5G
3 min lugemine
Telia küberturbe lahenduste insener Tanel Kindsigo hoiatab, et ettevõtted on harjunud mõtlema küberturbest kui kaitsekihist: viirusetõrje, tulemüür, audit ja mõned koolitused. Paraku ei piisa sellest enam maailmas, kus ründajad kasutavad tehisaru, turvaauke ekspluateeritakse üha kiiremini ning sisevõrk võib olla pimeala isegi IT-juhile endale. Uus infoturbestandard muudab selle pimeala ignoreerimise järjest raskemini põhjendatavaks.
Koos kooliaasta algusega jõustus ka uus Eesti infoturbestandard ehk E-ITS. Justiits- ja digiministeeriumi digitaristu ja küberturvalisuse asekantsler Tõnu Grünberg selgitas, et uuenduse peamine eesmärk on muuta nõuded arusaadavamaks, kiirendada reageerimist ning panna teenuseosutajatele suurem vastutus oma infosüsteemide kaitsmisel, sest iga organisatsioon tunneb oma igapäevaseid vajadusi kõige paremini.
Kuidas seda siis lahti mõtestada? Suurem vastutus tähendab, et ettevõte peab oma küberturbepoliitika põhjalikumalt läbi mõtlema, ise olulisemad riskikohad tuvastama ning valima kaitsemeetmed just nende riskide maandamiseks. Kaitsemeetmete loetelu on toodud E-ITS-i lisas 1. nimekiri on küllalt pikk, ent kõiki meetmeid ei pea tingimata täielikult rakendama: mõne puhul võib ettevõte otsustada ka osalise täitmise või täitmata jätmise kasuks, kui vastav risk hinnatakse madalaks ning ollakse valmis aktsepteerima selle realiseerumise võimalust ja võimalikku kahju. Kuid mis on suuremad riskid, mida ei tohiks ignoreerida üheski ettevõttes?
Üldiselt peetakse iga organisatsiooni edu alustaladeks kolme peamist komponenti: protsesse, inimesi ja tehnoloogiat. Kõik kolm peavad olema läbimõeldud, korras ja järjepideva tähelepanu all. Küberturvalisuse vaatest tähendab see sobivate kaitsemeetmete rakendamist, nende regulaarset kontrollimist ning vajaduse korral täiendamist. Sageli nimetatakse seda küberturvalisuse baastasemeks, millest alustab enamik ettevõtteid oma turvalisuse tugevdamisel: töötatakse välja küberturbepoliitikad, koolitatakse töötajaid neid ning üldisi küberturbe põhimõtteid järgima ning hoolitsetakse selle eest, et IT-seadmed ja tarkvara oleksid kaitstud ja ajakohased.
Ainult ennetamisest enam ei piisa
Kui vaadata IT-turul nii Eestis kui ka maailmas pakutavaid meetmeid ja lahendusi, on näha kaht paralleelset suunda. Osa lahendusi on püsinud aastate jooksul üsna muutumatuna ja end jätkuvalt õigustanud, samas kui teistes valdkondades liigub tehnoloogia kiiresti edasi ning jõuab turule uute või täienenud teenustena. Üks viimase aja selgeid trende on liikumine EDR-lahendustelt (Endpoint Detection & Response) MDR-lahenduste (Managed Detection & Response) poole. Need muutused ei teki tühjalt kohalt: küberkuritegevuse areng sunnib paratamatult edasi arendama ka kaitsemeetmeid ja -tehnoloogiaid. Kui kunagi piisas arvuti kaitsmiseks tavapärasest viirusetõrjest ja hiljem lisandus sellele EDR-tehnoloogia, mis suutis juba keerukamaid ründemeetodeid tõhusamalt tõkestada, siis nüüd on MDR toonud juurde ka inimkomponendi. See aitab tööjaamades või serverites tuvastatud ohte hinnata, sügavamalt analüüsida ja vajaduse korral kiiresti reageerida, et reaalse küberintsidendi korral kahjusid piirata. Õnneks ei juhtu selliseid intsidente iga päev, kuid küberohtude kasvav risk tähendab, et valmis tuleb olla pidevalt.
