Uudet hyökkäysvektorit

Identiteetti- ja valtuutuspohjaiset tietoturvauhat sekä suojautumismallit

Digitalisoituneessa toimintaympäristössä hyökkäystekniikat kehittyvät nopeammin kuin yrityksien kyky puolustautua. Tietoturva ei ole enää pelkästään verkko- ja palvelinsuojausta, vaan hyökkäykset kohdistuvat yhä useammin identiteetteihin, istuntotunnisteisiin ja valtuutusmekanismeihin.

Session hallinnan, sähköpostitilien suojaamisen ja OAuth-valtuutusten ymmärtäminen on välttämätöntä tehokkaalle kyberturvalle, koska identiteettipohjaiset hyökkäykset ovat erityisen haitallisia, sillä ne kiertävät perinteiset suojaukset, kuten salasanat, palomuurit tai MFA:n. Lyhenne MFA (Multi-Factor Authentication) tarkoittaa monivaiheista tunnistautumista.

Tehokasta suojausta ei voi saada aikaan yksittäisestä ratkaisusta, vaan tarvitaan kerroksellisesta puolustusmallia (defense-in-depth). Malli perustuu neljään peruspilariin:

hyökkäysvektorien ymmärtämiseen,
identiteettien ja sovellusten toiminnan näkyvyyteen,
konfiguraatioiden ja valtuutusten jatkuvaan valvontaan,
ennakoivaan, turvallisuutta korostavaan toimintakulttuuriin.

Näiden osa-alueiden hallinta pienentää merkittävästi riskejä, jotka liittyvät session evästeiden väärinkäyttöön, sähköpostitilien manipulointiin ja OAuth-sovellusten väärinkäyttöön.

Keskeiset suositukset

Yrityksen tulee lähestyä identiteettiturvaa kerroksellisesti, yhdistäen tekniset kontrollit, jatkuvan näkyvyyden ja vahvan turvallisuuskulttuurin toimivaksi kokonaisuudeksi. Tämä malli tarjoaa parhaan mahdollisen suojan kehittyneitä identiteetti- ja valtuutuspohjaisia hyökkäyksiä vastaan.

Vahvista identiteetin suojausta

Käytä kalastelunkestävää MFA:ta ja passkeytä.
Minimoi oikeudet ja näkyvyys valtuutuksiin.

Nosta näkyvyys keskiöön

Seuraa poikkeavia kirjautumisia, asetusten muutoksia ja OAuth-tilejä.
Ylläpidä kattavia auditointilokeja.

Poista hyökkäyspinta

Estä epäluotettavat edelleenlähetykset.
Poista legacy-protokollat.
Rajoita tokenien elinkaarta.

Varmista turvallisuuskulttuuri

Kouluta henkilöstö tietojenkalastelun ja valtuutuspyyntöjen tunnistamiseen.
Pidä yllä prosesseja, jotka tukevat teknisiä suojauksia.

Identiteetin nousu tietoturvan keskiöön

Vielä 2010-luvulla tietoturvan pääpaino oli:

verkkorajojen suojaamisessa,
palvelinten koventamisessa,
haittaohjelmien torjunnassa.

Nyt hyökkääjät pyrkivät ohittamaan nämä suojaukset kokonaan ja ottamaan haltuun käyttäjän identiteetin keinolla millä hyvänsä. Identiteettipohjaiset hyökkäykset ovat vaarallisia, koska ne ohittavat suojaukset, jotka yritykset kokevat valmiiksi ratkaistuiksi. kuten:

salasanat,
palomuurit,
MFA,
VPN.

Session evästeiden väärinkäyttö
Session evästeiden väärinkäyttö tarkoittaa tilannetta, jossa hyökkääjä saa haltuunsa käyttäjän istuntotunnisteen (session cookie) ja käyttää sitä luvattomasti päästäkseen käyttäjän tilille tai järjestelmään, ilman että tarvitsee tietää käyttäjän salasanaa tai ohittaa monivaiheinen tunnistautuminen (MFA).

Session evästeet eli istuntotunnisteet ovat mekanismi, jonka avulla käyttäjä pysyy kirjautuneena verkkopalveluun. Jos hyökkääjä onnistuu kaappaamaan session evästeen, hän voi ohittaa salasanan ja monivaiheisen tunnistautumisen ja päästä suoraan käyttäjän tilille.

