Mitä on uhkatieto, ja miksi sillä on merkitystä?

Mitä uhkatieto on?

Kyberuhkatieto on nykyisiä tai potentiaalisia kyberuhkia koskevaa kerättyä ja analysoitua tietoa. Se muuntaa turvallisuussignaalit käytännön ohjaukseksi ja auttaa näin organisaatioita ymmärtämän, millaisia hyökkäyksiä ne saattavat kohdata, mikä taho niitä saattaa toteuttaa, miten ne voivat tapahtua, ja miten niiden riskiä voidaan vähentää.

Hyödyllinen uhkatieto ei ainoastaan listaa epäilyttäviä IP-osoitteita, haittaohjelmien nimiä tai luo hyökkäysraportteja. Sen tulisi selittää keneen tai mihin hyökkäys saattaa kohdistua, miksi uhkalla on merkitystä, ja millä tavoin toimimalla riskiä voidaan vähentää. Turvallisuustiimille voi olla esimerkiksi tärkeää tietää, onko sen oma yleisö tietojenkalastelukampanjan kohderyhmää.

Miksi kyberuhkatieto on tärkeää?

Kyberuhkatieto auttaa organisaatioita valmistautumaan tuleviin hyökkäyksiin sen sijaan, että ne vain reagoisivat vahingon jo tapahduttua. Siitä voi olla apua varhaisempaan tunnistamiseen, selkeämpään priorisointiin, nopeampaan tutkimiseen ja fiksumpaan turvallisuuteen liittyvien varojen käyttöön.

• Ennakoiva puolustus. Uhkatieto voi paljastaa malleja tietojenkalastelukampanjoissa, haittaohjelmissa, vuotaneissa todennustiedoissa tai hyökkääjän käytöksessä ennen vakavien vahinkojen syntymistä.
• Parempi tilannesidonnaisuus. Turvallisuusilmoitus yksinään kertoo vain, että jotain poikkeavaa on tapahtunut. Kyberuhkatieto voi selittää, kenen kohteena organisaatio saattaa olla, miten samankaltaiset hyökkäykset ovat toimineet aiemmin, ja miten nämä riskit ovat osa laajempaa uhkaympäristöä eli kattavampaa kuvaa kyberuhkista, jotka vaikuttavat yritykseen, alaan tai alueeseen.
• Nopeampi tutkinta. Kun analyytikot tietävät, millä indikaattoreilla, taktiikoilla ja hyökkäysmalleilla on eniten merkitystä, he voivat priorisoida korkean riskin hälytykset sen sijaan, että he suhtautuisivat jokaiseen signaaliin samalla tavalla. Tämä auttaa tiimejä välttämään vääriä hälytyksiä ja keskittymään uhkiin, jotka todennäköisesti aiheuttavat vahinkoa.
• Matalammat kulut. Tietovuodon estäminen, vaarallisen verkkotunnuksen estäminen tai hyökkäyksen havaitseminen varhaisessa vaiheessa tulee tavallisesti halvemmaksi kuin tietojen menetyksen, käyttökatkosten, oikeudellisen vastuun ja tietojen palautuksen käsittely. Kun uhkatietoa käytetään yhdessä kyberuhkien valvonnan kanssa, uhkatietotiimit voivat tehdä tietoon perustuvia turvallisuuspäätöksiä aikaisemmin.

Uhkatiedon tyyppejä

Uhkatieto ryhmitellään yleensä sen mukaan, minkälaista päätöksentekoa se tukee. Uhkatiedon voi lajitella viiteen käytännölliseen kategoriaan: strateginen, taktinen, operatiivinen, tekninen ja tilannesidonnainen uhkatieto.

Strateginen uhkatieto

Strateginen uhkatieto tarjoaa johtajille korkean tason näkymän kyberriskeihin, hyökkääjien motivaatioihin ja pitkän aikavälin trendeihin. Se auttaa päätöksentekijöitä ymmärtämään miten erilaiset tilanteet, kuten kiristysohjelmat, tietovuodot, uudet säännökset tai valtiolliset uhkatekijät – hallituksiin liittyvät hakkeriryhmät – voivat vaikuttaa budjetteihin, käytöntöihin ja pitkän aikavälin turvallisuusprioriteetteihin.

