ERP-järjestelmän tietoturva julkiseen verkkoon julkaistaessa

Abstract

Pilvipalveluiden yleistyminen sekä järjestelmien saatavuuden lisääntyminen julkisen verkon kautta ovat johtaneet siihen, että myös organisaatioiden keskeisiä liiketoimintajärjestelmiä toteutetaan pilviympäristöissä. Yhteys julkiseen verkkoon, eli internettiin, mahdollistaa joustavamman käytön sekä helpottaa yhteyksien muodostamista muiden palveluiden ja ulkoisten järjestelmien kanssa. Kuitenkin yhteys julkiseen verkkoon tuo mukanaan tietoturvariskejä. Tässä diplomityössä tutkitaan toiminnanohjausjärjestelmän (lyh. ERP-järjestelmä) tietoturvaa, kun järjestelmä avataan julkiseen verkkoon. Tarkoituksena on tutkia, miten IFS Cloud ERP-järjestelmän avaaminen julkiverkkoon muuttaa järjestelmän hyökkäyspinta-alaa, kartoittaa sen kautta järjestelmään kohdistuvat uhat, arvioida uhkien aiheuttamia riskiä sekä tarkastella mahdollisia ratkaisuja miten näiltä uhilta suojaudutaan. Tutkielman alussa avataan ERP-järjestelmä, sen rakenne sekä pohjustetaan työn tietoturvan näkökulma ja sen arvioimiseen käytettävät menetelmät. Uhkien kartoittamisessa hyödynnetään dokumenttianalyysiä sekä STRIDE-mallia. Kartoitetuille uhille tehdään riskiarvio DREAD-mallia käyttäen. Merkittävimmille ERP-järjestelmän uhille tutkitaan mahdollisia tapoja niiden estämiseksi ja niiden tuottamien riskien vähentämiseksi. Tutkielmassa tarkastellaan myös mahdollisia arkkitehtuuriratkaisuja ERP-järjestelmän julkaisemiseksi turvallisesti julkiseen verkkoon sekä perehdytään Microsoft Azure -pilviympäristön valmiisiin ratkaisuihin ERP-järjestelmän julkaisemiseksi julkiverkkoon. Tutkielman lopussa esitetään ratkaisu, jolla IFS Cloud ERP-järjestelmä voidaan turvallisesti avata Microsoft Azure -pilviympäristöstä julkiseen verkkoon.

The adaption of cloud services along with increased system availability through the Internet, has led organizations to start implementing their core business systems in cloud environments. Connection to the Internet increases system availability and makes it easier to connect the system with other services that already operate over the Internet. Although having many positive qualities, connection to the Internet can also increase the risk of cyberattacks and threaten information security of the system. This thesis studies cybersecurity changes when Enterprise Resource Planning (ERP) system is opened to the Internet. The aim is to examine how IFS Cloud ERP system’s attack surface reacts when it is opened to the Internet, what kind of threats it creates, evaluate the risk of these threats and find out what kind of solutions there is to mitigate these threats. At the beginning of the thesis, the ERP system and its structure are introduced, as well as the study’s security perspective and the threat modeling methods used. For threat modeling, cybersecurity reports are analyzed, and the STRIDE model is used to identify the threats to the ERP system. DREAD risk assessment model is used to calculate the overall risk of each threat. This threat modeling process is used to find the most significant threats. For these threats possible methods for preventing them and mitigating the risk they poses are examined. The study also examines the different possibilities of delivering ERP system safely to the Internet from a Microsoft Azure cloud environment. In the end of the thesis a solution for opening the IFS Cloud ERP system to the Internet with Microsoft Azure services is given.