Blogi

Veracode Security Labs - user management
Veracode
Saku Tuominen

Veracode Security Labs

Koodarit ovat käytännössä ne ainoat henkilöt organisaatiossa, jotka voivat korjata sovelluksissaan piileskelevät haavoittuvuudet. Veracode Security Labs auttaa täyttämään tietoturvastandardien vaatimukset ja tarjoamaan samalla koko kehitystiimille mielekkään tavan oppia lisää.

Holm Security - Latest Scans
Holm Security
Saku Tuominen

Holm Security VMP ja ISO 27001

Mitä yhteistä haavoittuvuusskannereilla ja johtavalla kansainvälisellä tietoturvastandardilla on keskenään? Itse asiassa aika paljonkin. Tässä kirjoituksessa tarkastellaan, kuinka Holm Security VMP -alusta vastaa ISO 27001:n vaatimuksiin organisaation tietojärjestelmien haavoittuvuuksien havaitsemisesta, riskinarvioinnista ja korjaavien toimenpiteiden suorittamisesta.

Team Rynkeby - Tero
Cycling
Tero

Team Rynkeby – Matka on tärkeämpi kuin määränpää

Team Rynkebyn päämääränä oli pyöräillä Pariisiin heinäkuussa. Tänä vuonna emme tee niin ja me kaikki tiedämme miksi. Koronavirus muutti suunnitelmia tai pikemminkin matkan suuntaa. Nyt on kuitenkin hyvä hetki luoda katsaus siihen, mitä yhteiseen matkaamme on tähän mennessä sisältynyt.

Protect and investigate using threat intelligence data
Spamhaus
Tapio Särkelä

Domain-kaappaukset

Domainien eli verkkotunnusten kaappaukset ei ole uusi ongelma, mutta niistä voi tulla laajoja hankaluuksia, jos vastatoimet eivät ole riittäviä. Viimeisen runsaan puolen vuoden aikana on tullut esiin muutamia harmillisia tapauksia.

SOSS Opensource Edition 2020
Veracode
Tapio Särkelä

SOSS: Avoimen lähdekoodin kirjastot

Veracode julkaisi juuri täydennyksen vuosittain julkaistavaan State of Software Security -raporttiin. Täydennysosassa Veracoden asiantuntijat keskittyvät avoimen lähdekoodin kirjastoissa esiintyviin tietoturvahaavoittuvuuksiin.

Amy DeMartine
Veracode
Tapio Särkelä

Secure What You Sell

Tuntuuko koskaan siltä, että tietoturvasta ja riskienhallinnasta vastaavilla olisi aivan eri prioriteetti kuin muulla liiketoiminnalla? Tunne ei ole ihan vailla pohjaa, sillä sitä esiintyy todella monissa yrityksissä.

Veracode
Tapio Särkelä

Tietoturvan skannausmenetelmien vahvuudet ja heikkoudet

Mikä on oikea menetelmä sovellusten tietoturvan testaukseen? Millaisia haavoittuvuuksia eri menetelmät paljastavat? Pitääkö käyttää useita eri menetelmiä?

Seuraavaksi käsitellään lyhyesti Veracoden palvelussa käytettäviä eri testausmenetelmiä ja tuodaan esille niiden vahvuuksia ja heikkouksia.

Splunk
Tapio Särkelä

Datan arvoa ja potentiaalia määrittelemässä

Millaista konkreettista arvoa tiedolla tai datalla voisi olla? Tätä pohditaan useissa yrityksissä ja organisaatioissa tällä hetkellä, kun niissä mietitään mitä ns. big datalle pitäisi tehdä. Tiedolla odotetaan saatavan lisää tuottoja, tulosta, asiakaslähtöisyyttä jne, mutta useat monet toimenpiteet eivät kuitenkaan pääse maaliin saakka.

Veracode
Tapio Särkelä

Sovellusten tietoturvan evoluutio: mennyt, nykyisyys ja tulevaisuus

Juuri julkaistussa podcastissa Veracoden CTO Chris Wysopal arvioi sovellusten tietoturvan evoluutiosta viimeisen kymmenen vuoden aikana. Wysopal perustaa arvionsa Veracoden vuosittain julkaisemaan State of Software Security (SOSS) -raporttiin, josta ilmestyi kymmenes julkaisu jokin aikaa sitten.