Taktinen uhkatieto

Taktinen uhkatieto keskittyy hyökkääjien käyttämiin tekniikoihin, taktiikoihin ja menettelyihin. Se voi paljastaa yleisiä hyökkäysvektoreita, eli reittejä tai menetelmiä, joita hyökkääjät käyttävät saavuttaakseen kohteensa. Näitä voivat olla tietojenkalastelusähköpostit, ohjelmistojen haavoittuvuuksien hyödyntäminen, murretut tilit tai epäilyttävä liikenne, joka voi viitata bottiverkkoihin. Turvallisuustiimit voivat käyttää tätä tietoa parantaakseen havaitsemissääntöjä, vahvistaakseen puolustusta ja kouluttaakseen työntekijöitä tunnistamaan epäilyttävää toimintaa.

Operatiivinen uhkatieto

Operatiivinen uhkatieto keskittyy tiettyihin suunniteltuihin, käynnissä oleviin tai hiljattain tapahtuneisiin hyökkäyksiin. Se auttaa tiimejä ymmärtämään, kuka hyökkäyksen takana saattaa olla, mikä heidän kohteenaan on, milloin ja miten he saattavat toimia, ja mitkä järjestelmät tai käyttäjät saattavat olla vaarassa. Tätä tietoa saadaan usein hyökkääjien toimintaa seuraamalla, tietovuodoista, salaisilta kyberrikollisuusfoorumeilta tai viesteistä, joita hyökkääjät ovat jakaneet.

Tekninen uhkatieto

Tekninen uhkatieto tarkoittaa sellaisten teknisten vihjeiden analysointia, jotka voivat osoittaa, että hyökkäys on tapahtunut tai saattaa tapahtua. Niitä voivat olla epäilyttävät IP-osoitteet, haitalliset verkkotunnukset, tiedostojen hajauttaminen, tunnistetut hyväksikäyttömenetelmät ja muut mallit. Turvallisuustiimit käyttävät usein näitä tietoja parantaakseen havaitsemissääntöjä, estolistoja ja muita kyberturvallisuusvälineitä.

Tilannesidonnainen uhkatieto

Tilannesidonnainen uhkatieto keskittyy tietyn sektorin, organisaation tai käyttäjäryhmän olosuhteisiin. Hallituksen virastot saattavat keskittyä valtiolliseen kybertoimintaan, kun taas kaupan alan ja luksustuoteyritykset voivat kiinnittää tarkempaa huomiota brändien väärennykseen, petoksiin, väärennettyihin verkkosivustoihin ja asiakkaisiin kohdistuviin huijauksiin.

Uhkatiedon elinkaari

Uhkatiedon elinkaari muuntaa raa'an uhkatiedon hyödylliseksi tiedoksi. Tiimit käyttävät sitä priorisointiin, tietojen keräämiseen ja valmisteluun, löydösten analysointiin, johtopäätösten jakamiseen ja tulevan työskentelyn parantamiseen palautteen kautta.

1. Kohdennus

Tiimit päättävät, mitä uhkia, resursseja, järjestelmiä tai yritysriskejä niiden täytyy ymmärtää. Ne voivat myös huomioida sisäiset uhkat, – riskit, joihin liittyvät työntekijät, alihankkijat, kumppanit ja muut henkilöt, joilla on tehtäviensä myötä pääsy järjestelmiin – ja päättää, minkälaiset tiedot voivat tukea parempia turvallisuuspäätöksiä.

2. Tietojen kerääminen

Kun tavoitteet ovat selvillä, tiimit keräävät uhkatietoa sisäisistä ja ulkoisista lähteistä. Näihin tietoihin voivat kuulua esimerkiksi sisäiset turvallisuuslokit, päätepistehälytykset, toiminta verkossa, haavoittuvuusraportit, pimeän verkon lähteet, haittaohjelmatietokannat ja avoimista tietolähteistä kerätty tieto, eli julkisesti saatavilla olevan tieto verkkosivustoilta, foorumeilta, sosiaalisesta mediasta, julkisista tietueista ja muista saatavilla olevista lähteistä.

3. Käsittely

Raaka data on usein erilaisissa muodoissa ja sen luotettavuus voi myöskin vaihdella. Käsittelyn aikana tiimit puhdistavat, järjestävät ja suodattavat dataa, poistavat päällekkäiset tiedot ja strukturoivat dataa. Näin analyytikot voivat vertailla toisiinsa yhteydessä olevia indikaattoreita ja valmistella datan analyysia varten.