Keskeisiä hyökkäysmenetelmiä ovat:

liikenteen sieppaus (man-in-the-middle). Man-in-the-Middle (MITM) tarkoittaa kyberturvallisuudessa hyökkäystä, jossa hyökkääjä asettuu kahden osapuolen väliseen viestintään ja kuuntelee, sieppaa tai muuttaa tietoja huomaamatta,
XSS-haavoittuvuuksien hyödyntäminen. XSS-haavoittuvuus (Cross-Site Scripting) on verkkosovelluksen turvallisuusongelma, jossa hyökkääjä pystyy syöttämään haitallista koodia (yleensä JavaScriptiä) sivustolle, ja tämä koodi suoritetaan toisten käyttäjien selaimissa,
selaimen turva-asetusten väärinkonfigurointi,
haitalliset laajennukset tai kaapatut päätelaitteet.

Vaikutukset

Luvaton pääsy käyttäjätiliin.
Luottamuksellisten tietojen varastaminen.
Käyttäjän nimissä tehtävät haitalliset transaktiot.
Mahdollisuus ympäristön laajempaan vaarantamiseen.

Puolustustoimenpiteet

Tekniset kontrollit

HTTPS koko liikenteelle.
Secure- ja HttpOnly-liput päälle session evästeisiin. Secure- ja HttpOnly-liput ovat asetuksia, joita voidaan määrittää session -evästeisiin parantamaan verkkosovellusten tietoturvaa. Ne rajoittavat evästeen käyttöä ja pienentävät riskiä, että evästettä varastetaan tai väärinkäytetään.
SameSite-asetukset (Strict/Lax) CSRF-riskien pienentämiseksi. SameSite-asetukset ovat evästeisiin liitettäviä turvaominaisuuksia, jotka määrittävät, milloin eväste lähetetään kolmannen osapuolen sivustoille. Ne auttavat erityisesti CSRF-hyökkäysten (Cross-Site Request Forgery) estämisessä.
Sisällön turvallisuuskäytännöt (CSP).
XSS-haavoittuvuuksien poistaminen ja säännöllinen testaus.
Istuntojen lyhyt elinkaari ja automaattinen uusiminen.
Istunnon sitominen päätelaitteeseen, IP-osoitteeseen tai käyttäjäagenttiin.

Hallinnolliset kontrollit

Säännölliset haavoittuvuusskannaukset.
Koodikatselmukset erityisesti front-end. Front-end koodikatselmus tarkoittaa prosessia, jossa verkkosovelluksen käyttöliittymän (front-end) koodi tarkastetaan huolellisesti virheiden, turvallisuusongelmien ja parhaiden käytäntöjen varalta ennen tuotantoon vientiä.
Turvallisen ohjelmistokehityksen periaatteet (SDL). Turvallisen ohjelmistokehityksen periaatteet (SDL, Security Development Lifecycle) tarkoittavat menetelmää ja prosessia, jolla ohjelmistoja kehitetään alusta asti niin, että ne ovat turvallisia käyttää ja vähemmän alttiita hyökkäyksille.

Sähköpostitilien salainen manipulointi
Sähköpostitilien salaisella manipuloinnilla tarkoitetaan tilanteita, joissa hyökkääjä muuttaa sähköpostitilin asetuksia, sääntöjä tai oikeuksia huomaamatta, niin että käyttäjä ei tiedä tilinsä olevan vaarantunut. Tavoitteena ei ole välttämättä kaapata koko tiliä näkyvästi, vaan ohjata tai seurata sähköpostiliikennettä salaa mahdollisimman pitkään.

Sähköposti on keskeinen identiteettialusta ja usein hyökkääjien ensisijainen kohde. Hyökkääjän tavoitteena on muuttaa tilin asetuksia niin, että viestit ohjautuvat heille tai käyttäjän tiliä voidaan käyttää myös laajempien hyökkäysten alustana.

Yleisiä manipulointitapoja ovat:

automaattisten edelleenlähetyssääntöjen (forwardauksen) luominen,
varatunnistustietojen muuttaminen,
epäilyttömiltä vaikuttavat konfiguraatiomuutokset,
hyökkääjän lisääminen valtuutettuihin laitteisiin tai sovelluksiin.

Vaikutukset

Luottamuksellisen viestinnän vuotaminen.
Taloudelliset petokset (laskuhuijaukset, johtoportaaseen kohdistuvat huijaukset).
Laajemmat tietovuodot.
Yrityksen sähköpostiekosysteemin vaarantuminen.

