CERT-EE (Computer Emergency Response Team; eesti k intsidentide käsitlemise üksus) moodustab Eesti digiriigi ühe olulisema kaitseliini. Enamasti tegutseb see meeskond nähtamatult, sest nad ei otsi tähelepanu, vaid lahendusi. Nende töö edukust mõõdetakse selle järgi, kui harva tuleb avalikkust teavitada kriitilistest küberintsidentidest.
Kahekesi kübersõjas
2000. aastatel kolis üha enam teenuseid internetti, internetikasutus kasvas, ründevektorid laienesid. Kuigi häkkerid, pahavara ja andmepüük polnud toona veel Eestis igapäevased märksõnad, seisid pangad silmitsi juba esimeste küberrünnakutega ja erinevad intsidendid panid aluse arutelule, kuidas tagada üha digitaalsema infoühiskonna turvalisus.
2005. aastal sai tollase Riigi Infosüsteemide Arenduskeskuse infoturbejuht Toomas Viira ülesandeks luua visioon Eesti CERTi jaoks ning selgitada üksuse vajalikkust nii ministeeriumiametnikele kui ka poliitikutele. Ajal, mil Eesti digiriik oli juba hoogsalt kujunemas, kuid küberturvalisus paljude jaoks veel uus ja abstraktne valdkond, sai Viira mitu kuud vastata küsimustele, mis on küberintsident ja miks sellega riigi tasemel tegelema peab. Õnneks mõisteti üsna ruttu, et Eesti ei saa endale lubada olukorda, kus digilahendused on küll uuenduslikud, aga kaitsmata. Pärast kuudepikkust selgitustööd saabus positiivne otsus.
CERT-EE alustas tööd 1. jaanuaril 2006. „Juba tollal oli näha esimesi algelises vormis õngitsuspettusi ja viiruseid. Enim rünnati pankasid ja nende kliente, aga küberrünnakute alla sattusid ka mitmed teised asutused,“ kirjeldab Viira tollal küberruumis toimunut. Kuigi algus oli kõike muud kui mugav – ehitada tuli tööprotsessid ja tekitada usaldus –, tõdeb Viira, et raskustest hoolimata sai CERT loodud õigel hetkel, veidi enne 2007. aasta küberrünnakuid.
Üksuse esimene juht Hillar Aarelaid sai karmid tuleristsed: pärast pronkssõduri eemaldamist algas maailma esimene internetisõda, mis halvas Eesti veebilehed ja -teenused. Selle tõrjumist koordineeris CERT-EE, kus töötas toona vaid kaks inimest: Aarelaid ja Tarmo Randel. Randel, kellest sai hiljem üksuse hilisem juht, tõdes CERT-EE 2007. aasta kokkuvõttes, et too kevad tõi Eesti maailmakaardile ja sündmuste negatiivsest iseloomust hoolimata oli nende efekt positiivne. Avalikkuse jaoks oli see esimene kord, mil küberintsident muutus rahvusliku julgeoleku küsimuseks ning paljud ettevõtted ja riigid hakkasid oma taristut tõsiselt analüüsima ja kaitsma.
Mis on CERT?
Riigi infosüsteemi ameti intsidentide käsitlemise osakond CERT-EE jälgib Eesti küberruumi, tegeleb avaliku sektori ennetava kaitsega ning tuvastab Eesti arvutivõrkudes toimuvaid küberintsidente. Intsidendi korral aitab CERT-EE uurida selle põhjust ning nõustab lahendamist.
CERT-EE on Euroopa info- ja võrguturbeameti (ENISA) küberturbemeeskondade võrgustiku CSIRTs Network liige.
Pöörased 2010ndad
2010ndatel kasvas CERT-EE töö maht plahvatuslikult. Kui 2013. aastal oli töölaual umbes 300 intsidenti, siis neli aastat hiljem kümme korda rohkem. Aastail 2014–2018 üksust juhtinud Klaid Mägi võrdleb toonast tiimi start-up’iga: „Meeskonda kuulusid entusiastid, kes tegid suuri asju parasjagu käes olevate vahenditega põlve otsas.“
2015 mõisteti, et kella kaheksast viieni süsteemiga pole võimalik operatiivselt intsidente lahendada, mistõttu seati sisse ööpäevaringne valve, palgati juurde spetsialiste ning sama aasta suvest jälgis meeskond Eesti küberruumis toimuvat 24/7.
