Jatkona tähän vuodatukseeni “bönden” ja haastavien yhteysympäristöjen (minun tapauksessani haja-asutusalueiden siis) yhteyshaasteisiin hieman statistiikkaa käytössäni olevien internet-yhteyksien performoinnista.
Luottoyhteys: Elisa 5G (SA)
Viikonloppuna, päivällä (oletettavasti eniten kuormitusta)
Arkena, päivällä (vähiten käyttäjiä ilmeisesti)
Sinänsä minun kannaltani korkeimman kuormituksen aika – viikonloput ja illat (kun tukaria käyttävä porukka Netflixaa) – osuu mainiosti, sillä itse tarvitsen eniten kaistaa työaikaan.
Telian ja DNA:n 5G-yhteyksien (NSA) osalta vaihtelu on vähäisempää. Tokikaan läheskään Elisan nopeuksia en näissä verkoissa saavuta (oletettavasti siksi, etteivät ole tuoneet valokuitua mastolle saakka).
Erot ovat kuitenkin merkittävät ja etenkin Telian yhteyksissä minua harmittaa latenssin heiluminen. Telia häviää useaan otteeseen jopa Starlinkille latenssissa.
En heiluntaan ole löytänyt mitään erityistä patternia. Yllä näkyvät otokset ovat saman päivän sisällä, parin tunnin erolla otettuja. Oletan tämän liittyvän iäkkääseen rautaan Telian mastossa.
DNA 5G
Ilmeisesti kuormitus on verrattain tasaista DNA:lla normaalikäyttöaikaan (arkisin sekä viikonloppuna). Aamuyön mittauksissa olen päässyt jatkuvasti yli 300 Mbps downstreamiin, joten DNA:nkin osalta hidastava tekijä on ylimyyty kaista. Kuormitus näyttää vaikuttavan DNA:lla myös latenssiin. Ainoana yhteyksistäni DNA hukkaa paketteja miltei jatkuvasti.
Kaikkein pienimmät latenssit olen mitannut DNA:n 5G:stä (10 ms). Ja suurimman kaistanleveyden (bandwidth) Elisan 5G:n kautta, se oli 644 Mbps jota voi pitää RAN-yhteydelle jo varsin kiitettävänä.
Latenssi kiusaa
Hämmästyttävästi Telian 5G häviää latenssissa usein jopa Starlinkille, vaikka satelliittiyhteyksien akilleen kantapäänä pidetään viivettä. Esimerkiksi mittaukset käyttämiini nimipalveluihin (Googlen sekä CloudFlaren). Ensimmäinen alla olevista tuloksista on latenssi, seuraava packet loss ja viimeinen jitter.
Mittaan nimipalveluiden lisäksi Microsoftin yhteyspistettä sekä Teams-linkkiä. Nämä kolme yhdessä antavat työssä käytettävästä latenssista toimivimmat mittapisteet (joiden pohjalta SD-WAN viritykseni päättää, mihin putkeen minun yhteyteni reitittää).
Teamsin jne. suhteen Telia hakkaa, joskin hikisesti, Starlinkin latenssissa. Ja toki täytyy muistaa, että Telialla yhteyden laatu seilaa jatkuvasti (lantenssin osalta). Tässä sunnuntai-iltapäivän otos latenssista Teams-linkkiin:
Juuri tässä hetkellä Telia on selvästi nopein latenssin suhteen. DNA pitää pintansa ja pudottelee paketteja ja vetää RAN-yhteyksistä selvästi suurinta latenssia. Tässä näkee Starlinkin heikkouden latenssin suhteen. Toisaalta Telia saattaa parin seuraavan tunnin sisällä romahtaa latenssin mukaan heikoimmaksi.
Minuahan tuo ei sinänsä erityisesti kiusaa. Automatiikka työntää Teams- ja RDP-yhteyteni pienimmän latenssin omaavaan yhteysputkeen. Ja toisaalta download-liikenne taas kolisee kaistanleveyden mukaan parhaaseen yhteyteen.
Fortin SD-WANin etuna on se, että liikennesääntöjen tekeminen on suorastaan naurettavan helppoa. Niin laitekohtaiset (esim. että työpäivän aikaan minun työkoneeni saa parhaasta liittymästä kaiken kaistan käyttöönsä yksin) kuin sovelluskohtaiset (Teams-liikenne ohjataan pienimmän latenssin yhteyteen).
Tämä lyhyt kirjoitelmani on suoraa jatkoa blogahdukseeni, jossa pohdiskelin omien kokemusteni pohjalta haavoittumatonta, eli aina varmatoimista datayhteyttä jokaiselle.
Perinteisestihän olemme vain ostaneet internet-yhteyden parhaaksi kokemaltamme toimittajalta. Ja luottaneet sitten siihen, että tietoliikenneoperaattori hoitaa hommansa. Normaalille kotikäyttäjälle tämä onkin pitkälti toimiva strategia. Etenkin mikäli hän on onnellisessa asemassa ja yhteys toimitetaan valokuitua siirtomediana käyttäen.
Mutta entäpä me onnettomat, jotka emme valokuitua saa edes rahalla? Ja joilla 5G-verkko ei kummoisia nopeuksia saati sitten redundanssia tarjoa. Edellisessä blogahduksessani esitin näkemykseni siitä, että yhteydet tulee monentaa siten, ettei olla koskaan yhden kortin varassa. Tämä on yhäkin vakaumukseni. Mielessäni edes hyvän, luotettavan operaattorin valokuituyhteys ei ole riittävän luotettava nk. vakavaan käyttöön. Yrityksen päättäjänä en missään tapauksessa jättäisi tietoliikenneyhteyksiä yhden särkyvän komponentin varaan. Eikä kaltaiseni pääsääntöisesti kotoa käsin tietotyötä tekevän myöskään kannata olla varautumatta katkoon. Sen kun nykyään tekee alle 100 euron hardiksella ja edullisimmillaan RAN-pohjainen (se radioverkko, Radio Access Network) varayhteys kustantaa jopa alle kympin kuussa.
No, mutta. Nyt hän minä olen taas harhautunut saarnaamaan samasta, josta jo pitkän blogahduksen kirjoittelin aiemmin. En halua puuduttaa teitä tautofonialla. Jatketaan siis itse aiheeseen. Eli mitä jos se radioverkkoyhteys ei olekaan “helppo nakki”. Ostit operaattorilta yhteyden ja heidän mainostamansa hienon 5G-reitittimen Wifi7:llä sun muilla herkuilla. Ja suurien odotusten jälkeen bitti tahmaa. Niissä Teams-kokouksissa, joissa useilla osallistujilla on kamerat päällä kuvat pätkivät. Netflix ei suostu edes Full-HD -tasolle, jostain 4K-kuvasta puhumattakaan.
Aivan ensimmäisenä ehdottaisin vaihtoa. Siis operaattorin vaihdosta. Ääriharvoin “vaikeilla alueilla” usean operaattorin verkko osuu yhtä hyväksi kohdallasi. Kuten tiedät, Suomessa on kolme radioverkkoa – huolimatta siitä, että myyjiä löytyy enemmän (nämä ovat nk. virtuaalioperaattoreita, jotka ostavat verkkokapasiteetin joltain noista kolmesta). Aloita siis verkkoyhteyksiesi remontti sillä, että testaat kaikkien kolmen operaattoreiden verkot – Telia, Elisa ja DNA. Jos et ole yritysasiakas, tuskin saat testiliittymää ilman sitoumusta. Ratkaisu on prepaid – et kummoista datamäärää tai pitkää testiaikaa tarvitse.
Usein huomaat, että yksi näistä kolmesta tarjoaa absoluuttisesti parhaan yhteyden. Varmista, että mittaus on luotettava. Käytä samaa 5G-reititintä. Ja huomioi se, että operaattoreiden tukiasemat, “mastot”, ovat eri suunnilla. Siksi mittaaminen kotona tai mökillä sisällä ei ole kovinkaan hyvä idea. Jos asetat testipisteesi keittiön pöydän ääreen, tietenkin ikkunasta eteenpäin sijoittuva masto performoi parhaimmin. Ja taas aivan talon toiselta suunnalta löytyvä masto antaa heikoimman signaalin (toki voi olla, että sitä operoi se alueesi paras operaattori ja siksi nopeudet ovat parhaat – mutta mittauksesi ei ole luotettava).
Itse tekisin mittauksen ulkona, siten ettei mistään ilmansuunnasta ole merkittävää blokkia (esim. aivan seinän vierellä). Vähän jatkojohtoa vain. Kolmen operaattorin nopeudet mittaa vartissa, eli mistään valtavasta työstä ei ole kysymys. Traficomin mainio Bittimittari on riittävä työkalu suuntaa antavan mittauksen toteuttamiseen.
Kun olet löytänyt sen parhaan kandidaatin – ja mikäli arvostat robustia yhteyttä kuten minä, olet liputtanut itsellesi myös sen hyvän kakkosen varayhteydeksi (HUOM! Muista, että tietyillä alueilla DNA ja Telia jakavat infrastruktuuria – valitse siis Elisa varayhteydeksi mikäli primäärivalintasi osuu jompaan kumpaan noista), on aika siirtyä suunnittelemaan yhteyden virittämistä.
Tässä hyvänä apuna on loistava CellMapper-palvelu. Kas kun operaattorit härkäpäisesti kieltäytyvät antamasta mastojensa koordinaatteja. “Turvallisuussyistä”. Yeah, right. Matkapuhelinmastoahan ei tihutyötä suunnitteleva löydä. Ne kun eivät ole mitenkään korkeita ja näkyviä. No, koskapa teleoperaattoreiden toimissa olisi liiemmin järkeä ollutkaan. Yhtäkaikki, sinun täytyy saada tietoosi se, missä parhaan operaattorin paras masto suunnilleen sijaitsee. Voidaksesi suunnata ja virittää yhteyden parhaalle tolalle.
Olen itse saanut myös aivan riittävän hyvän tulokset klassisella jalkatyöllä. Olen siis siirtänyt 5G-reititintä kohteissa eri ilmansuuntiin antavien ikkunoiden luo ja tehnyt mittaukset jokaisessa sijainnissa. Tyypillisesti yhteysnopeus oikeaan suuntaan antavan ikkunan luona on moninkertainen verrattuna talon toisella puolen sijaitsevan ikkunan luona tehtyyn mittaukseen.
