Turvallisuuden harha: vanhojen järjestelmien tietoturvariskit

Moderni yritysten kyberturvallisuus perustuu vaaralliseen oletukseen: kun uuden sukupolven suojausratkaisut on otettu käyttöön keskeisessä infrastruktuurissa, koko organisaatio on turvassa. Todellisuudessa vuosien nopea digitalisaatio on jättänyt jälkeensä pirstaleisia IT-ympäristöjä. Modernit järjestelmät tuottavat yksityiskohtaista tietoturvatelemetriaa, mutta vanhoihin järjestelmiin liittyvät kriittiset tietoturvariskit jäävät helposti pinnan alle. Ne muodostavat katvealueita, joita modernit päätelaitesuojausratkaisut eivät näe eivätkä pysty suojaamaan.

Suomessa haaste näkyy erityisesti teollisuuden, kriittisen infrastruktuurin ja muiden toimintavarmuutta edellyttävien organisaatioiden ympäristöissä. Pitkään käytössä olleita järjestelmiä ei aina voida päivittää tai korvata ilman merkittävää käyttökatkoa tai vaikutusta liiketoiminnan jatkuvuuteen.

Tietoturvatiimit keskittyvät ymmärrettävästi uusimpien ja näkyvimpien järjestelmien suojaamiseen. Hyökkääjät puolestaan etsivät aina helpointa reittiä sisään. Kun vanhaa alustaa pidetään liian hauraana päivitettäväksi tai sen uudistamista mahdottomana, kyse ei ole enää vain teknisestä velasta. Järjestelmästä voi muodostua avoin väylä organisaation verkkoon.

Tämän estämiseksi organisaatioiden on arvioitava uudelleen, miten ne suojaavat järjestelmiä, jotka eivät pysty suojaamaan itse itseään. Tavoitteena on siirtyä näkymättömistä katvealueista ennakoivaan ja jatkuvaan puolustukseen.

Lue myös: PHP-haavoittuvuudet: onko meille murtauduttu ja miten sen voi selvittää?

Vanhojen järjestelmien tietoturvariskit

Yritykset käyttävät ennätyksellisiä summia tietoturvaratkaisuihin, mutta hyökkääjät voivat silti tunkeutua yritysverkkoon alle tunnissa. Murtautuminen ei useinkaan ala moderniin pilvipalveluun kohdistuvasta kehittyneestä nollapäivähaavoittuvuudesta. Sen sijaan hyökkääjä voi päästä sisään paljon yksinkertaisempaa reittiä pitkin: valvomattoman ja päivittämättömän vanhan järjestelmän kautta.

Tietoturvatoimittajat tuovat markkinoille tekoälyä hyödyntäviä ja päätelaitteisiin keskittyviä suojausratkaisuja. Samalla hybridiympäristöihin on kuitenkin muodostunut vaarallinen näkyvyysvaje. Modernit Endpoint Detection and Response- eli EDR-ratkaisut on suunniteltu nykyisille käyttöjärjestelmille. Jos tietoturva-agenttia ei voida asentaa vanhaan ohjelmistoympäristöön, käytöstä poistuneisiin alustoihin ja ylläpitämättömiin räätälöityihin sovelluksiin liittyvät tietoturvariskit jäävät käytännössä ilman suojaa.

”Arviolta 80 prosenttia hyökkääjien ensimmäisistä sisäänpääsyreiteistä liittyy valvomattomiin vanhoihin järjestelmiin”, kertoo Björn Björkman, Cybersecurity Solution Advisor NetNordicilla. ”Tietoturva-alustat keskittyvät modernien ympäristöjen suojaamiseen, koska järjestelmätoimittajien kehitys painottuu niihin. Hyökkääjät eivät kuitenkaan iske sinne, missä organisaatio on vahvimmillaan. He etsivät katvealueita, joihin tietoturva-agenttia ei voida asentaa. Yksi unohdettu palvelin voi riittää jalansijan saamiseen ja koko toimialueen hallinnan kaappaamiseen.”

Hyökkäysten nopeus tasaisissa verkoissa

Vielä kymmenen vuotta sitten hyökkääjältä saattoi kulua päiviä tai viikkoja ympäristön kartoittamiseen ja verkossa etenemiseen. Nykyään automaattiset työkalut ja skriptit voivat lyhentää saman ajan minuuteiksi.

Kun penetraatiotestaajat arvioivat organisaatioita, joiden ympäristössä on paljon vanhoihin järjestelmiin liittyvää teknistä velkaa, koko toimialueen hallinta voidaan pahimmillaan saavuttaa alle 50 minuutissa. Ongelman perimmäinen syy löytyy usein arkkitehtuurista. Vanhat ympäristöt on rakennettu aikana, jolloin tietoturva perustui lähes kokonaan verkon ulkoreunan suojaamiseen.

