Päivitykset ja vanhentunut ohjelmisto

Moduuli 5: Laitteet, ohjelmistot ja verkko · Lukuaika: 10 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat laatia päivityskäytännön käyttöjärjestelmille, sovelluksille, lisäosille, reitittimille ja muille laitteille, ja selittää mitä "tuen päättyminen" tarkoittaa ja mitä teet silloin.
Keskeiset käsitteet: haavoittuvuus, korjaus (patch), zero-day, automaattiset päivitykset, laiteohjelmisto (firmware), lisäosa (plugin), inventaario, tuen päättyminen (end of life), reunalaite (edge device)

Päivitys on lisätty lukko

Ohjelmistoissa on virheitä. Osa virheistä on vain ärsyttäviä (nappi joka ei toimi), toiset ovat haavoittuvuus: virhe, jonka avulla hyökkääjä voi tehdä jotain mitä ei ole tarkoitettu, kuten kirjautua sisään ilman salasanaa tai suorittaa omaa koodiaan. Valmistaja korjaa tämän korjauksella (patch), joka tulee sinulle päivityksenä.

Ilkeä juju on järjestyksessä. Heti kun päivitys julkaistaan, haavoittuvuus on käytännössä julkinen. Hyökkääjät vertaavat vanhaa ja uutta versiota, näkevät mitä on korjattu ja rakentavat sen pohjalta hyökkäyksen. Sen jälkeen he skannaavat automaattisesti koko internetin laitteista, joissa päivitystä ei vielä ole. Tämä on juuri oppitunnilla 1.1 mainittu opportunistinen hyökkäys: he eivät etsi sinua, he etsivät kaikkia jotka ovat jäljessä.

Zero-day on haavoittuvuus, jota jo hyödynnetään ennen kuin korjausta on olemassa. Sille voi tehdä vähän muuta kuin noudattaa valmistajan ohjeita ja rajoittaa vahinkoa (varmuuskopiot, minimaaliset käyttöoikeudet). Mutta suurin osa pienten yritysten tietomurroista tapahtuu haavoittuvuuksien kautta, joihin päivitys on ollut jo pitkään saatavilla.

Alankomaiden entinen Digital Trust Center, nykyään osa Alankomaiden NCSC:tä, havaitsi vuonna 2024 CyberVeilig Check -tarkistuksessaan, että yli joka kolmannella pienellä yrityksellä (36 %) ei ollut automaattisia päivityksiä päällä kaikissa internetiin kytketyissä laitteissaan. Alankomaiden NCSC:n neuvo on yksinkertainen: älä odota päivittämisen kanssa, ja laita automaattinen päivitys päälle aina kun mahdollista.

Mitä sinulla oikeastaan on? Inventaario

Et voi päivittää sitä, minkä olet unohtanut. Useimmat yritykset ajattelevat päivityksissä kannettavia ja puhelimia, mutta vaarallisimmat laitteet ovat usein hiljaiset:

Laitteita, jotka ovat suoraan kiinni internetissä ja tavoitettavissa ulkopuolelta (reititin, VPN-palvelin, etäkäyttöinen NAS, kamera), kutsutaan reunalaitteiksi (edge devices). Ne ovat useimmiten kohteena, koska hyökkääjä pääsee niihin käsiksi ilman työntekijän klikkausta. Anonymisoitu esimerkki: tilitoimistolla oli NAS, jossa oli käytössä "pääsy mistä tahansa". Valmistaja julkaisi tietoturvapäivityksen, toimisto ei asentanut sitä, ja muutama viikko myöhemmin kaikki NAS:n tiedostot olivat salattuina. Kukaan ei ollut klikannut mitään.

Päivityskäytäntö viidessä sopimuksessa

Käytännön ei tarvitse olla kymmensivuinen asiakirja. Pienelle yritykselle toimivat nämä sopimukset:

1. Automaattisesti aina kun mahdollista. Laita automaattiset päivitykset päälle käyttöjärjestelmille, selaimille, sovelluksille, ja mahdollisuuksien mukaan CMS:lle ja lisäosille sekä reitittimen ja NAS:n laiteohjelmistolle.
2. Uudelleenkäynnistys kuuluu asiaan. Moni päivitys toimii vasta uudelleenkäynnistyksen jälkeen. Sovi, että jokainen käynnistää uudelleen vähintään kerran viikossa, äläkä lykkää uudelleenkäynnistystä viikkokausia.
3. Reunalaitteet ensin. Ulkopuolelta tavoitettaville laitteille: tarkista itse onko päivityksiä saatavilla, esimerkiksi kerran kuukaudessa, ja asenna tietoturvapäivitys muutaman päivän sisällä. Jos valmistaja tai Alankomaiden NCSC varoittaa aktiivisesta hyväksikäytöstä, tee se samana päivänä.
4. Yksi omistaja per laite. Inventaariossa on jokaisella rivillä merkitty kuka sen päivittää: sinä itse, kollega, IT-yrityksesi tai verkkosivustosi tekijä. Jos ketään ei ole merkitty, kukaan ei tee sitä.
5. Tarpeeton poistetaan. Lisäosa jota et käytä, vanha kannettava kaapissa joka silti on verkossa, testisivusto alidomeenissa: poista se, niin sinun ei tarvitse myöskään päivittää sitä.

Epäiletkö, että päivitys rikkoo jotain? Tee ensin varmuuskopio (moduuli 6) ja päivitä sitten. Päivityksen asentamatta jättäminen ongelmien pelossa on lähes aina suurempi riski.

