Tunkeutumistestauksen vaiheet: näin testaus etenee

Vaiheiden tunteminen ei ole tilaajalle akateeminen harjoitus. Se on käytännön tapa lukea tarjousta: mistä vaiheesta tarjoaja kertoo yksityiskohtaisesti, mikä on kuitattu yhdellä rivillä ja mikä puuttuu kokonaan.

Kulku pääpiirteissään

Eri menetelmät jakavat vaiheet hieman eri tavoin, mutta sisältö on sama. NISTin tekninen ohje SP 800-115 erottaa neljä vaihetta – suunnittelun, kartoituksen, hyökkäyksen ja raportoinnin – ja korostaa, että raportointi kulkee rinnalla koko ajan. PTES-standardi jakaa saman kulun seitsemään osaan esisopimisesta raportointiin. NCSC kuvaa mallitoimeksiannon vielä tiiviimmin: aloitus, laajuuden rajaus, testaus, raportointi ja jatkotoimet.

Tunkeutumistestauksen vaiheet ja niiden tuotos

Vaihe	Mitä tapahtuu	Mitä tilaaja saa
1. Laajuuden sopiminen	Sovitaan kohteet, lähestymistapa, aikataulu, sallitut tekniikat ja yhteyshenkilöt	Allekirjoitetut pelisäännöt ja selkeä lupa testata
2. Kartoitus	Selvitetään verkkotunnukset, palvelut, teknologiat ja koko tavoitettava hyökkäyspinta	Kuva siitä, miltä organisaatio näyttää ulkoapäin
3. Skannaus ja analyysi	Automaattinen ja manuaalinen haavoittuvuuksien haku, väärien hälytysten karsinta	Tarkistettu lista mahdollisista heikkouksista
4. Hyväksikäyttö	Todennetaan hallitusti, mitkä heikkoudet oikeasti toimivat	Todiste siitä, että heikkous on aito eikä teoreettinen
5. Jälkitoimet	Arvioidaan oikeuksien laajentaminen, lateraaliliike ja tavoitettavat tiedot	Arvio todellisesta liiketoimintavaikutuksesta
6. Raportointi	Löydökset priorisoidaan, kuvataan ja täydennetään korjausohjeilla	Asiakirja sekä johdolle että tekniselle väelle
7. Uusintatestaus	Tarkistetaan, että korjaukset toimivat eivätkä tuoneet uusia ongelmia	Vahvistus siitä, että aukot on tukittu

Järjestys ei ole sattumaa. Jokainen vaihe kaventaa kenttää: kartoitus kertoo, mitä ylipäätään on tavoitettavissa, analyysi valitsee, mikä voisi olla haavoittuvaa, ja hyväksikäyttö varmistaa, mikä niistä toimii. Jos vaihe ohitetaan, raportista tulee joko liian laaja arvauslista tai liian kapea – löytyy vain se, mitä osattiin etsiä.

Laajuus ja pelisäännöt

Ensimmäinen vaihe on paperityötä, mutta siitä riippuu kaikki muu. NIST omistaa sille oman pelisääntömallinsa (rules of engagement), johon kirjataan testin tarkoitus, laajuuden rajat, oletukset ja rajoitukset sekä testaukseen liittyvät riskit ja niiden lieventämiskeinot. Logistiikkaosaan merkitään kaikki yhteyshenkilöt molemmilta puolilta, poikkeamanhallinta mukaan lukien, ja tarkka aikataulu kellonaikoineen.

Aikataulu ei ole muodollisuus. NIST neuvoo suoraan ajoittamaan tuotantojärjestelmän teknisen testauksen mieluummin ilta-aikaan kuin ruuhkatunneille. Samassa yhteydessä sovitaan myös palvelunestotestauksen kielto, sosiaalisen manipuloinnin rajat, todisteeksi otettavan datan määrä ja se, miten kriittisestä löydöksestä ilmoitetaan heti eikä vasta raportissa.

Pelisääntöihin kuuluu myös se, mitä testin aikana kerätylle aineistolle tapahtuu. Testaaja saattaa käsitellä tuotantodataa, joten sovi kirjallisesti, mitä saa tallentaa todisteeksi, missä sitä säilytetään ja milloin se hävitetään.