4. Analyysi

Analyytikot etsivät malleja, yhteyksiä ja merkityksiä kerätystä datasta. Tämä vaihe voi tukea myös uhkamallinnusta, jossa kartoitetaan miten hyökkääjä saattaisi hyökätä järjestelmään ja mitkä puolustuskeinot voivat vähentää tätä riskiä.

5. Tiedon jakaminen

Tiimit jakavat valmiin uhkatiedon henkilöille, jotka sitä tarvitsevat. Turvallisuusoperaatiotiimit saattavat tarvita tietoa haitallisista verkkotunnuksista tai epäilyttävistä IP-osoitteista, tietoturvatapahtumia käsittelevät henkilöt saattavat tarvita opastusta tilanteiden leviämisen estämiseen ja johtoasemassa olevat saattavat tarvita selkeän yhteenvedon yritysriskeistä ja suositelluista toimenpiteistä.

6. Palaute

Tiimit arvioivat, vastasivatko tiedot alkuperäisiin kysymyksiin, auttoivatko ne heitä priorisoimaan riskejä ja paransivatko ne turvallisuustyön tuloksia. Palaute auttaa määrittelemään tulevaisuuden vaatimuksia, lähteitä ja raportointimenetelmiä.

Uhkatietotyökalut ja -alustat

Turvallisuustiimit käyttävät uhkatietotyökaluja tietojen keräämiseen, verratakseen näitä tietoja tunnettuihin uhkiin ja muuntaakseen tiedot varoituksiksi tai raporteiksi. Jotkut välineet keskittyvät yhteen tehtävään, kun taas uhkatietoalustoilla on samassa paikassa uhkasyötteet, epäilyttävät johtolangat, lisäkonteksti ja raportointi.

Uhkatietosyötteet

Uhkatietosyötteet ovat automatisoituja uhkatietovirtoja, joita turvallisuustyökalut voivat käyttää. Ne sisältävät usein vaarantumisindikaattoreita (Indicator of Compromise, IoC), jotka voivat kertoa haitallisesta toiminnasta. Esimerkkeinä voidaan mainita epäilyttävät IP-osoitteet, tietojenkalasteluun käytetyt verkkotunnukset, haittaohjelmiin liittyvä tiedostojen hajauttaminen (uniikit digitaaliset sormenjäljet tiedostoissa) sekä linkit, jotka liittyvät huijaussivustoihin tai väärennettyihin kirjautumissivustoihin.

Syötteet voivat olla kaupallisia tai avoimia lähteitä käyttäviä. Avoimia lähteitä käyttävät syötteet ovat tavallisesti ilmaisia, ja ne auttavat tiimejä valvomaan yleisiä uhkia, mutta niiden käyttö voi vaatia enemmän manuaalisia tarkistuksia. Kaupalliset syötteet tarjoavat yleensä kontekstin, suodatuksen ja tuen – ne voivat kertoa, mistä indikaattori on peräisin, ja kuinka kiireisesti siihen on reagoitava.

Syötteet ovat hyödyllisiä, mutta yksinään ne eivät riitä. Pitkä lista epäilyttäviä verkkotunnuksia tai IP-osoitteita voi saada aikaan turhaa kohinaa, jos kukaan ei tarkista, ovatko tiedot oleellisia. Oikeat työkalut auttavat tiimejä vertaamaan dataa omiin järjestelmiinsä, poistamaan päällekkäiset tiedot ja keskittymään tärkeimpiin uhkiin.

Tekoälyä hyödyntävä uhkatieto

Tekoälyä hyödyntävä uhkatieto käyttää tekoälyä ja koneoppimista laajojen turvallisuustietomäärien nopeampaan käsittelyyn. Koneoppiminen tarkoittaa, että ohjelmistot voivat tunnistaa datasta malleja ja parantaa niiden havaitsemista ajan mittaan. Uhkatiedon kohdalla tämä voi tarkoittaa epätavallisen käyttäytymisen havaitsemista, toisiinsa liittyvien tapahtumien yhdistämistä ja manuaalisessa arvioinnissa havaitsematta jääneiden riskien nostamista esiin.

Tekoäly voi tukea petosten havaitsemista estämällä toimintaa, joka ei vastaa käyttäjän tilin tavallista toimintaa. Se voi esimerkiksi huomauttaa epätavallisista kirjautumismalleista, epäilyttävistä tilisiirtoyrityksistä tai toistuvasta käytöstä riskialttiiksi tiedetyistä sijainneista. Nämä merkit auttavat turvallisuustiimejä tutkimaan mahdollisia tilien haltuunottoyrityksiä ennen kuin enemmän vahinkoa pääsee syntymään.

