Suomen uusi kansallisen turvallisuuden strategia 2026–2035 edellyttää teollisuudelta kriisinsietokykyä ja huoltovarmuutta. Teollisuuden OT-järjestelmien näkökulmasta tämä tarkoittaa tuotannon jatkuvuuden turvaamista – myös silloin, kun verkkoympäristöön kohdistuu häiriö tai hyökkäys.
DNS voi olla juuri se heikko lenkki, jota ei ole tunnistettu. Monissa tuotantoympäristöissä DNS-palvelu on käytössä historiallisista syistä – se on tullut mukana Windows-järjestelmien tai IT-arkkitehtuurin kautta ilman tietoista riskiarviointia. Samalla se on yllättävän yleinen ja usein huonosti suojattu hyökkäyspinta.
Tässä artikkelissa avaan DNS:n roolia tuotannon tason järjestelmissä ja kerron, miten seuraamusperusteinen riskianalyysi auttaa tekemään oikeat päätökset.
Tiedätkö, mikä rooli DNS:llä on tuotantoverkossasi?
DNS (Domain Name System) on internetin ja verkkojen peruskivi – se muuttaa verkkonimet IP-osoitteiksi. IT-maailmassa DNS on välttämättömyys, eikä sitä juurikaan kyseenalaisteta. Mutta entä tuotannon tasolla?
Teollisuuden automaatiojärjestelmissä – ohjausjärjestelmissä, SCADA-palvelimissa ja HMI-paneeleissa – DNS:n rooli on kaikkea muuta kuin itsestään selvä. Monissa tuotantoympäristöissä DNS on käytössä ikään kuin vahingossa: se on tullut mukana Windows-pohjaisista järjestelmistä tai IT-verkon arkkitehtuurista, ilman että kukaan on arvioinut sen tarpeellisuutta tai riskejä tuotannon jatkuvuuden kannalta.
Juuri tässä piilee ongelma.
DNS hyökkäyspintana – mitä voi tapahtua?
DNS-liikenne on hyökkääjän näkökulmasta erittäin houkutteleva kohde. Se on usein sallittua palomuurisäännöissä, heikosti valvottua ja protokollana joustava väärinkäytöksille. OT-ympäristössä tämä tarkoittaa konkreettisia uhkia:
1. DNS-tunnerointi (DNS tunneling) Hyökkääjä voi käyttää DNS-kyselyjä tiedon salakuljetukseen verkon ulkopuolelle – tai komentokanavana haittaohjelmalle. Tämä on erityisen vaarallista ympäristöissä, joissa oletetaan, ettei tuotantoverkosta ole yhteyttä ulkomaailmaan.
2. DNS-huijaus (DNS spoofing) Väärennetty DNS-vastaus voi ohjata järjestelmän kommunikoimaan väärän palvelimen kanssa. Tuotantoympäristössä tämä voi tarkoittaa esimerkiksi päivityksen lataamista hyökkääjän hallitsemasta lähteestä.
3. Palvelunesto (DNS-pohjainen DoS) DNS-palvelimen kuormittaminen tai kaataminen voi estää kaiken nimeen perustuvan kommunikaation. Jos tuotantoverkko on riippuvainen DNS:stä, tämä voi pysäyttää prosesseja tavalla, jota ei ole ennakoitu.
4. Lateraalinen liikkuminen Kompromisoidun DNS-palvelimen kautta hyökkääjä voi kartoittaa verkon rakennetta ja löytää uusia kohteita – esimerkiksi kriittisiä ohjausjärjestelmiä, joiden olemassaolosta ei pitäisi olla tietoa verkon ulkopuolelle.
Tarvitaanko DNS:ää tuotantoverkossa ollenkaan?
Tämä on oikea kysymys – ja vastaus riippuu aina ympäristöstä. Mutta lähtökohta on selkeä: tuotantoverkossa ei pitäisi olla mitään, minkä tarpeellisuutta ei ole arvioitu.
Monet OT-järjestelmät toimivat täysin IP-osoitteiden varassa. PLC:t, RTU:t ja monet SCADA-komponentit eivät käytä DNS:ää lainkaan. Tällaisissa ympäristöissä DNS-palvelu on tarpeeton – ja jokainen tarpeeton palvelu on ylimääräinen hyökkäyspinta.