Spamhaus Botnet Report 2019 - Blocklists
Spamhaus
Saku Tuominen

Spamhaus – muutakin kuin spämmintorjuntaa

Spamhaus kerää ja toimittaa tunnettujen roskapostilähteiden lisäksi myös erittäin korkealaatuista ja tarkkaa threat intelligence -tietoa botneteistä, haittaohjelmia levittävistä ja tartunnan saaneista koneista, epäilyttävästi käyttäytyvistä kotireitittimistä, älytelevisioista ja muista verkkoon kytketyistä laitteista.

Splunk Corona / COVID-19 Open data
Splunk
Tapio Särkelä

Splunk – COVID-19 trendit ja data

Splunk on tehnyt ohjelman, joka kokoaa yhdelle sivulle tiedot koronavirustilanteesta maailmalla. Sivu päivittyy sitä mukaa kun uutta tietoa tulee.

sdlc
Tapio Särkelä

Johdanto sovellusten tietoturvaan – parhaita käytäntöjä ja käytännöllisiä neuvoja

Millainen olisi unelmaloma? Kuukauden mittainen oleilu viiden tähden hotellissa yksityisellä saarella, valkoisten hiekkarantojen ja turkoosinsinisen meren äärellä. Käytännössä, kun budjettirajoite otetaan huomioon ja lapsetkin pitää ottaa mukaan, päädytään paikkaan, jossa lähellä vesipuisto ja ehkä muitakin aktiviteetteja. Kuitenkin lomasta tulee kaikilla tavoilla miellyttävä kaikille osapuolille.

Veracode
Tapio Särkelä

Veracoden staattinen analyysi uudistui – Pipeline Scan

Veracoden stattisen analyysiin kehitettiin aivan uusi skannausmenetelmä, jonka avulla skannaukset voidaan integroida ja optimoida yhä paremmin osaksi kehitysprosessia. Kahden aiemman skannausmenetelmän, IDE Scan ja Policy Scan, ohella Pipeline Scan tekee tietoturvasta saumattoman osan kehitysprosessia.

isms
Thomas

ISMS projektin ensimmäiset askeleet

ISMS tai ISO27001 -projekti voi lähteä hyvin erilaisista lähtökohtista liikkeelle. Jotkut ovat tutustuneet standardiin, jotkut jo kirjoittaneet ensimmäisiä dokumentteja – joillekin taas tämä on ensikosketus ylipäätään mihinkään määrämuotoiseen tietoturvatyöskentelyyn.

Spamhaus Botnet Threat Report 2019
Spamhaus
Tapio Särkelä

Spamhaus Botnet Threat Report 2019 – kattava katsaus rikollisten bottiverkkojen toimintaan

Spamhausin tutkijat tunnistivat ja estivät 17602 botnet-komentopalvelinta, joita isännöi 1210 eri verkkoa. Tämä tarkoitti, että botnet-komentopalvelimien määrä kasvoi vuonna 71,5 % vuoteen 2018 verrattuna. Vuodesta 2017 lähtien uusien havaittujen botnet-komentepalvelimien lukumäärä lähes kaksinkertaistui 9500 -> 17602 palvelimeen.

AlphaSOC - running an on-prem AE server
alphasoc
Thomas

AlphaSOCin asennusvaihtoehtoja

”Pilvi!” joku huutaa kovaan ääneen. ”Sehän tarkoittaa, että minun tietoni lähetetään pilveen. Minun kullankalliit telemetriatietoni pahantahtoisten muukalaisten käsissä paljastaen minusta aivan liikaa!” Pitää paikkansa. Läpinäkyvyyden nimissä, tarkastellaanpa siis hieman, mitä kulissien takana oikeasti tapahtuu.

pfSense & HAProxy
haproxy
Thomas

pfSense ja HAProxy

Mint Security tarjoaa konsultointia, asiantuntijapalveluita ja koulutusta pfSense:lle ja HAProxy:lle

SOSS X feature image
Veracode
Tapio Särkelä

Veracode SOSS X

Veracode saavutti tällä viikolla merkittävän virstanpylvään sovellusten tietoturvan saralla kun se julkaisi 10. State of Software Security (SOSS) -raportin.