Tekoäly-uhkatieto ei kuitenkaan korvaa ihmisten tekemää analyysiä. Se voi käsitellä dataa nopeasti, mutta analyytikkojen täytyy kuitenkin tarkistaa asiayhteys, poistaa väärät hälytykset ja päättää, minkälainen toimenpide sopii tilanteeseen parhaiten. Oikein käytettynä tekoäly-uhkatieto auttaa tiimejä toimimaan nopeammin ilman kaikkien epäilyttävien merkkien käsittelyä toteutuneena hyökkäyksenä.

Miten NordVPN käyttää uhkatietoa?

Uhkatietoa ei käytetä ainoastaan turvallisuusraporteissa tai yritysten työvälineissä. Se voi tukea myös ominaisuuksia, jotka suojaavat käyttäjiä heidän selatessaan verkkoa, ladatessaan tiedostoja, avatessaan linkkejä tai käyttäessään VPN-yhteyttä.

NordVPN käyttää uhkatietoa tunnistaakseen vaarallisia sivustoja, tietojenkalastelusivustoja, huijausverkkotunnuksia, haittaohjelmia ja seuraimia. Nämä signaalit tukevat NordVPN:n uuden sukupolven virustorjuntaa huijaus-, tietojenkalastelu- ja haittaohjelmasuojauksessa. Saat varoituksen vaarallisista sivustoista ja latauksesi skannataan ennen kuin haittaohjelmat pääsevät laitteellesi.

NordVPN käyttää uhkatietoa myös tukeakseen VPN-suojausta analysoimalla potentiaalisia hyökkäyksiä yksittäisiä käyttäjiä ja koko palvelua vastaan.

Lisäksi NordVPN myös jakaa uhkatietoa, jotta käyttäjät voivat käyttää internetiä turvallisemmin. Kun hankit tietoa nykyisistä ja uusista kyberuhkista, tunnistat helpommin tietojenkalastelun, huijaukset ja vaaralliset sivustot ennen kuin ne aiheuttavat vahinkoa.

Kuka uhkatiedosta hyötyy?

Uhkatieto yhdistetään usein suuriin organisaatioihin, mutta se voi myös tukea työkaluja, joita käytät joka päivä. Selkeät tiedot hyökkääjien käytöksestä, riskialttiista toiminnasta ja uusista uhkista auttavat turvallisuustiimejä, johtajia, analyytikkoja ja yksittäisiä käyttäjiä vähentämään riskejä.

• Uhkatietoanalyytikot. Uhkatietoanalyytikko tai kyberuhkatietoanalyytikko seuraa uhkadataa, tutkii hyökkääjien kampanjoita, arvioi epäilyttäviä indikaattoreita ja luo raportteja löytöjensä pohjalta. Heidän työnsä auttaa turvallisuustiimejä ymmärtämään mitä tapahtuu, kuka hyökkäyksen takana voi olla, ja mikä on paras tapa toimia.
• Turvallisuustiimit ja suojaustoimintokeskukset. Suojaustoimintokeskus (SOC, security operations center) valvoo organisaation järjestelmiä mahdollisten hyökkäysten varalta. Uhkatieto auttaa näitä tiimejä priorisoimaan hälytykset, vähentämään vääriä hälytyksiä ja keskittymään toimintaan, joka todennäköisimmin altistaa järjestelmät, tiedot tai käyttäjät riskeille.
• Johtajat ja päätöksentekijät. Strateginen tieto auttaa päättäjiä ymmärtämään, mitkä uhkat voivat vaikuttaa organisaatioon, kuinka vakava riski on, ja mihin turvallisuusresursseja saatetaan tarvita eniten. Tämä voi auttaa tekemään päätöksiä koskien budjetteja, käytäntöjä, työkaluja ja pitkän aikavälin riskienhallintaa.
• Sinä. Et välttämättä lue uhkaraportteja tai käy läpi epäilyttäviä verkkotunnuksia itse, mutta uhkatietoa saatetaan silti käyttää työkaluissa, joita hyödynnät. Uhkatiedon avulla turvallisuusominaisuudet voivat varoittaa tietojenkalastelusivustoista, huijaussivustoista, vaarallisista latauksista ja muista riskeistä ennen kuin vahinkoja pääsee syntymään.