Tuen päättyminen: kun päivityksiä ei enää tule

Jokaisella ohjelmisto- tai laiteohjelmistoversiolla on päättymispäivä. Sen jälkeen valmistaja ei enää julkaise tietoturvapäivityksiä. Tätä kutsutaan tuen päättymiseksi (end of life, EOL). Laite toimii edelleen normaalisti, ja juuri se on petollista: kukaan ei huomaa mitään, vaikka jokainen uusi haavoittuvuus jää pysyvästi avoimeksi.

Esimerkkejä:

• Windows 10. Normaali tuki päättyi 14. lokakuuta 2025. Sen jälkeen tietoturvapäivityksiä tulee enää Microsoftin ESU-ohjelman kautta, ja päättymispäivät vaihtelevat tilanteen mukaan. Tarkista Microsoftin sivustolta, mitä sinun laitteisiisi sovelletaan, ja suunnittele siirtyminen tuettuun versioon tai toiseen laitteeseen.
• PHP ja muut verkkosivustokielet. Jokainen PHP-versio saa tietoturvapäivityksiä muutaman vuoden ajan. Jos verkkosivustosi toimii vanhalla versiolla, palvelin saattaa olla turvallinen, mutta sivustosi ei ole.
• Reitittimet, NAS ja kamerat. Halvat laitteet saavat joskus laiteohjelmistopäivityksiä vain muutaman vuoden ajan, joskus ei koskaan. Alankomaiden NCSC suosittelee selvittämään ennen ostoa, kuinka pitkään valmistaja tukee laitetta, ja vaihtamaan laitteet, jotka eivät enää saa päivityksiä.
• Lisäosat ja teemat. Lisäosa, jonka tekijä on lopettanut, ei saa enää korjauksia. Etsi korvaava vaihtoehto.

Jos et voi vaihtaa jotain heti, rajoita riskiä: irrota se internetistä, laita se erilliseen verkkoon (oppitunti 5.3), äläkä anna sille pääsyä tärkeisiin tietoihin.

Turvallinen päivittäminen: vain virallista reittiä

Hyökkääjät käyttävät väärin myös sanaa "päivitys". Ponnahdusikkuna verkkosivustolla "Selaimesi on vanhentunut, lataa päivitys täältä" tai sähköposti "asenna tietoturvapäivitys liitteestä" on lähes aina haittaohjelma. Aidot päivitykset tulevat käyttöjärjestelmän, sovelluskaupan, ohjelman oman päivitystoiminnon tai valmistajan verkkosivuston kautta. Ei koskaan sähköpostin linkin tai minkä tahansa sivuston ponnahdusikkunan kautta.

Käytännössä: näin se näyttää

DirectAdmin-webhotellipaketissa, kuten WebOkéssa, valitset sivustosi PHP-version kohdasta Select PHP version. Jos haluat tehdä varmuuskopion ennen kuin päivität verkkosivustosi tai lisäosat, voit tehdä sen esimerkiksi Installatronissa Back-up-painikkeella, jonka jälkeen voit ongelmien ilmetessä palauttaa edellisen version. Muilla palveluntarjoajilla toiminta on vastaavaa: etsi "PHP-versio" sekä CMS:si varmuuskopio- tai staging-toimintoa.

Tietokoneissa ja puhelimissa päivitystoiminto löytyy käyttöjärjestelmän asetuksista. Reitittimesi kohdalla katso hallintasivulta (osoite löytyy käyttöohjeesta tai reitittimen tarrasta) tai palveluntarjoajasi sovelluksesta.

Yhteenveto

• Päivitys korjaa tunnetun haavoittuvuuden; sen julkaisun jälkeen hyökkääjät skannaavat internetiä etsien niitä, jotka ovat jäljessä.
• Tee inventaario, myös reitittimestä, NAS:sta, tulostimesta, kameroista, verkkosivustosta ja lisäosista, ja merkitse omistaja jokaiselle riville.
• Päivitä automaattisesti aina kun mahdollista, uudelleenkäynnistys kuuluu asiaan, reunalaitteet ensin ja nopeasti.
• Tuen päättyminen tarkoittaa: ei enää tietoturvapäivityksiä. Vaihda laite, tai irrota ja suojaa se.
• Päivitykset vain virallista reittiä, ei koskaan ponnahdusikkunan tai sähköpostin kautta.

Tietovisa

Tehtävä

Tehtävä D5.1: Päivitysinventaariosi. Tee lista kaikista laitteistasi ja ohjelmistoistasi, mukaan lukien reititin, NAS, tulostin, kamerat, verkkosivusto ja lisäosat. Merkitse jokaiselle riville versio, onko automaattiset päivitykset päällä, kuka on omistaja ja onko se vielä tuettu. Päivitä se, mikä on jäljessä, ja vastaa pohdintakysymyksiin.

Lue lisää

WebOké-artikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• DirectAdmin-ohje 14.1: PHP-version valinta (Select PHP version)
• DirectAdmin-ohje 13.6: Varmuuskopioiden tekeminen ja palauttaminen Installatronissa
• Alankomaiden NCSC, Joka kolmas pieni yritys ei tee automaattisia päivityksiä: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Alankomaiden NCSC, Järjestä patchhallinta kuntoon: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Alankomaiden NCSC, Älylaitteiden perusturvatoimet: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, Windows 10:n elinkaari: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro