tehty suunnitteluvaiheessa, se on kallis korjata. Siksi sovelluksen kontrollit kannattaisi miettiä OHJELMOINTIVIRHE kuntoon jo heti suunnitteluvaiheessa. 47% 47% OHJELMOINTIVIRHE Yleinen virheiden syy oli se, että keskitetyt tietoturvakontrollit puuttuivat kokonaan. HIGH RISK -HAVAINTOJEN OSUUS OSA-ALUEITTAIN: 28% ISTUNNON HALLINTA 9% TUNNISTAUTUMINEN 39% 8% SYÖTTEENKÄSITTELY PÄÄSYNHALLINTA 19% JÄRJESTELMÄN SUOJAUS 38% 47% 16% 1) SUUNNITTELUVIRHE 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE Tietoturva ei synny sattumalta. Se pitää suunnitella. 24% 1) SUUNNITTELUVIRHE 16% 25% 51% Suomalainen Silverskin on työntekijöidensä omistama korkean tason tietoturvayhtiö ja 2) OHJELMOINTIVIRHE 3) KONFIGURAATIOVIRHE riippumaton tietoturvatarkastaja.Yhtiö on saavuttanut korkeimman sertifioidun tason sekä EU:n että Yhdysvaltain puolustusministeriön standardeilla, ja sen kokeneet konsultit ovat toimineet alalla toistakymmentä vuotta. KONFIGURAATIOVIRHE
