Siber Güvenliğin Doğru Bilinen 10 Yanlışı

Sophos Süratli Müdahale grubu, geçtiğimiz bir yıl boyunca çeşitli kuruluşlardaki siber hücumları etkisiz hale getirirken karşılaştığı güvenlik konusunda yanlışsız bilinen yanlışların bir listesini çıkardı. Sophos'un önde gelen tehdit avcılarından Peter Mackenzie, bu 10 yanlışı sizler için yorumladı.

Yanlış 1: "Biz çok küçüğüz, amaç alınmamızı gerektirecek kıymetli hiçbir varlığımız yok"

Birçok şirket ilgi çekmeyen bir bölümde faaliyet gösterdiğini, gaye alınmak için çok küçük olduğunu yahut siber saldırganları cezbedecek bir varlığı olmadığını düşünür. Fakat işin aslı o denli değil. Medya daha çok büyük siber hücumların yıkıcı sonuçlarını öne çıkarmaya meyilli olsa da, kolay av peşinde koşan pek çok siber saldırgan ortalıkta cirit atıyor. Bunlar kurbanlarını kolay kolay istismar edebilecekleri güvenlik açıkları, kusurlar yahut yanlış yapılandırmalara sahip küçük kuruluşlar ortasından seçiyor. Elinizde süreç gücü olması ve dijital ortamda varlık göstermeniz, maksat tahtasında yer almanız için kâfi. Kuruluşunuzun gaye alınmadığını düşünüyorsanız, muhtemelen ağınızda yahut tesir alanlarınızda kuşkulu aktifliklerin varlığını denetim etmiyorsunuz demektir. Bu yüzden mümkün bir taarruzun erken belirtilerini gözden kaçırabilirsiniz.

Yanlış 2: "Gelişmiş güvenlik teknolojilerini her yere kurmamıza gerek yok"

Kimi BT yöneticileri hala uç nokta güvenlik tahlillerinin tüm tehditleri durdurmak için kâfi olduğuna, sunucuların ek güvenliğe gereksinim duymadığına inanıyor. Meğer rastgele bir yapılandırma yanlışı, yama yahut muhafaza eksikliği sunucunuzu öncelikli maksat haline getirebilir. Uç nokta yazılımlarını atlamaya yahut devre dışı bırakmaya odaklanan, BT güvenlik grupları tarafından tespit edilmeyi zorlaştıran atak tekniklerinin listesi gün geçtikçe uzuyor. Temel antivirüs müdafaası bu çeşit tehditleri tespit etmede ve engellemede yetersiz kalıyor.

Sophos Rapid Response'un karşılaştığı olaylar, sunucuların atakların bir numaralı maksadı haline geldiğini gösteriyor. Hedeflenen sunucuya ulaşmak için çoklukla yetkili bir kimlik erişimini ele geçirmek yetiyor. Kuruluşunuz davranışsal ve yapay zeka tabanlı tehdit algılama, 7/24 yönetilen güvenlik operasyon merkezi üzere gelişmiş savunma araçlar olmaksızın sadece temel güvenliğe odaklanıyorsa, davetsiz konuklar savunmanızı eninde sonunda aşacaktır. Siber güvenlikte yalnızca önlemeye değil, tespit etmeye odaklanmanın da bir mecburilik olduğunu aklınızdan çıkarmayın.

Yanlış 3: "Hazırda sağlam güvenlik siyasetlerine sahibiz"

Uygulamalar ve kullanıcılar için güvenlik siyasetlerine sahip olmak kıymetli. Fakat ağa bağlı aygıtlara yeni özellikler ve fonksiyonlar eklendikçe bunların daima olarak denetim edilmeleri ve güncellenmeleri gerekir. Penetrasyon testleriyle, masaüstü alıştırmalarla ve felaket kurtarma planlarının provasıyla siyasetlerinizi nizamlı olarak doğrulayın ve test edin.

Yanlış 4: "Uzak Masaüstü Protokolü (RDP) sunucularımızı ilişki noktasını değiştirerek ve çok evreli kimlik doğrulamayı (MFA) faal hale getirerek saldırganlardan koruyabiliriz"

Saldırganlar tarafından yapılacak genel bir tarama, açık olan tüm hizmetleri üzerinde bulundukları irtibat noktasından bağımsız olarak belirleyebilir. Bu nedenle temas noktalarının değiştirilmesi tek başına çok az muhafaza sağlar. Dahası, çok etaplı kimlik doğrulama (MFA) değerli olmakla birlikte tüm çalışanlar ve aygıtlar için mecburî kılınmadıkça güvenliği artırmaz. RDP aktifliği, bir sanal özel ağın (VPN) kollayıcı hudutları içinde gerçekleşmelidir. Lakin saldırganların ağda aslında bir desteği varsa, bu bile kuruluşu tam olarak muhafazaya yetmeyebilir. Ülkü olan, kullanımı zarurî olmadığı sürece RDP'nin dahili ve harici kullanımını sınırlamak yahut devre dışı bırakmaktır.

