Välillä kaikki ei suju helposti ja se jos mikä on opettavaista. Syitä voi etsiä useista paikoista, vaikka ne yleensä löytyvät tuolin ja ruudun välistä. Tällä kertaa tutustumme allekirjoittaneen kipuiluun saada T-Potin logit Wazuhiin, selvästikin vajavaisella osaamisella. Tällä kertaa kyseessä ei ole varsinainen projekti, vaan muistiinpanoja mahdollisesti muille asian kanssa kipuileville.
Aikaisemmista kirjoituksista on tuttua T-Potin käyttö ja myös Wazuhin asennus.
Yritys 1: T-Potin logstash
T-potin github-ohjeista löytyykin valmista ohjetta malliksi. Joten eihän tässä varmastikaan kauaa mene!
Ei toivottoa nopeaa onnistumista, lokit eivät lähde liikkeelle.
Yritys 3: Toinen Filebeat
Filebeat on jonkin verran tuttu, joten kokeillaan josko sen saisi ei-dockerisoituna välittämään dataa? Tässä esimerkissä välitetään vain Cowrien data (ssh-honeypot).
Versio
Ensimmäisenä pitää luonnollisesti valita sama versio (oss) Filebeatista kuin mitä Wazuh käyttää. Arvaa menikö tämä oikein kerralla?
Huomio tässä kohdassa että Wazuhin asennuksessa portti on 443, eikä yleensä ELKissä oletuksena mainittu 5601.
Indexit
Tiedot voi lähettää joko samaan tai eri indeksiin. Mikäli haluaa pitää honeypotin tiedot erillään testejä varten, voi aivan hyvin käyttää oletuksena olevaa filebeat-indeksiä. Mikäli haluaa että Wazuh lukee T-Potin tietoja, voi indeksin asettaa samaksi, tässä “my-alerts”.
Tämä artikkeli on jatkoa BTB-Projektille: Kotilabran palvelut, jossa pystytimme Proxmox- virtualisoinnin Asus PN50 raudan päälle. Nyt jatkamme syventymällä Wazuhin käyttöön!
Tavoite: Ottaa Wazuh käyttöön kotiverkon valvontaan
Vaikeus: Helppo
Aika: Tunteja
Hinta: 0 €
Olethan tätä ennen jo asettanut varmuuskopioinnin päälle ja osaat ottaa yhteyden virtuaalikoneillesi joko SSH:lla tai konsolin yli.
Mikä on Wazuh?
Wazuh kuvailee itseään seuraavasti:
“Wazuh is a free, open source and enterprise-ready security monitoring solution for threat detection, integrity monitoring, incident response and compliance.”
Wazuh käyttää ELK-stackiä lokien vastaanottamiseen, käsittelyyn ja hälytysten tekemiseen, agenttien tai ulkoisten lokilähteiden syötteistä. Sitä voidaan pitää sekä SIEM / HIDS että EDR järjestelmänä, joten kotilabraan löytyy paljon kiinnostavaa kokeiltavaa.
Miksi siihen kannattaa siis tutustua?
Alla on erilaisia käyttötapauksia, joista näkee mitä kannattaisi omassa käytössä kokeilla:
Omakohtaisesta kokemuksesta voin sanoa että kovalevy tulee ennen ensimmäistä käynnistystä olla ide-muotoisena. Muutoin asennuksessa ei ollut mitään ihmeellistä. Alla näkyvät suhtellisen hyvän suorituskyvyn takaavat asetukset.
Kun kone on valmiina, käynnistyksen jälkeen se vastaa suoraan saamastaan ip-osoitteesta portista 443. Oletussalasana on admin / admin. Mikäli serverille on asiaa, on tunnus root / wazuh.
Pysyvämmässä käytössä nämä tulee vaihtaa, mutta nyt jouduttaisiin myös koskemaan Wazuhin / Elkin asetuksiin, joten jatkamme oletuksilla.
Agenttien käyttö
Agenttien avulla saadaan koneista dataa monipuolisesti ja puskuroidusti. Windows-puolella myös XP:t ovat tuettuja, joka avaa jatkoa varten kiinnostavia mahdollisuuksia 🙂
Wazuh -> Agents sivulta saa suoraan komentokehoitteen agenttien asentamiseksi.
Vaihtoehtoinen tapa on luoda ISO-tiedosto, jonka voi Proxmoxin kautta asettaa kohdekoneille saataville CD-aseman kautta. AnyToISo-ohjelmalla voi Wazuh-agentit sisältävästä hakemistosta tehdä ISO-tiedoston.
Käsin asentamalla ainoa tarvittava tieto on Wazuhin IP-osoite ja tämän jälkeen palvelun käynnistys. Asennetut agentit ottavat yhteyttä Wazuhiin ja muutaman minuutin työn jälkeen tiedonkeräys on jo käynnissä.
Syslog-lokien vastaanotto
Yleisesti käytössä oleva syslog-formaatti mahdollistaa reitittimien, NAS-purkkien ja muiden laitteiden lokien vastaanoton.
Aseta palveluun Wazuhin IP, portti 514 ja muodoksi UDP.
Lokitietojen tarkastelu
Wazuhin valikoiden alapuolelta löydät myös Kibanan omat valikot. Valitse sieltä Discovery, jossa näet lokifeedin ja voit tarkastaa että halutut lokit todellakin tulevat perille.
Voit varmistaa että lokit tulevat perille pudottamalla lokien hälytystasoa esim arvolle 1 tai generoimalla hälytyksiä:
Erittäin näppärä piirre on Wazuhin kyky tarkkailla asennuksia ja niiden todettuja haavoittuvuuksia. Aseta ensin päälle halutut käyttikset (Windows/Ubuntu/redHat jne):
(Kannattaa tosin ensin rauhassa tutustua järjestelmään ja rakentaa se tuotantokäyttöön ajatuksen kanssa. Ota varmuuskopiot ja snapshotit merkittävien muutosten jälkeen).
Omat hälytykset ja säännöt
On luultavaa että aivan haluttua hälytystä ei löydy, joten voit rakentaa sääntöjen avulla oman hälytyksen:
Wazuh tarjoaa nopeasti hyvin monipuolisen ratkaisun verkon laitteiden tapahtumien valvontaan. Tutustumalla ohjeisiin voit laajentaa sitä haluttuun suuntaan ja opettelemalla ELK-stackin toimintaa, voit myös rakentaa raportoinnin haluamaasi suuntaan.
Pikaisen käytön jälkeen huomasin että useasta komponentista koostuvassa järjestelmässä kannattaa olla tarkkana päivttämisen kanssa, tuki uusimmille komponenteille ei ilmesty hetkessä kaikkialle. Suosittelen rakentamaan pysyvään käyttöön erilliset ELK ja Wazuh ympäristöt.
Muutaman haastavamman ELK-konffauksen jälkeen piti turvautua Proxmoxin varmuuskopioiden palautukseen ja palata alkuruutuun, mutta tästä lisää seuraavassa artikkelissa jossa tutustutaan T-Potin ja Wazuhin yhteiselämään!