Kun tiedät lokaatiosi parhaan operaattorin ja sinulla on suunnilleen käsitys siitä, missä masto sijaitsee, on aika arvioida yhteystapaa eli millaista hardista tarvitset. Oletetaanpa, että signaali on erittäin vahva oikeaan suuntaan antavan ikkunan luona ja yhteysnopeudet riittävän sinun tarpeisiisi. Silloinhan se oli siinä. Sijoitat sisäkäyttöön tarkoitetun 5G-reitittimen näppärälle paikalle ikkunan lähistölle ja nautit riittävästä internet-yhteyksien nopeudesta. Muista vielä, että 5G-purkkisi ikä on merkittävä yhteysnopeuksiin vaikuttava tekijä. Ne kun ovat parantuneet viimeisen 5 vuoden aikana huomattavasti. Samoin huomioi, että suuntaava ulkomodeemi saattaisi hyvinkin nostaa vielä nopeuksia entisestään (toki riippuen sisämodeemin signaalin vahvuudesta, jos masto näkyy ikkunasta ei ulkomodeemille liene tarvetta).
Ehkäpä teet valitsemasi varayhteyden kanssa samat testaukset (kas kun toisen operaattorin sinua parhaimmin palveleva masto ei välttämättä ole yhtään samalla suunnalla kuin pääyhteytesi) ja asetat reitittimen hoitamaan yhteyksien kuormantasausta ja siirtämään katkoksien aikana liikenteen toimivan operaattorin yhteyksiin.
Mutta mitäpä sitten, jos sisäkäyttöön tarkoitetun 5G-reitittimen tarjoama nopeus ei tyydytä vaativaa makuasi? No, karkeasti ottaen vaihtoehtoja on kaksi: kytket 5G-reitittimeesi ulkoisen antennin tai ostat ulkokäyttöön suunnitellun reitittimen.
Vahvasti suuntaavalla ulkoantennilla pääset parhaaseen lopputulokseen – jos olet valmis kärvistelemään suuntailutyöt ja vetämään neljät antennikaapelit reitittimeltä antennille. Helpompi ja kieltämättä erittäin lähelle samoja nopeuksia pääsee oikein suunnatulla laadukkaalla ulkomodeemilla. Ulkomodeemien etuna on mobiilisovellus, jolla täysi amatöörikin saa suuntauksen tehtyä parissa minuutissa optimaaliseen suuntaan. Ulkoantennin kanssa olet sen sisäreitittimesi tarjoamien työkalujen varassa (eli käsipelillä menee).
Suuntaava antenni täytyy sitten lisäksi yleensä saada riittävän korkealle. Äkkisältään mieleen tulee antenniurakoitsija. Tässä varoituksen sana: oman kokemukseni mukaan telkkuantenneja sun muuta virittelevillä toimijoilla ei ole minkäänlaista käsitystä tietoliikenneyhteksien perusteistakaan. Sinänsä hämmästyttävää, sillä kysehän ei lopulta ole lainkaan vaikeasta asiasta. Selvität missä masto sijaitsee ja suuntaat harava-antennin tismalleen sitä kohti.
No, ellei sijaintisi ole jossain saaressa tai erityisen hankalassa paikassa (esim. isojen kukkuloiden välissä katveessa), ulkomodeemi riittää omien kokemusteni mukaan kaikkeen. Vaikka sisällä ei 5G-reititin näkisikään verkkoa, ulkomodeemi todennäköisesti kykenee 5G-yhteyden muodostamaan. Vahvasti suuntaava harava-antenni nostettuna riittävälle korkeudelle on sitten se “the ultimate solution” erittäin vaikeaan paikkaan. Näissä itse miettisin aina, että miksi en sitten siirtyisi Starlinkkiin. Kombo jossa Starlink tuo riittävän kaistan ja 4G-yhteys varmistaa katkoksettoman yhteyden ja palvelee latenssiherkkiin yhteyksiin on jo varsin kelvollinen nettiviritys aidosti sivistyksestä kaukana olevaan kohteeseen.
Vielä pari laitesuositusta (en tee mitään affeliate-hommia, joten näissä ei omaa intressiä ole mukana):
Parhaana pitämäni 5G-reititin, Teltonika RUTX50. Se osaa mm. itse vaihtaa operaattorista toiseen (jos syötät 2 x SIM-kortin). Vaatii erillisen antennin hyviin yhteysnopeuksiin. Konffattavaa on paljon ja vaatii melkoisesti ymmärrystä aihealueesta. Asennuksesta tulee siis merkittävästi esim. TP-Linkiä isompi savotta.
Ja kuormantasauksen toteutat – ellet halua täysiveriseen palomuuriin investoida – vaikkapa TP-Linkin VPN-reitittimillä todella helposti. Toimivat hämmentävän nopeasti ja varmatoimisesti. Erääseen pienyritykseen asensin kolmisen vuotta sitten moisen eikä yhtään häiriötä ole vielä (kop-kop, puuta) tullut ja potkii gigaisia linkkejä aivan mainiosti. Esimerkiksi TP-Link ER7206 toimii hyvin (käytin vanhempaa versiota viittaamassani keississä) – ja tukee NELJÄÄ internet-yhteyttä (“WAN”).
Lisäksi täytyy nostaa esille Cudy R700. Aivan käsittämätön vempele! Muutaman kympin hinnalla löytyy laite, joka pystyy jakamaan kuormaa useille gigabitinkin nettiliittymille. Siisti webbi-GUI ja melkoisesti ominaisuuksia. Mm. failover helppo toteuttaa. Käytin moista eräässä toimistohotellissa toteuttamaan NATtauksen, DHCP-palvelut sekä siirtämään pääyhteyden katketessa liikenteen RAN-varayhteydelle. Ainakin on hinta-laatu -suhde kohdillaan tuossa.
Alkuperäinen kirjoitus löytyy Corellian sivuilta, nimellä “Skynet tulee ja tappaa”.
Myönnän. Otsikolla kosiskelin häpeämättömästi sukulaissielujen, eli muiden scifi-diggaajareiden, huomioita. Toisaalta tässä on syvempikin analogia taustalla. Varsinainen aihe näet on AI ja sen muodostamat uhat. Scifi-viittaus on tietenkin kulttiklassikkoon nimeltä Terminator.
Minähän elän ja hengitän pilveä ja kyberturvaa, joten aihe koskettaa itseäni erittäinkin läheisesti. Taustastani sen verran, että pilvi ja pilviteknologiat ovat reilusti yli vuosikymmenen olleet leipäpuuni. Tietoturva taasen on ollut erityinen kiinnostuksen kohteeni jo reilun kolme vuosikymmentä. Viimeiset viitisen vuotta nämä – pilvi ja tietoturva – ovat olleet kombinaationa se, jolla itseni elätän. Rakkain osa työtäni on sivistystoimi aihealueen sisällä, eli pitämäni koulutukset Corelliassa. Olen piintynyt kynsinööri ja aidosti rakastan tekkiä. Tämän takia olen halunnut pitää kädet savessa ja tehdä myös konkreettisesti juttuja. Joinakin aikoina tämä oli sivutoimiluvan ja harrastetoiminnan varassa. Nyt koen olevani etuoikeutettu saadessani sekä tehdä, tunkata, koodata että testailla – ja sitten vielä opettaa intohimoni kohdetta kollegoille.
Vaikuttaako AI oikeasti mihinkään?
Mutta, siirtykäämme varsinaiseen aiheeseen. Sen ”Skynetin” muodostamaan uhkaan meidän kaikkien kyberturvallisuudellemme ja AI:n toimialallemme käynnistämään murrokseen. Tämähän näkyy kaikessa, alkaen nigerialaiskirjeiden kirjallisen ilmaisun laadun paranemisesta, vibe-koodauksen kautta aina lokianalyysin tehostumiseen monikymmen- tai jopa satakertaiseksi.
Tämä ensimmäinen kirjoitukseni aiheesta keskittyy jokaista meitä lähimpänä oleviin AI-asioihin. Eli AI-avustimet nyt alkuun. Nuo söpön suloiset Appit, joilla kaunistat kuvasi yhdellä sormen vilauksella, Copilotit, jotka valkokauluksen elämää niin kivasti helpottavat sekä erilaiset verkkopalvelut – ”sätkäpete” ainakin kaikkien tuntemana – ja lopulta sovellusten sisäiset avustukset ja helpottajat. Tuottavasti ja tehokkaasti työnsä tekemään pyrkivää ei varmasti kiinnosta palata takaisin tyhmien työvälineiden aikakauteen.
Tässä piilee itse asiassa kaikkein oleellisin pointti. Pullon henki on karannut, eikä sitä enää saa takaisin. AI tehostaa niin paljon, että vaatimukset sen käyttämättä jättämisestä kaikuvat kuuroille korville.
Moni kollega ennustaa AI:n olevan jopa suurempi murros maailmassa kuin internet oli aikoinaan. Itse en näe vertailua järkevänä, nämähän ovat eri askelia. ”Ilman nettiä” ja ”connected world”-aikakautta AI:n merkitys ei olisi sitä mitä se nyt on ja ennen kaikkea tulee vielä olemaan.
AI on käyttöliittymä, tapa hyödyntää ATK:n apuja
Niinpä. AI-avustimet ovat tämän päivän hiiripohjainen graafinen käyttöliittymä. Ne jotka vastustivat uuden työtavan tuloa ja halusivat kiinnittäytyä komentokehotteeseen toimistoympäristöissä kokivat murskatappion. Oppikaamme siis historiasta. AI on uusi tapa työskennellä. Looginen askel siinä jatkumossa, joka alkoi joskus IBM:n hienojen härveleiden esiinmarssilla. Tavoitehan on aina ollut sama. Tuoda älykäs ja ihmisen työntekoa tehostava apuväline, joka säästää mahdollisimman paljon aikaa ja poistaa tylsinä pitämiämme rutiineja. Taskulaskimesta sähkökirjoituskoneen kautta moderniin henkilökohtaiseen tietokoneeseen, joka muuttuikin sitten koko maailman kanssa yhdistetyksi superälykkääksi ja liki kaikkitietäväksi (liioittelenko muka – höps, mietihän 80-luvun päätetyöskentelijää, jolle tarjoaisit Google-haun ja internetin kaiken tiedon) henkilökohtaiseksi tietojärjestelmäksi.
Ensimmäinen askel kyberturvaan on hyväksyä se kyberturvaajan katkera kalkki, ettei AI-avustimien käyttöä voi enää kieltää eikä paluuta menneeseen ole. Jos IT ei tarjoa työvälineitä valkokauluksille, he löytävät kyllä keinon itse etsiä työntekoa sujuvoittavat vehkeet ja palvelut. Ja silloin tietoturvaosasto on jo hävinnyt. Varjo-AI valtaa alaa – ja se on paljon vaarallisempi mörkö kuin varjo-IT. Seuraava kuukauden työntekijä-palkinto menee härskeimmin varjo-AI:ta hyödyntävälle, vanhakantaisen tietoturvamme tehokkaimmalle kiertäjälle (joka pitäisi melkein nostaa johtamaan sitten kybertekemistä änkyröiden sijaan).