Kartoitus ja skannaus

Kartoitusvaiheessa on kaksi osaa. Ensimmäinen on tiedonkeruu: verkkotunnukset ja aliverkkotunnukset, avoimet portit, käytössä olevat palvelut ja versiot sekä julkisesti saatavilla oleva tieto henkilöstöstä ja infrastruktuurista. Toinen on haavoittuvuusanalyysi, jossa kerätty tieto suhteutetaan tunnettuihin heikkouksiin ja valitaan aidot ehdokkaat.

Työtä tekevät sekä työkalut että ihminen. Työkalut kattavat leveyden, ihminen karsii väärät hälytykset ja huomaa sen, mitä työkalu ei etsi: unohtuneen testiympäristön, vanhan sovellusversion toisessa verkkotunnuksessa, ylläpitoliittymän ilman pääsyrajoitusta.

Tässä vaiheessa syntyy myös suurin osa väärinkäsityksistä. Skannerin tuottama pitkä lista näyttää vakuuttavalta, mutta suuri osa siitä on kohinaa: vanhentuneita tunnistetietoja, kompensoivien kontrollien takana olevia palveluita ja ilmoituksia, jotka eivät koske käytössä olevaa kokoonpanoa. Karsinta on asiantuntijatyötä, ei muodollisuutta.

Hyväksikäyttö ja jälkitoimet

Hyväksikäyttö on se vaihe, joka erottaa testauksen skannauksesta. Skanneri tarkistaa vain haavoittuvuuden mahdollisen olemassaolon, tässä se varmistetaan teolla. NIST kuvaa vaiheen takaisinkytkennällä kartoitukseen: saatuaan pääsyn testaaja näkee uuden hyökkäyspinnan, ja kierros alkaa alusta.

Jälkitoimet vastaavat kysymykseen, mitä se pääsy on arvoltaan. Pääseekö yhdeltä murretulta palvelimelta tietokantaan? Riittääkö tavallisen käyttäjän tunnus oikeuksien laajentamiseen ylläpitäjäksi? Pääseekö yhdestä ympäristöstä toiseen? Juuri tässä selviää, muodostavatko erikseen keskitason löydökset yhdessä kriittisen hyökkäysketjun.

Raportti kirjoitetaan kahdelle lukijalle

NIST korostaa, että turvallisuustesti on huomattavasti arvokkaampi, jos se päättyy toteutettavaan korjausstrategiaan eikä pelkkään löydöslistaan: jokaisesta löydöksestä pitäisi esittää juurisyy ja suositus, joka voi olla tekninen (asenna tietty päivitys) tai prosessia koskeva (muuta päivitystenhallinnan käytäntöä).

Raportille on vaatimuksia myös säädöksissä. Komission täytäntöönpanoasetuksen (EU) 2024/2690 liitteen 6.5.2 kohta velvoittaa dokumentoimaan suoritettujen testien tyypin, laajuuden, ajankohdan ja tulokset, mukaan lukien kriittisyyden ja vaikutuksia lieventävien toimien arvioinnin kunkin havainnon osalta – ja soveltamaan lieventäviä toimia kriittisten havaintojen ilmetessä. Asetus koskee vain siinä lueteltuja digitaalisen infrastruktuurin ja digipalvelujen tarjoajia, ei kaikkia NIS2-toimijoita, mutta se kuvaa hyvin, mitä raportista pitäisi löytyä.

Koska raportilla on kaksi yleisöä, NIST suosittelee myös useampaa esitysmuotoa: johto tarvitsee riskin ja päätöksen, tekninen väki menetelmän, tulokset ja konkreettisen toimenpidesuunnitelman. Raportin sisältö on eritelty tarkemmin perusoppaassa.

Heikon raportin tunnistaa muutamasta merkistä: löydökset on kopioitu skannerista yleisluontoisine suosituksineen, todisteita hyväksikäytöstä ei ole, eikä vakavuusarvio liity mitenkään omaan ympäristöön. Sellaisen voi näyttää auditoijalle, mutta sen pohjalta on vaikea tehdä työtä.

Miten löydökset luokitellaan

Löydökset asetetaan vakavuusjärjestykseen, useimmiten CVSS-asteikolla. Olennaista on ymmärtää, mitä pistemäärä kertoo: se kuvaa haavoittuvuuden teknistä vakavuutta, ei sinun riskiäsi. Sama 8,1 pisteen löydös sisäisessä testipalvelimessa ja internetiin näkyvässä maksuportaalissa vaatii aivan eri kiireen.

