Verkon reunalaitteiden haavoittuvuudet nousevat toistuvasti esiin viranomaisten varoituksissa, ja osaa haavoittuvuuksista hyödynnetään jo ennen kuin korjausta on saatavilla. Silloin ratkaisee se, kuinka hyvin organisaatio tuntee oman ulkoisen hyökkäyspintansa.
Organisaatiolta voi puuttua tarkka kuva siitä, mitä ulkopuolinen hyökkääjä näkee. Vaikka tarkoituksella avatut palvelut tiedetään yleensä hyvin, kokonaiskuva siitä, mitä kaikkea internetistä voi tavoittaa, voi jäädä hämäräksi.
Haavoittuvuuksia hyödynnetään jo ennen korjausta
Kyberturvallisuuskeskus (KTK) muistuttaa säännöllisesti reitittimien, palomuurien ja muiden verkon reunalaitteiden päivittämisestä. KTK:n mukaan kartoituksissa löytyy yhä laitteita, joissa on viisikin vuotta vanhoja haavoittuvuuksia. Nämä laitteet kiinnostavat hyökkääjiä, koska niiden kautta haetaan ensimmäistä pääsyä organisaation verkkoon.
Verizonin vuoden 2026 tietomurtoraportissa haavoittuvuuden hyödyntäminen ohitti ensimmäistä kertaa varastetut tunnukset yleisimpänä murtautumistapana.
Mandiantin M-Trends 2026 -raporttia esittelevän blogin mukaan haavoittuvuuksien hyödyntäminen alkoi keskimäärin arviolta seitsemän päivää ennen korjauksen julkaisua.
Tekoäly nopeuttaa kehitystä entisestään, koska se helpottaa sekä haavoittuvuuksien tunnistamista että niiden hyödyntämiseen tarvittavan koodin kehittämistä.
Googlen uhkatiedusteluryhmä (Google Threat Intelligence Group) kertoi toukokuussa 2026 havainneensa ensimmäistä kertaa rikollisryhmän käyttävän nollapäivähyödyntämistä, jonka se arvioi kehitetyn tekoälyn tuella.
Päivitysnopeus ei siis yksin riitä. Jos hyödyntäminen alkaa ennen kuin korjausta on olemassa, yksi keskeinen kysymys on, onko haavoittuva järjestelmä turhaan näkyvissä ja tiedetäänkö siitä ylipäätään.
On vaikea suojata sellaista, jonka olemassaolosta et tiedä
Ulkoinen hyökkäyspinta tarkoittaa kaikkea, mitä organisaatiosta näkyy internetiin: verkkotunnuksia ja alidomaineja, julkisia IP-osoitteita, verkkopalveluita, etäyhteyksiä ja laitteiden hallintaliittymiä. Organisaation käsitys tästä syntyy sisältä päin eli siitä, mitä on hankittu ja dokumentoitu.
Hyökkääjä katsoo tätä ulkoapäin, ja hänelle ratkaisevaa on se, mikä järjestelmä tai palvelu vastaa. Alidomainit voidaan löytää julkisista DNS- ja varmennetiedoista ja näkyviä palveluita automaattisilla työkaluilla ilman sisäpiirin tietoa.
Näiden kahden näkymän välille voi jäädä esimerkiksi kahdenlaisia aukkoja.
- Osa järjestelmistä on unohtunut kokonaan, kuten vanha testiympäristö tai etätukea varten avattu hallintapaneeli, jota ei sitten muistettu sulkea.
- Toinen aukko on se, että järjestelmän olemassaolo kyllä tiedetään, mutta sille ei ole nimetty vastuuhenkilöä, joka reagoisi, jos siitä löytyy haavoittuvuus.
Normaali päivityssykli ei aina riitä
Suurin osa päivityksistä voidaan edelleen hoitaa normaalissa rytmissä, kun riski sen sallii. Kriittinen ja aktiivisesti hyödynnetty haavoittuvuus internetiin näkyvässä järjestelmässä on eri asia. Sitä ei pidä tyynesti jättää odottamaan seuraavaa huoltoikkunaa, ja jos korjausta ei vielä ole, pääsyä järjestelmään on tarvittaessa rajattava tai se on poistettava verkosta.
Nopea reagointi edellyttää, että tieto haavoittuvuudesta osuu oikeaan kohteeseen. EU:n kyberkestävyyssäädöksen (CRA) myötä sen soveltamisalaan kuuluvien tuotteiden valmistajien on syyskuusta 2026 alkaen raportoitava tietoonsa tulleista aktiivisesti hyödynnetyistä haavoittuvuuksista viranomaisille ja tiedotettava niistä käyttäjille, joihin haavoittuvuus vaikuttaa.
Tämä uusi toimintatapa ei kuitenkaan yksin takaa reagointia organisaatiossa, joka ei tiedä laitteen olevan verkossaan tai jossa kukaan ei vastaa sen päivittämisestä. Ketju IT-omaisuuden tunnistamisesta riskin arviointiin ja reagointiin katkeaa silloin jo ensimmäisessä vaiheessa.
Aloita siitä, mitä hyökkääjä näkee
Liikkeelle pääsee muutamalla perusasialla. Tiedämmekö, mitä meiltä näkyy internetiin, ja onko jokaiselle näkyvälle järjestelmälle nimetty vastuuhenkilö? Huomaammeko nopeasti, jos sellaisesta järjestelmästä löytyy kriittinen haavoittuvuus, ja mistä saamme siitä tiedon? Pystymmekö silloin toimimaan heti eikä vasta seuraavassa huoltoikkunassa?
Jos jo ensimmäiseen kysymykseen on vaikea vastata, kannattaa aloittaa siitä. Kyberturvallisuuskeskuksen Hyöky-palvelu tekee kuukausittaisia kartoituksia organisaation ilmoittamien IP-osoitealueiden ja verkkotunnusten perusteella. Kokonaiskuvan kannalta on tärkeää arvioida myös näiden lähtötietojen kattavuutta.
Into Securityn ulkoisen hyökkäyspinnan kartoituksessa katsomme organisaatiotanne samasta suunnasta kuin hyökkääjä ja selvitämme, mitä teiltä näkyy verkkoon. Mukana ovat myös kohteet, jotka ovat jääneet oman tilannekuvanne ulkopuolelle.
Juhani Partanen
Security Consultant
Lähteet
Kyberturvallisuuskeskuksen viikkokatsaus 37/2026 (11.9.2026)
Google/Mandiant: M-Trends 2026 (Google Cloud, 23.3.2026)
Verizon: 2026 Data Breach Investigations Report, tiedote (19.5.2026)
Google Threat Intelligence Group: 2025 Zero-Days in Review (5.3.2026)