Mitkä ovat yleisiä tietoturva-hyökkäysten tyyppejä?

Question

Accepted Answer

Yleisten **hyökkäystyyppien** ymmärtäminen — kuinka hyökkääjät yrittävät vaarantaa järjestelmiä — on perusedellytys puolustautumiselle niitä vastaan. Suuriin kategorioihin kuuluvat injection, XSS, CSRF, brute force, social engineering, DDoS ja muut.

## Web-sovelluksen hyökkäykset

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## Autentikointia ja pääsyä koskevat hyökkäykset

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## Muut hyökkäykset

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## Miksi se on tärkeää

Yleisten tietoturva-hyökkäystyyppien ymmärtäminen on perusedellytys, koska **et voi puolustautua uhkia vastaan, joita et ymmärrä**, joten hyökkääjien toimintatapoja koskeva tieto on välttämätöntä turvallisten järjestelmien rakentamiselle, mikä tekee tästä tärkeää tietoturvatietoa.

Hyökkäystyyppien tunteminen — kuinka hyökkääjät yrittävät vaarantaa järjestelmiä — on puolustuksen perusta, koska jokaisella hyökkäystyypillä on vastaavat puolustuskeinot, ja uhkien ymmärtäminen motivoi ja ohjaa suojatoimia.

**Web-sovelluksen hyökkäysten** ymmärtäminen — **injection** (kyselyiden/komentojen manipulointi syötteiden kautta), **XSS** (skriptit suoritetaan uhrien selaimissa), **CSRF** (kirjautuneen käyttäjän selaimen pettäminen ei-toivottuihin pyyntöihin), **broken access control** (luvattomien resurssien käyttöoikeus) ja **SSRF** — kattaa yleisimmät sovellustason uhkat, joita kehittäjien on puolustauduttava vastaan.

**Autentikointia ja pääsyä koskevien hyökkäysten** ymmärtäminen — **brute force** (monien salasanojen testaaminen, torjutaan nopeusrajoituksella ja MFA:lla), **credential stuffing** (vuodettujen tunnistetietojen käyttö), **session hijacking** (tokeneiden varastaminen) ja **phishing/social engineering** (ihmisten pettäminen, koska ihminen on usein heikoin lenkki) — kattaa hyökkääjien pääsyyn kohdistuvan hyökkäämisen.

**Muiden hyökkäysten** ymmärtäminen — **DDoS** (tulviminen saatavuuden heikentämiseksi), **man-in-the-middle** (viestinnän sieppaus, estetään HTTPS:llä), malware, **supply chain attacks** (riippuvuuksien vaarantaminen — yhä tärkeämpää) ja zero-days — laajentaa näkemystä uhkamaastosta.

Näiden hyökkäystyyppien tunteminen mahdollistaa kehittäjille uhkien tunnistamisen, ymmärtämisen, miksi tietyt puolustuskeinot ovat olemassa (parametrisoidut kyselyt injectiota vastaan, escapetus XSS:ää vastaan, MFA brute forcea vastaan, HTTPS MITM:ää vastaan) ja asianmukaisten suojausten rakentamisen.

Koska uhkia vastaan puolustautuminen edellyttää niiden ymmärtämistä ja jokaisella yleisellä hyökkäystyypillä on vastaavat puolustuskeinot, ja koska suurimpien hyökkäysten (injection, XSS, CSRF, brute force, phishing, DDoS, supply chain) tunteminen on perusedellytys turvallisten järjestelmien rakentamiselle, yleisten tietoturva-hyökkäysten ymmärtäminen on perusedellytys, välttämätöntä tietoturvaa — uhkatietoisuus, joka on kaiken puolustuksellisen tietoturvan perusta, välttämätön kaikille kehittäjille, jotka rakentavat järjestelmiä, joiden on vastustettava vakiita ja vaihtelevia hyökkäyksiä, joita ohjelmisto kohtaa.