Uhkatieto toiminnassa: tosielämän esimerkkejä

Uhkatietoa on helpompi ymmärtää, kun näet, miten se toimii käytännössä. Prosessin yksityiskohdat riippuvat organisaatioista, mutta tavoite on yleensä sama: havaita uhkat aikaisemmin, ymmärtää mitä ne tarkoittavat ja reagoida niihin ennen kuin ne aiheuttavat lisää haittaa.

• Kyberuhkatoimijoiden (APT eli Advanced Threat Actor) kampanjoiden seuraaminen. Turvallisuustiimit voivat käyttää uhkatietoa seuratakseen kyberuhkatoimijaa – pitkän aikavälin kohdennettua hyökkäystä, joka usein liittyy ryhmiin, joilla on runsaasti resursseja. Kun analyytikot yhdistävät tietojenkalastelusähköpostit, vaaralliset verkkotunnukset, haittaohjelmien käytöksen ja hyökkääjän tekniikat, he voivat tunnistaa niihin liittyvän toiminnan ja varoittaa vaarassa olevia organisaatioita.
• Vaarallisen toiminnan estäminen. Uhkatietosyötteet voivat auttaa turvallisuusvälineitä estämään vaaralliset IP-osoitteet, verkkotunnukset, tiedostojen hajauttamisen ja linkit. Jos verkkotunnus liittyy tietojenkalasteluun tai haittaohjelmiin, data voi auttaa varoittamaan käyttäjiä tai estää pääsyn ennen kuin hyökkäys saavuttaa heidät.
• Tiedon jakaminen eri aloille. Organisaatiot voivat jakaa uhkatietoa luotetuille ryhmille alan verkostoissa sekä turvallisuusyhteistyökumppaneille. Jos yksi yritys havaitsee tietojenkalastelukampanjan, haittaohjelmahyökkäyksen tai epäilyttävän käyttömallin, tämän tiedon jakaminen voi auttaa muita varautumaan hyökkäyksiin.

Näin suojaudut kyberuhkilta

Sinun ei tarvitse analysoida uhkatietoraportteja hyötyäksesi niistä. Muutama käytännön tapa ja turvallisuustyökalu auttavat välttämään yleisiä uhkia ja vähentämään mahdollisia hyökkäyksen aiheuttamia vahinkoja.

• Hanki tietoa ajankohtaisista uhkista. Kyberturvallisuuspäivitysten ja uhkatietouutisten seuraaminen voi auttaa tunnistamaan uudet huijaukset, tietojenkalastelutaktiikat ja haittaohjelmat. Keskity uhkiin, jotka voivat vaikuttaa käyttämiisi laitteisiin, tileihin ja palveluihin.
• Käytä välineitä, joissa on sisäänrakennettu uhkien havaitseminen. NordVPN:n uuden sukupolven virustorjunta auttaa havaitsemaan vaaralliset lataukset ja estää huijaus- ja tietojenkalastelusivustot. Nämä suojausominaisuudet käyttävät uhkatietoa taustalla – hyödyt siis tutkimuksesta eikä sinun tarvitse tarkastella teknisiä indikaattoreita itse.
• Päivitä ohjelmistosi. Päivityksissä korjataan usein turvallisuuteen liittyviä heikkouksia, joita hyökkääjät voisivat hyödyntää. Päivitä säännöllisesti käyttöjärjestelmäsi, selaimesi, sovelluksesi ja turvallisuustyökalusi pienentääksesi hyökkäyspintaa eli laitteita, tilejä ja palveluita, joihin hyökkäys voisi kohdistua.
• Ole varovainen odottamattomien viestien ja linkkien kanssa. Tietojenkalasteluviesteissä luodaan usein kiireisyyden tuntu, tai niissä jäljitellään luotettua organisaatiota, jotta uhri saadaan avaamaan linkki, lataamaan tiedosto tai jakamaan arkaluontoisia tietoja. Tarkista lähettäjä ja linkin määränpää ennen kuin teet mitään.
• Käytä VPN:ää epäluotettavissa verkoissa. VPN salaa laitteesi ja VPN-palvelimen välisen liikenteen. Tämä auttaa suojaamaan liikennettäsi paikallisessa verkossa ja muuttaa verkkosivustoille näkyvän IP-osoitteesi, kun käytät julkista Wi-Fi-verkkoa tai muuta epäluotettavaa verkkoa.