Kriittisten päätelaitteiden suojaaminen

– kun legacy-järjestelmistä ei voida vielä luopua

Viime aikojen keskustelut Windows XP:n tuen loppumisesta on nostanut pinnalle vanhentuneiden "legacy"-järjestelmien suojaamisen. Suojaamisen näkökulmasta vanhoja XP-koneita tulee kohdella kuten muitakin legacy-järjestelmiä yritysverkoissa. Suurin ongelma vanhentuneiden järjestelmien käytössä on sovelluksen tarkoituksenmukaisessa toiminnassa ilmenneitä puutteita korjaavien turvapäivitysten puuttuminen. Tätä tarkoituksenmukaista toimintaa ei voida estää palomuureilla tai virustorjunnalla, kuten mm. Europol hiljattain muistutti.

Tässä kirjoituksessa keskitytään kriittisiä tehtäviä toteuttavien legacy-järjestelmien suojaamiseen. Koska usein tällaiset järjestelmät ovat palvelinsovelluksia, toimistoverkon XP-työasemien suojaamiseen kirjoituksesta ei juurikaan ole apua. Suositus on jaettu kolmeen osaan:

1. Arvioi legacy-järjestelmän tarpeellisuus ja siitä syntyvä riski

Pääsääntönä on, että kaikkien järjestelmien joiden tuki on päättynyt, tulisi olla poistuneet käytöstä. Hyvään hallintotapaan kuuluu sovelluksien ja laitteistojen riittävä elinkaaren hallinta, jonka olisi pitänyt puuttua vanhentuviin ratkaisuihin hyvissä ajoin, jotta migraatioprojekti oltaisiin ehditty suorittaa loppuun rauhassa.

Useissa tapauksissa vanhentuvia sovelluksia ei kuitenkaan voida päivittää, niiden kriittisen roolin tai muiden riippuvuuksien takia. Esimerkkinä mainittakoon tuotannonohjausjärjestelmät, jotka saattavat vaatia toimiakseen esimerkiksi Windows 2000 -käyttöjärjestelmän tai web-sovellus, joka on tehty toimimaan vain tietyllä vanhalla Tomcat-versiolla.

2. Pienennä legacyn riskiä

Mikäli vanhentunutta järjestelmää ei voida sulkea pois tai päivittää on siitä syntyvää riskiä pienennettävä ja jäännösriski hyväksyttävä.

Hyvin käytäntöjen mukaisen ympäristön koventamisen (hardening) lisäksi järjestelmiä voidaan suojata seuraavilla tavoilla:
- Järjestelmän eriyttäminen muusta verkosta. Legacy-järjestelmät olisi hyvä eriyttää verkkoteknisesti muusta ympäristöstä, jotta a) hyökkäyspinta-ala pienenee, b) onnistuneen hyökkäyksen jälkeinen poikittaisliike on vaikeampaa ja, c) ympäristön valvonta on helpompaa. Eriyttämisen voi tehdä segmentoimalla verkkoa palomuurein tai kytkemällä järjestelmä täysin irralliseen verkkoon.
- Välityspalvelimet (proxy). Mikäli ulkoiset tahot eivät voi käsitellä palvelua suoraan, vaan yhteys keskeytetään ja käsitellään aina turvallisen välityspalvelimen kautta, on taustalla olevien järjestelmien ohjelmistohaavoittuvuuksien hyväksikäyttäminen merkittävästi vaikeampaa. Välityspalvelimet parantavat myös valvontakykyä.
- Virtuaalinen paikkaus (virtual patching). Jos ongelmia ei korjata itse ohjelmistossa, voidaan ne koettaa korjata niin sanotulla virtuaalisella paikkauksella, jossa haavoittuvaa ohjelmistoa suojaamaan asetetaan erillinen turvaohjelmisto. Virtuaaliseen paikkaamiseen pystyvät ainakin eräät päätelaitteiden IPS-sovellukset, verkon IPS-laitteet sekä verkkopalveluiden sovelluspalomuurit (Web Application Firewall). Nämä turvaohjelmistot keskeyttävät kaikki kohdesovellukseen kohdistuvat kyselyt ja estävät tunnetusti virheelliset kyselyt.

3. Valvo riskin toteutumista

Haavoittuvia ja kriittisiä järjestelmiä tulee valvoa erityisellä tarkkuudella. Järjestelmän itsensä tuottamien lokien ja edellä mainittujen turvaohjelmistojen, sekä -laitteiden valvonnan lisäksi valvonnassa kannattaa harkita kriittisten tiedostojen muuttumattomuutta seuraavien (FIM) tuotteiden käyttöönottoa. Korkeaa turvatasoa tavoiteltaessa tulee harkita verkkoliikenteen tarkempaa monitorointia, verkon protokolla-analysointia, sekä päätelaitteen käytön profilointia toteuttavia työkaluja.

Kirjoittaja Pietari Sarjakivi kehittää Nixussa Tietoturvan tilannekuva -liiketoimintaa, jonka tarkoituksena on auttaa asiakkaita rakentamaan kokonaisvaltaista tietoturvan seurantaa.