Tämä artikkeli on jatkoa BTB-Projektille: Oma kotilabra, jossa pystytimme Proxmox- virtualisoinnin Asus PN50 raudan päälle. Nyt jatkamme erilaisten palveluiden pystyttämisellä.
Tavoite: Pystyttää ensimmäiset palvelut Proxmoxin päälle
Vaikeus: Keskitaso
Aika: Riippuu palvelusta
Hinta: 0 €
Olethan tätä ennen jo tutustunut hieman Proxmoxin dokumentaatioon ja huolehtinyt että sinulla on määritettynä storage-asetukset sekä varmuuskopioinnille että ISO / templaattien säilytykseen!
Perusteita
Hierarkia
Huomaa että osa Proxmoxin asetuksista löytyy Datacenter tasolta ja osa noodi-tasolta. Noodi-tason alta löydät storage-asetukset ominaan.
Palvelut
Proxmox ajaa kahdenlaisia palveluita:
Virtuaalikoneita, jotka sisältävät varatut resurssit
LXC kontteja, joissa resurssit ovat jaettuja
Virtualisoinnin hyödyt tulevat esille molemmissa. PN50:n kuusi prosessoria ja muisti voidaan jakaa virtuaalikoneiden ja konttien käyttöön niiden todellisen tarpeen mukaan, sillä käyttämättä jäävä kapasiteetti on muiden koneiden ja konttien käytössä. Käyttötavoilla on kuitenkin vielä eroa tietoturvan suhteen, virtualisoidut koneet ovat eristettyjä kernelin suhteen, kun taas konteissa pitää ottaa huomioon ajetaanko kontteja “Unprivileged” moodissa (suositus), jolloin niitä ajetaan käyttäjäoikeuksin (ei-root) erillisessä nimiavaruudessa. Pääsääntönä siis internetiin näkyvät palvelut kannattaa ajaa omana virtuaalikoneenaan ja sisäverkon palvelut kontteina.
CPU: Host mode on suositeltava tehon ja yhteensopivuuden takia, mikäli et aio tehdä migraatioita. Oletuksena tarjotaan KVM-muotoista prosessoria.
Muisti: Linux tukee suoraan mukautuvaa muistia (ballooning) ja Windows lisäajurien kautta. Voit määrittää minimi- ja maksimimuistimäärän. Huomaa että mikäli ylä- ja alaraja muokkaantuvat yhtäaikaa, määritä ensin yläraja ja sitten klikkaa alarajaa ja editoi siihen haluamasi arvo.
Levy: Levy kannattaa asettaa käyttämään nopeinta varastoa, joka minun tapauksessani on paikallinen local-lvm. Mikäli erehdyksessä levy asentuu esim. Synologylle, voi sen migroida uuteen paikkaan Hardware -> move disk 🙂
Boot order: Kun koneesi on boot-loopissa, mene tarkastamaan Options kohdasta boot order ja katso että kiintolevylläsi on rasti ruudussa 🙂
LXC templaatit
Templaatteihin pääset GUI:n kautta käsiksi kun menet noodin asetuksissa siihen storageen, johon olet määrittänyt CT templaatit talletettavan. Klikkaa Templates.
Isäntäkoneen laitteiden käyttö
Esim GPU:n tehojen parempi hyväksikäyttö salasanojen murtamiseen onnistunee näillä ohjeilla:
Proxmoxin konsolista saat helposti ruutuyhteyden koneelle, mutta leikepöytä ja tiedostojen siirto eivät ole tuettuja no-VNC:llä. Vaihtoehtona on asettaa RDP-palvelu, ottaa yhteys SSH:lla/SFTP:lla, avata yhteinen levyjako esim turnkey-fileserver kontilla tai tehdä CD-asemalle hakemistoista levyjä AnytoISO ohjelmalla. Lisäksi SPICE-ohjelmistot ovat tuettuja, jos ne saa toimimaan.
Pi-Hole virtualisoituna
Luodaan ensimmäisenä Debian templaatin päälle Pi-Hole, jota voidaan käyttää oman kodin mainosten estoon. BlueTeamBuildersin lukijat ovat saattaneet jo aikaisemmin asentaa Pi-Holen Raspberry Pi:n päälle, mutta nyt voidaan helposti lisätä vikasietoisuutta virtualisoidun palvelun kautta.
Luo templaatin pohjalta kontti, aseta salasana / SSH julkinen avain hallintaa varten. Muistia riittää 1000 BiB ja prosessiksi 1 core. Aseta kiinteä IP tai pakota reitittimeltäsi sama IP. Aseta palvelu käynnistymään proxmoxin bootin yhteydessä.
Käynnistä kontti ja siirry siihen Consolen kautta.
Siirrä Teleporter toiminnon kautta vanhasta Pi-Holesta asetukset uuteen.
Voit tehdä asennuksesta templaatin jatkoa ajatellen. Tällöin tee templaatista klooni, joka näkyy nyt samalla IP-osoitteella kuin alkuperäinen (DHCP toimii tässä siis paremmin).
Ota snapshot kloonista palautumista ajatellen
Aseta reitittimessä DHCP-palvelussa myös uusi Pi-Hole kotilaitteidesi käyttöön
Kalin asennus
Tehdään Kalin asennus käyttäen virtuaalikonetta ja Live-CD:tä.
Lataa Kali Linux LiveCD https://www.kali.org/downloads/ ja aseta se saataville ISO-varastoosi. Minun tapauksessani Synologyyn.
Luo virtuaalikone mukautuvalla muistilla esim 2GiB – 8 GiB, neljällä host prosessorilla ja aseta CD-asema käyttämään Kali Live CD:tä.
Käynnistä kone ja avaa Console.
Asenna Linux. Voit myös halutessasi asettaa RDP:n päälle Windowsin käyttöä helpottamaan (leikepöydän kopiointi). Ohjeet: https://www.kali.org/docs/general-use/xfce-with-rdp/ (Minulla Legion lakkasi toimimasta, joten varaudu korjauksiin)
Aseta kerralla oikein levyn SATA /IDE yms asetus Proxmoxilla, jostain syystä esim Wazuh ei toiminut jos asetus oli kerran väärin. Näet asetuksen kun avaat OVA:n esim 7-zipillä ja katsot .ovf-tiedostoa esim Notepad ++:lla.
Proxmoxiin pääset joko noden Shellin kautta tai haluamallasi SSH/SFTP ohjelmalla (esim. Bitwise). Voit siirtää vmdk-levyn koneelle SFTP:llä.
Google Cloudissa on ilmainen kokeilujakso loppumassa ja on aika katsoa mitä jäi käteen 12.10.2020 alkaneesta T-Pot hunajapurkin testaamisesta.
Suorituskykyä on jouduttu lisäämään matkan varrella kahteen otteeseen, jotta palvelut pysyisivät saavutettavina. Viimeisin kokoonpano on 4 vCPUta ja 16 GB muistia.
