Se oli inhimillinen virhe

Miksi inhimillinen virhe on edelleen suurin riski kyberturvassa

Kyberturvaa pidetään usein teknisenä haasteena, mutta todellisuudessa kyse on ihan yhtä paljon ihmisistä. Organisaatiot investoivat merkittävästi työkaluihin ja infrastruktuuriin, mutta hyökkääjät onnistuvat silti hyödyntämällä jotain paljon yksinkertaisempaa: tapaa, jolla järjestelmiä käytetään, miten ihmiset toimivat ja missä pienet aukot jäävät huomaamatta.

Jos halutaan oikeasti ymmärtää, mistä riskit syntyvät, ei riitä että katsotaan pelkkää teknologiaa. Pitää ymmärtää, miten hyökkääjät ajattelevat, miten he lähestyvät järjestelmiä ja miksi he onnistuvat.

Miten hakkerit ajattelevat: näkökulma nykyaikaisiin kyberhyökkäyksiin

Kyberturvaa ei voi ymmärtää ilman, että ymmärtää hyökkääjää. Yksi yleisimmistä virheistä organisaatioissa on ajatus siitä, että hakkerit käyttävät aina erittäin kehittyneitä ja monimutkaisia tekniikoita. Todellisuudessa suurin osa hyökkäyksistä onnistuu ei siksi, että järjestelmät olisivat heikkoja, vaan siksi, että ihmiset, prosessit tai pienet huomaamatta jääneet asiat luovat mahdollisuuksia.

Hakkerit eivät ajattele yksittäisiä kohteita, vaan pääsyä järjestelmiin. He skannaavat laajasti, testaavat eri vaihtoehtoja ja etsivät sitä, mikä toimii. Jos yksi reitti on suljettu, he siirtyvät vain seuraavaan. Tämä muistuttaa enemmänkin sitä, että kävellään kadulla kokeilemassa auton ovia kuin tarkkaan suunniteltua auton ryöstöä.

”Jos yksi ovi on lukossa, siirrytään vain seuraavaan”, kuvaa NetNordicin Offensive Security -yksikön Lead Consultant Eirik Hole. ”Kaikkialle ei tarvitse päästä sisään, riittää, että yksi ovi aukeaa.”

He eivät murra järjestelmiä vaan etsivät heikkoja kohtia

Yleinen harhaluulo on, että hakkerit ”murtautuvat” järjestelmiin väkisin. Useimmiten se ei ole tarpeen. Sen sijaan he etsivät haavoittuvuuksia, ketjun heikoimman lenkin muuten turvallisessa kokonaisuudessa. Se voi olla huomaamatta jäänyt järjestelmä, virheellinen konfiguraatio tai jokin unohdettu osa infrastruktuuria.

Usein kyse ei ole edes teknisestä virheestä. Hakkerit tietävät, että organisaatiot ovat monimutkaisia ja jatkuvassa muutoksessa, ja että jotain jää lähes aina suojaamatta. ”Mitä suurempi ja vanhempi organisaatio on, sitä todennäköisemmin jotain on unohtunut tai jäänyt taustalle”, Hole sanoo.

Kun hyökkääjät pääsevät sisään, he eivät pysähdy siihen. Pääsy on vasta alku. Hyökkääjän näkökulmasta tavoite on edetä pidemmälle: järjestelmien välillä, käyttäjätileiltä toisille ja syvemmälle organisaatioon. Yksi kompromettoitu käyttäjätili voi avata laajemman pääsyn, jos ympäristö sen mahdollistaa.

Ihmiset ovat helpoin sisäänkäynti

Vaikka tietoturvateknologia kehittyy jatkuvasti, ihmiset ovat edelleen helpoin tapa päästä sisään. Inhimillinen virhe on edelleen yksi yleisimmistä tietomurtojen syistä. Hakkerit tietävät, että ihmistä on usein helpompi huijata kuin ohittaa järjestelmä, ja siksi phishing-viestit ovat edelleen tehokkaita, ne hyödyntävät arjen käyttäytymistä. Ihmisillä on kiire, oikaistaan arjessa ja luotetaan tuttuun. Hyvin tehty viesti tarvitsee vain yhden onnistumisen.

