18. maaliskuuta 2026 kello 14.35

Tunkeutumistesti (Penetraatiotesti) – Mitä se on?

Tunkeutumistesti (penetraatiotesti tai lyhyesti pentest) on prosessi, jossa organisaation tietojärjestelmiä, verkkoinfrastruktuuria tai sovelluksia testataan todellisen hyökkääjän näkökulmasta ja valtuutettuna. Tavoitteena on tunnistaa tietoturva-aukot ennen todellisen kyberhyökkäyksen tapahtumista, määrittää riskitasot ja toteuttaa korjaavat toimenpiteet.

Tunkeutumistesti ei suoriteta järjestelmän vahingoittamiseksi, vaan päinvastoin sen suojaamiseksi. Eettisiksi hakkereiksi kutsutut kyberturvallisuuden asiantuntijat testaavat järjestelmäänne käyttäen samoja tekniikoita ja työkaluja kuin hyökkääjät; mutta tekevät sen laillisesti ja teidän luvallanne.

Ero tunkeutumistestin ja haavoittuvuusskannauksen välillä

Nämä kaksi käsitettä sekoitetaan usein toisiinsa, mutta niiden välillä on merkittäviä eroja:

• Haavoittuvuusskannaus (Vulnerability Scanning): Tunnistaa järjestelmän tunnetut tietoturva-aukot automaattisilla työkaluilla. Syvällistä analyysiä ei tehdä, vaan ainoastaan luetellaan potentiaaliset riskit.
• Tunkeutumistesti (Penetration Testing): Suoritetaan asiantuntijatiimin toimesta manuaalisilla ja automaattisilla menetelmillä. Todistetaan, voidaanko haavoittuvuuksia todella hyödyntää ja arvioidaan liiketoimintavaikutus.

Yksinkertaisesti sanottuna: Haavoittuvuusskannaus tarkistaa, ovatko ovet lukittuja; tunkeutumistesti yrittää todella päästä sisään.

Tunkeutumistestien tyypit

Tunkeutumistestit jaetaan kolmeen pääkategoriaan testiryhmälle annetun tiedon tason mukaan:

• Black Box (Musta laatikko): Testiryhmälle ei anneta mitään tietoa kohdejärjestelmästä. Simuloi parhaiten tosielämän hyökkäyksiä.
• White Box (Valkoinen laatikko): Testiryhmälle annetaan täydelliset tiedot järjestelmästä (lähdekoodi, verkkokaaviot jne.). Tarjoaa kattavimman ja syvällisimmän analyysin.
• Grey Box (Harmaa laatikko): Annetaan osittaista tietoa. Esimerkiksi käyttäjätili annetaan testaamaan, kuinka järjestelmää voidaan hyödyntää sisältäpäin. Yleisimmin käytetty menetelmä.

Black Box, Grey Box ja White Box — kolme erilaista tunkeutumistestilähestymistapaa

Tunkeutumistestin laajuudet

• Verkkotunkeutumistesti: Sisäisen ja ulkoisen verkkoinfrastruktuurin turvallisuus
• Web-sovelluksen tunkeutumistesti (WAPT): Verkkosivuston ja API:n turvallisuus (OWASP Top 10 -painotteinen)
• Mobiilisovelluksen tunkeutumistesti: iOS- ja Android-sovellusten turvallisuus
• Social engineering -testi: Työntekijöihin kohdistuvat phishing- ja manipulaatiohyökkäykset
• Fyysisen turvallisuuden testi: Rakennus- ja laitosturvallisuuden arviointi
• OT/SCADA-tunkeutumistesti: Teollisten ohjausjärjestelmien turvallisuus

Kuinka tunkeutumistesti tehdään? Vaiheittainen prosessi

Ammattimainen tunkeutumistesti koostuu kansainvälisten metodologioiden (PTES, OWASP, OSSTMM) mukaisesti tietyistä vaiheista:

1. Vaihe: Laajuuden määrittäminen ja suunnittelu (Scoping)

Ennen testin aloittamista laajuuden selkeyttäminen on kriittisen tärkeää. Tässä vaiheessa määritetään:

• Testattavat järjestelmät, IP-alueet ja sovellukset
• Testityyppi (Black Box / White Box / Grey Box)
• Aikataulu ja testiikkuna
• Lakisääteiset luvat ja viestintäkanavat (allekirjoitettu valtuutusasiakirja)
• Laajuuden ulkopuoliset (out-of-scope) järjestelmät

Tämä vaihe turvaa sekä asiakkaan että testiryhmän oikeudellisesti.