Kokonaismäärät
Ainakin hyökkäysluvut ovat melkoisia ja palvelu joutuu hetken miettimään tietoja haettaessa:
7,678,203
Dionaea – Attacks
Suurta lukua selittää myös se, että Dionaea sisältää koko joukon suosittuja portteja.
4,565,247
Cowrie – Attacks
Cowrie sen sijaan on puhdas SSH- hunejapurkki. Tyypillisesti palvelinten hallintaan käytettynä se on erittäin herkullinen kohde kokeilla oletussalasanoja erilaisiin palveluihin. Portti kannattaa aina vaihtaa johonkin toiseen.
1,124,970
Heralding – Attacks
Heralding on vastuussa salasanojen ja käyttäjätunnusten kokoamisesta.
816,003
Honeytrap – Attacks
Verkkopalvelujen hunajapurkki.
Vielä muistutuksena nimien ja porttien vastaavuus:
Hunajapurkin perusajatuksen mukaisesti kaikki portit näkyvät ulospäin kaikille mahdollisille kysyjille.
Kotioloissa ensimmäinen asia on sallia vain ne portit ulospäin, joita tarvitaan , esim 80/443 webbisivujen julkaisuun ja VPN/Wireguard/Ipsec määritetyt portit palomuuriin.
Mutta kuka on kiinnostunut näistä palveluista?
Kun katsotaan tarpeeksi pitkältä ajalta, ei hyökkäysten alkuperän suhteen voi vetää mitään kovinkaan suuria johtopäätöksiä. Lisäksi VPN-palveluiden käyttäminen hämärtää maakohtaiset erot.
The Corporation for Financing & Promoting Technology
176,050
Mikäli on jo tiedossa että kaikki palveluiden käyttäjät tulevat tietystä maasta tai alueelta, voi maakohtaisilla rajauksilla (ja oletusporttien vaihtamisella toiseen) pienentää hyökkäyskuormaa. Vai olisiko jokin parempi tapa?
IP-mainelistat
Kun erilaiset hunajapurkit lähettävät tietojaan keskitettyihin palveluihin, muodostuu nopeasti tietokanta, jossa korostuvat haitalliset IP-osoitteet. Tämä tuli allekirjoittaneelle selväksi hieman vahingossa, kun testasin erään yrityksen IP:n kautta hyökkäystyökaluja tähän T-Potiin. Asennusvaiheessa olin merkinnyt että tiedot saa jakaa eteenpäin. Luonnollisesti pian yrityksen IP:stä oli merkitty tulevan hyökkäysliikennettä asiaa seuraavissa palveluissa. Onneksi heidän asiakaspalvelunsa poisti tiedot selvityksen jälkeen. Kannattaa siis muistaa tehdä testaukset eristettyihin ympäristöihin!
Kun katsotaan T-Potin listaa, tulee hyvin nopeasti selville että suurin osa hyökkäyksistä tulee jo tunnetuista huonoista lähteistä. Siispä tämä palvelu toimii oivana tietokantana jatkosuodatuksille tai mainehaittapalveluiden käyttö on myös tehokas tapa suodattaa liikennettä. Esim PfSensessä voi omaan palomuuriinsa tilata IP-suodatuslistoja keskitetysti ylläpidetyiltä tahoilta: https://nguvu.org/pfsense/pfSense-pfblockerng-configuration-guide/#Malicious%20IP%20Address%20Blocking
Mitä muuta tietoa olemme saaneet? Luonnollisesti kiinnostavaa on katsoa millä tunnuksilla on sisään koitettu päästä.
Suosituimmat käyttäjätunnukset ja salasanat
Suosituimmat käyttäjätunnukset (vaihda nämä):
root
373,271
test
21,016
admin
19,874
Admin
16,497
nproc
11,300
guest
9,689
sa
5,825
user
5,482
ubuntu
2,574
postgres
1,979
oracle
1,945
git
1,410
support
1,403
ftpuser
1,170
nagios
910
student
874
mysql
838
sh
798
enable
732
deploy
714
ja suosituimmat salasanat (älä käytä näitä):
admin
65,186
root
25,054
123456
20,342
password
17,920
Admin
16,299
test
16,051
nproc
11,297
guest
8,946
123
4,297
12345
3,300
1234
2,955
12345678
2,790
password123
2,023
1
1,836
1,746
qwerty
1,135
1qaz2wsx
1,025
123123
1,012
aqweasdfgfdgfdh
984
1q2w3e4r
976
Ja (huonoja) yhdistelmiä:
Älä siis koskaan salli näin helppojen yhdistelmien käyttöä palveluissa.
Ikävä kyllä oletusportit ja oletustunnukset eivät ole ainoa tapa, jolla hyökkääjät pääsevät sisälle. Tietomurtoja tehdään myös paikkaamattomien haavoittuvuuksien kautta.
Mitkä haavoittuvuudet ovat olleet hyökkääjien suosiossa?
Suricatan kautta saamme tietoon koitetut tekniikat:
cat /proc/cpuinfo | grep model | grep name | wc -l
11,618
which ls
11,618
ls -lh $(which ls)
11,617
uname -m
11,617
Miksi?
Syitä koittaa saada palvelu haltuunsa on lukuisia, aina roskapostittamisesta uusien hyökkäysten tekemiseen. T-Potin kautta saadaan kuitenkin myös tietoa katsomalla latauksia. Tietoturvasyistä en laita tarkemmin tietoa mistä erilaisia paketteja on koitettu ladata. Eräs kiinnostava tieto ovat ladattavien pakettien nimet: dota.tar.gz. Nämä viittaavat erilaisiin virtuaalivaluuttojen louhintaohjelmiin.
Hyökkääjien yksi motivaatio onkin tehdä rahaa valjastamalla palvelimet louhintaan. Näiden hyökkäysten määrä nousee aina virtuaalivaluuttojen kurssin noustessa ja ennakoi myös erilaisia selainhaitakkeita.
Loppusanat
Tämä projekti oli hieman pidempi, mutta tuotti paljon tietoa hyökkääjistä ja käytetyistä tekniikoista.
Kulut olivat:
Lokakuu: $ 31,80
Marraskuu:$ 108,34
Joulukuu: $139,53
Tammikuu $ 39,38
Yhteensä siis: $ 319,05, joka meni kokonaisuudessaan Google Cloudin Trialin ja erilaisten alennusten alle. Suosittelen kokeilemaan, samalla tuli opittua paljon palveluiden monitoroinnista ja hinnan muodostumisesta julkipilvessä.
Todettakoon että seuraavan Honeypotin toteuttaisin dedikoidulla raudalla ja hieman rajatumpana omaan verkkoon DMZ:lle, sisältäen Cowrien, Dionean ja muutaman muun palvelun.