Inimkomponendi – ja üha enam ka tehisaru – lisandumine küberteenuste ja -tehnoloogiate juurde seostub eeskätt märksõnaga „seire“. Varem ei ole seire saanud küberturvalisuses nii suurt tähelepanu kui praegu. Suuremad IT-ettevõtted on sellega tegelenud juba aastaid, kuid keskmised ja väikesed ettevõtted on enamasti piirdunud kaitsva või ennetava iseloomuga meetmetega, eeldades, et rakendatud poliitikad, teenused ja seadistused on piisavad küberintsidentide ärahoidmiseks. Sageli võibki see nii olla, ent maailm on muutunud ebaturvalisemaks. Tehisaru kasutamine tarkvaraarenduses on suurendanud turvaaukude tekkimise riski, samal ajal kui küberkurjategijad kasutavad tehisaru üha tõhusamalt nende avastamiseks ja ärakasutamiseks. Kuna turvaauke kasutatakse pärast avastamist järjest kiiremini ära, on küberintsidentide risk märgatavalt kasvanud: tarkvaratootjad ei jõua haavatavusi alati piisavalt kiiresti parandada. Lisaks on väga kõrgele tasemele arenenud ka meetodid, millega püütakse ära kasutada ettevõtte töötajat kui turvariski. Kaitsemeetmetest võivad postkasti jõuda väga tõepärasena näivad e-kirjad ning üha sagedamini tehakse ka usutavaid petukõnesid emakeeles. Kõige selle tulemusena on küberturvalisus kogu ühiskonnas senisest märksa rohkem tähelepanu saanud ning selle ignoreerimine muutub ettevõtete jaoks üha riskantsemaks.
Pimeala, mida ettevõtted ei saa enam eirata
Kuna tehnoloogia ja inimestega seotud riskid on kasvanud, on suurenenud ka vajadus pideva seire järele. Ettevõte peab teadma, mis tema IT-süsteemides tegelikult toimub — ka siis, kui erinevad turvameetmed on juba kasutusele võetud ja teema näib justkui lahendatud. Tegelikkuses see nii ei ole. Seire annab kindlustunde, et kui küberintsident peaks juhtuma — ja varem või hiljem võib see juhtuda iga ettevõttega —, suudetakse see võimalikult kiiresti avastada ning lahendamisega alustada enne, kui olulised andmed on varastatud, krüpteeritud või ettevõtte töö muul viisil häiritud.
Mida siis seirata? Kord aastas tehtavast IT-auditist selleks enam ei piisa: see katab peamiselt protsesside poole ja heal juhul osaliselt ka tehnoloogia, kuid jääb liiga harvaks ja pinnapealseks. Mida enam sõltub ettevõtte tegevus infotehnoloogiast, seda põhjalikumalt tuleb jälgida just suurimate riskidega seotud kohti. Üks olulisemaid riskitegureid on sageli inimene ehk ettevõtte töötaja. Seetõttu pööratakse üha rohkem tähelepanu tööjaamade keskhaldusele ja küberturvalisusele, millele MDR-tehnoloogia on lisanud ka seirevõimekuse. See aitab inimfaktoriga seotud riske oluliselt maandada, kuid tervikpildist on endiselt puudu üks oluline osa – võrkude seire.
Ettevõtete IT-juhid tunnistavad sageli, et neil puudub täpne ülevaade sellest, mis nende võrgus tegelikult toimub. Ja see on mõistetav: töötajate arvutite tegevusest võib MDR-seirelahendus anda üsna adekvaatse pildi teenusepakkujale, kelle insenerid hoiavad logidel ja sündmustel silma peal, kuid IT-juhil endal ei ole enamasti aega sellega igapäevaselt tegeleda. Sageli puudub tal ka täielik ülevaade sellest, millised seadmed on sisevõrku ühendatud, kui palju neid on ja mida need lisaks oma tavapärasele ülesandele veel teevad. Kas neis on parandamata turvaauke? Kas keegi on neisse juba sisse murdnud? Kas ründaja on liikunud sealt edasi teistesse süsteemidesse — ja millal see juhtus? Vastuseta küsimusi on palju. Selge on aga see, et pea igas ettevõttes on lisaks tööjaamadele ka hulk muid seadmeid, mis kasutavad kas WiFi- või juhtmega võrku ning on küberkurjategijatele atraktiivsed sihtmärgid. Just seetõttu, et neid seadmeid sageli ei seirata, ei uuendata piisavalt või on need ebaturvaliselt seadistatud. Mõnel juhul võivad neis peituda ka varjatud tagauksed, mille kaudu on võimalik ettevõtte võrku siseneda ilma nähtava ründetegevusetagi. Konkreetseid juhtumeid on liiga palju, et seda riski eirata.
