Turvallinen verkkosivupalvelin
Kojo, Jimi (2021)
Kojo, Jimi
2021
All rights reserved. This publication is copyrighted. You may download, display and print it for Your own personal use. Commercial use is prohibited.
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi:amk-2021110319217
https://urn.fi/URN:NBN:fi:amk-2021110319217
Tiivistelmä
Tietoturva on nykyisin jokaisen ihmisen elämässä läsnä, koska teknologioiden kehittyminen ja palveluiden digitalisaation yleistyminen ovat kasvattaneet merkittävästi tietoturvan suhdetta elämiseen. Tietoturva on kokonaisuus, joka koostuu teknisistä ratkaisuista ja toimintatavoista. Tietoturvan päätarkoitus on suojata yksityisiä tietoja ja estää ulkopuolisten pääsy niihin.
Yksittäisiin henkilöihin kohdistuvat tietoturvahyökkäykset ovat yleistyneet viime vuosina ja yleisimpiä hyök-käysmuotoja ovat verkkourkinta- ja haittaohjelma-hyökkäykset, sekä hyökkäykset, joiden toteuttamiseen käytetään sosiaalisen manipuloinnin keinoja. Verkkourkinta-hyökkäyksessä hyökkääjä esiintyy usein tunnetun tahon edustaja, jonka avulla pyritään saamaan kohteen luottamus. Haittaohjelma-hyökkäyksessä pyritään luomaan pääsy salattuihin tietoihin tai estämään sallitulta käyttäjältä pääsy niihin haittaohjelman avulla. Sosiaalinen manipulointi on hyökkäysmuoto, joka voidaan toteuttaa kokonaan ilman teknisiä ratkaisuja. Hyökkäyksen yhteydessä esitetään usein veruke, joka sisältää hyvinkin yksityiskohtaisia tietoja kohteesta.
Käyttäjä voi parantaa käyttämiensä laitteiden ja palveluiden tietoturvaa omalla toiminnallaan huomattavasti. Salasanan pituuden tulisi olla yli 15 merkkiä ja sen tulisi sisältää pieniä sekä isoja kirjaimia, numeroita ja erikoismerkkejä. Salasanan ei tulisi liittyä käyttäjään, laitteeseen tai käytettävään palveluun. Käyttäjän tulisi miettiä tarkasti, millaisia tietoja tulisi jakaa esimerkiksi sosiaalisessa mediassa. Järjestelmät tulee päivittää säännöllisesti ja suojausohjelmien käyttö on suositeltavaa jokaisessa verkkoon liitetyssä laitteessa.
Työn aikana tehtiin virtuaalinen tietokone VirtualBox-virtualisointiympäristöön. Virtuaaliselle tietokoneelle voidaan määrittää isäntäkoneen resursseja. Resurssien määrää voidaan vaihtaa myös virtuaalisen tietokoneen luomisen jälkeen. Virtuaaliselle tietokoneelle asennettiin Ubuntu Server-käyttöjärjestelmä, jonka tietoturvaa parannettiin määrittämällä käyttäjätilien käyttöoikeudet turvallisiksi, konfiguroimalla UFW-palomuuri ja vahvistamalla SSH-yhteyden suojausta.
Root-käyttäjälle määritettiin vahva salasana, jonka jälkeen se poistettiin käytöstä toistaiseksi. SSH-yhteys sallittiin vain tietylle käyttäjätilille ja SSH-yhteyteen lisättiin kaksivaiheinen tunnistautuminen Google Authenticator-sovelluksen avulla. Käyttöjärjestelmän suojaustoimenpiteiden vaikutuksia kokeiltiin esimerkkihyökkäysten avulla.
Verkkosivupalvelin pystytettiin Apache-palvelinohjelman avulla ja palvelimelle tehtiin yksinkertainen verkkosivu. Apachen tietoturvan tasoa myös parannettiin estämällä palvelimen tyypin ja version tunnistaminen sekä estämällä verkkosivun kansion sisällön listaaminen selaimessa. Palvelimelle asennettiin myös erillinen verkkopalvelimen palomuuri. Palomuuriksi asennettiin ModSecurity, koska se on alun perin rakennettu Apachen moduuliksi.