Riisu varjo-AI aseista
Eli paras ja tietoturvallisin liike, mitä voimme tehdä, on tarjota organisaatiomme toimesta hyödylliset ja tehokkaat AI-pohjaiset työkalut henkilöstöllemme. Tämä riisuu varjo-AI:n aseista. Kas kun voi ihan luvallakin olla tehokas ja tehdä järkevästi töitä.
Toisaalta on aidosti välttämätöntä määrittää, mitä palveluita ja avustimia saa käyttää työntekoon. Tämähän on aivan normaalia tietohallintoa. Olemme jo kolme vuosikymmentä rajanneet internet-liikennettä, poistamalla haitalliseksi tiedetyt sivustot ja osoiteavaruudet. Ja ani harvassa organisaatiossa koneisiin saa asennella aivan mitä ohjelmistoja sattuu kulloinkin huvittamaan.
Suureksi hämmästyksekseni tämä ei kuitenkaan ole normaalia. Organisaatioissa, joissa hienot palomuurit kyttäävät surffausliikennettä ja estävät pääsyn uhkapelisivuille työntekijät voivat kuitenkin vapaasti käyttää mitä hyvänsä AI-palvelua haluavat. Valtiollisten toimijoiden ”sponsoroimia” tai alan parhaimpien yritysten ilmaispalveluita, joissa annat näille oikeuden hyödyntää työntekijöidenne sinne syöttämää tietoa koulutustarkoituksiin.
Ok. Teillä siis on jossain sharepointin syövereissä AI:n hyväksyttävän käytön politiikka? Hienoa. Ja ajattelet sen riittävän? Ei mitään kontrollia tarvita? Asia selvä. Olet varmaankin looginen ja sallit myös jokaisen asennella koneelleen kaiken mitä softaa vain haluaa ladata netistä? Sekä tietenkin käyttää mitä haluaa tiedostopalveluita organisaationne tietojen tallennukseen. Facebook on kuulemma aika kiva siihen hommaan.
Jos kuitenkin edustat minun näkökulmaani, eli et halua sallia ”kaikkien kukkien kukkia vaan”, salli minun kertoa kokemuksistani ”AI-avustimien suitsimisessa”.
Microsoftin tarjoamat työkalut AI:n alistamiseen
Ensimmäinen ja helpoin koskee käyttäjän koneille asennettavia avustimia, joista ehdottomasti yleisin on Microsoftin aktiivisesti käytettäväksi työntämä Copilot. Näiden osalta perustava päätelaitehallinta on riittävä. Emme salli epämääräisiä avustimia. Tämä hoituu EDR- tai MDM-ohjelmistolla, Microsoft-genressä Defender + Intune.
Onko ”perus-Copilot” riittävä? Pääsääntöisesti kyllä. Erikoiskäyttöön, kuten vaikka tuotehallintaan tai potilastyöhön suosittelisin oman, kustomoidun avustimen rakentelua. Tähän jälleen Microsoft tarjoaa mainion työkalun, Copilot Studion. Ei tarvita vaativaa devausprojektia, tämä hoituu IT:n taidoin. Ja aina voit lähettää tiimin Corelliaan päivän koulutukseen – siinä oppii kyllä suitsimaan Copilot-avustinta.
Seuraava askel onkin sitten monisyisempi. Sinun tulee vähintään estää organisaation datan käyttö ”villeissä AI-avustimissa” (eli verkkopalveluissa). Itse suosin kokonaan näiden sulkemista työkäytön ulkopuolelle. Ja tässä voit valita useasta toteutusmallista. Teknologiaa avuksesi on vaikka kuinka – ja tulee joka kuukausi lisää. AI:n suitsiminen on tietoturva-alan uusi Graalin malja. Keskityn tässä nyt jälleen vain Microsoftin omaan teknologiapinoon.
Organisaation datan turvaat lipsumasta kaiken maailman varjo-AI:n kitaan Purview + Defender for Cloud Apps -kombolla. On varsin vedenpitävä tulppa.
Pääsyn työlaitteilla hämäräperäisiin palveluihin tai ”varjo-AI:ksi” tulkittavaan estät suoraviivaisimmin ja kattavimmin Entra Global Secure Access -palvelulla (lyhennettynä Microsoftin tapaan ’GSA’). Sen sisältämä SWG (Secure Web Gateway) on 2020-luvun uusi palomuuri. Lue vaikka Gartner-tutkimusyhtiön hehkutusta SWG:stä osana SASE-arkkitehtuuria.
Eihän GSA tokikaan ainoa ole! Toimistolla olevien käyttäjien suitsimisen saattaa kyetä hoitamaan palomuurinne, mikäli se on ns. toisen sukupolven malli. Toki ongelma tulee sitten jos päästät käyttäjäsi karkuun. Etätyö kun vesittää tehokkaasti palomuurin hienot kyvyt. Ihan Defender for Endpointia tunkkaamalla ja virkkaamalla pääsee varmasti yleisimmät varjo-AI:n ilmentymät kieltämään ja tilkitsemään.
Onko se vaikea toteuttaa?
Loppujen lopuksi toteaisin, että niskalenkki AI-avustimista on varsin helppo, kun ymmärrät mitä kokonaisuuteen kuuluu. Tietoturvan ryhtiliike niiden pikku pirulaisten osalta ei projektina isossakaan talossa ole hirmuinen tai valtavan työllistävä. Ainakaan Microsoftin tietoturvapinoa hyödynnettäessä, kilkkeet kun integroituvat kokonaisuuteen helposti.
En itse osaa kuvitella niin isoa ja kompleksista ympäristöä, jossa saisi enempää kuin muutaman sata tuntia käytettyä (en toisaalta ole kuusinumeroiseen lukuun työntekijöitä vielä päässyt AI-avustimien turvaamista implementoimaan, projektini ovat rajoittuneet viisinumeroisiin työntekijämääriin). Ja toisaalta muutaman sadan henkilön pienyrityksen AI-avustimet suitsii muutaman päivän työllä.
Tämähän ei sitten kuitenkaan sisältänyt vielä kaikkialla mönkiviä omat identiteettinsä omaavia agentteja tai sulautettua AI:ta, joka elelee salassa paitsi ERPissäsi myös käyttämäsi hissin logiikkapaneelissa. Sieltä se Skynet kurkkii, valmistellen maailmanloppua.
Seuraavassa jaksossa paneudutaan paremmin kaikkialla väijyvään, joka paikkaan soluttautuneen ”näkymättömän AI:n” tuomiin riskeihin.
Tästä blogahduksesta kiitos kuuluu ystävälleni. Hän sai minut suorastaan tietoliikennehurmokseen kesken väsyttävän pääsynhallinnan koventamisen inspiroivalla Linkkari-chattisessiolla.
Niklas nosti esiin vanhan linkkarikirjoitukseni, jossa märisin etäkonttorini tietoliikennesetupista. Joo-o, kun päiväni kuluvat haja-asutusalueella ja internet edustaa paitsi kaikkein välttämättömintä työn mahdollistajaa myös useiden harrastusteni ja mieltymysteni kannalta olennaista yhteyttä ulkomaailmaan, en kovin helposti ole täysin tyytyväinen käytössä olevaan tietoliikennekapasiteettiin.
Etenkin kun tänne internetin selän taakse ei rahallakaan saa kunnon yhteyksiä. GlobalConnect kävi viime vuonna myymässä valokuituliittymän, mutta sen jälkeen heistä ei olekaan kuulunut mitään. Tämä on ollut yksi hämmästyttävimmistä asiakaspalvelukokemuksistani: ensin myyntiparivaljakko kiertää ovelta ovelle myymässä – mietipä asiakashankinnan kustannusta! – ja sitten asiakkaalle ei viestitä yhtään mitään. Vastauksiakin kyselyihin sai tivata monta kertaa: ”Toistaiseksi alueellenne ei ole tehty rakentamispäätöstä, eikä meillä tällä hetkellä ole antaa lisätietoja aikataulusta.”
Heti ensimmäisenä haluan nostaa esiin periferian datayhteyksien linkkuveitsen eli Starlinkin. Se on aivan killeri, ratkaisu haastaviin yhteysolosuhteisiin.
Starlink tarvitsee vain riittävän esteettömän näkymän taivaalle – tehtaan tasakatto on tähän mitä mainioin paikka. Kaupungissa sopivan asennuspaikan löytäminen voi tuottaa haasteita, ellet asu kerrostalon ylimmässä kerroksessa. Saaressa, niemennotkossa tai Lohjan peräkylässä Starlink on kuitenkin sikäli takuuvarma, että kaistaa löytyy. RAN-yhteydet (Radio Access Network) eli tutut 4G- ja 5G-verkkomme voivat tällaisissa paikoissa kärsiä hyvinkin heikosta kuuluvuudesta.
Ehkä jokunen puu täytyy raivata varjostamasta – tai lautanen asentaa kunnon seipäännokkaan – mutta noin 300 Mbps latausnopeuksiin pääsee käytännössä kaikkialla Suomessa. Ainoa merkittävä miinus on kohtalaisen suuri latenssi. Tavanomaista käyttöä, kuten verkkoselailua, Teams-istuntoja, suoratoistoa tai sähköpostittelua, se ei juuri haittaa. Pelaamisessa latenssi on kuitenkin myrkkyä, ja päätetyöskentelyssä RDP tai SSH kautta se saattaa alkaa harmittaa, mikäli kohde sijaitsee riittävän kaukana – esimerkiksi toisella mantereella.
Itselläni ongelmana on yksi harmillisen dynaaminen mänty. Se on kasvanut asennuksen jälkeen sen verran, että yhteyteeni tulee nyt noin kerran viidessä minuutissa 3–6 sekunnin katkos. Pitäisi taas käydä nostamassa katolla olevaa Starlink-tolppaa metrillä. Puusta ei kuulemma saa luopua, sillä pääjohtaja uhkasi autotallimajoituksella.
Mutta entäpä toimintavarmuus?
Kun täydellistä vaihtoehtoa ei ole, täytyy pyrkiä pärjäämään välttävillä ratkaisuilla. Ikävyydet tulevat usein kahdesta suunnasta.
Ensinnäkään yhteyksien suorituskyky ei täytä vaativia kriteereitä, joten joudutaan tyytymään siihen, mitä on saatavilla. Tässä on toki todettava, että Starlink tarjoaa työkäyttöön täysin riittävän yhteystason hyvinkin syvällä böndellä.