Kuidas võrku seirata?
Üks esimesi lahendusi, mis võrguseirele mõeldes pähe tuleb, on tulemüür. Seire vaatenurgast on see siiski pigem poolik lahendus. Tulemüür küll logib võrgust väljuvat ja sinna sisenevat liiklust ning nende logide põhjal saab tuvastada kahtlast tegevust, kuid ründajad oskavad sellega enamasti arvestada. Nad teavad, et nende ja ettevõtte vahel seisab tulemüür, ning püüavad ründetegevuse peita süütuna näiva liikluse sisse. Lisaks ei näe tulemüür seda liiklust, mis toimub ettevõtte sisevõrgus. Seda riski aitab vähendada võrkude segmenteerimine: näiteks saab eraldi võrkudesse paigutada teenused, töötajad, avaliku WiFi ja IoT-seadmed. Nii hakkab segmentide vaheline liiklus liikuma läbi tulemüüri, mis loob võimaluse seda lisaks seiramisele ka piirata või lubada täpselt nii, nagu ettevõtte vajadused ette näevad.
Veel tõhusama võimaluse võrguseireks pakuvad NDR-lahendused (Network Detection & Response). Nende tööpõhimõte on järgmine: sisevõrgu liiklusest tehakse koopia ja suunatakse see spetsiaalselt võrku paigaldatud sensorisse, mis liiklust analüüsib või edastab olulisemad infokillud kesksele süsteemile, kus on suurem arvutus- ja analüüsivõimekus. Tuvastatud ohud, üldine võrguliikluse statistika ning muud tähelepanu väärivad leiud salvestatakse andmebaasi. Vajaduse korral genereeritakse nende põhjal hoiatused, mis saadetakse IT-juhile või mõnele teisele seirespetsialistile, kelle ülesanne on IT-süsteemidel silma peal hoida ja kahtlasele tegevusele kiiresti reageerida.
Kuna sellisel tasemel võrguseire on olnud kõrge hinna tõttu seni keskmistele ja väikestele ettevõtetele sageli kättesaamatu, ei oska küberkurjategijad sellega alati arvestada. Just seetõttu võib nende tegevus ettevõtte sisevõrgus NDR-lahendustele üsna kiiresti silma jääda, mis võimaldab vastumeetmetega alustada enne, kui ründajad midagi kahtlustadagi oskavad. Tavaliselt on olukord vastupidine: küberkurjategijad võivad olla ettevõtte võrgus nädalaid või isegi kuid, enne kui nad lõpuks avastatakse. Mõnikord ei avastatagi. Kokkuvõttes võib öelda, et IT-seire ei ole enam ajutine või üksnes suurettevõtetele mõeldud turvameede, vaid küberturvalisuse püsiv osa. Üha enam tuleb seires kasutada ka tehisaru võimalusi – sisuliselt lüüa ründajaid nende endi relvaga. Kõige mõistlikum on rakendada MDR-tehnoloogiat ning kombineerida seda NDR-lahendustega, et saada võimalikult terviklik ülevaade nii tööjaamades kui ka võrgus toimuvast. Just tervikpilt annab ettevõttele tugeva eelise ja võib üllatada ründajaid, kes sellist nähtavust oodata ei oska.
Kuna NDR-lahendused on enamasti väga kallid ning tasuta alternatiivid ei paku alati vajalikku kasutajakogemust, funktsionaalsust ega integratsioone ettevõttes juba kasutusel olevate tehnoloogiatega, on Telia koos Eesti päritolu partneriga arendanud ja turule toonud Telia Võrguseire teenuse. Selle eesmärk on pakkuda just Eesti väikestele ja keskmise suurusega ettevõtetele taskukohast NDR-lahendust. Nüüd, kui uus E-ITS annab ettevõtetele rohkem otsustusvabadust, kuid paneb neile ka suurema vastutuse, on õige aeg vaadata oma küberturbe kaitsemeetmed värske pilguga üle.
