Useimmin esiintyvien tutkintoaiheiden kertaus

Käyttöoikeuksien hallintamalleja koskevat kysymykset esitetään skenaarioina — Teidän on tunnistettava, mikä malli on käytössä tai suositeltava. DAC (Discretionary Access Control) — resurssin omistaja hallitsee käyttöoikeuksia (Windows NTFS -oikeudet, Linuxin tiedostooikeudet); joustava, mutta perustuu käyttäjän harkintaan. MAC (Mandatory Access Control) — järjestelmä valvoo käyttöoikeuksia luokitusten perusteella (Top Secret/Secret/Confidential); käytössä viranomais- ja sotilasjärjestelmissä; käyttäjät eivät voi muuttaa oikeuksia. RBAC (Role-Based Access Control) — käyttöoikeudet myönnetään roolijäsenyyden perusteella; yleisin yritysympäristöissä ja helposti skaalautuva. ABAC (Attribute-Based Access Control) — käyttöoikeudet perustuvat käyttäjän, resurssin ja ympäristön attribuutteihin; joustavin malli, jota käytetään pilvipalveluiden IAM-ratkaisuissa. Rule-Based AC — käyttöoikeudet määräytyvät sääntöjen perusteella (palomuurien ACL:t, kellonaikaan perustuvat rajoitukset).

NIST SP 800-61 -standardin Incident Response lifecycle on varma koeaihe. Neljä vaihetta ja niiden keskeiset toimenpiteet ovat: Preparation — IR-suunnitelma, toimintaohjeet, CSIRT:n perustaminen, työkalujen käyttöönotto ja harjoitukset; Detection and Analysis — hälytysten käsittelyn priorisointi, IoC-tunnisteiden määrittäminen, vaikutusalueen selvittäminen, vakavuuden luokittelu ja todisteiden säilyttäminen; Containment, Eradication, and Recovery — verkon eristäminen, tilien lukitseminen, haittaohjelmien poistaminen, järjestelmän palauttaminen puhtaista varmuuskopioista ja uudelleentartunnan seuranta; Post-Incident Activity — syyllistämätön jälkianalyysi, perimmäisen syyn analyysi, opittujen asioiden dokumentointi ja prosessien parantaminen. Kysymyksissä kysytään usein, mihin vaiheeseen tietty toimenpide kuuluu tai missä järjestyksessä vaiheet suoritetaan.

Tunnistakaa seuraavat hyökkäykset skenaariokuvauksista: DoS/DDoS — kohteen kuormittaminen niin, että oikeutettu käyttö estyy; SYN Flood — DDoS-hyökkäys, jossa lähetetään suuri määrä SYN-paketteja saattamatta kättelyä loppuun, mikä kuluttaa palvelimen yhteystaulun; Smurf Attack — yleislähetysosoitetta käyttävä vahvistettu ICMP-tulva; ARP Poisoning — väärennettyjen ARP-vastausten lähettäminen liikenteen ohjaamiseksi hyökkääjän kautta (mahdollistaa MITM-hyökkäyksen); DNS Poisoning — väärien DNS-tietueiden syöttäminen käyttäjien ohjaamiseksi haitallisille sivustoille; VLAN Hopping — verkkosegmentoinnin hyökkääminen 802.1Q:n kaksoistagien tai luvattoman trunk-neuvottelun avulla; Replay Attack — kelvollisen todennusistunnon kaappaaminen ja lähettäminen uudelleen; MITM — hyökkääjä sieppaa ja mahdollisesti muokkaa kahden osapuolen välistä liikennettä.

Riskin laskemista koskevissa kysymyksissä kvantitatiiviset riskikaavat on tunnettava täsmällisesti: SLE (Single Loss Expectancy) = omaisuuserän arvo × altistumistekijä (EF). Esimerkki: 100 000 dollarin arvoinen palvelin, jonka odotettu menetys on 40 % tapausta kohden, tarkoittaa 40 000 dollarin SLE-arvoa. ARO (Annual Rate of Occurrence) = kuinka monta kertaa uhka toteutuu vuodessa. ALE (Annual Loss Expectancy) = SLE × ARO. Esimerkki: SLE 40 000 $ × ARO 0,5 = ALE 20 000 $ vuodessa. ROI of a control = (ALE ennen kontrollia) − (ALE kontrollin jälkeen) − (kontrollin vuotuinen kustannus). Jos kontrolli maksaa vuodessa enemmän kuin ALE:n pieneneminen, se ei ole kustannustehokas. Näillä kaavoilla erotetaan kvantitatiivinen (objektiiviset luvut) ja kvalitatiivinen (High/Medium/Low-arviot) riskianalyysi toisistaan.

Todennusprotokollia koskevat kysymykset ovat skenaariopohjaisia — Teidän on tunnistettava tilanteeseen sopiva protokolla: RADIUS — verkkoyhteyden todentamiseen (VPN, Wi-Fi 802.1X); käyttää UDP:tä ja salaa vain salasanan; yleinen yritysten langattomissa verkoissa; TACACS+ — Ciscon kehittämä vaihtoehto; käyttää TCP:tä ja salaa koko hyötykuorman; suositeltava verkkolaitteiden hallintaan (reitittimet/kytkimet); SAML — XML-pohjainen web-sovellusten SSO-standardi IdP:n ja SP:n välillä; yleinen yritysten SSO-kirjautumisessa pilvipohjaisiin SaaS-palveluihin; OAuth 2.0 — valtuutuskehys (ei todennus) delegoitua käyttöä varten; sitä käyttää esimerkiksi Facebook, kun valitaan 'Log in with Facebook'; OpenID Connect (OIDC) — OAuth 2.0:n päälle rakennettu todennuskerros; lisää OAuthin access tokenin rinnalle identiteettitunnisteen (JWT).

