Azure-tietoturva ei pääty siihen, että palveluntarjoaja korjaa haavoittuvuuden. Korjaus voi estää haavoittuvuuden myöhemmän hyödyntämisen, mutta se ei yksin osoita, onko yrityksen ympäristöön kohdistunut luvatonta toimintaa ennen korjausta. Toisaalta haavoittuvuuden olemassaolo ei tarkoita, että tietomurto olisi tapahtunut.
Yritykselle olennainen ero on tämä: korjaustarve kertoo, mitä pitää muuttaa nyt. Altistumisen selvittäminen kertoo, mitä aiemmin on voinut tapahtua. Tämä tarkastelu käsittelee pilvipalvelujen vastuunjakoa ja tutkittavuutta, ei vahvistettua yksittäistä Azure-tietomurtoa.
Mitä palveluntarjoajan tekemä korjaus tarkoittaa?
Hallituissa pilvipalveluissa palveluntarjoaja voi korjata oman palvelukomponenttinsa ilman asiakkaan asentamaa päivitystä. Tällöin asiakkaalle ei välttämättä ole tarjolla korjattavaa ohjelmistoversiota tai päivityspakettia. Tarkka vastuunjako riippuu käytetystä palvelusta ja toimittajan ohjeista.
Ilmoitus siitä, ettei asiakkaalta vaadita korjaustoimia, vastaa päivityskysymykseen. Se ei välttämättä vastaa siihen, kuuluiko asiakkaan ympäristö haavoittuvuuden vaikutuspiiriin tai näkyykö ympäristössä epäilyttäviä tapahtumia.
Palvelun korjaustila, yrityksen altistuminen ja todettu väärinkäyttö ovat kolme eri asiaa. Niitä ei pidä yhdistää yhdeksi päätelmäksi pelkän vakavuusluokituksen perusteella. CVSS-pistemäärä kuvaa haavoittuvuuden teknistä vakavuutta, ei yksittäisen yrityksen toteutunutta vahinkoa.
Miksi altistumisjakso on yritykselle tärkeä?
Altistumisjakso tarkoittaa aikaa, jolloin haavoittuvuus on voinut koskea yrityksen käyttämää palvelua. Sen selvittäminen auttaa rajaamaan, minkä ajankohdan tapahtumia ja mitä resursseja kannattaa tutkia.
Jos ajanjaksoa ei tunneta, lokitutkinnan rajaus vaikeutuu. Tietojen puuttuminen ei todista hyökkäystä, mutta se voi rajoittaa sitä, kuinka varmasti aiempi väärinkäyttö voidaan sulkea pois. Myöskään tyhjä hakutulos ei ole varma osoitus turvallisuudesta, jos tarvittavia tapahtumia ei ole kerätty tai säilytetty.
Käytännössä IT-vastuuhenkilön pitää pystyä kertomaan johdolle, mitä tiedetään, mitä on tarkistettu ja mitä jää avoimeksi. Suomi Solutions voi auttaa kartoittamaan käytössä olevat palvelut ja lokituksen kattavuuden, jotta selvitystyö kohdistuu yrityksen todelliseen ympäristöön eikä pelkkään tuotenimeen.
Miten vaikutukset näkyvät yrityksen arjessa?
Tietoturvan kolme perusperiaatetta auttavat arvioimaan mahdollisia liiketoimintavaikutuksia. Ne eivät itsessään osoita, että poikkeama olisi tapahtunut.
- Luottamuksellisuus: onko asiakastietoihin, tunnuksiin tai muihin suojattaviin tietoihin voinut päästä ilman lupaa?
- Eheys: onko asetuksia, käyttöoikeuksia tai tietoja voitu muuttaa luvattomasti?
- Käytettävyys: onko palvelun toiminta tai yrityksen pääsy omiin tietoihinsa voinut häiriintyä?
Esimerkiksi yrityksen sovelluksen kirjautumisongelma voi johtua tavallisesta määritysvirheestä eikä hyökkäyksestä. Siksi havaintoja pitää verrata hyväksyttyihin muutoksiin ja palvelun normaaliin käyttöön. Tarpeeton tunnusten vaihto tai palvelun sulkeminen voi puolestaan aiheuttaa katkon ratkaisematta varsinaista ongelmaa.
Suomi Solutionsin käytännön suositus on erottaa tilannearviossa kolme työjonoa: asiakkaan vastuulla olevat korjaukset, mahdollisen väärinkäytön selvittäminen ja puuttuvien tietojen hankinta. Näin jo korjattu palvelinpuolen ongelma ei vie kaikkea huomiota muutokselta, joka asiakkaan pitää itse toteuttaa.
Mitä yrityksen kannattaa tarkistaa nyt?
Ensimmäinen tehtävä on varmistaa, koskeeko tietoturvatieto yrityksen käyttämää palvelua ja edellyttääkö toimittaja asiakkaalta toimenpiteitä. Pelkkä Azure-asiakkuus ei osoita altistumista tietylle haavoittuvuudelle.
- Tunnista palvelu ja vastuu: selvitä käytössä olevat komponentit, niiden vastuuhenkilöt ja mahdolliset asiakkaan tehtäväksi jäävät muutokset.
- Varmista tekniset tiedot: tarkista toimittajan tietoturvatiedotteesta vaikutuspiiri, korjaustila, tunnettu hyväksikäyttö ja mahdolliset tutkintaohjeet. Merkitse puuttuvat tiedot avoimiksi kysymyksiksi.
- Säilytä olennaiset lokit: tarkista tarvittaessa Azure Activity Log, Microsoft Entra -kirjautumis- ja auditointilokit sekä palvelukohtaiset lokit. Lokien saatavuus, sisältö ja säilytys riippuvat palvelusta, asetuksista ja lisensseistä.
- Rajaa tarkastus: vertaa epäilyttäviä tapahtumia hyväksyttyihin ylläpitotoimiin. Kaikki palveluntarjoajan sisäiset tapahtumat eivät välttämättä näy asiakkaan lokeissa.
- Kirjaa päätös ja seuranta: dokumentoi tehdyt tarkistukset, jäljelle jäänyt epävarmuus ja se, kuka seuraa uusia tietoja.
Milloin tarvitaan tarkempaa tutkintaa?
Tarkempi tutkinta on perusteltu, jos ympäristössä havaitaan esimerkiksi selittämättömiä käyttöoikeusmuutoksia, poikkeavaa sovellustunnuksen käyttöä tai toimittajan ilmoittamia väärinkäytön merkkejä. Yksittäinen poikkeama vaatii asiayhteyden tarkistamisen ennen johtopäätöksiä.
Suomi Solutions voi auttaa arvioimaan Microsoft 365 -ympäristöön liittyvää Microsoft Entra -lokitusta ja käyttöoikeuksia sekä suunnittelemaan havaintoihin suhteutetut jatkotoimet. Tavoitteena on säilyttää tutkinnan kannalta tarpeelliset tiedot ja turvata liiketoiminnan jatkuvuus ilman perusteettomia käyttökatkoja.
Jos pilvipalvelujen vastuut tai lokien säilytys ovat yrityksessä epäselviä, Suomi Solutions auttaa rajaamaan tarvittavan tarkistuksen. Käytännön työn tuloksena yrityksellä tulee olla nimetty vastuuhenkilö, perusteltu toimenpidelista ja näkyvyys siihen, mitä omasta ympäristöstä voidaan luotettavasti selvittää.