Veracode SCA Header
sdlc
Tapio Särkelä

Veracode SCA – uudempi ja parempi

Veracode osti taannoin SourceClearin. Yhdistämällä ohjelmiston koostumuksen analyysin tekniikat ohjelmistotalot voisivat kehittää entistä parempia sovelluksia avoimen lähdekoodin avulla tietoturvan säilyessä korkealla tasolla.

Veracode
Veracode
Tapio Särkelä

Mitä on sovellusten tietoturva?

Jokaisen yrityksen sovellusympäristö on liiketoimintakriittinen ja kasvaa koko ajan. Mobiili- ja pilvipalvelut ovat muuttaneet ja muuttavat dramaattisesti miten liiketoimintaa tehdään.

Mint Splunk Consulting Services
siem
Thomas

Mint Splunk Consulting Services

Mint Security tarjoaa Splunkia käyttäville erilaisia lisäarvollisia Splunk konsultointipalveluita jolla saadaan omasta ympäristöstä kaikki irti – turvallisesti.

alphasoc
Chris McNab

Automatisoi uhkien metsästys

Through Network Behavior Analytics for Splunk and our native integrations for Demisto and Graylog, we instantly enrich network indicators (FQDNs, URLs, and IP addresses) to provide security teams with hunting material.

Programming languages cubes
Veracode
Tapio Särkelä

Veracode julkisti tuen uusille ohjelmointikielille: Apex, Go ja PLSQL

Kun Veracodella harkitaan uusien ohjelmointikielin tukea, tarkastelun kohteena ovat asiakkaiden nykyiset teknologiaratkaisut sekä uudet, kehittyvät kielet, joiden avulla voitaisiin tuoda innovaatioita turvallisesti markkinoille nopeammin. Tätä silmällä pitäen Veracode lisäsi äskettäin tuen Apex-, Go- ja PLSQL-ohjelmointikielille.

Veracode and Travis CI
Veracode
Teemu Turpeinen

Integrating Travis CI with Veracode

This blog post will show you how to integrate Travis CI and Veracode. Travis is a cloud based continuous integration (ci) service, that can be used to automate tests and builds for software projects hosted in GitHub.

Business street
business
Saku Tuominen

4X4 – mitä tietoturvallisuus liiketoiminnassa tarkoittaa ja mitä ei

Tietoturvan pyhää kolmijakomantraa – tietojen luottamuksellisuutta, eheyttä ja saatavuutta on toisteltu alan seminaareissa ja powerpointeissa kulumiseen saakka. Haluan tässä kirjoituksessa keskittyä nimenomaan käytännön esimerkein valaisemaan, mitä tietoturvallisuus yrityksissä tarkoittaa. Oikaisen samalla myös pari väärinkäsitystä siitä, mitä se ei tarkoita.

Fintech and Eu banking regulation
business
Tapio Särkelä

EU: finanssialan kyberresilienssi, testaus ja regulaatio

Tämä blogi on tarkoitettu läpivalaisuksi juuri nyt ajankohtaisista finanssialan ja tietoturvan asioista. Olemme lukeneet sivutolkulla materiaalia, ja tässä kiireiselle lyhyt yhteenveto sekä viittaukset lähdemateriaaleihin. Jos kiireiden keskellä sattuisi löytymään aikaa tutustua vähän pitkällisemminkin asiaan.

Scanners - Overview of different scanners
Audit
Thomas

Mitä tarkoittaa tietoturvaskannaus – 5 näkökulmaa

Vaikka yritämme tehdä erittäinkin selväksi, mitä mikäkin skanneri milloinkin tekee, kohtaamme kuitenkin aika ajoin toteamuksen ”mutta meillä on jo skanneri”. Tätä on vaikea lähteä kumoamaan. Asiantuntijaroolissa tunnen aina tässä kohtaa suurta tarvetta selittää, myyntiroolissa selittely ei välttämättä tuota suuria voittoja.

Splunk Hardened Delivery
siem
Thomas

Splunk delivery models

Mint Security has a set of predefined delivery models to choose from. These are based on best practices and experience.

OWASP Top-10 Application Risk
Audit
Thomas

Mitä on pentestaaminen?