Itselleni tietojen valuminen uhkakantoihin oli hieno osoitus siitä, miten hunajapurkkien verkostolla saadaan aikaan nopea suojaus mainetietokantojen kautta. Lisäksi tiedoilla voidaan visualisoida hyvin esim IT-alan opiskelijoille miksi päivittäminen ja tietoturva on keskeinen osa palveluntuotantoa ja kodin tietoturvaa. Usein hyökkäykset ovat abstrakteja ja niiden ajatellaan kohdentuvan vain “kiinnostaviin tahoihin”. Näin ei ole, vaan kaikki mikä on verkkoon kytkettynä ja näkyvillä, on myös hyökkäyksen kohteena automaattisesti.
Tässä vielä muistilista suojaukseen (* merkityt edistyneille):
*Vaihda oletusportit toisiin
Salli ulospäin vain tarpeelliset (*ja oletusarvoista muihin vaihdetut) portit palomuurissasi
*Suodata liikenne maarajauksilla / mainetietokantoja käyttäen
Vaihda oletuksena olevat *käyttäjätunnukset ja salasanat toisiin
Päivitä palvelut ja palomuurin / reitittimen ohjelmisto aina kun mahdollista
Eikö olisi kiinnostavaa katsella kuinka palveluihin koitetaan murtautua ja mitä haavoittuvuuksia milloinkin koitetaan käyttää hyväksi? Honeypottien, eli hunajapurkkien avulla tämä on mahdollista turvallisesti. Niiden sisältämät palvelut näyttävät oikeilta, mutta eivät päästä hyökkäjää eteenpäin ja antavat samalla puolustautujalle lisätietoa mistä osoitteista ja millä tekniikoilla palveluihin koitetaan päästä käsiksi.
Tavoite: Havainnoillistaa palveluihin kohdistuvat hyökkäykset ja antaa tietoa puolustautujalle
Vaikeus: Helppo
Aika: 30 min
Hinta: 0- 1 € / vrk (riippuen käytetäänkö pilviratkaisua vai omia laitteita)
T-Pot
T-Pot on itseasiassa kokoelma hunajapurkkeja, jotka simuloivat erilaisia yleisiä palveluita ja portteja. Kokoelma asentuu automaattisesti sisältäen kaikki datan ja lokien keräykseen ja visualisointiin tarvittavat palvelut. Lisäksi se lähettää telemetria-tietoa automaattisesti eteenpäin, tarjoten siten yleishyödyllistä tilannekuvaa tietoturvasta: https://sicherheitstacho.eu/ Lisäksi saadun tiedon voi ohjata omiin lokeihin tai palveluihin näin halutessaan. Projektina sen käyttöönotto on helppo ja palkitseva.
T-Potin voi asentaa joko pilveen tai omalle laitteelle. On huomattava että hunajapurkille pitää sallia kaikki liikenne kaikkiin portteihin, jotta sitä vastaan saataisiin maksimaalinen hyökkäyskiinnostus. Tällöin oman verkon DMZ on tarpeen.
Julkipilvestä tulee kustannuksia, mutta esim Googlen pilvi-palvelut tarjoavat tällä hetkellä 300 € kokeilurahaa. Siksi se oli luonteva valinta päästä heti käsiksi tietoon turvallisesti.
Asennus kestää noin puolisen tuntia ja Cyber-99 tarjoaa tähän hyvät ohjeet:
3. Laita health check hälyttämään koneen toiminnasta ja harkitse uptimerobot.com hälytystä myös
Tulokset
Sisäänkirjautumisen jälkeen Kibanan kautta saat pääsyn valmiiksi luotuihin visualisointeihin.
Jo viidentoista minuutin aikana näkee miten paljon hyökkäyksiä tehdään tätä julkista osoitetta vastaan.
Voit nähdä läpi erilaisten hunajapurkkien millaisia salasanoja palveluihin koitetaan. Luonnollisesti kannattaa varmistaa ettei näitä missään nimessä käytetä,
Vastaavasti myöskin tietyt käyttäjätunnukset kannattaa poistaa tai laittaa automaattisesti blokkaamaan kirjautujan IP-osoite.
Suricatan tunnisteiden kautta näkee mitkä tekniikat ovat tällä hetkellä hyökkääjien suosiossa.
Myös shell komennot tallennetaan automaattisesti.
Kaikkiaan voi todeta että saadut tiedot tukevat hyvin puolustautujan tiedonsaantia.
Kohdatut ongelmat
Kirjautuminen ei varsinaisesti toimi kuin asennuskuvauksessa, vaikka virtuaalikoneelle tekee oman tilin. Tästä huolimatta tietoihin kuitenkin pääsee käsiksi Kibanan kautta. Lisäksi ilmeisesti hyökkäysvoluumista johtuen saattaa kone kipata nurin, jos jokin innostuu kokeilemaan reippaammin bruteforcea. Tällöin virtuaalikoneen voi resetoida Google cloudin kautta ja muutaman minuutin päästä kaikki toimii taas normaalisti.
Loppusanat
Jo muutaman päivän pikakokeilulla T-Pot osoittaa tarjoavansa hyödyllistä tietoa. Muutamia kehitysajatuksia:
Rajoittaa pääsy hyökkääjälle vain tietyn kanavan kautta
Automaattisesti siirtää IP, salasana ja käyttäjänimitieto ajastetusti toiselle palvelimelle
Viimeisten vuosien aikana on käynyt entistä selvemmäksi että viestinnän tietosuojan varmistamista ei voi jättää suurten nettijättien vastuulle. Käyttäjä ja käyttäjän tiedot ovat kauppatavaraa, joilla maksetaan näennäisesti ilmaisten palvelujen kulut. Vaikka palvelua käyttöönottaessa olisi valmis antamaan viestintänsä skannattavaksi tälle yhdelle taholle, onko tilanne enää sama muutaman vuoden aktiivisen käytön ja tuntemattomien alihankkijoiden ilmestyttyä mukaan?
Tämänkertainen projektimme on hieman erilainen. Esittelen siinä palveluita ja tekniikoita, joilla pyritään varmistamaan viestinnän tietoturvan ja tietosuojan toteutuminen pitkäjänteisellä tavalla. Rakennusprojektina on siis kokonaisvaltainen viestinnän suojaus.
Tavoite: Turvata yksityisviestien tietosuoja ja turvallisuus kolmansilta osapuolilta
Aloitamme ensin nettiyhteyden suojaamisesta. Liikenteestä voidaan erotella muutama pääkomponentti:
DNS-kyselyt, joilla selvitetään mihin IP-osoitteeseen esim. mersu.fi liikenne tulisi ohjata
Varsinainen liikenne, esim nettisivujen selailu, sähköpostien lataus tai pikaviestit.
Liikenteen suojaaminen – DNS
DNS-kyselyissä kodin reititin ja mobiililaite tarjoavat yleensä oman palveluntarjoajan DNS-palvelimia. Suomessa ei ole *vielä* tullut esille tilannetta, jossa palveluntarjoaja myisi selailutietoasi mainostajille, mutta USA:ssa tämä on jo arkipäivää. Yhdessä sosiaalisen median profiiliesi kanssa selailuhistoriasi mahdollistaa hyvin kohdennetun mainonnan ja myös henkilöllisyytesi selvittämisen näennäisestä anonymiteetista huolimatta.