2. Vaihe: Tiedustelu (Reconnaissance)

Testiryhmä kerää mahdollisimman paljon tietoa kohdejärjestelmästä. Suoritetaan kahdessa alakategoriassa:

• Passiivinen tiedustelu: Tietoa kerätään OSINT (avoimen lähteiden tiedustelu) -tekniikoilla ottamatta suoraa yhteyttä kohdejärjestelmään. Käytetään DNS-tietueita, WHOIS-kyselyitä, sosiaalista mediaa, Shodania, Google Dork -tekniikoita.
• Aktiivinen tiedustelu: Tietoa kerätään olemalla suorassa vuorovaikutuksessa kohdejärjestelmän kanssa. Suoritetaan porttiskannaus, palvelutunnistus, banner grabbing.

3. Vaihe: Haavoittuvuusanalyysi (Vulnerability Analysis)

Tiedusteluvaiheessa kerättyjen tietojen avulla tunnistetaan järjestelmän tietoturva-aukot:

• Automaattiset haavoittuvuusskannatyökalut (Nessus, OpenVAS, Burp Suite)
• Manuaalinen analyysi ja lähdekoodin tarkastelu
• Vertailu CVE (Common Vulnerabilities and Exposures) -tietokantoihin
• Virheellisten konfiguraatioiden ja heikkojen salasanojen tarkistus

4. Vaihe: Hyödyntäminen (Exploitation)

Tässä vaiheessa todistetaan, voidaanko tunnistettuja haavoittuvuuksia todella hyödyntää. Tavoitteena ei ole vahingoittaa järjestelmää, vaan dokumentoida pääsyn mahdollisuus:

• Haavoittuvuuseksploittien käyttö kontrolloidussa ympäristössä
• Todennuksen ohituskokeet
• SQL Injection, XSS, RCE:n kaltaisten hyökkäysvektorien vahvistaminen
• Luvaton tiedon käyttöoikeustesti

Hyödyntämisvaiheessa haavoittuvuudet todistetaan kontrolloidussa ympäristössä

5. Vaihe: Pääsyn jälkeen (Post-Exploitation)

Järjestelmään pääsyn saamisen jälkeen simuloidaan, mitä todellinen hyökkääjä voisi tehdä:

• Lateral Movement: Levittäytyminen vallatusta järjestelmästä muihin järjestelmiin
• Privilege Escalation: Järjestelmänvalvojan oikeuksien hankkiminen matalan tason käyttäjätililtä
• Tietojen vuotamisen simulointi: Kriittisten tietojen saatavuuden osoittaminen
• Persistence: Järjestelmään pysyvän pääsyn mekanismien testaaminen

6. Vaihe: Raportointi (Reporting)

Tunkeutumistestin kriittisin tuotos eli raportti koostuu kahdesta pääosasta:

• Johdon yhteenveto: Ei-teknisille lukijoille tarkoitetut löydökset, yleinen riskitaso ja strategiset suositukset
• Tekninen yksityiskohtainen raportti: Jokaisen haavoittuvuuden tekninen kuvaus, CVSS-riskipistemäärä, vaiheittainen hyödyntämistodiste (PoC) ja suositellut ratkaisut

Laadukas tunkeutumistestiraportti ei ainoastaan luettele ongelmia; se tarjoaa jokaiselle löydökselle priorisoituja, toteutettavissa olevia ratkaisuehdotuksia.

Ammattimainen tunkeutumistestiraportti: löydökset kriittisen, korkean, keskitason ja matalan riskin kategorioissa

7. Vaihe: Uudelleentestaus (Retest)

Tunnistettujen haavoittuvuuksien korjaamisen jälkeen suoritetaan uudelleentestaus varmistaakseen, että korjaukset ovat todella tehokkaita. Vaikka tämä vaihe jätetään usein huomiotta, se on olennainen osa kattavaa turvallisuusprosessia.

Kenen tulisi teettää tunkeutumistesti?

Turkissa tunkeutumistestin teettäminen on pakollista tai erittäin suositeltavaa seuraavissa tilanteissa:

• Lakisääteinen velvollisuus: BDDK:n, EPDK:n, SPK:n, BTK:n säännösten alaiset rahoitus-, energia- ja televiestintäyritykset
• Sertifiointivaatimus: ISO 27001-, PCI DSS- tai SOC 2 -vaatimustenmukaisuusprosessit
• Ennakoiva turvallisuus: Kaikki yritykset, jotka käsittelevät asiakastietoja, sähköisen kaupankäynnin tai SaaS-alustoja
• Puolustus