Yanlış 5: "Rusya, Çin ve Kuzey Kore üzere yüksek riskli bölgelerden gelen IP adreslerini engellemek bizi bu coğrafyalardan gelen akınlara karşı korur"

Belli bölgelerden gelen IP'leri engellemenin size rastgele bir ziyanı olmaz, lakin muhafaza için sırf bu tedbire güveniyorsanız bu size geçersiz bir güvenlik hissi verebilir. Saldırganlar altyapılarını ABD, Hollanda ve Avrupa'nın geri kalanı dahil olmak üzere birçok ülkede barındırıyor.

Yanlış 6: "Yedeklerimiz fidye yazılımlarının tesirine karşı bağışıklık sağlar"

Belgelerinizin aktüel yedeklerini tutmak iş sürekliliği açısından kritik kıymete sahiptir. Lakin yedekleriniz ağ erişimine açıksa saldırganların ulaşabileceği bir yerde duruyor demektir. Yani mümkün bir fidye yazılımı taarruzunda şifrelenmeye, silinmeye yahut devre dışı bırakılmaya karşı savunmasızdır. Emsal biçimde, yedekleri bulutta depolama süreci de dikkatli bir biçimde yapılmalıdır. Sophos Süratli Müdahale grubu olarak karşılaştığımız bir olayda, saldırganlar ele geçirdikleri bir BT yöneticisi hesabından bulut hizmeti sağlayıcısına e-posta göndererek tüm yedekleri silmesini istediğini, servis sağlayıcının da bu isteği yerine getirdiğini gördük.

Muhtemel bir fidye yazılımı saldırısından sonra bilgileri ve sistemleri geri yüklemek için kullanılabilecek inançlı yedeklemeler için standart formül, en az iki farklı sistem kullanılarak biri çevrimdışı olmak üzere her şeyin üç yedeğini almaktır. Lakin şu uyarıyı da yapmadan geçmeyelim: Çevrimdışı yedeklere sahip olmanız, sizi hatalıların datalarınızı çalmak ve şifrelemek yerine rakiplerinize yahut kamuya ifşa etmekle tehdit ettiği gasp maksatlı hücumlardan korumaz.

Yanlış 7: "Çalışanlarımız güvenliğin farkında"

Yanlış 8: "Olay müdahale grupları, fidye yazılımı saldırısının akabinde bilgilerimi kurtarabilir"

Bu maalesef pek muhtemel değil. Saldırganlar günümüzde çok daha az yanılgı yapıyor, şifreleme teknikleri de epey karmaşık. Bu nedenle oluşan hasarı geri döndürmek çok sıkıntı. Çağdaş fidye yazılımları otomatik yedekleri silmenin yanında, diskte depolanan yepyeni dataların üzerine yine yazarak atağın akabinde data kurtarmayı düzgünce sıkıntı hale getiriyor.

Yanlış 9: "Fidye yazılımı saldırısına uğrarsak fidyeyi ödeyip bilgilerimizi geri alabiliriz"

State of Ransomware 2021 araştırmasına nazaran fidye ödeyen kuruluşların birden fazla bilgilerinin lakin üçte ikisini kurtarıyor. Tüm datalarını geri alabilenlerin oranı ise yalnızca yüzde 8. Fidyeyi ödemek daha kolay bir seçenek üzere görünse, hatta bu durum siber sigorta poliçeniz kapsamında olsa bile işleri ayağa kaldırmak için uygulayabileceğiniz en kolay tahlil değil. Ayrıyeten bilgileri geri yüklemek kurtarma sürecinin sırf bir modülünü oluşturuyor. Birden fazla durumda fidye yazılımı bilgisayarları büsbütün devre dışı bırakıyor, bu da bilgilerin geri yüklenebilmesi için tüm yazılım ve sistemlerin sıfırdan kurulumunu gerektiriyor.

Yanlış 10: "Saldırı fidye yazılımının çalıştırılmasından ibaret, bunu atlatırsak sorun yok"