Toinen ongelma on kimurantimpi: yhteyksien vakaus ei vastaa laadukasta valokuitua. Toisaalta puhtaasti etänä työskentelevälle kuluttajavalokuidunkaan toimintavarmuus ei mielestäni riitä yksin. Kuluttajayhteydet eivät todellakaan ole aina ja jatkuvasti toimivia, ja niiden SLA ovat mitä ovat. Olen todistanut useammankin operaattorin yli vuorokauden kestäneitä reitityskatkoja.
Redundanssi on kuitenkin suhteellisen helppo järjestää: ota käyttöön usean operaattorin yhteydet. Valokuituyhteyden rinnalle voi hankkia vaikka vain kohtalaisesti kuuluvan 4G- tai 5G-yhteyden. Mitä useamman operaattorin yhteyksiä käytät, sitä epätodennäköisempää on, että niiden kaikkien verkot pätkivät samanaikaisesti.
Tähän liittyy kuitenkin pieni varoituksen sana: DNA ja Telia käyttävät paikoitellen samaa yhteisverkkoa. Niitä ei siis kannata käyttää toistensa varayhteyksinä alueella, jolla ne operoivat samaa mobiiliverkkoa.
Suomessa on kolme valtakunnallista mobiiliverkko-operaattoria: Telia, Elisa ja DNA. Maaseudulla on erittäin harvinaista, että useamman operaattorin verkko yltää samaan sijaintiin riittävän vahvana. Prepaid-5G-liittymä on hyvä ja edullinen tapa testata operaattorin todellinen nopeus omalla alueella. Operaattoreiden sivustojen tarjoamat kartat ovat parhaimmillaankin vain suuntaa-antavia.
Oma ratkaisuni on käyttää kaikkien kolmen mobiiliverkko-operaattorin yhteyksiä ja Starlinkin edullisinta versiota lisävarmistuksena.
Yksi mobiiliyhteyksistä tukeutuu melko uuteen tukiasemaan ja tarjoaa teoriassa erittäinkin hyvän kaistan. Maksiminopeus on noussut juhlapyhän aamuyönä yli 500 Mbps. Tukiaseman kapasiteetti on kuitenkin ikävä kyllä ylimyyty moneen kertaan, joten päivisin kaistanleveys vaihtelee aivan käsittämättömästi.
Tukiasema sijaitsee lisäksi niin kaukana, että jouduin käyttämään voimakkaasti suuntaavaa ja vahvistavaa antennia. Kaksi muuta operaattoria tarjoavat selvästi heikomman kaistan mutta samalla vähemmän vaihtelua nopeuksissa. Niiden tukiasemat ovat myös sen verran lähellä, että ulkomodeemi ja hyvä suuntaus riittivät.
Kuluja toki syntyy, mutta liiketoiminnan kannalta kriittiseksi järjestelmäksi kokonaisuus on verrattain edullinen. Starlink maksaa 35 euroa kuukaudessa ja pääasiallinen mobiiliyhteys 26,95 euroa kuukaudessa. Kaksi varayhteyttä olen keräillyt tarjouslaarista. Niin kutsuttu tablettinetti on yleensä edullisin vaihtoehto, eikä heikon radioverkon alueella kannata maksaa yli 100 Mbps yhteydestä – sekään nopeus kun ei useimmiten toteudu.
Yhteyteni maksavat yhteensä alle 65 euroa kuukaudessa ilman arvonlisäveroa. Tällä kokonaisuudella on nyt kellotettu reilut yhdeksän kuukautta täysin katkeamatonta datayhteyttä. Harva yritystason datayhteys yltää samaan. Ainakin platina-SLA varustettu Telian Datanet on pätkäissyt asiakkaillani samassa ajassa, samoin kuin Elisan hieno, kahta fyysistä reittiä pitkin toteutettu datayhteys.
Oma ajatteluni on muuttunut siten, etten enää pidä yhden operaattorin varassa olevaa yhteyttä aidosti katkeamattomana tai haavoittumattomana. On aivan sama, vaikka käytössä olisi kahta fyysistä reittiä pitkin tuotu kuitu ja sen lisäksi erillinen mobiilivarmennus. Operaattori joutuu pitämään huoltoikkunoita – tai ryssii reitityksensä. Aidosti luotettavan yhteyden saa vain hajauttamalla sen usean operaattorin verkkoihin. Nykyiset SD-WAN -tekniikat ovat tehneet tästä naurettavan helppoa.
Kuinkas sitten kaistan kanssa?
Kun useita yhteyksiä käytetään rinnakkain, vaihtoehtoina ovat käytännössä yhteyksien bondaus tai kuormantasaus. Nämä ovat kaksi täysin erilaista tapaa hyödyntää useita yhteyksiä.
Kun muutin tänne Jumalan selän taakse, jouduin aluksi bondaamaan yhteyksiä, koska en saanut sisätiloihin sijoitetuilla laitteilla yhdeltäkään mobiilioperaattorilta edes säällisiä nopeuksia (eikä Starlink ollut vielä saatavilla). Maksimit olivat noin 70 Mbps luokkaa.
Bondauksesta käytetään usein termiä bandwidth aggregation eli kaistan yhdistäminen. Kansankielellä se tarkoittaa sitä, että useiden erillisten yhteyksien kapasiteetti yhdistetään yhdeksi suuremmaksi kokonaisuudeksi. Näin paikasta X paikkaan Y voidaan saada kaistaa parhaimmillaan suunnilleen yksittäisten yhteyksien yhteenlasketun kapasiteetin verran.
Jos käytössäsi on esimerkiksi 100 Mbps, 50 Mbps ja 40 Mbps yhteydet, voit yhdistää ne ja saavuttaa tiedonsiirrossa parhaimmillaan lähes 190 Mbps kaistanleveyden.
Teknisesti mekanismi toimii siten, että lähtöpäästä muodostetaan yhteys kutakin käytettävissä olevaa väylää pitkin kohdepäähän. Kohdepäässä on fyysinen tai virtuaalinen päätelaite nopean yhteyden takana. Näiden pisteiden välille muodostetut VPN-tunnelit yhdistetään eli bondataan yhdeksi loogiseksi yhteydeksi.
Esimerkiksi migraatioissa ja suurten tietomäärien replikoinnissa tämä voi olla ainoa käyttökelpoinen vaihtoehto, jos yksittäiset yhteydet ovat kapasiteetiltaan liian vaatimattomia.
Tunnelien yhdistämisen haasteena on siitä aiheutuva lisäviive. Minulla yhdistämispiste sijaitsi aluksi Azuressa – MCT kun saavat ilmaista Azure-kulutusta. Päädyin kuitenkin tilanteeseen, jossa jopa suoraan käytetty Starlink-yhteys tarjosi huomattavasti pienemmän latenssin. Kun siirsin kokoomapisteen suomalaiseen konesaliin, tulos parani.
Käytännössä bandwidth aggregation eli bondaus ei lopulta ole paras ratkaisu tavalliseen etäkonttorikäyttöön. Se on hyödyllinen suurta kaistanleveyttä vaativissa operaatioissa, kuten pilvimigraatioissa. Ikävä kyllä siinä täytyy sovellustasolla miettiä, millaista liikennettä bondatussa VPN-tunneliyhdistelmässä kannattaa ajaa. Esimerkiksi Teams-liikennettä tai tavallista verkkoselailua ei yleensä ole järkevää reitittää sen kautta, sillä käyttökokemus voi heikentyä.
Lopulta palomuurin reitityssäännöstöstä tulee varsin monimutkainen – ellet sitten osta jotain upeita automaatiokilkkeitä. Silloin tosin luovut osasta hallintaa ja maksat automaatiosta. Kaistan bondaus on ongelmallinen myös yhteyksien lyhyiden ”räpsyjen” kannalta. Kestää yleensä joitakin sekunteja, ennen kuin tunnelit ja reititys toipuvat katkoksesta. Heikkolaatuisten yhteyksien kohdalla – metsäasutuksen ainainen riesa – tämä voi aiheuttaa merkittäviä haasteita.
Jos kuitenkin tavoittelet yhteyksien niputtamista ja huipputason download-nopeuksia (yhdistettyjen kaistojen ansiosta), harkitse siihen tarkoitukseen suunniteltuja valmisratkaisuja. Esimerkiksi Mushroom Networks ja PEP Link tarjoavat erittäin helposti käyttöönotettavia mobiiliyhteyksien bondausratkaisuja. Molempia kokeilleena voin suositella – et voi epäonnistua. Toki laadukas muuri (esim. FortiGate tai Palo Alto) kykenee myös useiden WAN-yhteyksien bondaukseen.
Olen itse siirtynyt kuormantasaukseen. Palomuuri jakaa liikenteen neljälle yhteydelle seuraavan säännöstön mukaisesti:
Minun ja rouvan Teams- ja RDP-liikenne – kun molemmat teemme töitä täältä böndeltä – ohjataan aina sille SD-WAN-liittymälle, jolla on lyhin latenssi Teams-palveluun. EDELLYTTÄEN, ettei kyseisessä liittymässä esiinny lainkaan pakettihävikkiä ja että latausnopeutta on käytettävissä yli 70 Mbps sekä lähetysnopeutta yli 20 Mbps (jos ei, kääntää sitten latenssin kannalta 2. parhaalle yhteydelle).
Selausliikenne ohjataan muille SD-WAN-jäsenille. Näin Teams- ja RDP-liikenteelle jää optimaalinen kapasiteetti pienimmän latenssin yhteydellä.
Sekundäärinen liikenne (meillä on muun muassa yli 40 IoT-laitetta, 8 jatkuvasti raportoivaa valvontakameraa sekä varmuuskopiointiliikennettä ja kaikenlaista muuta “silsaa”) ohjataan aina heikoimman linjan kautta.
Kello 17 jälkeen peleihin liittyvä liikenne reititetään lyhimmän latenssin yhteydelle.
Periaatteessa bondauksen ja kuormantasauksen välinen ero on usean käyttäjän ympäristössä melko merkityksetön. Jos käytössä on kaksi yhteyttä, joista molemmat tarjoavat noin 100 Mbps nopeuden ja joita käyttää kymmenen työntekijää, käyttäjien kannalta ei yleensä ole suurta merkitystä sillä, jakaako reititin tai palomuuri liikenteen yhteyksille kuormaa tasaamalla vai yhdistetäänkö yhteydet yhdeksi loogiseksi putkeksi.
Bondaus on eduksi, mikäli yksittäinen käyttäjä tai tiedonsiirto tarvitsee enemmän kapasiteettia kuin yksi yhteys pystyy tarjoamaan, mutta on toisaalta valmis tinkimään latenssista ja haavoittumattomuudesta.