Voit vaihtaa dns-palvelimien osoitteet pois ISP:n palvelimista haluamallesi taholle tai hajauttaa niitä useampaan palveluun. Suosittelen vaihtamaan palvelimet suoraan reitittimeltä, jolloin ne tulevat kaikkien verkon laitteiden käyttöön. Mikäli olet jo ottanut Pi-Holen käyttöön, tarjoaa se sinulle verkkotason mainosten poistoa ja yhdessä PiVPN-softan kanssa, toimii myös mobiililaitteillesi.
Moni laite (Chromecast / Älytv:t) käyttävät kovakoodattuja dns-palvelimia, usein Googlen 8.8.8.8 tai 8.8.4.4 osoitteita, ohjaten dns-kyselyt suoraan Googlelle. Halutessasi voit asettaa palomuurillesi säännön, jossa portin 53 liikenne blokataan muilta kuin reitittimeltä ja Pi-Holelta ja portin liikenne ohjataan esim Pi-Holelle.
Vielä uutena mahdollisuutena ja uhkana on dns-over-https (DoH), jossa dns-kyselyt ohjataan normaalin liikenteen seassa salattuna sitä tukeville palvelimille. Oman liikenteen suojaamiseen tämä on tietyissä oloissa oivallinen keino, mutta oman kotiverkon suojaamiseen haittaohjelmilta luonnollisesti vaikeuttava tekijä.
Mikäli reititin sitä tukee, on DNS-over-TLS porttia (DoT) 853 käyttäen myös hyvä tapa suojata dns-kyselyiden yksityisyys.
Liikenteen suojaaminen – VPN
Vaikka nykyään lähes kaikki selaimen http-liikenne on salattua TLS-salauksella (https), on hyvä käytäntö suojata liikenne kokonaisvaltaisesti VPN-tunnelin kautta. Tämä takaa erityisesti mobiililiikenteen tietosuojan. Toki myös kotireitittimen liikenteen voi ohjata vaikkapa ProtonVPN:n Suomen palvelimien kautta, mikäli ei luota palveluntarjoajaansa tai haluaa piilottaa liikenteensä alkuperän.
VPN-yhteyden voi muodostaa myös vain halutuille softille (split tunneling).
Huom: Kannattaa välttää epämääräisiä VPN-palveluntarjoajia ja applikaatioita, jotka lupaavat olla lokittamatta ja suojata tietosuojasi ilmaiseksi. Luotettava VPN-palvelu on aina maksullinen.
Puheluiden suojaaminen
GSM-puheluiden tietoturva on pitkään ollut kyseenalainen ja valtiollisten toimijoiden tai valtioiden seuranta on arkipäivää. Koska artikkelimme uhkakuva on mainostajilta suojautuminen, puheluiden tietosuoja ei ole *vielä* keskiössä.
Esim Signalin kautta tehdyt puhelut ovat salattuja ja laadultaan yleensä hyviä. Rajoitteena on luonnollisesti Signalin hidas yleistyminen, mutta sen käyttäjiä alkaa jo löytyä, varsinkin tietoturvapuolelta.
Mobiililaitteiden kontaktien kerääminen on ollut suosittu tekniikka, jolla on kohdennettu mainontaa ja rakennettu profiileja seurantaa varten. Kannattaa harkita mitkä sovellukset todella tarvitsevat tietoa ja myös miettiä miten kontaktit synkronoi eri laitteiden välillä.
Esim oma NextCloud-palvelin ja DAVx5 synkronointi pitää tiedot omassa hallussasi, mutta saatavilla eri laitteiden välillä.
Sähköpostissa monella on tilanne, jossa aikoinaan on otettu käyttöön Yahoo, Hotmail, Outlook.com tai Gmail ja ajan myötä koko henkilökohtainen elämä on rakentunut tämän osoitteen varaan. Tämän riippuvuuden purkaminen viekin hieman aikaa.
Osoitteen uudelleenohjaus
Suurin ongelma on digitaalisen identiteetin rakentuminen yhden palveluntarjoajan emailin varaan. Vaikka useimmista palveluista voi ohjata emailit uuteen osoitteeseen, kiertäisivät ne kuitenkin turhaan alkuperäisen tarjoajan kautta. Ratkaisuna on käyttää osoitetta, joka ohjaa emailit aina kulloinkin käytössä olevalle palveluntarjoajalle.
oman domainin rekisteröimällä ja sen osoitetta käyttämällä saa täyden hallinnan sähköpostiinsa
mainostajille voi tarjota käyttöön kustomoidun emailin, esim AnonAddyn PGP-salatun palvelun kautta: anonaddy.com
Nyt seuraavien vuosien aikana vanha gmail-osoite tulee korvata jokaisessa mahdollisessa paikassa uudella osoitteella ja asettaa gmailista uudelleenohjaus uuteen osoitteeseen. Vanhasta osoitteesta tulevat mailit kannattaa merkitä tunnisteella ja aina käydä päivittämässä uusi osoite kun huomaa vanhaa emailia käytettävän. Muutaman vuoden kuluttua varsin pienellä työllä on käyttö siirtynyt uudelle palveluntarjoajalle.
Mutta mikä palvelutarjoaja kannattaa valita tilalle?
Uusi sähköposti
Valintakriteerina on yksityisyyden suojaaminen sekä vahva tietoturva. Seuraavassa erilaisia vaihtoehtoja:
Oman palvelun pyörittäminen, esim Synology NAS +oma domain. Vaatii eniten vaivaa ja tietoturvan ylläpitäminen sekä yhteyden varmistaminen on omassa vastuussa.
Ulkoistettu taho, esim kapsi.fi + NextCloud. Hieman vähemmän vaivaa, infra-puoli on hoidettu puolestasi.
Kaupallinen taho, esim Protonmail tai Tutanota. Vähiten vaivaa ja hyvä tietosuojan ja tietoturvan taso PGP-salauksella.
PGP-salattu viestintä
Protonmail tarjoaa muutaman suuren edun. Se rakentuu PGP-salauksen ympärille, jossa viestien sisältö salataan myös palveluntarjoajalta. Lisäksi viestit eivät lähde palvelusta muiden protonmail-käyttäjien välillä. Myös oman domainin käyttö on mahdollista, viestintä ilman salausta muiden palveluiden käyttäjien suuntaan tai “secure-mail” toiminnon käyttö.
Käyttäen Protonmailin bridge-ohjelmaa (maksullinen versio) voi vanhat viestit tuoda vanhalta palveluntarjoajalta ja käyttää Protonmailia vaikkapa Outlookin kanssa.
PGP-salauksen voi ulottaa myös Outlookiin, käyttäen esim työpaikalla Encryptomatic-lisäosaa. Tällöin vaikkapa kodin ja työpaikan väliset sähköpostit kulkevat sisällön osalta salattuina.