Yleinen web-sovelluksen tietoturvan arviointiin käytetty työkalu on tunkeutumistestaus. Rakkaalla lapsella on monta nimeä, ja tunkeutumistestaus tunnetaan myös nimellä pentest eli englanniksi penetration testing. Kyseessä on luvallinen simuloitu hyökkäys, jolla pyritään käyttämään sovellusta siten, että se voi olla vahingollista joko järjestelmälle, järjestelmässä olevalle tiedolle tai järjestelmää kättäville henkilöille.

Auditoinnista raporttiin
Audit
Thomas

Miten toteutamme auditoinnin

Kun asiakas on todennut auditointitarpeen ja tilannut meiltä auditoinnin, toteutus aloitetaan määrittelemällä yhdessä auditoinnin tavoitteet ja osa-alueet. Tässä työvaiheessa on tyypillisesti mukana asiakkaan puolelta järjestelmästä tai projektista vastaava henkilö ja/tai hänen valtuuttamansa henkilöt.

Auditoinnin punainen lanka
Audit
Thomas

Miten tilaan onnistuneen auditoinnin?

Auditoinnin tilaaminen aloitetaan määrittelemällä sen tarkoitus. Näin saadaan heti lähtökuopissa kiinni siitä, mitä tavoitellaan ja mitä sillä voi enimmillään saavuttaa. Tavoitteiden on oltava realistisia ja niihin on aina luettava mukaan myös oman toiminnan kehittyminen ja virheistä oppiminen.

siem
Teemu Turpeinen

Splunk Enterprise Architectural Decisions

So, you’ve got your Splunk Enterprise up and running and collecting data from some of your systems. A few dashboards have been created too and life is good. But perhaps, there could be more .

Verified by Veracode
sdlc
Thomas

Veracode’n verifioimaa koodia

Osoita sovelluskehityksesi tietoturvan erinomaisuus Veracode Verified -ohjelman avulla. Tällä tavoin teet tietoturvasta kilpailuedun – ja samalla teet ostamisen asiakkaillesi helpommaksi. Kun myynti toimii, takaat myös sen, että tietoturva saa arvoisensa aseman sovelluskehityksessä.

business
Elina Partanen

Hyödynnä riskirekisteriä jatkuvuussuunnittelussa

Mint Security toimittaa riskienhallinnan ja jatkuvuuden konsultointipalveluita ja on huomannut, että linkki riskirekisterin ja jatkuvuussuunnitelmien välillä ei aina ole selkeä.

business
Saku Tuominen

ISMS – mikä se on ja mihin sitä tarvitaan?

Julkaisemme sarjan blogikirjoituksia, joissa käsitellään tietoturvallisuuden johtamista ja tietoturvaprosesseja. Luvassa on hyödyllistä asiaa kaikenkokoisille yrityksille, joilla on hallussaan luottamuksellista tietoa — missä tahansa muodossa — ja halu suojata niitä sekä tarve osoittaa suojaamisen tärkeys omassa liiketoiminnassaan.

Splunk header
siem
Thomas

Minted by Splunk

Mint Security provides a vast range of überconsulting for Splunk. From a single server to clustered multisite setups with integrated SSO and 2FA.

sdlc
Tapio Särkelä

Veracode SCA kirjastoanalyysi paljastaa haavoittuvuudet ja lisenssiriskit

Veracoden SCA-toiminto (Software Composition Analysis) havaitsee avoimen lähdekoodin kirjaston käyttöön liittyvät riskit, joita saattavat olla esim. vanhentuneet ja riskialttiit versiot. Lisäksi joihinkin avoimen lähdekoodin kirjastoihin saattaa liittyä myös lisenssiriski, jos sovellusta käytetään kaupallisiin tarkoituksiin.