Pari kuvaa yhteyksistä – Starlink, 5G erillisellä, voimakkaasti suuntaavalla ulkoantennilla ja lopuksi äärihelppo vaihtoehto, ulkomodeemi 5G-yhteyksiin (laaja suuntauskiila ja helppo mobiili-Appi – suuntaus onnistuu parissa minuutissa).
Siitä on jo kohta vuosi, kun peruuntuneen koulutuksen vuoksi minulla olikin yhtäkkiä enemmän aikaa itselleni. En toki avannut kalenteriani kenellekään, vaan päätin palkita itseni omalla ajalla. Välillä vapaa selailu, ihmettely ja surffailu ilman deadlinea tai suorituspaineita on vapauttavaa. Minä päädyin aikani internetin ihmeellisessä maailmassa seikkailtuani sitten jälleen tutkailemaan Microsoftin nk. ’soveltavien taitojen’ -tarjoamaa (Applied Skills courses).
Toki olen aiemminkin nämä huomioinut ja kurssilaisille suositellut. Mutta kun itselläni on suunnilleen kaikki Microsoftin ikinä tarjoamat sertifikaatit ”kovana kamana”, eli virallisina, valvottuina kokeina (”proctored exams”) suoritettuna, en ollut muutamaa kurssittamaani lukuun ottamatta niitä innostunut ”suorittelemaan”. Nyt se jotenkin sitten otti ja kolahti. Ehkäpä lähti hieman lapasestakin, kun päädyin istumaan koneen ääressä myöhään yöhön tehden noita aimo nipun.
Nämä Microsoftin nk. viralliset sertifioinnithan suoritetaan PearsonVuen virtuaalitestikeskuksessa (toki optiona on raahautua fyysisesti testikeskukseenkin, mutta käsittääkseni ani harva moiseen vaivautuu) valvottuina. Siis hakeudut tilaan, jossa käsillä ei ole lunttimateriaalia, valvoja kyttää sinua webbikameran kautta ja serttikoeohjelma estää käyttämästä mitään muuta koneella.
Miten Applied Skills eroaa perinteisistä sertifiointikokeista?
Applied Skillsin suorittamista ei valvo kukaan. Lukaiset materiaalin läpi, kuuntelet kurssituksen – tai jo valmiiksi osaat aihealueen – ja sitten vain tekemään arviointi, eli labratyyppisessä ympäristössä ohjeiden mukainen toteutus. Kuten todettu, saat tehdä täysin rauhassa koneellasi tätä. Kukaan ei valvo sitä, onko joku mukana jelppimässä tai käytätkö googl… siis Bingiä apuna tai kysäiset vaikka välillä AI:lta. Myös työpaikan guru voi jelpata, jos törmäät ongelmaan.
Ei monivalintoja – oikeaa tekemistä aidossa pilviympäristössä
Se mistä pidin, on elämänmakuisuus. Ei monivalintakysymyksiin vastaamista. Käynnistät testin ja alat suorittaa. Jonkinlainen AI-arvioija antaa palautteen heti – saat ilmoituksen, että hienoa, nyt olet suorittanut tämän soveltavan taidon.
Ympäristö on aito, oikea Microsoftin pilviympäristö. Ja tehtävänanto varsin selkeä. Käytännössä vastaa näiden kokonaisten koulutuspakettien joitain labraosioita. Aikaa naputella on kaksi tuntia, joka riittää todella ruhtinaallisesti – jos siis aihealue on tuttu. Itse työstämäni Sentinelin asennus (SC-5001), Purview-implementaatio (SC-5003), Purview-konffinta (SC-5007) ja Defender XDR:n käyttöönotto ja simppeli näytöshallinnointi (SC-5004) veivät kukin selvästi alle tunnin. Koukkuun jääminen ja kaikkien pakkomielteinen puskeminen samana iltana tuotti kyllä hieman nk. hellasäröä.
Mikä Applied Skillsissä toimii erityisen hyvin?
Jos olet työstänyt vaikkapa Sentineliä työksesi, siihen liittyvä Applied Skills -testi on suorastaan naurettavan helppo. Kustakin tuotteesta vaaditaan vain perustason osaaminen. Toisaalta näitä ei läpäise ”hauki on kala”-metodilla tai ostamalla kysymyspaketin hämärästä netistä. Täytyy osata käyttää kyseistä kilkettä. Kurssilla käymme aihealueen läpi puoleen päivään ja sitten jokainen kliksuttelee testin läpi. Kouluttajan on sallittua jelpata, mikäli iskee paha aivosumu.
Todistukset
Applied Skills’it ilmestyvät samoin kuin kovat sertit Learn-palvelun Transcript-osioon. Ne eivät vanhene (eli et joudu uusimaan näitä). Saat myös ladattua hienon, Satay Nadellan henkilökohtaisesti signeeraaman todistuksen – aivan kuten niistä ”oikeista” sertifikaateistakin.
Ikävä kyllä näihin sovellettujen taitojen sisältöihin ei Microsoft tunnu satsaavan aivan samalla vakavuudella kuin isompien sertifikaattien oppisisältöihin. Applied Skills saattaa lipsahtaa huoltoon hyvinkin lyhyellä varoitusajalla. Parhaillaan useampi noin vuosi sitten tekemäni ilmoittaa ”This assessment is currently undergoing maintenance. Explore other Microsoft Credentials in the meantime.”
Itse soisin Applied Skills -tyyppisen, aidossa ympäristössä osoitetun osaamisen, palaavan myös oikeisiin sertifiointitesteihin monivalintakysymysten rinnalle. Se nostaisi varmasti osaltaan Microsoft-sertifiointien arvostusta.
Alkuperäinen blogahdus on julkaistu Corellian blogissa, osoitteessa https://corellia.fi/microsoftin-applied-skills-eli-soveltavat-taidot/. Olen otettu ja ylpeä siitä, että rehtori salli meikeläisen kaltaisen sanahampuusin kirjailla perinteikkään ja arvostetun koulutusyrityksen blogiin.
Osallistumalla Corellian kursseille voit hyvinkin törmätä minuun. Itseasiassa, jos valitset tietoturvaa liippaavan kurssin, päädyt erittäin suurella todennäköisyydellä luokkaan kanssani. Pilvijutuissa arpa voi osua Artoon, Anttiin tai meikeläiseen.
Jei! Nyt se sitten tapahtui! Tarkalleen 24.4.2025.
Microsoftin ylläpitämä kyberturvan referenssiarkkitehtuuri siis päivittyi. Edellinen (versio 3) päivitettiin joulukuussa 2023. Eli onhan tässä jo reilu vuosi ja kohta puolikaskin vierähtänyt edellisestä päivityksestä.
Etenkin siksi, että Microsoft on puskenut uutta ja upeaa tietoturvakilkettä, -suositusta ja -työkalua suorastaan hengästyttävällä tahdilla.
Mikä sitten on muuttunut?
“Pääkyvykkyyksien” kuvaaja on uusiutunut ja sisältää nykyään mm. Microsoft Security Exposure Managementin, Windows LAPSin (lokaali-adminien salasanan hallinnan), passkeyt ja Microsoft Entra Verified ID:n (Suomessa vähemmän käytetty) sekä tietenkin lisäämällä Microsoft Security Copilotin (mainio mutta julman kallis).
Entran Permission Management on poistunut (EoL, kiitos Entran uuden paketoinnin).
Microsoft Entra ID Governance Adaptive Access ilmestynyt mukaan
Painotettu sitä, että tietoturva on osa kaikkea ja kaikessa mukana. Tästä kelmu ““Security must be integrated everywhere”.
Päivitetty AI-osio (tästä kirjoitan pian erillisen blogahduksen, aihe on niin herkullinen)
Uusi “Standardien kartoitus”-osio(“Standards Mapping). Keskittyy Zero Trust -viitekehykseen Open Groupilta (sekä Microsoftin tuotteiden mappaus tätä vasten). Mukana nyt myös roolilistat (Open Groupin määritysten mukaisesti) ihmisidentiteeteille.
Open Groupin tulevan Security Matrixin antia paljonkin, mm. uhkaosion priorisointi.
Secure Score näyttää sukeltavan ja altistumisen hallinta (“Exposure Management”) olevan nousussa.
Uhkatietoon liittyvät faktat näyttävät päivittyneen ja yleisesti Microsoftin panostukset tuodaan esille – varsin vaikuttavin numeroin.
Kiinnostavasti ja selkeästi (osin jopa viihdyttävästi) esitetty tietoturvan modernisointimatka (“security modernization journey”) ja Microsoftin painottamat toimintamallit.
Kevyttä asiaa ja hienot grafiikat. Vaivaiset 115 slideä perussetissä.
Jos et vielä ole koko kelmuzettiä ehtinyt ladata, nappaa se tästä.
Jep, myönnetään. Otsikkoni oli nk. klikkijournalismia parhaimmillaan. En ole suunnitellut kirjailla scifi-tyylistä eeposta lihan ja metallin taistosta katkeraan loppuun.
Tarkoitukseni on tarkastella keinoälyn ja tietokoneaivojen kyvykkyyksiä tietoturvan saralla ja verrata niitä ihmisen tekemiin toimenpiteisiin vastaavissa käyttötapauksissa. Tarkemmin vielä rajaan arvioinnin Microsoft-tietoturvapinoon eli Microsoftin tarjoamaan tietoturvateknologiapakettiin.
Mikä on relevanttia? Mitä kannattaa suojata ja mitä valvoa?
Suuremmassa tietojärjestelmäympäristössä on satoja liikkuvia osia. Turvattavaa riittää. Pelkkä haavoittuvuuksien hallinta kattaa helposti vähintään kolminumeroisen määrän operoitavia kohteita. Ja entäpä sitten tietoturvan klassinen heikoin lenkki? Ei, en nyt kirjoita Active Directorystä, vaikka yksittäisenä teknologisena komponenttina se hyvinkin saattaisi sopia kuvaukseen. Tarkoitin ihmisiä, käyttäjiä. Näitä palkkaa nauttivia, liikkuvia ja touhukkaita, ajattelemattomia pieniä penetraatiotestaajia.
Turvassa olevat tiedot edellyttävät varautumista. Meidän täytyy huolehtia siitä, että järjestelmät ovat enemmän tai vähemmän ajan tasalla ja konfiguraatiot tehty oikein. Tämä on sitä kyberhygieniaa eli ennakoivaa kyberpuolustusta. Toisaalta meidän tulee havainnoida järjestelmiä ja niiden toimintaa. Noteerata oudot toiminnot ja poikkeavuudet. Tämä taasen voidaan lukea reaktiiviseen tietoturvaan.
Perinteisesti valvontapalveluiden myyjät ovat korostaneet reaktiivisen tietoturvan merkitystä. Ja tottahan toki siten, että ympäristöä valvotaan myös aamuyön [kalliina] tunteina. Usein kuulee toisteltavan hokemaa ”kyberrosvot eivät ole sidottuja virka-aikaan” ja tämä toimii perusteluna sille, miksi valvomon pitäisi kytätä myös virka-ajan ulkopuolella. Väite pitää mitä todennäköisimmin paikkansa. Minun on vaikea uskoa pahisten ammattiliiton kovinkaan aktiivisesti ajavan työaikalain suojaa lainsuojattomille. Mutta onko sillä mitään merkitystä? Ja entäpä, onko koko väite relevantti enää vuoden 2025 tietoturva-ajattelussa?
Vastaus on kyllä ja ei. Kyllä siinä mielessä, että esimerkiksi verkkokauppajärjestelmän paha haavoittuvuus saattaa altistaa hyväksikäytölle ja sitä kautta tietomurrolle vaikkapa aamuyön tunteina. Ja vastaus ei on myös perusteltu, sillä tutkimusten mukaan valtaosa uhista (lähteestä ja otoksesta riippuen 2/3:sta jopa 80-90%:n) aktualisoituu sen tietoturvan heikoimman lenkin kautta. Eli käyttäjän siis. Ja harva työntekijä paiskii 24/7 orjasopimuksella. Käsitykseni mukaan moinen taitaa olla sivistysmaissa jopa lailla kielletty.
Näinpä siis valvomon kannattaisi suunnata kyttäysresursseistaan 70-90% nimenomaan siihen aikaan, kun tietoturvan heikoin lenkki (käyttäjä) on aktiivinen ja touhuaa töitään.
Ihminen vs. robotti valvojana?
Kestipä kauan päästä varsinaiseen aiheeseen. Alankohan tulla vanhaksi ja jaarittelijaksi? Noh, ehkäpä taustoituksella oli kuitenkin oma merkityksensä. Etenkin kun tarkastellaan tätä valvonta-aspektia ja asetetaan ihmisaivot keinotekoista älykkyyttä vastaan.
Valvonnassa on kaksi pääaspektia. Reagointinopeus ja huomiointikyvykkyys. Ensimmäinen ilmaisee sen, kuinka hyvin ja nopeasti reagoidaan riskiin tai poikkeamaan. Toinen taas osoittaa sen, miten paljon poikkeamista kyetään tunnistamaan. Kummastakaan yksinään ei ole hyötyä. Jos tunnistamme joka ikisen poikkeaman ja outouden, mutta ehdimme syventyä niihin vasta kuukauden päästä, hyökkäys on todennäköisesti jo saavuttanut tavoitteensa ja reaktio siis myöhässä ja sitä kautta hyödytön. Rosvo tuli, näki ja voitti. Toisaalta, vaikka reagointikykymme olisi sekunnin luokkaa, mutta huomiointikyvykkyytemme kattaa vain puolet järjestelmistä, rosvo on voinut tulla, nähdä ja voittaa ilman että olemme asiasta edes tietoisia.
Lienee kiistaton tosiasia, että mikroprosessorin reagointikyky ärsykkeeseen on merkittävästi ihmistä nopeampi. Tietokone reagoi millisekunneissa käskyyn, ihminen parhaimmillaan sekunneissa – tuhansia kertoja hitaammin. Reagointinopeudessa robotti siis voittaa suvereenisti.
Entäpä sitten huomiointikyvykkyys? Koneaivo lukee tuhat riviä lokitietoa silmänräpäyksessä. Jälleen ihmistä valtavasti, suorastaan käsittämättömästi nopeammin. Keinoälykkyys ei väsy eikä suorita flunssaisena huonommin. Tasalaatuisuus on huomiointikyvykkyyden tärkeimpiä mittareita. Ja jälleen siis robotti vetää pidemmän korren.
Toimittiinpa miten vain, ihminen tarvitsee automaatiota eli koneaivoja tuekseen. Sekä havainnointikyvykkyyteen, kun ihminen on vain liian tehoton ja hidas käymään kaikkea aiheeseen liittyvää dataa läpi, että reagointiin, kun ihmisen prosessointinopeus ei riitä. Kyse ei oikeasti olekaan ihminen vs. robotti -asetelmasta. Todellisuudessa kyse on lopulta siitä, kuinka paljon ihmistä tarvitaan puikkoihin. Ja miksi? Työllistävä vaikutus? Ihmisen eettinen kontribuutio? Syitä voi löytyä toki. Joissain tapauksissa on perusteltua edellyttää ihminen tekemään hyväksynnän tai päätöksen robotin prosessoiman tiedon ja ehdottaman tuloksen pohjalta. Useimmat vasta-argumentit, joihin olen itse törmännyt, pohjaavat kuitenkin tunnepohjaiseen reaktioon. ”Mutku ei niin oo koskaan ollut” ja ”eihän se nyt vain käy”.
Tästähän päästäänkin siihen ihmisen vahvuuteen. Missä itse näen ihmisaivot voitokkaina? Parhaimmillaan terävä ja osaava tietoturvavelho omaa innovatiivisuutta, jota koneäly ei ainakaan toistaiseksi pysty matkimaan. Usein arjessa puhutaan vaistosta tai fiiliksestä, ettei kaikki ole oikein. Todellisuudessahan kyse on intuitiivisesta päättelystä. Edes minun kaltainen teknologiauskovainen nörtti ei kuvittele koneälyn ainakaan lähitulevaisuudessa pääsevän lähellekään ihmistä tällä sektorilla.
Miten se sitten käytännössä näkyisi secu-tekemisessä? Koneäly tekee enemmän nk. false positive -arvioita. Eli päättelee uhaksi sen, kun kirjanpidon särmä Pertti alkaakin perjantai-iltana tehdä yllättäen kirjoitusvirheitä esimerkiksi salasanaa syöttäessä. Ihmisanalyytikko saattaa arvailla väsymyksellä tai nautintoaineilla olevan osansa näppäilyvirheissä.
Toisaalta korkeamman tason tehtävät, kuten vaikkapa arkkitehtuuri ja strateginen arviointi liiketoiminnan vaatimuksia vasten, ovat toistaiseksi vielä tekoälyn ulottumattomissa olevia aspekteja. Keinotekoinen älykkyys toimii mitä parhaimmin silloin, kun käsiteltävät asiat mahtuvat ennalta määriteltyihin malleihin ja toisaalta muuttujien määrä on rajallinen.
Tämähän on todistettu esimerkiksi pelaamalla. Shakissa et voita koneälyä ikinä. Paras ihmispelaaja, joka ei tee yhden yhtään virhettä, voi päästä tasoihin. Kas kun shakin siirtojen määrä tuottama vaihtoehtojen määrä on rajattu. Koneäly laskee joka ikisen siirtovaihtoehdon läpi. Lopputulos on siis ennalta selvä. Mutta kun siirrytään vaikeampaan matemaattiseen peliin, kuten vaikka Go, tilanne muuttuu. Kun muuttujien määrä ei olekaan enää rajallinen, ihmispelaaja pärjääkin jälleen (ainakin rajallista koneälyn laskentakapasiteettia vastaan). Ja kollegani Massimo väittää myös keinoälyn voittavan ihmisen myös No Limit Hold’em pokerissa. Nih.
Lopputulos
Koneäly sopii paremmin nopeaa reagointia vaativiin valvomotehtäviin. Se on väsymätön eikä tee inhimillisiä virheitä. Mitä suuremmaksi kompleksisuus menee tai mikäli tehtävä vaatii ”psykologista tai poliittista silmää”, ihmistoimija on lyömätön.
Ehkäpä perinteiset ensimmäisen linjaston valvontatehtävät voisi sälyttää robottien tehtäväksi ja tärkeimmät päätökset eskaloitaisiin ihmisvalvojalle.
Kokonaisuushan riippuu lopulta toimialasta ja käyttötapauksesta. Joissain toiminnoissa on perusteltua käyttää ihmisiä valvontatehtävissä. Ja toisaalta tiettyjä tehtäviä, joissa vaaditaan jatkuvaa skarppiutta ja täysin tasalaatuista suorittamista, ei taas kannata antaa ihmiselle.
Yhä vähemmän näen kuitenkaan tarvetta toistuvien rutiinien tai perustason valvontatoimien allokointiin ihmisvalvojille. Ainakaan niinä aikoina, kun käyttäjämme eivät aktiivisesti ole luomassa inhimillisillä virheillään näitä uhkavektoreita. Koneäly on aivan hyvä valvoja sille verkkokauppapalvelimelle aamuyön tunteina!
Igniten upeiden julkistusten nostattamassa euforiassa äidyin keskustelemaan ystäväni ja ex-pomoni (tai oikeastaan pomoni pomon) Pasi Yliluoman kanssa tietoturvan valvonnasta ja kaikesta sen ympärillä.
Modernisti olimme kumpikin tahollamme. Minä työhuoneeni nojatuolin syöverissä viinilasillinen kädessä ja Pasi jotain lenkkiä tai hyötyliikuntaa vetämässä, urheilullinen nuori mies kun on. Kylläpä reilu vuosikymmen on muuttanut kommunikaatiokulttuuria. Meiltä siis, vanhakantaisemmathan pakkomodernisoituivat vasta covidin takia.
Niin tai näin, juttu lensi. Pyysin copilottia tekemään yhteenvedon, sillä dialogi oli sikäli kiinnostava, että kuvittelen jonkun virtuaalikamunikin mahdollisesti kiinnostuvan aiheesta. Oli pakko siivota ja lyhentää rankasti. Litteroidussa muodossa tajuaa kuinka rönsyilevää vanhojen secupartojen dialogi saattaakaan olla. Odottakaas vain vanhainkotivaihettamme! Tuskin pääsemme päivässä edes aiheeseen. 😉
Ota ja lukaise tiivistelmä väittelystämme. Mieluusti kuulisin palautetta. Oletko samaa mieltä, kiistät tai korjaat? Anna palaa kommentteja. Somessa ei tarvitse olla häveliäs!
Sami: Olen jo pidempään hämmästellyt, kuinka mainiosti ”siviilikin” voi nykyään arvioida tapahtumia ja järjestelmien esiin nostamia poikkeamia. Olen opastanut Microsoftin nk. Security Copilotin (virallinen nimi on ”Copilot for Security”) käyttöä muutamalle tutulle IT-asiantuntijalle, jotka eivät ole mitenkään secu-genreen erikoistuneita tai sitä seuranneita. Etenkin se ”guided responses” -toiminto – jonka ehkä voisi kääntää vaikka ”ohjattu tietoturvavaste” – on varsin vaikuttava.
Jotenkin mieleen tulee elämä jokunen vuosikymmen sitten. IT-tiimi valvoi keskitettyjä virustorjuntakikottimia ja varmisti, että palomuuri puksutti. VPN-käyttöoikeusia anottiin lomakkeella ja harkinnan mukaan IT niitä myönsikin sitten. Backupit testattiin ja varautumissuunnitelmakin oli putkirikon tai tulipalon varalle. Ei tarvittu tietoturvapapistoa. Järjestelmänvalvonta kyttäsi ja herätti päivystäjän, jos iso bittihikka iski yöllä.
Tietoturvatorstai oli kuukauden ensimmäinen torstai ja silloin ladattiin uudet virustietokannat hallintapalvelimelle ja asennettiin päivitykset palvelimille.
Pasi: Kyllähän uhkien ja tapahtumien määräätkin ovat kehittyneet ja kasvaneet exponentiaalisesti niistä ajoista. Mutta totta kyllä, että kaiken hallittavuus oli lähempänä vuosituhannen alkua helpompaa. Tai ainakin se tuntui siltä. Harvoinhan se IT-tiimi itse palomuuria tai haastavimpia tietojärjestelmien elementtejä asenteli. Muistathan, että jo vuosituhannen taitteesta asti on ollut tietoturvavalvomoita ja järjestäytynyttä tekemistä IT-tiimin tukena.
Sami: Totta kyllä, mutta ne tietoturvavalvomot olivat pääsääntöisesti lähinnä tietoverkon valvontaa. Palomuuri tärkeimpänä elementtinä. Monesti NOCin (tietoverkkojen valvontakeskus) ja SOCin (tietoturvan valvontakeskus) rooleja oli vaikea erottaa toisistaan. Ääritapauksissa niitä pyöritettiin enemmän tai vähemmän samoin resursseinkin.
2000-luvulla valvontaan lisättiin se keskitetty virustorjunta, eli esim. McAfeen tai TrendMicron hallintopalvelin. Ah! Ja tapahtumalokia keräiltiin, jos joltakin vehkeeltä. Näin jopa tapauksia, jossa kaikilta työasemilta kerättiin eventtitiedot talteen. Näiden hyödynnettävyyden perinteisessä valvomossa kyseenalaistan. Oman käsitykseni mukaan niitä hillottiin lähinnä teoreettista forensiikkakäyttöä varten.
Pasi: Myöhemmin 2010-luvulla EDR nousi tärkeään asemaan tietoturvavalvomoiden toiminnassa. Gartnerin kuuluisa SOC-näkyvyyskolmiokin nosti EDR:n yhdessä SIEMin ja NDR:n kanssa tärkeimmiksi näkyvyyslähteiksi.
Mielestäni SOC-toiminta muuttui 2020 lähestyttäessä. Markkinaan ilmestyi jopa tietoturvavalvomopalveluita, joita tuotettiin pelkän EDR:n tai NDR:n varaan. Niiden nimittämistä SOC-tyyppiseksi tietoturvavalvomoksi voi mielestäni kyseenalaistaa perustellusti.
Sami: Juu, en itse nimittäisi näitä ”managed detection and response” -palveluita SOC’eiksi ensinkään. MUTTA. Itse ilahduin näiden ilmestymisestä kenttään. Oman kokemukseni mukaan ne ajavat pitkälti saman asian kuin nk. SOC. Monesti ehkä jopa tehokkaammin, kun täysin irrelevantit lokienkeräilyt on poissa.
Itseasiassa minun mielestäni juuri tämä MDR-palveluiden synty on lähtölaukaus nykymuotoisten SOCien kuolemiselle.
Pasi: No sittenhän me olemme samaa mieltä! Itsekin uskon, että perinteinen tietoturvavalvomo alkaa olla tiensä päässä. Hyöty-kustannussuhde on kestämätön. Aivan liikaa turhaa ja manuaalista tekemistä. Tai ehkä sen verran korjaan, että tietyillä toimialoilla henkilöiden suorittama aktiivinen valvontatyö kuuluu kyllä asiaan. Joskin itse näkisin silloin näiden toimijoiden SOCit enemmänkin talon sisäisinä funktioina tai hyvin lähellä liiketoimintaa olevina toimintoina, joiden kontolle voisi sälyttää myös preventiivistä tietoturvaa.
Sami: Exactly! Juuri tästä investointi-tuotto -aspektista itsekin päädyin pohdintooni. Siis miettimään, kuinka 15 v sitten Dentsu-Aegiksen tietohallintoa vetäessäni pärjäsimme pienellä tiimillä ilman valvomoita. Silloin ympäristö oli sikäli kompakti ja teknologiakenttä rajattu, että koin hallitsevani ja osaavani verrattain suvereenisti kaiken siihen liittyvän.
Tilanne muuttui radikaalisti pilvipaholaisen rynnättyä möyhäämään koko IT-palveluiden tuotannon. Automaatio, mikropalvelut, hajautettu laskenta, SaaS- ja PaaS-palvelut toivat muutosvauhtia, joka hengästyttää heikompia. Tehokkuus kiistämättä on noussut varmaan liki kymmenkertaiseksi. Toisaalta shadow IT on räjähtänyt käsiin myös. Ja etenkin kokonaisuuden kompleksisuus on samoin noussut käsittämättömällä vauhdilla. Enää en usko minkään nyrkkitiimin kykenevän niin mitenkään hallitsemaan kaikkea käsillä olevaa. Eli kokonaisuus on väistämättä liian kompleksi ja vaatisi renessanssineron hallitsemaan kaikkea.
Pasi: Vaikeus ja osaamiskirjon laajuus ei kyllä voi olla selitys tai tekosyy sille, etteikö tietoturvaa valvottaisi ja poikkeamiin reagoitaisi asianmukaisesti. Maailma ja internet on kuitenkin nykyään merkittävästi vaarallisempi paikka kuin silloin 15 vuotta sitten. Erinomainen muutos on myös se, että valvonnan tarpeeseen on useilla tahoilla “herätty” kunnolla, paljolti jonkun kantapääopin kautta.
Mutta en kyllä näe tämänkään tukevan ajatusta perinteisestä tietoturvavalvomosta. Enemmänkin se IT-tiimi tarvitsee älykkäitä työkaluja, joka palauttaa kaiken heidän näppeihinsä. Kuten sinulla joskus silloin 15+ vuotta sitten asia oli kun olit tietohallintopäällikkönä siellä media-alalla. Siis valvonta ja turvaaminen lähemmäs liiketoimintaa.
Sami: No ihan just näin ja aamen! Sellainen tietoturvavalvomo, jota SOC-edustaa usein johtaa juuri väärään suuntaan. Eli kokonaisuus tietoturvan osalta on vieläkin vähemmän IT-tiimin hallinnassa, kun SOC elää omaa elämäänsä omassa norsunluutornissaan. Pahin, mitä olen nähnyt, on asenne että ”nää, jää on joku secu-ongelma, ne hoitaa se SOC ei meidän kannata tähän käyttää aikaa”.
Tuo on suorastaan vaarallinen metodi. Sinänsä, mikäli tiimit olisi integroitu tehokkaasti ja secu osa IT-palvelutuotantoa, näin ehkä voisikin olla. Mutta tietoturvavalvomo on oma siilonsa. Ainakaan perinteinen SOC ei osallistu tietoturva-arkkitehtuurin suunnitteluun eikä vastaa palvelinylläpidoista (joihin kovennukset ja haavoittuvuuksien hallintakin kuuluvat).
Pasi: JOS olisikin niin, että SOC valvoisi oikeita asioita liiketoiminnan kannalta ja olisi linjassa tietoturva-arkkitehtuurin kanssa sekä jatkuvassa synkassa IT-tiimin kanssa, tilanne olisi hyvä. Ja vielä parempi kun IT:llä ja yritysten liiketoiminnoilla olisi yhteinen näkemys turvattavista asioista. Tosin silloin nimitys ei ehkä olisi SOC vaan IT Opsin SecOps funktio. Ikävä kyllä tämä ei ole realiteetti vielä yleisesti.
Tämän päivän tietoturvavalvomot ostetaan pitkillä sopimuksilla. Sopimusta tehtäessä määritetään näkyvyydet ja vastuut. Samaan aikaan IT on agilea (ketterää) ja maailma muuttuu vauhdilla. SOC-valvonta ei muutu ihan yhtä vauhdikkaasti. Ja toisaalta perinteinen valvontabisnes pohjaa aika vanhakantaiseen ja manuaaliseen tekemiseen. Tuottosuhde saisi olla parempaa ja toiminta virtaviivaisempaa. . Kyseinen malli ajaa heikkoon kustannusrakenteeseen ja siten kannattamattomaan liiketoimintaan.
Sami: Aivan juuri noin! Itse olen jo pidemmän aikaa kutsunut useimpia SOCeja ”anti-SOCeiksi”. Eli eivät valvo sitä, mikä olisi tärkeää. Eivät ole riittävän ketteriä eivätkä muutu synkronissa IT-palvelutuotannon kanssa. Monesti SOC-näkyvyys on jotain, joka on rakennettu palvelun tilauksen aikaan. Sitten pilviluuta on pyyhkinyt IT:tä ja SOC tuijottaa jotain palomuuria ja eventtitietoa on-prem palvelimista – kun arvokkain tietosisältö on jo pilvessä.
Mitä tulee SOC-palveluiden SLA-lupauksiin tai keskimääräisiin vasteaikoihin, pidän niitä itse täytenä huttuna (in English: bullshit 😉). Se, kuinka nopeasti keskimäärin joku koskee hälytykseen on täysin epärelevanttia. Selvitysaika olisi oleellisempi. Milloin on korjattu. Mutta eihän sille kukaan lupaa mitään SLA:ta.
AI ja automatiikka pieksee jokaisen SOCin reagointikyvykkyyden. Parhaat SOCit reagoivat keskimäärin vain minuuteissa. Automaatio reagoi sekunneissa. Lisäksi keinoälyn tukema automaatio alkaa olla Tier 1 analyytikkoa nohevampi ensivasteessa. Odotan kiinnostuksella, milloin markkinoille syntyy ensimmäinen AI-robotiikka-SOC, jossa Tier 1 analyytikot on pääosin korvattu keinoälyn vahvistamalla ohjemistorobotiikalla ja automaatiolla. Tier 2 analyytikoille näen vielä tarvetta, mutta en missään tapauksessa 24/7 (ellei muukin IT sitten toimi 24/7).
Pasi: Sami, Sami… eihän nykyinen liiketoimintamalli tue tuollaista! SOC-palveluhan joutuisi muuttamaan radikaalisti toimintamalliaan ja mikä pahinta pudottamaan laskutuksiaan.