Toisaalta osassa ympäristöjä DNS on todellinen riippuvuus: Windows-pohjaiset HMI-työasemat, Active Directory -integraatiot ja etähallintayhteydet voivat vaatia nimipalvelua. Tällöin kyse ei ole DNS:n poistamisesta, vaan sen hallinnasta.
Keskeiset kysymykset, jotka tuotantoympäristössä pitää esittää:
- Mitkä laitteet ja järjestelmät todella käyttävät DNS:ää?
- Mitä tapahtuu, jos DNS-palvelu ei ole käytettävissä?
- Kulkeeko DNS-liikenne tuotantoverkon ja IT-verkon tai internetin välillä?
- Kuka hallinnoi DNS-palvelinta ja miten sitä valvotaan?
Seuraamusperusteinen riskianalyysi ratkaisee
Kumpu Consultingin ”Varaudu pahimpaan” -menetelmässä lähtökohtana on aina liiketoiminnan vaikutukset – ei todennäköisyyksien arvuuttelu. DNS:n tapauksessa tämä tarkoittaa konkreettista arviointia:
Jos hyökkääjä käyttää DNS-kanavaa päästäkseen käsiksi tuotantoverkkoosi, mitkä ovat seuraukset?
- Henkilöturvallisuus: Voiko DNS-pohjainen hyökkäys johtaa tilanteeseen, jossa turvatoiminnot eivät toimi?
- Tuotteen laatu: Voiko manipuloitu kommunikaatio vaikuttaa prosessiparametreihin?
- Käytettävyys: Pysähtyykö tuotanto, jos DNS ei vastaa?
- IPR-suoja: Voiko DNS-tunnerointia käyttää tuotantotiedon varastamiseen?
Tämä seuraamusperusteinen riskianalyysi (consequence-based risk analysis) räätälöidään kone- ja järjestelmäkohtaisesti. Se täydentää geneerisiä standardeja, kuten IEC 62443:a, ja auttaa täyttämään NIS2-vaatimukset erityisesti haastavissa tuotantoympäristöissä, joissa on vanhaa laitekantaa – juuri niissä ympäristöissä, joissa DNS saattaa olla käytössä historiallisista syistä ilman tietoista päätöstä.
Käytännön suositukset DNS:n hallintaan OT-ympäristössä
Jos DNS:ää ei tarvita:
- Poista DNS-palvelu käytöstä tuotantoverkosta
- Estä DNS-liikenne (portti 53) palomuurisäännöissä tuotantoverkon ja muiden verkkojen välillä
- Käytä staattisia IP-osoitteita ja hosts-tiedostoja tarvittaessa
Jos DNS:ää tarvitaan:
- Erillinen DNS-palvelin tuotantoverkkoon – ei jaettua IT-verkon DNS:ää
- Rajoita DNS-kyselyt vain niihin kohteisiin, jotka ovat välttämättömiä
- Valvo DNS-liikennettä aktiivisesti poikkeamien varalta
- Estä DNS-liikenne suoraan internetiin – käytä sisäisiä forwardereita hallitusti
- Dokumentoi DNS-riippuvuudet osana verkon arkkitehtuurikuvausta
Seuraava askel
DNS on vain yksi esimerkki palvelusta, joka voi olla tuotantoverkossa käytössä ilman tietoista päätöstä. Vastaavia piileviä riskejä löytyy lähes jokaisesta teollisuusympäristöstä.
Kyberturvallisuusriskien kartoitus tulee aina aloittaa liiketoiminnan vaikutuksista – ei teknologiasta, ei standardien checklistoista, vaan siitä, mitä organisaatiollesi tapahtuu, jos pahin toteutuu.
Jos haluat selvittää, miten DNS ja muut verkkopalvelut vaikuttavat tuotantoympäristösi turvallisuuteen, ota yhteyttä Teemu Kumpulaiseen – rakennetaan yhdessä tuotantoverkoistasi sellaisia, jotka kestävät myös pahimman skenaarion.
Teemu Kumpulainen on Kumpu Consulting Oy:n asiantuntija, joka on erikoistunut teollisuuden kyberturvallisuuteen ja seuraamusperusteiseen riskianalyysiin. Kumpu Consulting auttaa teollisuusyrityksiä jalkauttamaan NIS2-vaatimukset tuotannon tasolle käytännönläheisesti ja kustannustehokkaasti.
Vastaa