Kaspersky Compromise Assessment (Siber İhlal Analizi) ekibinin yayımladığı yeni rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve operasyonel eksiklikler sebebiyle siber güvenlik olaylarını tespit edemediğini ortaya koyuyor. Rapora nazaran incelenen olayların %31’inde saldırganlar, kuruluşların sistemlerinde üç aydan uzun mühlet fark edilmeden faaliyet göstermeyi sürdürdü. Yüksek kıymet derecesine sahip ihlallerin %52’si ise lakin 90 günden uzun müddet tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.
Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri tarafından tespit edilemeyen hem hala devam eden atakları hem de daha evvel fark edilmemiş hücumları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın ihlal edilip edilmediğine ait yüksek güvenilirlikte kıymetlendirme sunarken, bağımsız uzman tahlilleriyle kuruluşların genel güvenlik duruşunu da pahalandırıyor. Yıllık istatistiklerin tahliline dayanan rapor şu temel sonuçları ortaya koyuyor:
İzleme araçları ve kontrol düzenekleri tek başına kâfi değil: Tespit edilen tüm olayların %20’si manuel prosedürlerle tespit edilirken, işletmelerin %60’ında siber olayların gözden kaçma sebebi, mevcut araçlardan yüksek güvenilirlikli alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına aşırı bağımlılık olduğunu fakat bu araçların her vakit tesirli bir formda yapılandırılmadığını yahut izlenmediğini gösteriyor. İzleme araçlarının, daima değişen tehdit ortamına nazaran tertipli olarak optimize edilmesi ve uyarlanması gerekiyor. Analistlerin, birçok vakit göz ardı edilen düşük güvenilirlikli alarmları da sistemli olarak incelemesi gerekiyor.
Zararlı belgeler yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri önemli bir kör nokta oluşturuyor. Tespit edilen tüm web shell’lerin (sunuculara uzaktan erişim sağlayan ziyanlı betiklerin) %40 üzere yüksek bir oranı, fark edilmeden yedeklerde barınıyordu. Bu da birinci olay müdahale (incident response) çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken zararlıların tekrar aktifleşmesine yol açabiliyor. Hasebiyle yedeklerin bütünlüğü ve içerikleri titizlikle denetlenmelidir.
İletişim kopuklukları olayların kaçırılmasına yol açıyor: Yapılan siber ihlal tahlillerinin neredeyse üçte biri (%32), kurum içi net onay sistemlerinin bulunmaması yahut işçi sirkülasyonu (turnover) sebebiyle bilgi birikimi kaybı yaşanması üzere dahili bağlantı problemlerini gözler önüne serdi. Bu bulgu, sadece teknik müdahale planlarının (playbook) değil, birebir vakitte insan odaklı süreçlerin ve bağlantı akışlarının iş akışları ile operasyonel düzey mutabakatlarının (OLA) da tertipli tatbikatlarla test edilmesi gerektiğini gösteriyor.
Siber akın müdahale planları tertipli olarak güncellenmeli: Olası bir siber taarruz yahut sızma durumunda yürütülecek kriz idaresinin sahiden verimli ve tesirli olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı ışığında daima güncellenen “yaşayan belgeler” olarak ele alınması gerekiyor. Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini önemli derecede artırıyor.
“Organizations face not only external risks, but also hidden threats within their infrastructure, and signs of compromise are not always obvious. Proactive security audits make it more likely that organizations will detect a compromise. Integrating regular, third-party compromise assessments into organizational processes can reduce the probability of unexpected high-severity incidents and improve overall risk posture,” comments Amged Wageh, expert at Kaspersky Compromise Assessment.
Kaspersky Compromise Assessment Uzmanı Amged Wageh, bahse ait şu değerlendirmede bulunuyor: “Kurumlar yalnızca dış risklerle değil, kendi altyapılarının içinde saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her vakit net olmayabiliyor. Proaktif güvenlik kontrolleri, kurumların bir siber saldırıyı erkenden fark etme mümkünlüğünü değerli ölçüde artırır. Tertipli ve bağımsız üçüncü taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik kritik olayların yaşanma ihtimalini azaltır ve genel risk duruşunu düzgünleştirir.”
Kaspersky, kurumlara şu adımları atmasını öneriyor:
- Tehdit algılama sistemlerinin aktifliğini ve doğruluğunu ölçmek ismine, telemetri bütünlüğü ile kural geçerliliğini önceliklendiren kapsamlı bir kontrolü 30 gün içinde gerçekleştirin.
- Tüm düşük güvenilirlikli tespit olaylarını belli bir takvim dahilinde incelemek üzere bir “Kademe 1 (Tier 1) Alarm Doğrulama Ekibi” kurun.
- Temel sınır belirleme (baselining), düşük güvenilirlikli alarmlar ve yeni ortaya çıkan saldırgan tekniklerine odaklanan tehdit avcılığı (threat hunting) yetkinlikleriyle desteklenmiş, 7/24 güçlü bir izleme düzeneği oluşturun.
- Tüm kritik varlıklarda daima yamalamayı ve kontrol günlüğü (audit log) aktivasyonunu sağlamak için zafiyet idaresi süreçlerinizi tekrar değerlendirin.
- Kişisel aygıtlardan kaynaklanan kimlik bilgisi sızıntılarını önlemek ve inançlı BYOD (Kendi Cihazını Getir) uygulamalarını pekiştirmek amacıyla güvenlik farkındalığı eğitim programlarınızı güncelleyin. Bu noktada Kaspersky Automated Security Awareness Platform gibi tahlillerden yararlanabilirsiniz.
- Teknik müdahale planlarını test etmek, grup maharetlerini sertleştirmek ve irtibat akışlarını güçlendirmek için periyodik masaüstü tatbikatlar (tabletop exercises) düzenleyin.
- Farklı takımlar arasındaki iletişimi yönetmek ve kolaylaştırmak maksadıyla operasyonel düzey mutabakatları (OLA) oluşturun; ayrıyeten gerçek dokümantasyon için standart operasyon prosedürlerini (SOP) devreye alın.
Kaynak: (BYZHA) Beyaz Haber Ajansı