Huonoina puolina moni käytettävyyteen liittyvä seikka ei vastaa gmailin käyttäjäkokemusta, esim kalenterin osalta. Ilmaisversiota kokeilemalla pääsee kuitenkin pitkälle arvioinnissa.
Avainten jako
Yksi keskeinen seikka PGP-salauksen marginaaliseen käyttöön on ollut julkisen avaimen jakaminen ja sen vaikeus. Aikaisemmat yritykset käyttäjien avainten löytämiseen keskitettyjen avainpalvelinten kautta eivät ole olleet kovin helppoja. Nyt uutena tapana on WKD: https://wiki.gnupg.org/WKD
Ideana on joko itse tarjota dns-tietueiden kautta sähköpostin julkiset avaimet käyttöön tai käyttää sopivaa palveluntarjoajaa. Esim tämän blogin ylläpitäjän julkiset avaimet löytyvät joko WKD-palvelun kautta tai protonmailista suoraan.
Tällöin käyttäjän ei tarvitse huolehtia avainten etsimisestä ja hakemista, vaan softa tarkastaa automaattisesti löytyykö avainta ja salaa viestin automaattisesti. Tämä helpottaa PGP-salauksen yleistymistä ja automatisointia.
Kohdatut ongelmat
Signalissa käyttäjiä on varsin vähän, mutta kutsumalla aktiivisesti kontaktejaan mukaan, on moni vaihtanut oletus SMS-sovelluksensa Signaliin.
Protonmail ja lisäpalvelut ovat vielä kehitysvaiheessa. Esim kalenteri on vielä beta-testauksessa ja sillä ei voi lähettää kutsuja. Varsinainen posti on toiminut hyvin useita vuosia. Jotkut palvelut eivät hyväksy protonmail.com domainia, jolloin iki.fi tai oma domain tarvitaan.
Joissakin paikoissa vastauksen tuleminen iki.fi osoitteen sijaan pm.me osoitteesta aiheuttaa tietoturvahuolia. Tämän takia olen asentanut Thunderbirdiin iki.fi smtp:n käyttöön ja siihen myös s/mime sertifikaatin Traficomilta (Kansalaisvarmenne).
Maistraatille muuttokieltoa tehdessä Protonmailin oletuksena lähettämä julkinen avain tulkittiin liitetiedostoksi, joka ei avautunut kunnolla. Tämä ohitti koko allekirjoitusprosessin ja virkailija hyväksyi muuttokiellon pelkällä emaililla…
Onnistumisia
Gmailista siirtyminen Protonmailiin onnistui helposti, viestit tuli samalla siivottua tauhkasta ja nyt sähköpostit ovat luotettavammassa palvelussa.
Signalin desktop toimii hyvin pitkissä keskusteluissa.
PGP-salaus on nyt rutiinia ja päällä monessa palvelussa (Facebook, WordPress, Anonaddy jne)
Olen oppinut paljon dns-kyselyistä, salauksesta ja yksityisyydensuojasta konkreettisesti tekemällä ja kokeilemalla.
Loppusanat
“Miksi salata ja suojata omaa viestintäänsä? Eihän minulla ole mitään salattavaa!”
Tässä tapauksessa voit myös hyväksyä riskin, että tuntemattomat tahot analysoivat, lukevat ja mahdollisesti julkaisevat viestintääsi vuosien takaa, sinun voimatta vaikuttaa asiaan millään tapaa. Et välttämättä ole kenenkään kiinnostuksen kohde, mutta tietosi voivat vuotaa osana palvelumurtoja, ilkivaltaa tai mainostajien piittamatonta toiminta osapuolille joista et ole koskaan kuullutkaan.
“Ei kiinnosta, liian vaikeaa!”
Tietosuojan parantaminen vaatii aktiivista vaihtamista palveluihin, joissa et ole kauppatavaraa. Mitä useampi tekee tämän valinnan, sitä helpompi on myös muiden siirtyä tietosuojaa kunnioittaviin palveluihin. Mitä suurempi joukko käytettävyyttä ja helppoutta vaativia käyttäjiä palvelulla on, sitä nopeammin ne tulevat myös yleistymään.
Nyt saavutettuani uralla kaiken, mikä on mahdollista, koen velvollisuudekseni jakaa muutamia murusia hyväksi todetuista opeista uransa alkuvaiheella oleville. Tutustu siis näihin kultajyväsiin!
1. Aseta itsellesi tavoitteita ja tee töitä niiden eteen. Sinua ei tulla hakemaan Veikkaukseen kakkukahveille ilman kovaa työtä ja uurastusta. Tutustu lottoamisen teoriaan, todennäköisyyslaskentaan ja aseta itsellesi voittotavoitteita. Joka päivä tuplaamalla voittosi olet pian miljonääri.
2. Opi menestyneiltä ihmisiltä. Kun luet menestyjien elämänkertoja, huomaat kuinka he ovat jättäneet koulun kesken, valmistuneet parhain arvosanoin, kehittäneet yritystään ja joutuneet vankilaan veronkierrosta. Tutustumalla menestyjien elämään, voit korreloida heidän elämänsä keskeiset tekijät suoraan omaan uraasi. Heidän jokainen päätöksensä on vienyt heidät siihen menestyksen kultaiselle projektiolle, jossa he ovat nyt.
3. Herää aikaisin. Ethän haaskaa vuorokauden 25:stä tunnista liikaa nukkumiseen? Herää viimeistään klo 4:09, jotta ehdit zumbata, joogata, lukea Sun Tzuta, meditoida, lukea pörssivinkit, laittaa ruokaa, viedä lapset hoitoon, golfata, pitää yhteyttä verkostoosi, postata LinkedIniin, Twitteröitä, Instagrammeerata sekä MySpacettaa. Tutkimukset ovat osoittaneet että kohtuullisessa univelassa tehdyt päätökset ovat kulminoineet monen uran keskeisiä merkkitapahtumia.
4. Luota intuitioosi. Jos joku asia tuntuu liian hyvälle, se todennäköisesti on aivan loistava sijoituskohde. Älä anna ternimaitokapselien, virtuaalivaluuttojen, kannabisöljyjen tai alpakankarvamattojen mennä ohitsesi. Luota luotettavaan kaveriin, joka kerran kymmenessä vuodessa haluaa käydä kanssasi kahveilla. Muista että verkostosi ja alaverkostosi ovat parhaita kavereitasi!
5. Lepää riittävästi. Mene nukkumaan jo klo 18, äläkä haaskaa aivojesi kallisarvoista kapasiteettia valvomiseen ja tyhjänpäiväiseen seurusteluun muiden ihmisten kanssa. Pidä päivässäsi vähintään kolmet tunnin nokoset ja muista myös ruokalepo. Kiinan menestyneimmät johtajat ovat jo nukkumassa kun kello lyö kuusi.