„Tänu ööpäevaringsele kiirele reageerimisele avanes võimalus hoiatada üldsust suuremate õngitsus- ja pahavarakampaaniate eest, teavitada majutusteenuse pakkujaid ning kodulehtede omanikke probleemsetest veebilehtedest ning anda operatiivsemalt infot turvanõrkuste kohta, mis ohustasid suurt hulka kasutajaid,“ kirjeldab Mägi.
Seejärel pandi alus CERT-EE igapäevasele uudiskirjale, mille eesmärk on tänaseni kajastada operatiivselt küberruumis toimuvat. Praegu tellib uudiskirja juba ligi 2200 huvilist.
Valmis juubelirünneteks
2017. aastal saavutas Eesti CERT esimest korda SIM3 (Security Incident Management Maturity Model) sertifikaadi ehk kõrgeima rahvusvahelise CERTide standardi, mille saamiseks hinnatakse dokumenteeritust, valmidust koostööks, töökorraldust, juhtumite käsitlemise efektiivsust ja professionaalsust, infovahetust jms, mis tagavad parema intsidentide lahendamise võimekuse ja küberturvalisuse tagamise. CERT-EE oli maailmas viies, kes selle tasemini jõudis.
Samal aastal valmistuti kümme aastat tagasi toimunud küberrünnakute aastapäevaks, eeldades potentsiaalseid kordusrünnakuid Venemaa poolt. „Meil oli arvamus, et naaberriik võib nii-öelda juubeli puhul midagi korraldada ning olime valmis. Õnneks „juubeliründeid“ ei tulnud, küll aga tõi aasta meile kaks teist tuntuks saanud rünnet – WannaCry ja NotPetya –, mis mõlemad olid üle maailma väga suure mõjuga,“ meenutab Mägi. Ja nagu sellest poleks veel piisanud, järgnes sama aasta suve lõpus ID-kaardi kriis, mis puudutas ligi 750 000 inimest. Seega jagus väljakutseid ühe aasta peale enam kui küll.
Sündmuste keerises muutus meeskonna tehniline analüüs aina sügavamaks ja automatiseeritud tuvastussüsteemid tugevamaks. CERT-EE eksperdid olid sageli avalikkuse ees nii televisioonis, raadios kui ka sotsiaalmeedias, rõhutades küberturbe olulisust.
Suurte rahvusvaheliste küberrünnakute lahendamiseks panid CERT-EE liikmed aluse rahvusvahelise Mattermosti kanalile (suhtlusplatvorm, mis võimaldab turvalist ja kontrollitud kommunikatsiooni), kuhu esimest korda koondati kokku huvitatud osapooled erinevate Euroopa Liidu riikide CERTidest. Selles tänaseni toimivas kanalis mõtteid vahetades asuti ühiselt lahendama WannaCry kriisi.
WannaCry – 2017. aasta mais küberrünnakus kasutatud lunavara, mis levis üle maailma ja ründas Microsoft Windowsi operatsioonisüsteemiga arvuteid. Lunavara nakatas üle 125 000 arvutisüsteemi üle maailma, rohkem kui 100 erinevas riigis. Samal ajal kui Inglismaal suur osa meditsiinisektorist ei töötanud, siis RIA andmetel Eestis õnneks krüptolunavara levikut ei täheldatud ja Eesti arvutisüsteemid jäid rünnakust puutumata. Mägi sõnas, et kindlasti oli siin osa heal CERTi ennetustööl, et varasemalt oldi palju panustatud just meditsiiniasutuste küberturvalisuse tagamisele.
NotPetya – Ukrainast alguse saanud küberrünnak, millega nakatati arvutid pahavaraga, mis loodi arvutite saboteerimiseks ja hävitamiseks. Pahavara käitus nagu tavaline lunavara, kuid selle lähtekoodist leiti, et sellele polnud lisatud failide taastamise varianti ning pahavara eesmärk oli failid jäädavalt kustutada. Selle mõju ulatus kiiresti rahuvusvaheliseks, kannatada said mitmed globaalsed ettevõtted ning kahjude kogumahtu hinnatakse mitmele miljardile eurole, tehes sellest ühe ajaloo kalleima küberintsidendi. RIA andmetel sai Eestis asuvatest ettevõtetest pahavaraga pihta kaks Saint-Gobaini kontserni kuuluvat ettevõtet.
