Drupal-ohjelmistokehyksen tietoturvallisuus

Abstract

Tämän opinnäytetyön tarkoituksena on ollut perehtyä Drupal-sisällönhallintajärjestelmän tietotur-vallisuuteen. Drupal-järjestelmä on WWW-pohjainen ohjelmistokehys, jolla käyttäjä pystyy luo-maan verkkosivuja. Tavoitteena on ollut löytää heikkouksia ja haavoittuvaisuuksia, joille Drupal-ohjelmistokehyksen käytössä voi altistua. Työssä on myös perehdytty uhkatilanteiden ennaltaeh-käisyyn. Kehittämisen kohteena työssä on ollut Drupal ja sen tietoturvallisuus Seniori365.fi-verkkopalvelussa. Lisäksi tavoitteena on ollut pyrkiä ennaltaehkäisemään ja estämään tietoturval-lisuutta uhkaavien tilanteiden syntymistä sisällönhallintajärjestelmässä.

Työ on toteutettu InnoEspoo-hankkeen osaajaverkostossa, johon kuuluvat Espoon kaupunki, es-poolaisia yrittäjiä sekä Omnia-ammattiopiston, Laurea-ammattikorkeakoulun ja Aalto-yliopiston opiskelijoita, opettajia ja kehittäjiä. Seniori365.fi-palvelu on toteutettu InnoEspoo-hankkeen aika-na. Seniori365.fi-palvelun kehitystyö kuuluu Laurean omiin kärkihankkeisiin. Sivusto on kehitetty Drupal-sisällönhallintajärjestelmällä ja se valittiin opinnäytetyökohteeksi konseptinsa monipuoli-suuden vuoksi. Seniori365.fi-palvelu on saanut myös kansainvälistä tunnustusta ansaittuaan maalis-kuussa 2015 Pariisissa Design for All Foundationin Best Practice –palveluinnovaatiopalkinnon, loka-kuussa 2015 Lontoossa EU-WIIN naisinnovaattoreiden innovaatiokilpailun sosiaalinen innovaatio –kategorian palkinnon sekä lokakuussa 2015 Japanissa IAUD Award –designkilpailun Co-Design-kategorian palkinnon.

Työssä perehdytään sivuston rakenteeseen, moduuleihin ja lisäosiin, joiden hyviin käytänteisiin, luotettavuuteen ja turvallisuuteen keskitytään tarkemmin. Työssä käydään yleisesti läpi, minkälai-nen käsitys Seniori365.fi-palvelukehittäjillä on sisällönhallintajärjestelmän tietoturvauhista ja mi-ten ne on otettu huomioon sivuston ylläpidossa.

Opinnäytetyössä rakennettiin Drupal-sisällönhallintajärjestelmän yleinen tietoturvaohjeistus, jossa tietoturvakäytänteet käydään läpi sivuston kehitys- ja ylläpitovaiheissa. Ohjeistusta voi hyödyntää myös olemassa olevien Drupal-sivustojen tietoturvallisuuden tarkistamisessa ja varmentamisessa.

The topic of this thesis was to study the information security of Drupal content management framework. Drupal is a free web content management system, which allows users to develop websites. The main focus of the thesis was to find out whether there are any weaknesses and vul-nerabilities that exists in the usage of Drupal as a web site development tool and how to prevent the situations where Drupal site could be compromised. This information was applied to Seniori365.fi web service.

Seniori365.fi was created through a project by InnoEspoo, which consists of organizations from Espoo, the city of Espoo and students, teachers and innovators from Omnia Vocational school, Aal-to University and Laurea University of applied sciences. Seniori365.fi project is further developed with Laurea University of applied sciences. The web page is created with Drupal content manage-ment system. Seniori365.fi web site, was selected as the topic of the thesis due to the versatility of the concept. The web site has received three international awards; the Best practice award in March 2015 in Paris, the Best social innovation award in October 2015 in London and the Best co-design award in October 2015 in Japan.

In Seniori365.fi web service, the focus was on the structure, modules, add-ons and also on the best practices, reliability and information security of these factors. The thesis includes general in-formation about Seniori365.fi developers’ knowledge in the area of Drupal information security, and the precautions they have planned in the case of the site being compromised.

A general information security guide for Drupal content management system was created in the thesis. The guide includes best practices for Drupal sites in the development and administration process. The guide is utilized in Seniori365.fi service and it can also be utilized in inspecting and securing already built sites.