Kontrollien luokittelu on yleinen koeaihe. Kontrollit luokitellaan kahden ulottuvuuden perusteella: Type (by implementation): Technical (palomuurit, salaus, MFA), Administrative/Managerial (käytännöt, menettelyt, koulutus, taustaselvitykset), Physical/Operational (lukot, vartijat, kamerat, aidat). Category (by function): Preventive (estää tapahtuman toteutumisen — palomuuri, kulkutunnisteen käyttö), Detective (tunnistaa tapahtuneen tai tapahtuvan tapahtuman — IDS, auditointilokit, CCTV), Corrective (vähentää vaikutuksia tapahtuman jälkeen — varmuuskopiot, päivitysten hallinta), Deterrent (ehkäisee hyökkäyksiä — varoituskyltit, valvontakamerat), Compensating (vaihtoehtoinen kontrolli, kun ensisijaista kontrollia ei voida toteuttaa — air gap -erotus salauksen sijaan vanhassa järjestelmässä).

Langattoman tietoturvan kysymyksissä verrataan protokollasukupolvia: WEP — murrettu, älkää käyttäkö koskaan; RC4 staattisella avaimella ja heikolla IV:llä; murrettavissa minuuteissa; WPA2-Personal (PSK) — käyttää CCMP/AES-salausta; turvallinen, mutta jaettu avain on altis brute-force-hyökkäyksille, jos se on heikko; KRACK-hyökkäys ohittaa WPA2:n (korjattu päivityksellä); WPA2-Enterprise — 802.1X ja RADIUS; jokainen käyttäjä todennetaan erikseen; ei jaettua avainta; turvallisin vaihtoehto organisaatioille; WPA3-Personal — SAE (Simultaneous Authentication of Equals) korvaa PSK:n; tarjoaa eteenpäin suuntautuvan salassapidon ja kestää offline-sanakirjahyökkäyksiä; WPA3-Enterprise — lisää 192-bittisen suojaustilan, jossa käytetään AES-256:ta ja HMAC-SHA384:ää. Kokeessa on tunnettava, mitä versiota suositellaan kotiin, pienyritykseen ja yritysympäristöön liittyvissä skenaarioissa.

Order of volatility määrittää järjestyksen, jossa todisteet kerätään, jotta kaikkein nopeimmin häviävät tiedot säilyvät. Haihtuvimmasta vähiten haihtuvaan: 1. CPU registers and cache (säilyvät nanosekunteja); 2. RAM and running processes (säilyvät minuutteja — virran katkeaminen tuhoaa ne); 3. Network connections and ARP cache (muuttuvat jatkuvasti); 4. Swap/page file (sisältää viimeaikaista RAM-muistin sisältöä); 5. Disk images (pysyviä, mutta niitä voidaan muokata); 6. Remote logging and monitoring data (sijaitsevat etäjärjestelmässä ja ovat kestävimpiä); 7. Archival media (nauhat, varmuuskopiolevyt — vähiten haihtuvia). Tietoteknisen tutkinnan tutkijat keräävät todisteet tämän luettelon yläpäästä alkaen — RAM kerätään aina ennen levykuvan ottamista.

shared responsibility model tulee vastaan palvelumalleihin liittyvissä skenaarioissa. IaaS-mallissa (Infrastructure as a Service — EC2, Azure VM) palveluntarjoaja suojaa fyysisen palvelinkeskuksen ja hypervisorin; asiakas suojaa käyttöjärjestelmän, sovellukset, tiedot, verkkoasetukset ja identiteetin. PaaS-mallissa (Platform as a Service — Heroku, RDS) palveluntarjoajan vastuulle kuuluvat lisäksi käyttöjärjestelmä ja middleware; asiakas suojaa sovelluskoodin, tiedot ja käyttöoikeuksien hallinnan. SaaS-mallissa (Software as a Service — Microsoft 365, Salesforce) palveluntarjoaja suojaa kaiken muun paitsi tietosisällön, käyttöoikeuksien hallinnan ja sääntelyn noudattamisen. Sääntö on seuraava: mitä korkeammalla palvelun abstraktiotaso on, sitä enemmän tietoturvavastuuta siirtyy palveluntarjoajalle — mutta tiedot ja identiteetti ovat aina asiakkaan vastuulla kaikissa malleissa.

Tässä oppitunnissa kerrattiin seuraavat aiheet: kryptografisen algoritmin valinta (symmetrinen salaus suurille tietomäärille, asymmetrinen salaus avaintenvaihtoon ja allekirjoituksiin, AEAD todennettuun salaukseen), riskin laskentakaavat (SLE = AV × EF, ALE = SLE × ARO), joilla kvantitatiivinen analyysi erotetaan kvalitatiivisesta analyysistä, sekä kontrollien tyypit ja luokat (tekninen/ hallinnollinen/fyysinen yhdistettynä preventive-, detective-, corrective-, deterrent- ja compensating-kontrolleihin). Nämä usein kysytyt aiheet esiintyvät useissa koetehtävissä eri asiayhteyksissä. Seuraavaksi käsittelemme ajanhallintaa ja vastausvaihtoehtojen karsimisstrategioita koetuloksen maksimoimiseksi.