6. Yksityiskohdat merkitsevät eniten. Tutustu mestarimaalareiden uraan ja katso miten paljon huomiota he kiinnittivät yksityiskohtiin. Teeseremonian kautta voit itsekin tavoitella täydellisyyttä jokaisessa teossasi. Aamun bussimatka, toimiston oven avaaminen tai sähköpostin muotoilu voivat olla sinulle oivallisia kohteita uppoutua täydellisyyteen ja ympäröidä itsesi iloa iskevillä toimilla. Älä anna aikataulujen olla esteenä matkallasi kohden täydellisyyttä.
7. Älä ankeuta. Elämässään menestyneet ihmiset säteilevät ympärilleen loppumatonta positiivisuutta ja iloisuutta. Herkeämätön hehkutus ja pulppuileva elämänasenne erottuu suomalaisesta ankeudesta ja siivittää voittoon niin autiolla saarella kuin keskellä YT-neuvotteluita. Ankeuttaminen on myös sama asia kuin kritiikki, älä siis koskaan kritisoi vaan tue herkeämättä huonojakin päätöksiä. Pääasia että kaikilla on positiivinen pöhinä. Muista aina myös puujalkavitsien kannustava vaikutus traagisissa elämäntilanteissa ja LinkedIn-päivityksissäsi!
8. Muista iso kuva. Napoleone Buonanotte ei kesken taistelun joutanut miettimään vasemman laidan grenadöörin jalkarättien ongelmia, eikä sinunkaan pitäisi. Keskity isoon kuvaan ja johda joukkojasi edestä. Laadi ylimalkainen suunnitelma ja pysy siinä, tapahtui mitä tahansa. Menestyjät ovat suunnitelleet uransa vuosikymmeniä eteenpäin ja niin sinunkin pitäisi. Maailma perustuu helposti ennustettaviin periaatteisiin, sillä Aurinko nousee aina idästä!
9. Tutustu anekdootteihin. Tuskin mikään voisi olla tiivistyneempää oppia menestyjille kuin kokoelma satunnaisia tapahtumia vuosikymmenien saatossa, joista voidaan vetää teorioita ja oppeja kirjakaupalla. Tutustu näihin helmiin, ja mieti kuinka voit niiden avulla saavuttaa saman kuin Viljami Notkonen 1880 verstaassaan Ala-Pöytyällä. Muista johtamisessasi viljellä anekdootteja toisensa perään, unohda systemaattisuus ja käytä anekdoottien ristiriitoja viemään sanomaasi eteenpäin. Älä kuitenkaan ankeuta ja takerru faktoihin, vaan ole kuin susilauma joka metsästää leijonien kanssa!
10. Harrasta lähdekritiikkiä. Abraham Lincolnin mukaan 80 % internetin faktoista on väärin. Älä siis jaa humpuukia eteenpäin, tarkasta faktat ja tue työtä jota tehdään faktojen tarkastamisen eteen. Ethän halua että lentokoneesi on suunniteltu nettifaktojen mukaan?
Jaa tätä postausta eteenpäin ja peukuta sitä. Niin menestyjätkin tekevät!
Pi-hole on DNS-pohjainen suodatus-ohjelma, joka on varsin helppo asentaa ja käyttää. Se tarjoaa mahdollisuuden seurata kotiverkon sivustokyselyitä ja suodattaa mainoksia selaimista. Ohjelman paras puoli on selkeä käyttöliittymä, jonka kautta on helppo seurata mihin jääkaappi haluaa ottaa yhteyksiä tai kuinka paljon mainoksia verkkoliikenteestä on. Samalla tulee opittua paljon DNS-kyselyistä ja Linuxin käytöstä.
Näppärin ja myös jatkoa ajatellen hyödyllisin laitteisto on Raspberry Pi eli tuttujen kesken Raspi. Se on pieni, mutta tehokas ja monipuolinen alusta, jolle voi rakentaa erilaisia projekteja ja vaihtaa asennusta muistikorttia vaihtamalla.
Tarvitset:
Raspberry Pi:n (mikä tahansa versio käy)
Micro-SD muistikortin, tyhjän tai NOOBS esiasennetun (8,16,32 Gb tai isompi)
Tehokkaan micro-USB virtalähteen ja liittimen
HDMI-kaapelin / micro-HDMI adapterin
Näytön
Näppäimistön ja hiiren
(Asennusvaiheessa muistikortinlukijan ja tietokoneen)
Seuraa ohjeita. Anna laitteelle sama pysyvä IP-osoite jonka olet jo antanut reitittimellesi.
Testaa että saat Pi-Holeen yhteyden selaimen kautta.
Vaihe 2: Ota suodatus käyttöön
Sinulla on nyt muutama vaihtoehto:
Pi-Hole vastaa kaikista DNS-kyselyistä.
Tällöin aseta reitittimesi DNS-asetuksiin Pi-Hole:n IP-osoite. Aseta Pi-Hole käyttämään esim CloudFlaren 1.1.1.2 / 1.0.0.2 DNS-palvelimia (haittaohjelmien suodatus). Pi-Hole vastaa kaikista kyselyistä, muista asettaa myös conditional forwarding osoittamaan reitittimeesi, jotta näet mitkä laitteet tekevät kyselyitä. Helppo tapa aloittaa käyttö.
Aseta reitittimen DHCP-palveluiden kautta Pi-Hole DNS-palvelimeksi vain laitteille
Kun reititin antaa laitteillesi IP-osoitteita, se samalla mainostaa niille Pi-Holea DNS-palvelimeksi. Aseta reitittimellä esim CloudFlaren 1.1.1.2 / 1.0.0.2 DNS-palvelimet sen omiksi palvelimiksi, estä reitittimien omien DNS-palveluiden mainostaminen laitteille ja aseta Pi-Hole käyttämään reititintä omana DNS-palvelimenaan. Tämä mahdollistaa myös esim pfSensen DNSBL-palvelun käyttöönoton myöhemmin tai DNS over TLS.kyselyt. Lisäksi voit lisätä toisen Pi-Hole laitteen rinnalle, jolloin et ole vain yhden palvelimen varassa.
Moni aloittaa ensimmäisellä vaihtoehdolla ja siirtyy myöhemmin toiseen.
Kun saat Pi-Holen käyttöön, alat pian näkemään millaisia kyselyitä laitteet tekevät. Mikäli valitsit asennusvaiheessa oletus-suodatuslistat, sinulla on jo käytössä mainossuodatus.
Pi-Hole 5 toi mukanaan laitekohtaisen suodatustason. Tee ryhmä, jolle määrität suodatuslistat, määritä laitteet ja lisää ne ryhmiin. Näin esim puoliso voi nauttia mainoksista ja lapsilta mainokset on poistettu
Tarkasta per laite millaista sen vakioliikenne on. Opit nopeasti miten eri laitteet ottavat yhteyksiä erilaisiin pilvipalveluihin
Opettele sallimaan tai blokkaamaan kyselyt
Graafinen yleisilme on Pi-Holen vahvuus. Näet nopeasti yleistilanteen.