Verkot olivat tasaisia ja segmentoimattomia. Lähtökohtana oli oletus, että kaikki yrityksen palomuurin sisäpuolella oleva liikenne ja kaikki sisäverkkoon liitetyt järjestelmät olivat luotettavia.

Kun hyökkääjä onnistuu murtautumaan päivittämättömään vanhaan palvelimeen, jossa ei ole päätelaitesuojausagenttia, verkon sisällä ei välttämättä ole enää hyökkääjää pysäyttäviä rajoja. Ilman sisäisiä palomuureja, VLAN-rajoja tai mikrosegmentointia hyökkääjä voi edetä esimerkiksi unohdetusta Windows Server 2008 -palvelimesta suoraan liiketoimintakriittisiin tietokantoihin ja moderneihin identiteetinhallintaratkaisuihin.

Ihmisten vaikutus: miksi vanhat järjestelmät jäävät käyttöön?

Miksi haavoittuva infrastruktuuri säilyy käytössä, vaikka vanhojen järjestelmien tietoturvariskit tunnetaan? Taustalla on yleensä sekä toiminnallisia että organisaatiokulttuuriin liittyviä syitä. Samat neljä ongelmaa toistuvat organisaatiosta toiseen.

Suomessa tämä on ajankohtaista myös siksi, että kyberturvallisuutta käsitellään yhä selvemmin osana organisaation kokonaisvaltaista riskienhallintaa, johtamista ja toiminnan jatkuvuutta. Riskiä ei voida hallita vain teknisenä kysymyksenä, jos järjestelmän häiriö vaikuttaa tuotantoon, palveluihin, asiakkaisiin tai toimitusketjuihin.

Sama toimintamalli näkyy suoraan identiteetinhallinnassa. Vanhoihin ympäristöihin jää helposti omistajattomia palvelutunnuksia, pääkäyttäjätilejä ilman monivaiheista tunnistautumista sekä staattisia salasanoja, jotka on tallennettu suoraan valvomattomien sovellusten tietokantoihin. Hyökkääjä voi saada niiden avulla laajat käyttöoikeudet heti, kun tunnukset löytyvät.

Sääntely tiukentuu: hyväksytty riski ei enää riitä

Vuosien ajan päivittämättömiä vanhoja järjestelmiä on voitu käsitellä riskienhallinnassa hyväksyttyinä riskeinä. Eurooppalaisen ja suomalaisen kyberturvallisuussääntelyn tiukentuessa tämä ei kuitenkaan enää yksin riitä osoittamaan, että riskiä todella hallitaan.

Suomessa NIS2-direktiivin velvoitteet on pantu täytäntöön 8.4.2025 voimaan tulleella kyberturvallisuuslailla 124/2025. Lain soveltamisalaan kuuluvien toimijoiden on tunnistettava kyberturvallisuusriskinsä, ylläpidettävä ajantasaista riskienhallinnan toimintamallia ja toteutettava riskeihin nähden tarkoituksenmukaiset hallintatoimenpiteet.

Sääntely korostaa muun muassa toimitusketjujen turvallisuutta, haavoittuvuuksien käsittelyä, poikkeamien hallintaa, toiminnan jatkuvuutta ja tietojärjestelmien turvallista ylläpitoa. Käytännössä organisaation on pystyttävä tunnistamaan myös vanhojen järjestelmiensä riippuvuudet ja osoittamaan, miten niihin liittyviä riskejä hallitaan.

Ohjelmistojen komponentti- ja riippuvuustietojen dokumentointi, esimerkiksi ohjelmistojen osaluettelon eli SBOMin avulla, voi tukea haavoittuvuuksien ja toimitusketjuriskien hallintaa. SBOMia ei kuitenkaan ole perusteltua esittää kaikkia organisaatioita samalla tavalla koskevana yksittäisenä NIS2-velvoitteena.

Jos järjestelmä on yhteydessä organisaation verkkoon, se on otettava mukaan omaisuudenhallintaan, riskien arviointiin ja tietoturvavalvontaan riippumatta siitä, onko järjestelmä aktiivisessa tuotantokäytössä vai jäänyt ympäristöön aikaisemman teknisen ratkaisun perintönä.

Pelkkä päätös riskin hyväksymisestä ei korvaa aktiivisia riskienhallintatoimia. Organisaation tulee pystyä osoittamaan, että järjestelmä on tunnistettu, riski on arvioitu ja tarkoituksenmukaiset suojaus-, valvonta- ja jatkuvuustoimet on toteutettu.

Näin suojaat järjestelmän, jota ei voida päivittää

Tekniset riippuvuudet voivat estää vanhan alustan päivittämisen tai korvaamisen välittömästi. Tällaisessa tilanteessa organisaation on muutettava suojausstrategiaansa. Jos päätelaitesuojausta ei voida asentaa itse järjestelmään, puolustus on rakennettava sen ympärille useista täydentävistä suojauskerroksista.

