Moni yritys pohtii, pitäisikö panostaa palomuuriin vai XDR-ratkaisuun. Kysymys on kuitenkin harhaanjohtava. Kyse ei ole joko-tai-valinnasta, sillä fiksussa tietoturvastrategiassa molemmilla on oma, tärkeä paikkansa. Yksinkertaistettuna perinteinen palomuuri on verkon portinvartija, joka syynää saapuvan liikenteen. Moderni XDR-ratkaisu taas on koko tontin kattava valvontajärjestelmä ja paikalle rientävä vartija, joka havaitsee ja pysäyttää tunkeilijan, vaikka tämä olisi jo päässyt sisään.

Ajatus jykevästä muurista yrityksen ainoana suojana onkin jäänyt ajastaan jälkeen. Kun työtä tehdään etänä, pilvessä ja mobiililaitteilla, yrityksen verkko on pirstaloitunut kymmeniin eri paikkoihin. Pelkkään kehäsuojaukseen luottaminen on kuin lukitsisi toimiston pääoven ja jättäisi kaikki ikkunat ja takaovet levälleen.

Mikä on palomuuri ja mihin sen teho yhä riittää?

Palomuuri on laite tai ohjelmisto, joka suodattaa verkkoliikennettä ennalta määriteltyjen sääntöjen mukaan. Sen perustehtävä on estää luvaton pääsy yrityksen sisäverkkoon. Se tarkistaa liikenteen lähteet, kohteet ja portit ja päättää niiden perusteella, päästetäänkö data läpi. Se on digimaailman ovimies.

Uuden sukupolven palomuurit (Next-Generation Firewall, NGFW) ovat jo älykkäämpiä. Ne ymmärtävät sovelluksia, tunnistavat käyttäjiä ja sisältävät usein tunkeutumisenestojärjestelmiä (IPS), jotka bongaavat tunnettuja hyökkäyskuvioita liikenteen seasta. Yrityksen palomuuri onkin edelleen tietoturvan perushygieniaa. Se karsii tehokkaasti valtaosan automatisoiduista ja suoraviivaisista hyökkäysyrityksistä.

Palomuurin kompastuskivi on kuitenkin sen sokeus. Kun palomuuri on kerran päästänyt liikenteen sisään, sen valvonta päättyy siihen. Se ei voi tietää, onko työntekijän avaama PDF-tiedosto todellisuudessa kiristyshaittaohjelma, joka alkaa välittömästi salata tiedostoja. Se ei myöskään pysty suojaamaan uhkilta, jotka iskevät työntekijän kotikoneeseen, kun laite ei ole VPN-yhteydessä yrityksen verkkoon.

XDR:n nousu – Kun uhka on jo sisällä

XDR (Extended Detection and Response) lähtee täysin eri oletuksesta: ennemmin tai myöhemmin joku pääsee sisään. Siksi pelkän estämisen sijaan on pakko keskittyä havaitsemiseen ja reagointiin.

XDR ei ole yksittäinen laite vaan tietoturvan hallinta-alusta, joka kerää ja analysoi dataa koko IT-ympäristöstä:

1. Päätelaitteet: Työasemat, kannettavat ja palvelimet (tämä on EDR, Endpoint Detection and Response, joka on XDR:n ydin).
2. Pilvipalvelut: Kuten Microsoft 365 tai Google Workspace.
3. Sähköposti: Tunnistaa tietojenkalasteluyritykset ja haitalliset liitteet.
4. Verkkoliikenne: Analysoi dataa myös verkon sisältä, ei vain portilta.
5. Käyttäjätiedot: Seuraa käyttäjätunnusten toimintaa ja havaitsee poikkeamia.

XDR parsii näistä lähteistä keräämänsä tiedonmuruset ja rakentaa niistä tilannekuvan. Se ei tuijota yksittäisiä hälytyksiä, vaan etsii laajempia hyökkäysketjuja. Kun perinteinen virustorjunta ei enää riitä, XDR ottaa ohjat. Esimerkiksi WithSecure Elements -alusta on juuri tällainen ratkaisu, joka yhdistää haavoittuvuuksien hallinnan, päätelaitesuojauksen sekä uhkien havainnoinnin ja torjunnan yhteen selkeään näkymään.

Vertailu käytännössä: Miten palomuuri ja XDR reagoivat kiristyshaittaohjelmaan?

Kuvitellaan tyypillinen hyökkäys, jossa työntekijä saa ovelasti laaditun sähköpostin.

Vaihe 1: Sähköposti saapuu
Viesti näyttää tulevan luotettavalta kumppanilta ja sisältää linkin ”kiireelliseen laskuun”. Sähköposti itsessään pääsee läpi, koska se ei sisällä suoraan haittaohjelmaa.

Palomuurin reaktio: Palomuuri tarkistaa lähettäjän ja vastaanottajan tiedot ja toteaa liikenteen sallituksi. Jos linkin takana oleva verkkotunnus ei ole mustalla listalla, palomuuri päästää myös klikkauksen läpi. Se näkee vain pyynnön siirtyä osoitteeseen X, ei aietta sen takana.

Vaihe 2: Haittaohjelma aktivoituu
Työntekijä klikkaa linkkiä, joka lataa koneelle pienen tiedoston. Tiedosto käynnistää komentosarjan, joka alkaa salata paikallisia ja verkkolevyillä olevia tiedostoja.

