Penetraatiotestaus osana tietoturvan toteutusta

Abstract

JYVSECTEC on Euroopan aluekehitysrahaston (EAKR) osarahoittama hanke, jonka toteut-tajana toimii Jyväskylän ammattikorkeakoulu. Hankkeen tarkoituksena on rakentaa tietotur-van testaamiseen, kehittämiseen ja koulutukseen tarkoitettu ympäristö.

Työn tarkoituksena oli tutkia penetraatiotestaukseen liittyviä vaiheita, toimintatapoja ja pe-netraatiotestaajien käyttämiä työkaluja. Penetraatiotestauksessa jäljitellään tapoja, joita mahdollinen hyökkääjä käyttää pyrkiessään murtautumaan tietoverkkoihin ja -järjestelmiin. Penetraatiotestaaja on niin kutsuttu eettinen hakkeri, joka testaa toimeksiantajansa järjes-telmiä ja verkkoa yrittämällä murtautua niihin. Penetraatiotestauksen pohjalta tehtyjen löy-dösten ja havaintojen pohjalta on tarkoitus pystyä parantamaan testauksen kohteen tieto-turvaa paikkaamalla siitä löytyneitä aukkoja. Penetraatiotestaus pystytään sovittamaan ja suorittamaan tarpeiden, sekä käytössä olevien resurssien mukaan. Penetraatiotestauksessa käytettävien työkalujen avulla voidaan myös helposti todentaa yksittäisten suojameka-nismien ja -järjestelmien toimivuus.

Työssä rakennettiin haavoittuva laboratorioverkko palveluineen, johon penetraatiotestauk-sessa käytettäviä työkaluja ja menetelmiä testattiin. Tuloksena saatiin todennettua penet-raatiotestauksen tuomia hyötyjä tietoturvaa toteutettaessa, sekä tietoturvan ja sen raken-teen ymmärtämisessä. Penetraatiotestaus eri muodoissaan on ainoa tapa testata tietotur-van toteutusta kokonaisuutena. Kattava penetraatiotestaus vaatii testaajilta paljon tietotai-toa, mutta toisaalta tämän päivän penetraatiotestaustyökalut ovat pitkälle kehittyneitä ja helpottavat työtä suuressa määrin. Penetraatiotestauksen opettelu toimii hyvänä pohjana tietoturvan opiskelulle.

JYVSECTEC is a cyber security project carried out by JAMK University of Applied Sciences. The objective of the project is to establish testing, development and education environment for cyber security. The project is partly founded by European Regional Development Fund.

The aim of the thesis was to research phases, processes and tools related to penetration testing. Penetration testing is a way to simulate the methods as the attacker uses when breaking into a victim's network and systems. Penetration tester is an ethical hacker, who tests client's systems by using the same methods that attackers could use. As a result of the penetration test, all the findings are used to make systems and network more secure. Penetration test can be customized to the needs and resources of the client. The tools used in penetration testing can also be used as a simple way of testing single security system in a network.

As part of thesis a laboratory network was build for testing tools and methods used in penetration testing. As a result of thesis it was proven that by doing penetration test there are benefit when putting information security into effect. Penetration test is the only way to test how information security is working as a whole. Comprehensive penetration test requires that the tester is skilled however, the current penetration testing tools are relatively advanced and makes the task easier. Learning to make penetration tests gives a good base to learning and understanding information security.