• Passiivinen ja automatisoitu laitteiden tunnistaminen: Organisaatio ei voi suojata järjestelmiä, joiden olemassaolosta se ei tiedä. Ympäristössä tarvitaan jatkuvaa näkyvyyttä tuottavia ratkaisuja, jotka tunnistavat ulkoisen hyökkäyspinnan, varjo-IT:n ja unohtuneet internetiin liitetyt järjestelmät.
  Kartoitus ei voi perustua ainoastaan järjestelmiin asennettaviin agentteihin, koska juuri vanhat ja haavoittuvat järjestelmät jäävät helposti tällaisten työkalujen ulkopuolelle.
• Arkkitehtoninen eristäminen: Vanhat järjestelmät on eristettävä tehokkaalla mikrosegmentoinnilla. Sisään- ja ulospäin suuntautuva liikenne tulee rajoittaa vain välttämättömiin yhteyksiin ja portteihin.
  Työkuormat voidaan sijoittaa erillisiin aliverkkoihin, ja vanhat verkkosovellukset voidaan suojata modernilla Web Application Firewall- eli WAF-ratkaisulla. WAF voi tarjota myös virtuaalista paikkausta silloin, kun itse sovellusta ei voida korjata tai päivittää.
• Verkkotelemetriaan perustuva havainnointi: Jos päätelaitesuojausagenttia ei voida käyttää, havainnointi on siirrettävä verkkoon. Network Detection and Response- eli NDR-ratkaisu analysoi verkon sisäistä liikennettä, DNS-kyselyitä ja pakettitason telemetriaa.
  Näiden tietojen avulla tietoturva-asiantuntijat voivat tunnistaa poikkeavaa käyttäytymistä, väsytyshyökkäyksiä ja käyttäjätunnusten väärinkäyttöä myös käyttöjärjestelmissä, jotka on julkaistu jo vuosikymmeniä sitten.

Operatiivinen todellisuus: SOC-palvelun tuoma hyöty

Vanhojen järjestelmien muodostaman näkyvyysvajeen sulkeminen edellyttää jatkuvaa, ihmisten johtamaa operatiivista puolustusta. Vuosittainen penetraatiotestaus ja automatisoidut hallintanäkymät voivat osoittaa, että vanhojen järjestelmien tietoturvariskejä on olemassa. Ne eivät kuitenkaan pysäytä hyökkääjää, joka käyttää haavoittuvuutta parhaillaan hyväkseen.

”Kun aloitimme yhden asiakkaan ympäristön liittämisen Managed SOC -palveluumme, havaitsimme jo ensimmäisenä päivänä aktiivisen hyökkääjän heidän infrastruktuurissaan”, kertoo Torbjörn Marnell, Cybersecurity Solution Advisor NetNordicilla. ”Hyökkääjä oli murtautunut hallitsemattomaan vanhaan palvelimeen ja valmisteli etenemistä muihin järjestelmiin. Jos tilanne olisi jäänyt huomaamatta vielä 24 tunniksi, hyökkääjä olisi voinut lamaannuttaa asiakkaan tuotantoinfrastruktuurin. Toiminnalliset ja taloudelliset seuraukset olisivat olleet katastrofaaliset.”

Hyökkäyksen pysäyttäminen tässä vaiheessa ei edellytä jokaisen vanhan käyttöjärjestelmän korvaamista yhdessä yössä. Se edellyttää jatkuvaa näkyvyyttä, syvällistä verkkoliikenteen valvontaa ja operatiivista kykyä reagoida heti, kun poikkeavaa toimintaa havaitaan.

Näin NetNordic Finland auttaa suojaamaan monimutkaisia legacy-ympäristöjä

Organisaation ei tarvitse valita epärealistisen modernisointihankkeen ja vakavan tietomurron riskin väliltä.

Huolellisesti suunniteltujen korvaavien suojaustoimien ja ympärivuorokautisen Security Operations Centre– eli SOC-palvelun avulla organisaatio voi tunnistaa vanhoihin järjestelmiin liittyvät katvealueet, vastata sääntelyvaatimuksiin ja pysäyttää hyökkääjät ennen kuin ne pääsevät liiketoiminnan kannalta kriittisiin järjestelmiin.

Vanhan teknisen velan ja nykyaikaisen operatiivisen tietoturvan yhteensovittaminen vaatii sekä teknistä näkyvyyttä että käytännön reagointikykyä. NetNordic tarjoaa verkon syvällisen näkyvyyden, Managed SOC -osaamisen ja suojausarkkitehtuurin, joita tarvitaan vaikeasti päivitettävien järjestelmien suojaamiseen, kriittisten katvealueiden poistamiseen ja koko organisaation kyberresilienssin vahvistamiseen.

Kirjoittaja