Suurissa organisaatioissa tämä korostuu entisestään. Kun käyttäjiä on paljon, joku tekee lopulta virheen: klikkaa linkkiä, käyttää samaa salasanaa uudelleen tai tallentaa arkaluonteista tietoa väärään paikkaan. ”Kun käyttäjiä on paljon, on hyvin todennäköistä, että joku tekee virheen ja se riittää hyökkääjälle”, Hole toteaa. Hakkerit luottavat tähän. Kaikkien ei tarvitse erehtyä. Yksi riittää.

Hakkerit hyödyntävät sitä, miten organisaatiot oikeasti toimivat

Yksittäisten käyttäjien lisäksi hyökkääjät hyödyntävät myös sitä, miten organisaatiot toimivat laajemmin. He tietävät, että järjestelmiä otetaan käyttöön usein ennen kuin tietoturva on täysin huomioitu, ja että paineessa tehdään nopeita korjauksia. Tietoturvaa pidetään helposti kulueränä eikä välttämättömyytenä, mikä johtaa kompromisseihin.

He tietävät myös, että jos tietoturva tekee asioista liian hankalia, ihmiset kiertävät sen. Jos prosessi on hidas tai monimutkainen, käyttäjät keksivät omat oikotiet. Hyökkääjän näkökulmasta nämä kiertotavat ovat mahdollisuuksia.

Myös näennäisen harmiton tieto voi olla hyödyllistä. Sisäiset dokumentit, sähköpostit tai pienet datapalat voivat auttaa kartoittamaan järjestelmiä tai tekemään tulevista hyökkäyksistä uskottavampia. Hakkerit eivät etsi vain arvokkainta tietoa, he hyödyntävät sitä, mitä on saatavilla.

Tekoäly muuttaa mittakaavaa, ei ajattelutapaa

Tekoäly on tehnyt hyökkäyksistä nopeampia ja laajempia, mutta se ei ole muuttanut sitä, miten hakkerit ajattelevat. Samat perusperiaatteet pätevät: löydä heikkoudet, hyödynnä ne ja etene.

Tekoäly muuttaa ennen kaikkea nopeutta ja saavutettavuutta. Tehtävät, jotka aiemmin vaativat aikaa ja osaamista, voidaan nyt automatisoida. Yksi henkilö voi ajaa useita hyökkäyksiä samanaikaisesti, analysoida tuloksia ja reagoida nopeasti. Tekoäly pystyy myös tuottamaan uskottavampia phishing-viestejä, mikä tekee aidon ja huijauksen erottamisesta entistä vaikeampaa.

Monella tapaa tekoäly toimii tällä hetkellä kuin juniortason penetraatiotestaaja. Se on hyvä suorittamaan laajoja testejä ja etsimään tunnettuja heikkouksia, mutta usein siltä puuttuu kyky yhdistellä monimutkaisempia hyökkäysketjuja. Sen sijaan se kokeilee useita eri lähestymistapoja ja katsoo, mikä toimii.

On myös hyvä huomioida kustannukset. Tekoälytyökalujen käyttöön liittyy usein jatkuvia kuluja, jotka voivat joissain tilanteissa olla suuremmat kuin kokeneiden asiantuntijoiden hyödyntäminen.

Siksi tekoäly tarvitsee edelleen asiantuntijan ohjausta ollakseen tehokas. Kokeneet osaajat ovat tarpeen suuntaamaan sen käyttöä, tulkitsemaan tuloksia ja kehittämään toimintaa eteenpäin. Ilman tätä panosta sen vaikuttavuus jää helposti rajalliseksi.