Työn tavoite oli suojata verkkosivupalvelin ja työn aikana tehdyissä testeissä voitiin todeta, että palvelimen tietoturvan tasoa pystyttiin parantamaan huomattavasti. Työn tulos oli siis erittäin onnistunut. Työn aikana tehdyillä toimenpiteillä voidaan suojata verkkosivupalvelin esimerkiksi Brute Force- ja Fingerprinting-hyökkäyksiä vastaan. Työn tuloksesta voidaan todeta, että käyttäjä voi omalla toiminnallaan parantaa laitteidensa ja käytettävien järjestelmien sekä palveluiden tietoturvan tasoa huomattavasti.
Yksittäisiin henkilöihin kohdistuvat tietoturvahyökkäykset ovat yleistyneet viime vuosina ja yleisimpiä hyök-käysmuotoja ovat verkkourkinta- ja haittaohjelma-hyökkäykset, sekä hyökkäykset, joiden toteuttamiseen käytetään sosiaalisen manipuloinnin keinoja. Verkkourkinta-hyökkäyksessä hyökkääjä esiintyy usein tunnetun tahon edustaja, jonka avulla pyritään saamaan kohteen luottamus. Haittaohjelma-hyökkäyksessä pyritään luomaan pääsy salattuihin tietoihin tai estämään sallitulta käyttäjältä pääsy niihin haittaohjelman avulla. Sosiaalinen manipulointi on hyökkäysmuoto, joka voidaan toteuttaa kokonaan ilman teknisiä ratkaisuja. Hyökkäyksen yhteydessä esitetään usein veruke, joka sisältää hyvinkin yksityiskohtaisia tietoja kohteesta.
Käyttäjä voi parantaa käyttämiensä laitteiden ja palveluiden tietoturvaa omalla toiminnallaan huomattavasti. Salasanan pituuden tulisi olla yli 15 merkkiä ja sen tulisi sisältää pieniä sekä isoja kirjaimia, numeroita ja erikoismerkkejä. Salasanan ei tulisi liittyä käyttäjään, laitteeseen tai käytettävään palveluun. Käyttäjän tulisi miettiä tarkasti, millaisia tietoja tulisi jakaa esimerkiksi sosiaalisessa mediassa. Järjestelmät tulee päivittää säännöllisesti ja suojausohjelmien käyttö on suositeltavaa jokaisessa verkkoon liitetyssä laitteessa.
Työn aikana tehtiin virtuaalinen tietokone VirtualBox-virtualisointiympäristöön. Virtuaaliselle tietokoneelle voidaan määrittää isäntäkoneen resursseja. Resurssien määrää voidaan vaihtaa myös virtuaalisen tietokoneen luomisen jälkeen. Virtuaaliselle tietokoneelle asennettiin Ubuntu Server-käyttöjärjestelmä, jonka tietoturvaa parannettiin määrittämällä käyttäjätilien käyttöoikeudet turvallisiksi, konfiguroimalla UFW-palomuuri ja vahvistamalla SSH-yhteyden suojausta.
Root-käyttäjälle määritettiin vahva salasana, jonka jälkeen se poistettiin käytöstä toistaiseksi. SSH-yhteys sallittiin vain tietylle käyttäjätilille ja SSH-yhteyteen lisättiin kaksivaiheinen tunnistautuminen Google Authenticator-sovelluksen avulla. Käyttöjärjestelmän suojaustoimenpiteiden vaikutuksia kokeiltiin esimerkkihyökkäysten avulla.
Verkkosivupalvelin pystytettiin Apache-palvelinohjelman avulla ja palvelimelle tehtiin yksinkertainen verkkosivu. Apachen tietoturvan tasoa myös parannettiin estämällä palvelimen tyypin ja version tunnistaminen sekä estämällä verkkosivun kansion sisällön listaaminen selaimessa. Palvelimelle asennettiin myös erillinen verkkopalvelimen palomuuri. Palomuuriksi asennettiin ModSecurity, koska se on alun perin rakennettu Apachen moduuliksi.
Työn tavoite oli suojata verkkosivupalvelin ja työn aikana tehdyissä testeissä voitiin todeta, että palvelimen tietoturvan tasoa pystyttiin parantamaan huomattavasti. Työn tulos oli siis erittäin onnistunut. Työn aikana tehdyillä toimenpiteillä voidaan suojata verkkosivupalvelin esimerkiksi Brute Force- ja Fingerprinting-hyökkäyksiä vastaan. Työn tuloksesta voidaan todeta, että käyttäjä voi omalla toiminnallaan parantaa laitteidensa ja käytettävien järjestelmien sekä palveluiden tietoturvan tasoa huomattavasti.