Voit myös tarkastella haluamiasi ajanjaksoja. Kannattaa tietenkin huolehtia ettei muistikortti täyty arkistoiduista lokitiedoista.
Querylistin kautta näet lähes reaaliajassa mitä dns-kyselyitä eri laitteet tekevät. Samalla voit sallia kyselyitä jos sivut eivät toimi. Flutterhole toimii Android-laitteilla ja antaa sinulle pääsyn samaan tietoon API:n ylitse.
Kohdatut ongelmatilanteet
Omatoimisen rakentelun väistämätön suola ja hupi on se, kun jotain hajoaa tai pääsee selvittämään monimutkaista ongelmaa (kun aikaa siihen ei olisi)
MITÄ TEHDÄ KUN EI VAAN SAA KYBERTURVASTA TARPEEKSEEN?
No yksi tapa ratkaista asia on koota samanhenkisiä ihmisiä yhteen ja tehdä yhdessä jotain mukavaa ja kiinnostavaa asiaan liittyen. Me Marcus Söderblom ja Jani Räty pistimme pystyyn Blue Team Builders kollektiivin (BTB), jossa keskitytään mm. erilaisten mielenkiintoisten tietoturvaprojektien rakenteluun.Tarkoituksena on koota samanmielisiä ihmisiä yhteen, joita myös kiinnostaa rakentaa IT-järjestelmiä ja jakaa ajatuksiaan omista rakenteluprojekteistaan muille. Freeware ja Open Source (FOSS) sekä tietoturva ovat BTB:n toiminnassa vahvasti läsnä. Tulemme järjestämään tapaamisia silloin tällöin, joiden tavoitteena esitellä yksi monista vaihtoehtoisista tavoista, miten jokin FOSS-ratkaisu voidaan kotiympäristöön toteuttaa. Liian vakavia stagella pönöttäviä asiantuntijoita emme aio olla, vaan kyseessä on ensisijaisesti harrastustoimintaa ja tapoja toteuttaa jokin rakenteluprojekti voi olla useita. Lisäksi kirjoittelemme satunnaisesti asiaan liittyviä artikkeleita BTB:n LinkedIn-sivuille.
Jos koet, että olet samanhenkinen “nikkaroija” ja olet jo ehkä rakentanutkin jonkin mielenkiintoisen FOSS-järjestelmän ja haluaisit tulla kertomaan muille kuinka sen teit, niin ota yhteyttä (info@blueteambuilders.fi).
Blue Team Builders on sopiva foorumi juuri sinulle! Toki mukaan saa tulla ihan vain kuuntelemaan ja jakamaan ajatuksia.
Kunhan koronapandemia tästä hiipuu, niin ensimmäinen tapaaminen tullaan järjestämään mahdollisimman pian. Tapaamisissa pyritään esittelemään 1-3 mielenkiintoista FOSS-projektia, toisinaan myös virvokkeiden kera, jos mahdollinen sponsorointi sen vaan sallii.
Nähdään kyberturvallisen IT-nikkaroinnin merkeissä! Jaetaan tietoa ja opitaan yhdessä lisää. 🙂
Tietojärjestelmien validaatio on vaatimuksena esim lääketuotannossa, lääkinnällisten laitteiden softien suhteen tai vaikkapa lääketuotannon laatujärjestelmien suhteen.
Validaation pointtina on turvata prosessin lopputulos, yhdistäen ihmiset, teknologian ja prosessin. Eli kyseessä on lääke- ja potilasturvallisuuden varmistaminen.
Miten?
Validaatiossa suoritetaan ennaltamäärätyn suunnitelman mukaisesti dokumentoitu testaus ennaltamääritettyjen vaatimusten täyttymiksi.
Tämä tarkoittaa ajatuksellisena esimerkkinä seuraavaa:
Firman on tarkoitus kuljettaa ruokaa asiakkaille. Kuinka validointi sujuisi?
Photo by James Day on Unsplash
URS (User Requirements Specifications):
Määritetään että yhteen kuljetukseen pitää mahtua 200 ruoka-annosta.
Lämpötilan pitää pysyä kuljetuksen aikana 10-15 asteen välillä.
Suomen lainsäädännön vaatimusten pitää täyttyä liikenteen ja hygienian suhteen
FS (Functional Specifications):
Autona toimii Fiat 600S pakettiauto
Tarvitaan yksi kuljettaja-lastaaja, jolla hygieniapassi ja B-luokan ajokortti
Jäähdytyksen hoitaa Lumikko 300X malli
Riskit:
Ruuhkat -> PQ testaus
Onnettomuudet ja tekniikan pettäminen -> IQ, OQ ja PQ testaus
Kylmäketjun katkeaminen ->IQ, OQ ja PQ testaus
VP (Validation plan)
Kelpuutetaan autoneuvo (IQ)
Validoidaan jäähdytys kuljetuksessa (OQ)
Validoidaan kuljettaja-lastaajan toiminta 200 annoksella ruuhkassa (PQ)
IQ (Installation Qualification)
Auto ajetaan katsastukseen ja tarkastetaan että tieliikennelainsäädännön velvoitteet täyttyvät
Kylmälaite testataan ja hyväksytään käyttöön
Tarkastetaan että kuljettaja-lastaajalla on B-luokan ajokortti ja voimassaoleva hygieniapassi
OQ (Operational Qualification)
Käynnistetään auto parkkipaikalla ja seurataan että esijäähdytetty kuorma pysyy 8h ajan 10-15 asteen välillä
Tarkastetaan että kuljettaja osaa ajaa autoa parkkipaikalla
Tarkastetaan että kuljettaja osaa lastata ja purkaa ruoat ohjeen mukaisesti
Tarkastetaan että jäähdytyksen vika-ilmoitukset toimivat ja että kuljettaja osaa reagoida niihin
PQ (Performance Qualification)
Kuljettaja toimittaa klo 16-18 Helsingin keskustassa 200 ruoka-annosta eri puolille
Seurataan satunnaisen 20 annoksen lämpötilaa koko kuljetuksen ja toimituksen ajan
VR (Validation report)
Tarkastetaan että kaikki vaatimukset on testattu (RTM, Requirements Tracing Matrix)
Todetaan täyttyivätkö vaatimukset ennaltamääritettyjen kriteerien suhteen
Hyväksytään tuotantokäyttö
Velvoitetaan muutoshallinta (auton vaihto, kuljettajan vaihtuminen, erilaiset ruokatyypit)
Validointi vaatii yhteispeliä IT:n, liiketoiminnan edustajien ja QA-yksikön välillä. Lisäksi validointi vaatii erikoisosaamista mahdollisimman sujuvan suunnitelman ja testaamisen aikaansaamiseksi. Vaikka järjestelmätoimittajilla voi olla iso rooli validaatiossa, ei validaatio ole toimittajien vastuulla.
Haluatko kuulla lisää tai tarvitsetko apua validoinnissa? Ota rohkeasti yhteyttä: info@caliban.fi