Palomuurin reaktio: Nolla. Hyökkäys tapahtuu nyt kokonaan palomuurin suojaaman verkon sisällä. Palomuuri on tässä vaiheessa hyödytön, koska se ei näe päätelaitteen tapahtumia.

XDR:n reaktio:

1. Havaitseminen: Päätelaitteella oleva agentti huomaa epäilyttävän prosessiketjun. Esimerkiksi Outlook avaa linkin, joka käynnistää selaimen, joka lataa tiedoston, joka puolestaan ajaa PowerShell-komennon. Tämä on poikkeuksellista toimintaa.
2. Korrelaatio: XDR-järjestelmä yhdistää tämän havainnon muihin signaaleihin. Se saattaa nähdä, että samaan aikaan kone yrittää ottaa yhteyttä tunnettuun komentopalvelimeen ulkomailla.
3. Automaattinen vastaus: Ennen kuin IT-tuki ehtii edes reagoida hälytykseen, XDR on jo toiminut. Se eristää saastuneen koneen välittömästi verkosta ja estää kiristysohjelmaa leviämästä muihin koneisiin tai palvelimille. Samalla se tappaa haitallisen prosessin.
4. Tutkinta ja toipuminen: IT-kumppani saa XDR-alustalta tarkan raportin tapahtumien kulusta: mikä kone saastui ensimmäisenä, miten hyökkäys eteni, mihin tiedostoihin se ehti käsiksi ja mitä automaattisia vastatoimia järjestelmä teki. Tämän täsmätiedon avulla IT-kumppani aloittaa korjaustoimet välittömästi.

Ei joko-tai, vaan sekä-että: Kerroksellinen tietoturva on ainoa tie

Tietoturvaa ei voi ostaa purkissa – se on jatkuva prosessi ja kerroksista rakennettu strategia. Palomuuri on tärkeä osa kokonaisuutta, mutta se on vain yksi, melko karkea suojakerros.

1. Palomuuri (Kehäsuojaus): Toimii ensimmäisenä suodattimena. Se on kuin aita tontin ympärillä, joka pitää satunnaiset kulkijat ja suurimman osan tunnetuista uhista loitolla. Se on olennainen osa toimivaa ja turvallista verkonhallintaa.
2. XDR (Syväsuojaus): Toimii kehän sisällä. Se on liiketunnistimien, kameroiden ja paikalle hälytettävän vartijan yhdistelmä. Se olettaa, että joku voi päästä aidan yli, ja keskittyy havaitsemaan ja pysäyttämään tunkeilijan ennen kuin vahinkoa ehtii tapahtua.

Oikea kysymys yrityksen johdolle ei siis ole, kumpi hankitaan. Oikea kysymys on: miten varmistamme, että perinteinen verkkosuojaus ja moderni uhkien havainnointi pelaavat saumattomasti yhteen ja kattavat koko ympäristömme etätyöpisteistä pilvipalveluihin?

Pelkkään palomuuriin sijoittaminen antaa väärän turvallisuudentunteen. Se on kuin asentaisi oveen maailman parhaan lukon, mutta jättäisi hälytysjärjestelmän hankkimatta. Kun rosvo kiipeää sisään ikkunasta, lukosta ei ole mitään iloa.

Usein kysytyt kysymykset

Eikö uuden sukupolven palomuuri (NGFW) tee samaa kuin XDR?

Ei. Vaikka NGFW on älykkäämpi kuin perinteinen palomuuri, se keskittyy yhä verkkoliikenteen suodattamiseen verkon rajalla. Siltä puuttuu XDR:n laaja näkyvyys päätelaitteisiin, pilvipalveluihin ja sähköpostiin sekä kyky yhdistellä näistä lähteistä saatua dataa kokonaiskuvaksi. NGFW on parempi portinvartija, XDR on koko turvallisuusoperaatiokeskus.

Meillä on vain pieni yritys. Tarvitsemmeko todella XDR:ää?

Kyllä. Hyökkääjät iskevät yhä useammin pieniin ja keskisuuriin yrityksiin juuri siksi, että niiden suojauksen oletetaan olevan heikompi. Kyberturvallisuuden uhat eivät katso yrityksen kokoa. Nykyaikaiset XDR-ratkaisut ovat saatavilla skaalautuvina ja kustannustehokkaina palveluina, jotka tuovat huipputason suojauksen myös pk-yritysten ulottuville.

Mitä eroa on EDR:llä ja XDR:llä?

EDR (Endpoint Detection and Response) on XDR:n ydin ja edeltäjä. Se keskittyy nimensä mukaisesti vain päätelaitteiden (työasemat, palvelimet) valvontaan. XDR (Extended Detection and Response) laajentaa tämän näkyvyyden kattamaan myös muut kriittiset osa-alueet, kuten sähköpostin, verkon, pilvipalvelut ja käyttäjäidentiteetit. XDR antaa siis huomattavasti laajemman ja tarkemman kuvan uhkatilanteesta.

Voiko palomuurin korvata kokonaan XDR:llä?

Ei suositella. Palomuuri on edelleen tehokas ja tärkeä ensimmäinen puolustuslinja, joka suodattaa pois valtavan määrän automaattista ”kohinaa” ja yksinkertaisia hyökkäysyrityksiä. Ilman sitä XDR-järjestelmän ja sitä valvovien asiantuntijoiden resurssit kuormittuisivat turhaan perustason uhkien käsittelystä, ja verkon perussuojaus heikkenisi.