Modern bir saldırı yüzeyinin anatomisi

Çoğu kurum için e-posta, günlük iş operasyonlarının önemli bir parçasıdır. Ne yazık ki e-posta, en önemli tehdit vektörlerinden biri olmaya devam ediyor. 2022'deki fidye yazılımı olaylarının %35'i e-posta kullanımı ile bağlantılıydı.^{4 Saldırganlar artık her zamankinden daha fazla e-posta saldırısı gerçekleştiriyor: 2022'de kimlik avı saldırılarının oranı 2021'e kıyasla %61 arttı}.⁵

Saldırganlar artık kimlik avı saldırılarını gerçekleştirmek için meşru kaynaklardan da yararlanıyor. Bu da kullanıcıların gerçek ve kötü niyetli e-postaları ayırt etmesini daha da zorlaştırdığından tehditlerin gözden kaçma olasılığının artması demek. Tehdit aktörlerinin meşru bulut hizmet sağlayıcılarını kötüye kullanarak kullanıcıları gizli verilere erişim izni vermeye ikna ettiği, rızaya dayalı kimlik avı saldırıları bu eğilimin bir örneğidir.

Saldırıları görselleştirmek için e-posta sinyallerini daha geniş olaylarla ilişkilendirme yeteneği olmadan, e-posta yoluyla giriş yapan bir tehdit aktörünü tespit etmek uzun zaman alabilir. Bu sırada da hasarı önlemek için çok geç kalmış olabilirsiniz. Bir saldırganın, bir kurumun özel verilerine erişmesi, ortalama olarak sadece 72 dakika sürer.⁶ Bu da kurumsal düzeyde ciddi kayıplara yol açabilir. İş e-postalarının ele geçirilmesi (BEC) 2021 yılında tahmini olarak 2,4 milyar USD düzeltilmiş kayba mal olmuştur.⁷

Günümüzün bulut destekli dünyasında, erişimin güvenli hale getirilmesi her zamankinden daha kritik bir hale geldi. Dolayısıyla, özellikle de saldırıların sıklığı ve yaratıcılığı arttığı için, kullanıcı hesabı izinleri, iş yükü kimlikleri ve bunların olası güvenlik açıkları dahil olmak üzere kurumunuzdaki tüm kimlikler hakkında kapsamlı bir bilgiye sahip olmanız hayati önem taşıyor.

Parola saldırılarının sayısının 2022'de her saniye 921 saldırıya yükseldiği tahmin ediliyor. Bu da 2021'e göre %74'lük bir artış demek.⁸ Microsoft olarak aynı zamanda, tehdit aktörlerinin çok faktörlü kimlik doğrulamayı (MFA) atlatmada daha yaratıcı olmaya başladığını, kurumların verilerine erişmek için ortadaki adam tipi kimlik avı saldırılarını ve belirteci kötüye kullanma gibi teknikleri kullandıklarını da gözlemledik. Kimlik avı kitleri, tehdit aktörlerinin kimlik bilgilerini çalmasını daha da kolaylaştırdı. Microsoft'un Dijital Suçlar Birimi, geçtiğimiz yıl kimlik avı kitlerinin hem daha karmaşık hem de ulaşması daha kolay hale geldiğini gözlemledi. Örnek olarak bir satıcı, kimlik avı kitlerini günlük 6 USD gibi oldukça düşük bir fiyata sunuyordu.⁹

Kimlik saldırı yüzeyini yönetmek; sadece kullanıcı hesaplarını değil, bulut erişimini ve iş yükü kimliklerini de güvenli hale getirmeyi gerektirir. Güvenliği ihlal edilmiş kimlik bilgileri, tehdit aktörlerinin bir kurumun bulut altyapısına zarar vermek için kullanabileceği güçlü bir araç olabilir.

Günümüzün hibrit ortamındaki cihaz sayısının yüksekliği nedeniyle uç noktaların güvenliğini sağlamak daha da zorlaştı. Değişmeyen şeyse uç noktaların, özellikle de yönetilmeyen cihazların güvenliğinin, güçlü bir güvenlik duruşu için taşıdığı önem. Çünkü birinin bile ele geçirilmesi, tehdit aktörlerinin kurumunuza girmesine neden olabilir.