CVSS 4.0:n laadulliset vakavuusluokat

Luokka	CVSS-pisteet
Kriittinen	9,0–10,0
Korkea	7,0–8,9
Keskitaso	4,0–6,9
Matala	0,1–3,9
Ei vaikutusta	0,0

Vakavuusluokka kannattaa muuttaa määräajaksi. Käytännöllinen tapa on sopia etukäteen, missä ajassa kriittinen, korkea ja keskitason löydös korjataan omassa organisaatiossa, ja kirjata tuo käytäntö arvioinnin rinnalle. Silloin raportti ei pääty keskusteluun siitä, onko kahdeksan pistettä paljon.

Kannattaa myös huomata, ettei jokainen löydös ole korjattava. Osa hyväksytään tietoisesti jäännösriskinä, kun korjaus maksaisi enemmän kuin vahinko. Olennaista on, että päätöksen tekee riskin omistaja ja että se kirjataan – ei se, että löydös jää raportissa ilman merkintää.

Voiko tuotantoa testata turvallisesti?

Testaus voidaan tehdä turvallisesti myös tuotantoon, mutta NIST ei vähättele riskiä: testauksessa käytetään aitoja hyväksikäyttötyökaluja aitoja järjestelmiä vastaan, joten häiriön todennäköisyys ei koskaan ole nolla. Kokenut testaaja pienentää sitä, mutta ei poista.

Siksi riskialttiit toimet sovitaan etukäteen: mitä tehdään vain testiympäristössä, mitä työajan ulkopuolella ja mitä ei lainkaan. Ennen testiä kannattaa varmistaa, että varmuuskopiot toimivat ja että palautuksen osaa tehdä useampi kuin yksi ihminen.

Uusintatestaus ja jatko

Testin arvo syntyy vasta korjauksista, joten viimeinen vaihe on tarkistus. DORA-asetuksen 24 artiklan 5 kohta kirjaa periaatteen suoraan: yhteisöillä on oltava menettelyt, joilla kaikki testien aikana paljastuneet ongelmat asetetaan tärkeysjärjestykseen, luokitellaan ja korjataan, sekä sisäiset validointimenetelmät sen varmistamiseksi, että heikkoudet korjataan kaikilta osin.

Uusintatestaus vastaa kahteen kysymykseen: onko aukko todella tukittu ja avasiko korjaus uuden. Jälkimmäinen ei ole teoreettinen huoli – kiireiset korjaukset tuotannossa kytkevät toisinaan pois osan suojauksista tai jättävät kiertotien auki.

Uusintatestaus kannattaa sopia jo alkuperäisessä toimeksiannossa ja aikatauluttaa riittävän kauas, jotta korjaukset ehditään oikeasti tehdä. Jälkikäteen tilattuna se on erillinen hanke, ja käytännössä se jää silloin usein kokonaan tekemättä.

Kesto ja testausväli

Keston määrää laajuus, valittu lähestymistapa ja kohteen monimutkaisuus: yksi verkkosovellus mustana laatikkona ja koko sisäverkko useine toimialueineen vaativat eri määrän aikaa. Lähestymistapojen ero näkyy etusivun vertailussa. Tarkka aikataulu syntyy vasta laajuuden rajauksen jälkeen, joten tarjous ilman laajuuskeskustelua on arvaus.

Testausvälin suhteen NIST on maltillinen: koska testaus on kallista ja vaikuttaa tuotantoon, organisaation verkkojen ja järjestelmien testaaminen vuosittain on usein riittävää. Säännellyillä aloilla raja on tarkempi – DORAn 24 artiklan 6 kohta velvoittaa finanssiyhteisöt mikroyrityksiä lukuun ottamatta testauttamaan asianmukaisesti kaikki kriittisiä tai tärkeitä toimintoja tukevat TVT-järjestelmät ja sovellukset vähintään vuosittain. Tämä ei ole kaikille samanlainen vuotuisen tunkeutumistestin vaatimus; mikroyrityksiin sovelletaan 25 artiklan 3 kohtaa. Lisäksi testataan merkittävien muutosten jälkeen, ja valmistautumisen askeleet on koottu omaan oppaaseensa.