Penetraatiotestaustyökalujen hyödyntäminen organisaation tietoturvassa

Abstract

Jotta organisaatiot voivat ylläpitää korkeaa suojaustasoa ilman suuria investointeja, tässä opinnäytetyössä esitetään kustannustehokkaita menetelmiä haavoittavuuksien tunnistamiseen ja tietoturvastrategioiden kehittämiseen. Opinnäytetyössä selvitetään, miten maksuttomia avoimen lähdekoodin penetraatiotestaustyökaluja voidaan hyödyntää organisaation tietoturvatason kehittämisessä. Kehittämistyössä toimitetaan valmiiksi asennettu ja konfiguroitu haavoittavuuksien hallinta- ja ylläpitojärjestelmä integroituna toimeksiantajan pilviympäristöön. Opinnäytetyö on kehityshanke, jossa yhdistyvät kirjallisuuskatsaus ja käytännön sovellus. Kehitystyön ympäristönä toimii Microsoftin Azure käyttäen Rocky Linux ja Microsoft Windows virtuaalikoneita suljetun virtuaaliverkon sisällä.

Kehittämistyön ensimmäisessä vaiheessa suoritettiin työkalun asentaminen ja konfiguraatio, jonka jälkeen luotiin ympäristöön haavoittavuuksia sisältävä laite, jota vastaan suoritettiin haavoittavuusskannauksia. Tällä vaiheella voitiin osoittaa OpenVAS-työkalun toimivuus ennen varsinaisia skannauksia tuotannossa oleviin kohteisiin. Työkalua konfiguroitiin mukautetuilla skannauskonfiguraatiolla, jolla pyrittiin vähentämään skannauksesta aiheutuvaa kuormaa tai turvajärjestelmien tunnistusta. Konfiguraatiosta hidastettiin testien nopeutta ja poistettiin aggressiiviset NVT-perheet, kuten esimerkiksi Brute force attacks. Kehittämistyön aikana kohdattiin teknisiä haasteita, kuten haavoittavuuksientietokantojen synkronointiongelmia sekä virtuaalikoneiden levytilan loppuminen. Nämä ongelmat ratkaistiin ja dokumentoitiin osaksi oppimisprosessia. Tuotantokohteisiin suoritetuilla skannauksilla voitiin todentaa työkalun hyödyt. Skannauksista onnistuttiin jopa tunnistamaan korkean ja keskitason haavoittavuuksia, joiden aiheellisuuden toimeksiantaja vahvisti.

Yhteenvetona OpenVAS-työkalu tarjoaa toteuttamiskelpoisen ja kustannustehokkaan vaihtoehdon maksullisille haavoittavuusskannereille. Ratkaisu tarjoaa organisaatiolle syvällisen näkyvyyden sisäisiin verkkoalueisiin ilman lisenssikustannuksia, mutta se vaatii aktiivista ylläpitoa. Lisäksi toimeksiantaja sai käyttövalmiin ympäristön ja dokumentaation jatkuvaa tietoturvatestausta varten.

To help organisations maintain a high level of protection without heavy investments, cost-effective methods for identifying vulnerabilities and developing information security strategies are implemented in this thesis. The thesis examines how free and open-source penetration testing tools can be used to improve the information security level of organizations. The development work will deliver a pre-installed and pre-configured vulnerability management and maintenance system integrated into the client’s cloud environment. The thesis is a development project that combines a literature review and practical application. The development environment is Microsoft Azure, using Rocky Linux and Microsoft Windows virtual machines within a closed virtual network.

The first phase of the development work involved installing and configuring the tool, after which a device containing vulnerabilities was created in the environment and vulnerability scans were performed on it. This phase demonstrated the functionality of the OpenVAS tool before the actual scans were performed on production targets. The tool was configured with customized scan configurations that aimed to reduce the load caused by scanning or security system detection by slowing down the speed of the tests and removing aggressive NVT families, such as Brute force attacks. During development, technical challenges were encountered, such as synchronisation problems with vulnerability databases and virtual machines running out of disk space. These problems were solved and documented as part of the learning process. Scans performed on production sites verified the benefits of the tool. The scans even succeeded in identifying high and medium vulnerabilities, the validity of which was confirmed by the client.

In summary, the OpenVAS tool offers a viable and cost-effective alternative to paid vulnerability scanners. The solution provides the organization with in-depth visibility into internal network areas without license costs, but it requires active maintenance. In addition, the client received a ready-to-use environment and documentation for continuous security testing.