Hyökkääjät odottavat virheitä, koska niitä aina tapahtuu

Hakkerien ajattelun ytimessä on yksinkertainen oletus: täydellistä järjestelmää ei ole olemassa.
Hyökkääjien ei tarvitse murtaa vahvinta suojaa kaikkialla. Riittää, että he löytävät yhden kohdan, jossa se pettää. Se voi olla inhimillinen virhe, vanhentunut järjestelmä tai virheellinen konfiguraatio, jotain on lähes aina jäänyt huomaamatta.

Siksi täydellinen tietoturva ei ole mahdollista. Tavoite ei ole poistaa kaikkia riskejä, vaan pienentää onnistumisen todennäköisyyttä ja rajoittaa vaikutuksia silloin, kun jotain tapahtuu. Yhden vahvan esteen sijaan moderni tietoturva perustuu kerrokselliseen puolustukseen. Tämä tarkoittaa useiden suojauskerrosten rakentamista eri puolille IT-ympäristöä. Jos yksi kerros pettää, muut pystyvät edelleen havaitsemaan, hidastamaan tai pysäyttämään hyökkäyksen.

Hyvä tapa lähestyä asiaa on kysyä jatkuvasti: mitä tapahtuu, jos tämä kerros pettää? Kun suojaus rakennetaan useaan tasoon, yksittäinen virhe ei johda koko ympäristön komprometointiin.

Käytännössä tämä tarkoittaa keskittymistä muutamaan keskeiseen osa-alueeseen:

• Hyökkäyspinnan pienentäminen, erityisesti käyttäjiin liittyvissä riskeissä
• Järjestelmien jatkuva testaaminen kertaluontoisten tarkistusten sijaan
• Tietoturvan käsittely osana arkea, ei jälkikäteen lisättynä
• Kerroksellisten suojausten toteuttaminen eri järjestelmissä ja prosesseissa

Tämä lähestymistapa hyväksyy sen, että virheitä tapahtuu, mutta varmistaa, ettei niistä seuraa heti hyökkääjän onnistuminen.

Eettinen hakkerointi: testaa ennen hyökkääjiä

Yksi tehokkaimmista tavoista ymmärtää todellinen riski on eettinen hakkerointi. Mutta mitä se tarkoittaa? Kyse on oikeita hyökkäyksiä simuloivasta, hallitusta ja laillisesta testaamisesta, jonka tarkoituksena on löytää heikkoudet ennen kuin pahantahtoiset toimijat tekevät sen.

Eettiset hakkerit käyttävät samoja menetelmiä kuin hyökkääjät, mutta luvallisesti ja selkeällä tavoitteella: tunnistaa haavoittuvuudet ja auttaa niiden korjaamisessa. Näitä harjoituksia kutsutaan usein penetraatiotestauksiksi tai pentesteiksi, ja ne antavat realistisen kuvan siitä, miten järjestelmät, käyttäjät ja prosessit toimivat hyökkäystilanteessa.

Sen sijaan että luotetaan oletuksiin, organisaatiot saavat konkreettisen näkymän siihen, missä ne ovat alttiita ja miten nämä aukot voidaan sulkea. Ympäristössä, jossa hyökkääjälle riittää yksi onnistuminen, eettinen hakkerointi auttaa varmistamaan, että helpoimmat kohteet löydetään ja poistetaan ensin.

NetNordic kumppanina tietoturvan vahvistamisessa

Hyökkääjien ajattelun ymmärtäminen on vasta ensimmäinen askel. Ratkaisevaa on se, mitä sen jälkeen tehdään. Tässä kohtaa NetNordic toimii luotettavana kumppanina. Vahvan offensive security -osaamisen ja eettisen hakkeroinnin kokemuksen avulla NetNordic auttaa organisaatioita tunnistamaan todelliset haavoittuvuudet, priorisoimaan tärkeimmät toimenpiteet ja muuttamaan tietoturvan reaktiivisesta tekemisestä ennakoivaksi toiminnaksi. Ympäristössä, jossa hyökkääjät etsivät jatkuvasti helpointa sisäänkäyntiä, oikea kumppani auttaa varmistamaan, että nämä mahdollisuudet tunnistetaan ja suljetaan ajoissa.