Kun automatisoitu kyberhyökkäys voi aiheuttaa vahinkoa minuuteissa, puolustusta ei voi rakentaa pelkän havainnoinnin ja reagoinnin varaan. Kyberresilienssi alkaa hyökkäyspinnan tuntemisesta, ympäristöjen koventamisesta ja toimivista kontrolleista jo ennen ensimmäistä hälytystä.
Kyberturvallisuudessa puhutaan paljon havainnoinnista, reagoinnista ja vasteaikojen lyhentämisestä. Keskustelu on tärkeä, mutta samalla siinä piilee perustavanlaatuinen ongelma: mitä jos hyökkäys ehtii aiheuttaa vahinkoa ennen kuin ensimmäinen hälytys on edes muodostunut?
Kyberhyökkäysten merkittävin muutos ei välttämättä ole niiden tekninen kehittyneisyys, vaan niiden nopeus. Aika haavoittuvuuden, väärän konfiguraation tai heikon kontrollin löytämisestä sen hyväksikäyttöön on lyhentynyt merkittävästi. Puhumme edelleen nollapäivähaavoittuvuuksista, mutta käytännössä elämme jo zero hour -maailmassa, jossa puolustajan aikaikkuna mitataan päivien sijaan tunneissa tai minuuteissa.
Kesällä näimme tästä konkreettisen esimerkin. Identiteettiin kohdistunut laitekoodihuijaus eteni hyökkääjän sisäänpääsystä ensimmäisiin tietovuotoihin alle neljässä minuutissa. Kyse ei ollut poikkeuksellisesta valtiollisesta operaatiosta, vaan tehokkaasti automatisoidusta hyökkäysketjusta.
Tämä nostaa esiin epämukavan mutta välttämättömän kysymyksen: mitä tapahtuu silloin, kun hyökkääjä toimii nopeammin kuin puolustajan havainnointiketju?
Kaikki valvonta perustuu lopulta siihen, että tapahtumista syntyy tietoa. Lokien muodostumisessa on viivettä, niiden käsittelyssä on viivettä ja hälytysten muodostumisessa on viivettä. Jos hyökkääjä toimii automaation nopeudella, vahinkoa voi syntyä ennen kuin puolustaja näkee ensimmäistäkään hälyttävää tapahtumaa.
Samalla organisaatioiden ympäristöt ovat laajentuneet ja pirstaloituneet. Päätelaitteet, identiteetit, verkot, pilvipalvelut, SaaS-ratkaisut, sovellukset, integraatiot, data ja tuotannolliset ympäristöt muodostavat kokonaisuuden, jota ei enää voi puolustaa yhdestä näkymästä tai yhden työkalun avulla. Kyvykkyyksiä on usein paljon, mutta tieto, vastuut ja päätöksenteko jakautuvat eri järjestelmien, tiimien ja kumppaneiden välille.
Ongelma ei siis ole välttämättä työkalujen puute. Ongelma on organisaation kyky muuttaa valtava tietomäärä oikeiksi päätöksiksi ja päätökset nopeasti toteutettaviksi toimiksi.
Siksi pelkkä reagointikyvyn nopeuttaminen ei riitä. Tärkeämpää on vähentää tilanteita, joissa reagointia ylipäätään tarvitaan. Tämä tarkoittaa hyökkäyspinnan jatkuvaa tuntemista, hyödynnettävien hyökkäyspolkujen tunnistamista, ympäristöjen koventamista sekä suojaavien kontrollien jatkuvaa kehittämistä. Kun altistus tunnistetaan, sitä ei voida automaattisesti jättää odottamaan seuraavaa sopivaa huoltoikkunaa.
Ennaltaehkäisy ei kuitenkaan poista havainnoinnin ja reagoinnin merkitystä. Päinvastoin. Todellinen kyberresilienssi syntyy siitä, että organisaatio kykenee ehkäisemään, havaitsemaan, reagoimaan ja palautumaan. Kaikkia neljää tarvitaan, mutta niiden on toimittava yhtenä kokonaisuutena.
Tämä edellyttää uudenlaista tapaa yhdistää teknologia, automaatio ja ihmisten asiantuntemus jatkuvasti toimivaksi puolustuskyvyksi. Eri lähteistä saatava turvallisuustieto on koottava yhteiseen tilannekuvaan, jossa yksittäisiä havaintoja voidaan arvioida asiakkaan oman ympäristön ja liiketoimintariskien kontekstissa. Kun toistuvat analyysi- ja reagointivaiheet automatisoidaan, asiantuntijat voivat keskittyä tilanteisiin, joissa tarvitaan harkintaa, kokemusta ja ymmärrystä vaikutuksista.
Keskitetty kyberturvaoperaatio tuo puolustukseen mittakaavaa, johdonmukaisuutta ja oppimista, jota yksittäisen organisaation on vaikea rakentaa yksin. Yhdessä ympäristössä syntyneet havainnot ja opit voidaan muuttaa nopeasti paremmaksi suojaksi myös muissa ympäristöissä. Samalla puolustus ulottuu hälytysten käsittelystä uhkatiedon rikastamiseen, tutkintaan, koordinoituihin vastetoimiin ja jatkuvaan kehittämiseen.
Ratkaisevaa on, ettei teknologia määritä toimintaa, vaan se valjastetaan tukemaan asiakkaan ympäristöön sovitettuja ja yhtenäisiä turvallisuusprosesseja ja tuomaan nopeutta sekä havainnointiin ja reagointiin. Kyvykkyyksiä voidaan yhdistää yli teknologia- ja ympäristörajojen ilman, että olemassa olevia investointeja täytyy tarpeettomasti korvata. Puolustuksen arvo tehdään näkyväksi mittaamalla suoritteiden sijaan sitä, kuinka nopeasti vaikutuksia rajataan, kuinka paljon altistumista vähennetään ja miten resilienssi kehittyy. Näin kyberturvallisuus muuttuu hälytyksiä valvovasta palvelusta jatkuvasti oppivaksi, ennakoivaksi ja liiketoiminnan kannalta mitattavaksi puolustuskyvyksi.
Zero hour -maailmassa voittaja ei ole organisaatio, jolla on eniten työkaluja, hälytyksiä tai näyttävimpiä raportteja. Voittaja on organisaatio, joka kykenee yhdistämään näkyvyyden, kontekstin ja toiminnan ennen kuin yksittäisestä havainnosta kasvaa liiketoimintaa uhkaava tapahtuma.
Tulevaisuuden kyberpuolustuksessa tärkein kysymys ei siksi enää ole vain se, kuinka nopeasti havaitsemme hyökkäyksen.
Tärkeämpää on, kuinka paljon ehdimme tehdä ennen kuin hyökkäys alkaa.
Lue myös
Kyberhyökkäykset muuttuvat: verkkorikollisuus ammattimaistuu
Kyberturvallisuus on merkittävä osa MSK Groupin kansainvälistä kasvua