Veracode open source risk
sdlc
Thomas

Ymmärrä avoimen lähdekoodin riskit

Sovelluskehitystiimeille asetettavat vaatimukset ovat suuremmat kuin koskaan. Ketteryyden ja kehitysnopeuden vaatimusten jatkuvassa kasvussa, DevOpsin ja hyvin voideltujen CI/CD-järjestelmien edessä kehittäjät ovat äärettömässä tuotantopaineessa.

sdlc
Tapio Särkelä

Ohjelmistokehityksen tietoturvallisuuden tila – SOSS 2018

Veracode on äskettäin julkaissut uusimman SSOS (State of Software Security) -raporttinsa. Vuosittain julkaistava raportti sisältää kattavan analyysin yli 700 000 sovelluksen skannauksesta saaduista tuloksista, kuten analyysit haavoittuvuuksien yleisyydestä ja miten niitä on korjattu, erot toiminnassa eri toimialojen välillä sekä paljon muuta.

siem
Teemu Turpeinen

Getting started with Splunk Enterprise

Splunk Enterprise is known as a de-facto do-it-all log collector, that in reality is fairly easy to start with, but can be complex to master.

Audit
Thomas

Palvelunestohyökkäys on ystävä

Onko absurdia ajatella, että palvelunestohyökkäys voisi olla positiivinen? Ei suinkaan. Silloin, kun on kyse harkitusta ja hyvin suunnitellusta harjoituksesta, jossa riskit on arvioitu, on kyse hyvinkin positiivisesta asiasta. Tärkeää on kuitenkin juuri harkinta ja riskien hallinta.

Jatkuvuus
business
Elina Partanen

Käytännönläheinen jatkuvuussuunnittelu skenaarioiden avulla

Mint Security toimittaa jatkuvuussuunnittelua konsultointipalveluna ja on todennut skenaariopohjaisen lähestymistavan tehokkaana keinona keskittyä asiakkaan tärkeimpiin toimintoihin. Skenaariot toimivat myös kriisiharjoitusten pohjana. Kattava jatkuvuussuunnittelu sisältää valmius-,

tweaks
Saku Tuominen

CIRCLean sanitoi USB-muistit ennen kytkemistä koneeseen

Yritysmaailman merkittävimpiin päivittäisten kyberuhkien joukkoon lukeutuvien USB-tikkujen vaarat ovat moninaiset. Nämä helppokäyttöiset ja pienikokoiset tallennusvälineet ovat jo ainakin 15 vuoden ajan olleet varkaille ja muille

current events
Thomas

KRACK ja turvallisen sisäverkon käsite

Lokakuussa 2017 löydettiin KRACK-haavoittuvuus, joka vaarantaa Wi-Fi -verkkojen turvallisuuden. Haavoittuvuuksia julkaistaan harva se päivä. Yleensä ne jäävät tietoturvasisäpiirin tietoon monimutkaisen teknisen jargonin taakse. Merkittävimmät niistä

business
Thomas

Tietojärjestelmien kovennukset

Palveluita ja palvelimia julkaistaan verkkoon. Siis Internetiin. Ja Internet on viattomalle ja suojaamattomalle palvelimelle paha paikka. Miten palvelimia ja palveluita voidaan suojata? Kuvitellaan että palomuurihan tätä suojelee. Kyllä, osittain niinkin – mutta palomuurin tehtävä ei oikeastaan ole estää liikennettä – vaan hallitusti mahdollistaa liikennettä.

ssl/tls
Thomas

SSL ja TLS – ehjä tänään, rikki huomenna – miten ratkaisemme tämän?

SSL/TLS (jatkossa yksinkertaisesti ja kansankielisesti SSL) on haaste. Väärin konfiguroituja SSL-palvelimia haastetaan ja kiusataan jatkuvasti. SSL on internetin perusturvallisuutta johon käyttäjät oppivat luottamaan. Toisaalta tutkimusta algoritmien ja menetelmien luotettavuudesta ja turvallisuudesta tehdään jatkuvasti – ja joka kerta kun tutkimustuloksia julkistetaan pitäisi niiden seuraus ja impakti ymmärtää.

current events
Thomas

Kun radiosta soi ”Fuck Donald Trump”

Viime viikolla uutisoitiin siitä, miten amerikkalaiset radioasemat soittivat Fuck Donald Trump -nimistä kevyeksi musiikiksi laskettavaa teosta jatkuvalla toistolla. Uutiskynnys ylittyi minulla kuitenkin siitä syystä, että

ota yhteyttä

Pyydä rohkeasti lisätietoa. Vastaamme todennäköisesti nopeammin kuin osasit kuvitella.