Vastaa kysymyksiin: Mikä hakkeri? Miksi tietoturva on tärkeää? Miksi testata tietoturvaa? Miten tietoturvaa testataan?

1. SECOND
NATURE
SECURITY
OY
I
KEILARANTA
1,
02150
ESPOO,
FINLAND
I
+358
10
322
9000
I
INFO@2NS.FI
I
WWW.2NS.FI
Hyökkäys haavoittuvaan
verkkopalveluun

2. 2NS
Korkeinta osaamista valikoiduilla
tietoturvan osa-alueilla.

3. Puhujat
Juho Ranta
§ CTO
§ Eettinen hakkeri
§ Twitter: @JuhoRanta
Jani Manninen
§ Yli 15 vuoden kokemus ohjelmistokehityksestä ja tietoturvasta
§ Eettinen hakkeri
§ Twitter: @Jani_Manninen

4. Mikä hakkeri?
A hacker is someone who seeks and exploits
weaknesses in a computer system or
computer network.
https://en.wikipedia.org/wiki/Hacker_(computer_security)

5. Miksi tietoturva on tärkeää?
Järjestelmät ovat kehittyneet valtavasti
viimeisen 20 vuoden aikana. Niistä on tullut
entistä kriittisempiä liiketoiminnalle.
Asiakkaiden täytyy luottaa järjestelmiin, joita
he käyttävät.

6. Kuka hyökkää?
Tiettyä rajattua ryhmää ei ole olemassa.
Hyökkääjä voi vaihdella satunnaisesta
onnenonkijasta ammattilaisiin.

7. Miksi hyökätä?
Hyökkääjällä on lähes aina syy
hyökkäykselle. Motiivina on hyökkäyksestä
hyötyminen.
Mitä suurempi palkkio on, sitä enemmän
hyökkääjä on valmis käyttämään resursseja.

8. Miksi testata tietoturvaa?
Kasvavaa riskiä pitää pyrkiä kontrolloimaan.
Yksi keino on testaus. Tämän avulla voidaan
selvittää sovelluksessa olevia heikkouksia ja
saadaan tieto tarvittavista toimenpiteistä.

9. Miksi testata tietoturvaa?
Testauksen tavoitteena on parantaa
sovelluksen tietoturvaa ja pienentää tämän
avulla riskiä.
Riski pienenee, kun selvillä olevat
toimenpiteet toteutetaan.

10. Kokonaisuus ratkaisee
Vaikka yksittäinen sovellus ei olisi kriittinen,
voidaan sitä käyttää osana hyökkäystä.
Myös vähemmän kriittisten sovellusten
tietoturvaan on kiinnitettävä huomiota.

11. ”Sovellukseen ei pääse
Internetistä”
Palomuuri tuo lisäturvaa, mutta ei estä
motivoitunutta hyökkääjää.

12. ”Sovelluksen tietoturva on
kunnossa”
100% vuonna 2014 tehdyistä auditoinneista
johti korjaaviin toimenpiteisiin.
Case-esimerkki: ERP-järjestelmässä saatiin
haavoittuvuuden avulla haltuun
pääkäyttäjän oikeudet.

13. Tietoturvasertifikaatti
Tuotteelle suoritetaan tietoturvatestaus
julkista kriteeristöä vasten.
Sertifikaatti todentaa, että auditoinnissa ei
löytynyt haavoittuvuuksia tai ne on verifioitu
korjatuksi.

14. Miten testataan?
2NS:n asiantuntijat toimivat eettisenä
hakkerina.
He laittavat hakkerin hatun päähän, etsivät
ja todentavat hyväksikäytettäviä
haavoittuvuuksia kohdejärjestelmästä.

15. Demo

16. OWASP Top 10 / 2013
1. Injection
2. Broken authentication and session management
3. Cross-Site Scripting
4. Insecure Direct Object References
5. Security Misconfiguration
6. Sensitive Data Exposure
7. Missing Function Level Access Control
8. Cross-Site Request Forgery
9. Using Known Vulnerable Components
10. Unvalidated redirects and Forwards
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

17. SECOND
NATURE
SECURITY
OY
I
KEILARANTA
1,
02150
ESPOO,
FINLAND
I
+358
10
322
9000
I
INFO@2NS.FI
I
WWW.2NS.FI
www.2ns.fi