Kurumlar KCG ("Kendi Cihazını Getir") politikalarını benimsedikçe yönetilmeyen cihazların sayısı arttı. Bunun sonucunda da uç nokta saldırı yüzeyi artık daha büyük ve tehditlere daha açık hale geldi. Ortalama olarak, her kurumda uç nokta algılama ve yanıtlama aracısı tarafından korunmayan 3.500 bağlı cihaz bulunur.¹¹

"Gölge BT" ortamının bir parçası olan yönetilmeyen cihazlar, güvenlik ekiplerinin bunları güvenli hale getirmesi için gereken görünürlük mevcut olmadığından, tehdit aktörleri için daha caziptir. Microsoft olarak kullanıcıların yönetilmeyen bir cihazdan virüs kapma ihtimalinin %71 daha yüksek olduğunu tespit ettik.¹² Yönetilmeyen cihazlar şirket ağlarına bağlandığı için saldırganlara, sunuculara ve diğer altyapılara daha geniş çaplı saldırılar başlatma fırsatı da sunuyor.

Yönetilmeyen sunucular uç nokta saldırıları için de potansiyel birer vektör. Microsoft Güvenlik, 2021 yılında bir tehdit aktörünün yamalanmamış bir sunucudan faydalandığı, dizinler arasında gezindiği ve hesap kimlik bilgilerine erişim sağlayan bir parola klasörünü keşfettiği bir saldırı gözlemledi.

En çok göz ardı edilen uç nokta saldırı vektörlerinden biri, hem büyük hem de küçük milyarlarca cihazı içeren IoT'dir (Nesnelerin İnterneti). IoT güvenliği, ağa bağlanan ve ağ ile veri alışverişi yapan yönlendiriciler, yazıcılar, kameralar gibi fiziksel cihazları kapsar. Ayrıca üretim hatlarındaki akıllı ekipmanlar gibi operasyonel cihazları ve algılayıcıları da (operasyonel teknoloji veya "OT") içerebilir.

IoT cihazlarının sayısı arttıkça güvenlik açıklarının sayısı da artar. IDC, 2025 yılında kurumsal ortamlarda ve tüketici ortamlarında 41 milyar IoT cihazının bulunacağını öngörüyor.¹⁵ Birçok kurum tehdit aktörlerinin güvenliklerini ihlal etmesini zorlaştırmak için yönlendiricileri ve ağları güçlendirdiğinden, IoT cihazları daha kolay ve daha çekici bir hedef haline geliyor. Tehdit aktörlerinin güvenlik açıklarından faydalanarak IoT cihazlarını ara sunuculara dönüştürdüğünü ve açıkta kalan cihazları, ağ için bir giriş noktası olarak kullandığını sıklıkla gördük. IoT cihazına erişim sağlayan tehdit aktörleri bu sayede diğer korumasız varlıkların ağ trafiğini izleyebilir, hedeflerinin altyapısının diğer bölümlerine sızmak için yatay hareket edebilir ya da hassas ekipman ve cihazlara büyük ölçekli saldırılar planlamak için keşif yapabilir. Yapılan bir çalışmaya göre, son 2 yıl içinde kurumlarına daha geniş çaplı bir saldırı gerçekleştirmek için bir IoT cihazının kullanıldığını bildiren güvenlik uygulayıcılarının oranı %35 olmuştur.¹⁶

Ne yazık ki IoT, görünürlük açısından kurumlar için genellikle bir kara kutudur ve birçok kurum, uygun IoT güvenlik önlemlerinden yoksundur. Güvenlik uygulayıcılarının %60'ı, IoT ve OT güvenliğini BT ve OT altyapılarının en güvensiz alanları olarak belirtmiştir.¹⁷

Bugün bir kurumun dış saldırı yüzeyi birden fazla bulutu, karmaşık dijital tedarik zincirlerini ve devasa üçüncü taraf ekosistemlerini kapsar. İnternet de artık bu ağın bir parçası ve akıl almaz boyutuna rağmen güvenlik ekiplerinin, kurumlarının internetteki varlığını, güvenlik duvarlarının arkasındaki diğer şeylerle aynı derecede savunması gerekiyor.  Sıfır Güven ilkelerini benimseyen kurumların sayısı arttıkça da hem iç hem de dış saldırı yüzeylerini korumak, internet ölçeğinde bir zorluk haline geldi.