Tarve automaatio-valvomolle on varmasti olemassa, mutta markkina muuttuu hitaasti. Lisäksi valvomoita johtavat pääsääntöisesti nämä, joita sinä nimität ”vanhoiksi secu-parroiksi” eikä muutosvastarinta ole ihan vähäistä jos menet ehdottamaan kaiken mylläämistä uusiksi. Toisaalta ostajan merkitys markkinan muutokseen on iso, muutos ostamisessa olisi se “oikea markkinan myllääjä”.
Sami: Mutta enhän minä edes ehdota mitään ”kaiken mylläämistä uusiksi”! Tämähän on jo reilun parikymmentä vuotta tapahtunut kautta linjan IT-palvelutuotannossa. Virtualisointi, pilvi, AI ja automaatio ovat jo mullistaneet esimerkiksi ohjelmistokehityksen tai palvelinylläpidon tai IT-tukitoiminnot.
OK, niissäkin hitausmomentti tulee rakenteista ja perinteisten organisaatioiden hitaasta liikkeestä, mutta kyllähän vaikka räätälöity ohjelmistokehitys on täysin eri sfääreissä 2024 kuin mitä se oli vuonna 2004. Agile manifest toi momentumin prosessien suoraviivaistamiseen ja työkalujen modernisaatio on varovastikin arvioiden ainakin kymmenkertaistanut koodarin tehokkuuden.
Secu-puoli on vain seurannut hitaammin perässä tehokkuuden ja automaation suhteen. Olisiko nyt aika todeta, että 2025 on automaatio-tietoturvavalvonnan vuosi? Ainakin Microsoft tuntuu ajattelevan varsin pitkälti näin.
Uusin äskettäin viisi Microsoft-sertifikaattiani enkä voinut olla huomaamatta muutamaa outoutta. Kuitenkin, aivan ensiksi minun on annettava kiitosta Microsoftille. Sertifikaattien uusiminen on erittäin yksinkertainen ja nopea toimenpide. Ei tarvitse tehdä varausta PearsonVuelta. Eikä tulla kytätyksi webbikameran kautta. Ja kysymysten määräkin on rajoitettu (vain 24), joten voit uusia useita serttejä tunnissa. Juuri noin sen pitääkin olla!
Alalla serttien uusimiseen on tarjolla kahdenlaista lähestymistapaa. Ensimmäinen malli sisältää serttien uusinnat verrattain harvoin, kuten vaikkapa kerran kolmessa vuodessa. Esimerkissä ISC2, VMware ja AWS seuraavat tätä polkua. Toinen tapa on tehdä uudelleensertifiointi kerran vuodessa. Näin tiiviissä syklissä uusimisprosessin on oltava suoraviivaisempi, eikä se voi viedä paljon aikaa. Harvemmin uusittavissa toimii myös metodi, jossa uusinta on likimain (tai täysin) yhtä raskas kuin alkuperäinen sertifiointikin.
Henkilökohtaisesti pidän lähestymistavasta, jossa serttejä uusitaan tiheästi. Se pitää sertin relevanttina. Ajattele tästä näkökulmasta: jos et ole koskenut mihinkään serttiäsi koskevaan teknologiaan vaikkapa viimeisten 3 vuoden aikana, voitko todella sanoa rehellisesti, että sertifiointi heijastelee osaamista?
No, mutta, keskitytäänpä nyt Microsoftin valitsemaan tiehen. Sinun on uusittava serttisi vuoden välein. Toki takaa, että osaamisesi on tuoretta, mutta lieneekö kauhean työllistävää.
Kuten alussa kirjoitin, Microsoft on tehnyt uusintaprosessista erittäin yksinkertaisen ja nopean. Ensinnäkään se oli ole nk. ”online proctored” (kun ottaa huomioon PearsonVuen surkean laadun nykyään, tämä on iso helpotus). Voit siis uusia serttejäsi juuri silloin kun sinulla on aikaa, riippumatta paikasta tai fasiliteeteista. Ei tarvitse sulkeutua johonkin rauhalliseen paikkaan proctorin kyylättäväksi. Toiseksi se on paljon yksinkertaisempi ja vähemmän kysymyksiä (vain 24 ja kaikki monivalintakysymyksiä) verrattuna varsinaiseen sertifiointitestiin. Tämä on todella hyvä! Kun plakkarissa on joku 20 sertifikaattia, voit uskoa, että niiden uusimiseen joka vuosi alkaa todella kulua aikaa – ellei se ole suoraviivaista ja nopeaa. Kolmas oleellinen juttu on, että voit käyttää Googlea tai mitä tahansa haluamaasi työkalua kysymyksiin vastatessasi. Houkuttaisi työntää kaikki kyssärit jollekin generatiiviselle tekoälyavustajalle ja pyytää sitä vastaamaan puolestani. 😉 (HUOM! tämä on siis erikseen kielletty serttien uusintasäännöissä, blogauksen lopussa linkki näihin viittaamiini sääntöihin)
Siinä ne hyvät asiat. Mutta nyt muutama sana outouksista, joita olen pähkäillyt serttien uusintoja tehdessäni. Vaikuttaa siltä, että uusintakokeen kyssärit ovat täysin eri poolista kuin alkuperäisten serttitestin. Välillä minulla on ollut jopa vaikeaa ymmärtää, kuinka jotkut kysymykset liittyvät uusittavaan sertifiointialueeseen.
Ehkä otan esimerkin tosielämästä. Uusin tovi sitten Cybersecurity Architect Expert -sertifiointini. Olen tainnut jopa ylistää tuota sertifikaattia, koska se oli minusta Microsoftin ensimmäinen todellakin jonkinlainen arkkitehtitason sertifiointi. Siinä ei kysytä tiettyjä konfigurointimaksimeja tai kuinka käyttää KQL-kyselyä tai kuinka ottaa käyttöön jokin tietoturvaominaisuus tuotteessa X. Cybersecurity Architect Expert keskittyy minusta kiitettävästi mittaamaan yleistä ymmärrystä kyberturvallisuus kentästä ja arkkitehtuuritason kyberturvallisuuskonsepteista.
Oh, mutta nythän minä harhauduin aiheesta. Siis elävän elämän esimerkki:
Eteeni tuli skenaariokuvaus, jossa kysytään, pitäisikö Admin1 luoda Bastion ja Container, vain Bastion, vain kontti vai VM, Bastion ja Container. Mitä ihmettä Microsoft? Onko tämä kysymys kyberturvallisuusarkkitehdin taitojen mittaamiseksi? Minulle se oli helppo kysymys, koska omaan pitkän järjestelmänvalvojataustan ja paljon hands-on Azure-hallintakokemusta. Mutta turvallisuusarkkitehdille, joka ei vietä vapaa-aikaansa Azure-hallinnon parissa? Ok, olen varma, että jokainen fiksu tyyppi ratkaisee kysymykset Googlen ja dokumentaation avulla. Silti en todellakaan näe tuolla kysymyksellä mitään relevanssia arkkitehtitason kyberturva-sertifioinnin uusimiseen. Täysin aihepiirin ulkopuolinen kysymys, vaikka se liittyikin tietoturvakonfiguraatioihin Azuressa.
Kiteytyksenä ehkä sen verran, että varsinaiset sertifiointitestin kysymykset ovat paljon laadukkaampia ja liittyvät enemmän sertifiointikokeen aihealueeseen verrattuna serttien uusimisen yhteydessä naamalle pöllähtäviin kysymyksiin.
Kylläpä jälleen verenpaine nousi. Törmäsin väitteeseen, ettei tiettyjä luottamuksellisia tietoja saisi lähettää salattuna sähköpostina vaan pitäisi käyttää XXX yrityksen “turvapostia”.
No jopa oli! Tämä otaniemeläinen nyrkkiputka siis aivan pokkana myyntitoiminnassaan väittää tarjoavansa turvallisemman sähköpostiviestien käsittelyn kuin vaikkapa Microsoft tai Google. Ja vielä uskomattomampaa potaskaa tulee: “sähköpostin salaus on kotimaista”. Todistuksena on tälle on muka “Avainlippu-tunnus”. Vanhemmat lukijani muistavat ehkä, kuinka joskus polemiikkia herätti banaaneille myönnetty Avainlippu. Mutta onko SALAUS suomalaista? Pahoin epäilen.
Markkinointi on muutenkin vähintään harhaanjohtavaa ellei jopa valheellista. Toisin kuin nämä “turvapostit” ja “luottopostit” ja sen sellaiset väittävät, itse sähköpostiliikenne ei kulje mitenkään salattuna. SMTP-protokolla on mitä on. Herran vuonna 1980 vaatimukset olivat hieman erilaiset.
Teknisesti kaikki nämä “turvalliset sähköpostit” toimivat samalla tavalla. Itse viestiä ei lähetetä sähköpostin (joka siis kulkee salaamattomana SMTP-liikenteenä palvelimesta toiselle) mukana. Vastaanottaja saa viestissä linkin, joka johtaa sähköpostipalvelun generoimalle webbisivulle (ja TÄSSÄ on käytössä nyt SSL-salaus, eli kyse on https-liikenteestä). Tänne sitten tunnistaudutaan (tässä vaihtoehtoina on tekstiviestitse tai sähköpostitse toimitettu avain – joista kumpikaan siirtotie ei täytä järeitä tietoturvakriteereitä).
Kumman uskot hoitavan verkkopalveluidensa tietoturvan paremmin? Espoolaisen nyrkkikioskin vaiko Microsoftin tai Googlen? Tai sveitsiläisen korkean turvallisuuden sähköpostipalveluiden tarjontaan erikoistuneen ProtonMailin. Microsoft pystyy lisäksi tarjoamaan tunnistautumiseen aidosti luotettavan (Entra ID:n tarjoama MFA) metodin. Lisäksi, mietihän hetki sähköpostiliikennettä. Mikäli suomalainen yritys lähettää sähköpostia toiselle suomalaiselle yritykselle, mistähän kummankin sähköpostit löytyvät? Aivan. Microsoftin M365 -palvelusta. Eli sähköposti ei missään vaiheessa edes lähde hoipertelemaan SMTP-liikenteenä palvelimelta toiselle.
Käärmeöljykauppiaat väittävät sivuillaan myös tietoturvansa hallintajärjestelmästä monta kovaa ja kaunista. Pyydettäessä ISO27001 sertifikaattia ei kuitenkaan kuulu. Niinpä niin.
Huom! Avautumiseni ei koske ent. Deltagon Group Oy:n Sec@GW -tuotetta (nyk. SSH Oyj), jota pidän laadukkaana.
Cloud Coaching Club 