Puolustustoimenpiteet

Tekniset kontrollit

Kalastelunkestävät MFA-menetelmät (FIDO2, passkey).
Hälytykset kriittisten asetusten muutoksista.
Ulkoisten automaattisten edelleenlähetysten estäminen.
Tarpeettomien legacy-protokollien poistaminen (IMAP, POP3, SMTP AUTH). Nämä ovat sähköpostin perusprotokollia, joita käytetään sähköpostien lukemiseen ja lähettämiseen. Ne ovat vanhoja standardeja, ja nykyaikaisissa organisaatioissa niiden käyttö voi olla tietoturvariski, jos niitä ei valvota oikein.
Keskitetyt auditointilokit ja näkyvyys tilimuutoksiin.

Hallinnolliset kontrollit

Säännöllinen koulutus tietojenkalastelun tunnistamiseen.
Salasanapolitiikan modernisointi passkey-ratkaisuihin.
Kaksivaiheiset tarkastusprosessit maksuihin ja laskutuksiin.

OAuth-sovellusten väärinkäyttö
OAuth-valtuutuksilla tarkoitetaan niitä oikeuksia ja lupia, jotka käyttäjä antaa ulkopuoliselle sovellukselle OAuth-protokollan kautta, jotta sovellus voi käyttää käyttäjän tietoja tai palveluja ilman, että käyttäjän tarvitsee jakaa salasanaansa kyseiselle sovellukselle.

OAuth 2.0 ja sen sovellukset, kuten OpenID Connect (OIDC), muodostavat nykyaikaisten pilvipalvelujen ja yritysten integraatioiden perustan. Jokainen ulkoisen sovelluksen, mobiilisovelluksen, internegration tai selainlaajennuksen tekemä tietopyyntö tapahtuu OAuth-valtuutusten kautta.

Näin ollen OAuth ei ole enää vain tekninen protokolla, vaan kokonainen hyökkäyspinta, jonka kautta voidaan kaapata identiteettejä ilman, että käyttäjän tili itsessään vaarantuu.

Koska OAuth mahdollistaa sovelluksille pääsyn käyttäjän tietoihin ilman salasanaa, sen väärinkäyttö on kasvava uhka, sillä hyökkääjät voivat käyttää laajoja OAuth-oikeuksia pitkäaikaiseen pääsyyn, joka saattaa säilyä myös salasanan vaihdon ja MFA:n nollauksen jälkeen.

Hyökkäysten tavoitteita voivat olla:

Sähköpostien ja tiedostojen jatkuva lukeminen.
Datan hiljainen kopiointi.
Haitallisen sovelluksen pysyvä asentaminen.
Mahdollisuus laajentaa hyökkäystä muihin käyttäjiin.

Vaikutukset

Pitkäaikainen, huomaamaton pääsy yrityksen tietoihin.
Tietovuodot ilman tilin varsinaista kaappausta.
Haitallisten sovellusten leviäminen.
Ympäristön laajempi vaarantuminen.

Puolustustoimenpiteet

Tekniset kontrollit

Admin consent -käytäntö. Admin consent tarkoittaa tietoturvassa ja erityisesti OAuth- ja pilvipalveluiden valtuutusjärjestelmissä sitä, että sovelluksen pääsy käyttäjien tietoihin vaatii järjestelmän ylläpitäjän hyväksynnän, eikä yksittäinen käyttäjä voi myöntää lupaa itse.
OAuth-valtuuksien keskitetty näkyvyys ja auditointi.
Oikeuksien minimointi (“least privilege”). Least privilege (vähimmän oikeuden periaate) tarkoittaa tietoturvassa sitä, että käyttäjälle, prosessille tai sovellukselle annetaan vain ne oikeudet, joita se tarvitsee suorittaakseen tehtävänsä.
Access- ja refresh-tokenien elinkaaren rajoittaminen. Access- ja refresh-tokenit ovat osa modernia valtuutusjärjestelmää, kuten OAuth 2.0, ja niitä käytetään käyttäjän pääsyn hallintaan palveluihin ilman, että salasanaa tarvitsee jatkuvasti syöttää.
Valtuutusten mitätöinti aina tilin resetoinnin yhteydessä.
Zero Trust -identiteetinhallinta, jossa ei luoteta aikaisempiin valtuutuksiin.

Hallinnolliset kontrollit

Ohjeistus kolmannen osapuolen sovellusten käytölle.
Säännölliset tarkastukset siitä, mitä sovelluksia on valtuutettu.
Selkeä prosessi poikkeamien ja väärinkäytösten käsittelylle.