Ohupilt hakkab muutuma
Kuigi 2019. aastal polnud küberohud enam kellelegi uudiseks, kasvas rünnakute sagedus, automatiseeritus ja sihitus Eesti suunal. Samal aastal sagenesid hüppeliselt Smart-IDga seotud õngitsus- ja petuskeemid. Sai selgeks, et pelgast teavitamisest enam ei piisa ning CERT muutis oma lähenemist.
„Soovitusi on lihtne anda. Aga kui asutus ei jõua neid ellu viia, on mõistlikum pakkuda lahendust teenusena,“ kirjeldab tollal üksust juhtinud Tõnu Tammer.
CERTi portfelli lisandusid praktilised ja skaleeruvad teenused, mis aitavad ohtusid ennetada ka siis, kui asutusel endal napib selleks võimekust. Näiteks arendati küberohtude filtreerimiseks nimeserveri- ehk DNS-põhine lahendus, mis peatab pahatahtliku tegevuse enne, kui ühendus üldse tekib.
Paralleelselt sisuliste arendustega tehti olulisi samme ka Eesti internetitaristu tugevdamisel. Uuendati riiklik internetisõlm, mis võimaldab sideoperaatoritel vahetada liiklust tõhusamalt ja hoida Eesti-sisene internetiliiklus riigi sees. See suurendas nii toimepidevust kui ka vastupidavust rünnetele.
Ründajate kulud üles ja tulud alla
2022. aasta tõi uue nähtuse: veebilingid, mille avamine pani kasutaja brauseri automaatselt osalema teenusetõkestusrünnakutes. „Oli vaja vaid link avada ja tehniliselt mittepädev inimene sai enese teadmata ründes osaleda,“ kirjeldab Tammer. Vastuseks võeti kasutusele Cloudflare’i teenus, pakkudes üheskoos Eestis veelgi tugevamat kaitset.
Eesmärk oli viia kurjategijate kulud võimalikult üles ja tulud alla. „Mida rohkem suudame erinevate tehnilistega meetmetega seda saavutada, seda vähem on neil huvi Eestit rünnata,“ selgitab Tammer.
Alustati koostööd turvalahenduste pakkujatega, jagades nendega valideeritud ohuteavet. See võimaldas küberohte kiiremini nn mustadesse nimekirjadesse lisada, vähendades ründajate võimalusi. Ühe suure tootja tagasiside põhjal moodustas CERT-EE jagatud info märkimisväärse osa nende esmastest ohuteadmistest.
CERT-EE arengule tagasi vaadates ütleb Tammer, et CERT-EE on aastate jooksul muutunud proaktiivsemaks: „See on meeskond, kes hoiab küberruumi toimivana ja vähendab riske – sageli nii, et keegi ei pane seda tähelegi.“
See on ka küberkaitse paradoks: mida paremini on töö tehtud, seda nähtamatum see on. Kui inimesed ei pea mõtlema teenuste ebastabiilsuse või katkestuste peale, tähendab see, et CERT-EE on teinud oma tööd hästi.
Iga päev ja kogu aeg
Tulenevalt geopoliitilistest sündmustest meie ümber kasvas järgnevatel aastatel CERTi töömaht märgatavalt. 2023. aastast meeskonda juhtinud Veikko Raasuke kirjeldab selle tööd igapäevase võitlusena. „Meid rünnatakse iga päev, proovitakse süsteemidesse siseneda või ummistusrünnakutega midagi maha joosta. CERT-EE ülesanne on sellele vastu seista kogu aeg – nädalavahetuseti, öösiti, koolivaheaegadel, riigipühadel, jõuludel.
Ehk ajal, mil enamik meist on pere keskis, teevad kübervalvurid tööd, et ülejäänud riik saaks rahus sülti süüa,“ räägib Raasuke.
2024. aasta 9. märtsil toimus Eesti küberajaloo suurima mahuga ummistusrünne avaliku sektori veebilehtede vastu: veidi enam kui nelja tunni jooksul tehti ligi kolm miljardit pahaloomulist päringut. CERT oli ja on endiselt kaitsmises edukas: rünnakutel on harva mõju. Kui on, siis on see lühiajaline.