Küresel saldırı yüzeyi internetle birlikte büyüyerek her geçen gün genişliyor. Microsoft olarak, kimlik avı saldırıları gibi birçok tehdit türünde bu artışın kanıtlarını gördük. Microsoft'un Dijital Suçlar Birimi, 2021 yılında 96.000'den fazla benzersiz kimlik avı URL'sini ve 7.700 kimlik avı setini ortadan kaldırarak müşteri kimlik bilgilerini çalmak için kullanılan 2.200'den fazla kötü amaçlı e-posta hesabının tespit edilmesini ve kapatılmasını sağladı.²⁴

Dış saldırı yüzeyi, kurumların kendi varlıklarının çok ötesine uzanır. Genellikle tedarikçileri, ortakları, şirket ağlarına veya varlıklarına bağlı olup yönetilmeyen kişisel çalışan cihazlarını ve yeni satın alınan kuruluşları da içerir. Dolayısıyla potansiyel tehditleri azaltmak için dış bağlantıların ve korunma düzeyinin farkında olmak kritik önem taşır. 2020 Ponemon raporu, kurumların %53'ünün son 2 yıl içinde üçüncü bir tarafın neden olduğu en az bir veri ihlali yaşadığını ve bunun düzeltilmesinin de ortalama 7,5 milyon dolara mal olduğunu ortaya koymuştur.²⁵

Siber saldırıların arkasındaki altyapı arttıkça tehdit altyapısına görünürlük kazandırmak ve internete açık olan varlıkların envanterini çıkarmak da her zamankinden daha acil hale geldi. Kurumların genellikle dış korunma düzeylerinin kapsamını anlamakta zorlandıklarını ve bunun da önemli kör noktalara yol açtığını tespit ettik. Bu kör noktaların yıkıcı sonuçları olabiliyor. 2021'de işletmelerin %61'i, iş operasyonlarının kısmen de olsa kesintiye uğramasına yol açan bir fidye yazılımı saldırısı yaşadı.²⁶

Microsoft olarak, müşterilerimize sıklıkla güvenlik duruşlarını değerlendirirken kurumlarını dışarıdan içeriye doğru incelemelerini söylüyoruz. VAPT'nin (Güvenlik Açığı Değerlendirmesi ve Sızma Testi) ötesinde, ortamınızın ve genişletilmiş ekosisteminizin tamamındaki güvenlik açıklarını belirleyebilmeniz için dış saldırı yüzeyinizde de derinlemesine görünürlük elde etmeniz önemlidir. Siz içeri girmeye çalışan bir saldırgan olsaydınız nelerden faydalanabilirdiniz? Kurumunuzun güvenliğini sağlamanın temeli, dış saldırı yüzeyini tam olarak anlamaktan geçer.

Microsoft buna nasıl yardımcı olabilir?

Günümüzde tehdit ortamı sürekli değişiyor ve kurumların da buna ayak uydurabilecek bir güvenlik stratejisine ihtiyacı var. Artan kurumsal karmaşıklık ve maruziyet, yüksek tehdit hacmi ve siber suç ekonomisine girişin kolaylığıyla birleşince her bir saldırı yüzeyinin içinde ve arasındaki her noktayı güvence altına almayı hiç olmadığı kadar acil hale getiriyor.

Güvenlik ekiplerinin, günümüzün sayısız ve giderek gelişen tehditlerine karşı savunma yapabilmek için güçlü bir tehdit analizine ihtiyacı var. Doğru tehdit analizi, farklı yerlerden gelen sinyalleri ilişkilendirerek mevcut saldırı davranışı ve eğilimleri hakkında zamanında ve doğru bağlam sağlar. Böylece güvenlik ekipleri de güvenlik açıklarını başarılı bir şekilde belirleyebilir, uyarıları önceliklendirebilir ve saldırıları engelleyebilir. Bir ihlalin meydana gelmesi halinde de tehdit analizi, daha fazla zararı önlemek ve benzer bir saldırının tekrarlanmaması için savunmaları iyileştirmek açısından kritik öneme sahiptir. Basitçe söylemek gerekirse tehdit analizinden daha çok yararlanan kurumlar daha güvenli ve başarılı olacaktır.

Microsoft, her gün analiz ettiği 65 trilyon sinyal ile gelişen tehdit ortamı hakkında benzersiz bir görüşe sahiptir. Microsoft Güvenlik çözümlerinde yerleşik olarak bulunan tehdit analizi, bu sinyalleri saldırı yüzeylerinde gerçek zamanlı olarak ilişkilendirerek büyüyen fidye yazılımı ve tehdit ortamı hakkında içgörü sağlar. Böylece daha fazla saldırıyı görebilir ve durdurabilirsiniz.  Microsoft Güvenlik Copilot'ı gibi gelişmiş yapay zeka özellikleriyle, gelişen tehditlerin bir adım önünde olabilir ve kurumunuzu makine hızında savunabilir; bu sayede güvenlik ekibinizi de karmaşık olanı basitleştirmek, başkalarının gözden kaçırdıklarını yakalamak ve her şeyi korumak için güçlendirebilirsiniz.