Nii nagu CERT arendab pidevalt kaitsetaktikaid, tegeleb ka vastane oma tööriistade arendamisega ning ründetaktikate muutmisega. Raasukese sõnul katsid töölaua peamiselt ummistusrünnakud, aga ka erinevad õngitsused. Näiteks kasutasid kurjategijad osavalt ära suurüritust, mille raames külastasid Eestit paljude riikide kõrged ametnikud. Üritusel osalejatele saadeti justkui korraldaja poolt vägagi usutava välimusega õngitsuskiri.
Kui varasematel aastatel läks CERT-EE-l finantspettuse lehe sulgemiseks seitse kuni kümme tööpäeva, siis koostöös politsei- ja piirivalveameti, pangaliidu ja pankadega suudeti see aeg viia alla ühe tunni.
Naljaga nimetas tiim perioodi oktoobrist jaanuarini „jõulurahuks“, mil peamiselt logistikaettevõtete nimel tehtavate pettuste hulk kasvas kümneid kordi.
Kuid 2024. aasta jaanuaris vaibumist enam ei tulnud. Petturid läksid aina aktiivsemaks ning enam ei kasutatud ära ainult logistikaettevõtteid, vaid ka kõikvõimalikke muid firmasid ja riigiasutusi. „Seejuures on petturitele suureks abiks olnud ka AI areng, mis aitab neil hõlpsasti toota usutavat eestikeelset sisu,“ ütleb Raasuke.
Vaade tulevikku
Suunates pilgu minevikust tulevikku, seisavad CERT-EE ees üha suuremad väljakutsed. Küberturvalisus pole enam üksikute organisatsioonide mure, vaid globaalne küsimus. Pildil on täiesti uued ohud, näiteks tehisintellekti abil teostatud rünnakud, kvantarvutite pakutavad võimalused või 5G-võrgu potentsiaalsed haavatavused.
Praegu üksust juhtiv Taavi Kupper sõnab, et Eestis on infosüsteemide ja e-teenuste turvalisuse tase kõrge, kuid keskkond on muutub pidevalt.
„Uued ohud nõuavad järjepidevat kohanemist. Järgnevatel aastatel tuleb CERT-EE-l üha enam panustada rahvusvahelise koostöö ja partnerluste tugevdamisse, sest küberturvalisus on globaalses mastaabis kollektiivne ülesanne,“ ütleb Kupper ja lisab, et meeskond on valmis seisma silmitsi uute ja muutuvate ohtudega.
Tulevik tähendab ühtlasi proaktiivsemat ja andmepõhisemat lähenemist.
„Kui praegu räägitakse küberintsidentide ja rünnakute tõkestamisest, siis edaspidi tuleb CERT-EE-l kanda üha suuremat rolli andmepõhises analüütikas ja ennetavas tegevuses. Tänu uutele tehnoloogiatele, nagu masinõpe ja tehisintellekt, on võimalik palju kiiremini analüüsida süsteemide käitumist ja tuvastada ka kõige keerukamaid ning varjatumaid rünnakumustreid. Üks on siiski kindel: CERT-EE on olnud ja on ka edaspidi üks Eesti küberturvalisuse tugisambaid,“ kinnitab Kupper.
Me ei rahuldu eilse tasemega
Kahe kümnendiga on CERT-EE kasvanud usaldusväärseks ja arvestatavaks tegijaks, kes kaitseb Eesti digitaalset ökosüsteemi – tavainimesest kuni riigi kriitilise taristuni. Infoturbevõimekus on riigis kasvanud, kuid mida rohkem on tugevaid ja iseseisvaid meeskondi, seda olulisem on keskne koordineerija. Kübervastupidavus ei sünni üksikutest tegijatest, vaid hästi juhitud koostööst.
„Kui CERT-EE on 20 aastaga midagi tõestanud, siis seda, et Eesti digiriik püsib seetõttu, et me ei rahuldu eilse tasemega,“ ütleb CERT-EE juht Taavi Kupper. Meeskond jätkab samasuguse vastutuse, sisemise põlemise ja eesmärgiga, et Eesti digiriik oleks usaldusväärne mitte ainult täna, vaid ka homme.
Viimati uuendatud 04.02.2026
