Modern Siber Saldırılara Karşı Savunmada Bağlamın Önemi

Modern Siber Saldırılara Karşı Savunmada Bağlamın Önemi

Siber güvenlik, tarihinin büyük bir bölümünde reaktif bir yaklaşımla ilerlemiştir: kötü olayı tespit et, durdur. Ancak siber saldırılar geliştikçe, bu düşünce yapısının da değişmesi gerekiyor. Geçmişte saldırganlar, kritik verilere erişmek için tek ve çarpıcı bir güvenlik açığına güvenirken, günümüzde saldırıların doğası farklılaştı. Savunmacılar, takip etmeye değer görmedikleri sıradan olaylarla karşılaşabiliyor, ancak farkına varmadan bu olaylar büyük bir ihlale yol açabiliyor. Bir ihlal, mesai saatleri dışında bir yönetici girişi veya bilinmeyen bir aracın indirilmesi gibi yaygın bir olayla başlayabilir. Bu ilk adım, eğer müdahale edilmezse, her bir sonraki adımın daha ciddi hale gelmesine ve sonunda bir güvenlik olayına dönüşmesine neden olur.

Veri Duyarlılığındaki Eksiklik

Saldırganların kendi ortamları hakkında savunmacılardan daha fazla veriye sahip olduğunu varsaymak yanlıştır. Savunmacılar kullanıcılarını, cihazlarını, uygulamalarını, ağ trafiğini ve güvenlik açıklarını bilirler. Bu kadar çeşitli veri hacmine erişimleri varken, savunmacıların neden kaybeden tarafta olduğu sorusu akla gelir. Bunun nedeni, bilgilerin çeşitli bağlantısız araçlar arasında dağılmış olmasıdır. Kimlik, uç noktalar ve ağ akışını izleyen farklı araçlar bulunur. Veriler, savunmacılar için birbirine bağlayan net bir bağlayıcı olmadan ayrı ayrı parçalar halinde görünür. Bu kopuk parçalar, saldırganların istismar edebileceği kör noktalar yaratır ve bunu, insanların saldırının hareketli parçalarını bir araya getirmesinden daha hızlı yaparlar. Bu nedenle, odak noktasının izole olayları işaretlemekten, güvenlik sistemlerinin birden fazla sinyali bir bütün olarak ele aldığı, yaklaşan bir saldırının erken belirtilerini yakalayan bağlamsal, etken savunmaya kayması gerekmektedir. OODA Döngüsü, bu süreci yapılandırmak için faydalı bir yol sunar: Neler olduğunu gözlemle. Bu gözlemleri doğru bağlamla yönlendir. Uygun tepkiye karar ver ve harekete geç. Bu, ekiplerin küçük bir anormalliğin daha büyük bir olaya dönüşmesinden önce hareket etmelerine yardımcı olmalı, izole bir olaya körü körüne tepki vermekten kaçınmalıdır.

“Bu Kötü mü?”den “Bu Nereye Gidiyor?”a

Geleneksel güvenlik tespitleri, bir olayın kötü amaçlı olup olmadığını kontrol eder. Bağlamsal savunma ise, bir saldırganın bir sonraki adımda ne yapabileceğini ve bir kesintiye neden olmadan onları durdurmak için mümkün olan en küçük hamlenin ne olduğunu sorar. Finans departmanındaki bir kullanıcının uzaktan yönetimi sağlayan yasal bir yazılım indirdiği bir senaryoyu düşünün. Bu, BT ekiplerinin her gün kullandığı türden bir araçtır. Bu eylem normalde şüphe uyandırmaz. Ancak ek bağlam, bu kullanıcının bu aracı ilk kez indirdiğini ve bunu düşük itibarlı bir alandan yaptığını size bildirecektir. İki artı ikiyi bir araya getirerek, bunun normalin dışında olabileceğini fark edersiniz. Bağlamsal savunma, olayın kim, ne zaman ve nerede olduğunu yanıtlamaya yardımcı olur ve buna göre erken bir uyarı işareti olarak işaretler. İndirilen araç kötü değildi, ancak bu indirmeyi çevreleyen desen kırmızı ışık yakıyordu. Aynı kullanıcının başka bir araç indirdiğini hayal edin. Bu durumda, bağlamdan haberdar sisteminiz bunu yakından ilişkili bir olay olarak ele alacaktır. Bu indirmeyi öncekiyle ilişkilendirecek ve noktaları birleştirecektir. Gerekirse, saldırı daha fazla tırmanmadan önce gelecekteki indirmeleri engelleyecektir. Bu tür bir akıl yürütme, aynı anda birkaç sinyale dayanır:

• Kimlik ve kullanıcı davranışı önemlidir çünkü aynı eylem, kimin yaptığına bağlı olarak tamamen farklı görünebilir.
• Her cihaz veya uygulama eşit risk taşımaz, bu nedenle cihaz ve varlık bağlamı da aynı derecede önemlidir.
• Ağ etkinliği, bir şey açıkça kötü amaçlı görünmeden çok önce niyeti ele verir.
• Bilinen güvenlik açıklarına veya geçmiş olaylara sahip bir cihaz veya hesap, herhangi bir şüpheli etkinliğin yanlış alarm değil, gerçek bir saldırı olma olasılığını artırır.
• Olağandışı veri etkinliği nadiren birdenbire ortaya çıkar; tehdit istihbaratı genellikle bilinen bir saldırı modeline uyduğunu gösterir.

Bağlamdan haberdar bir siber güvenlik çerçevesi, yalnızca bir teknoloji yükseltmesi perspektifinden görülmemelidir. Bağlamsal savunma, güvenlik ekiplerinin işleyiş biçiminde de bir değişimi mümkün kılar. Daha önce bağlantısız uyarıları takip etmekle zaman harcayan ekipler, erken alaka düzeyi gösteren birkaç olaya odaklanabilirler. Ayrıca orantılı yanıtlar da verebilirler. Bir çalışanı yanlış pozitif nedeniyle cihazından kilitlerseniz, gününü aksatacaktır. Ancak bağlamsal savunma, ek oturum açma doğrulaması isteyebilir veya bir uygulamaya erişimi kısıtlayabilir.

Uygulamada Bağlamsal Güvenlik

Güçlü bir bağlamsal güvenlik temeli oluşturacak bazı eylem öğeleri şunlardır:

• Veri kalitesini denetleyerek başlayın: Bağlamsal akıl yürütme, kimlik kayıtları, varlık envanterleri ve telemetri dahil olmak üzere beslendiği verilerin kalitesine bağlıdır.
• Net yetki sınırları: Bir sistemin özerk olarak gerçekleştirebileceği eylemleri ve özellikle ayrıcalıklı hesaplar veya hassas müşteri ve finansal veriler için insan gözetimi gerektiren eylemleri açıkça belirleyin.
• Eylemleri görünür ve geri alınabilir tutun: Her otomatik eylem kaydedilmeli, açıklanması kolay olmalı ve yeni bilgiler bir şeyleri değiştirdiğinde geri alınması kolay olmalıdır.
• Ölçeklenebilirlik planlayın: Yapay zeka destekli saldırılar, geleneksel saldırılardan çok daha fazla etkinlik üretir. Tespiti yapan güvenlik sistemlerinin bu hacmi yavaşlamadan yönetmesi gerekir, bu da yük altında bunalan sabit kapasiteli sistemler yerine talep üzerine ölçeklenebilen bir altyapı üzerine inşa edilmeleri gerektiği anlamına gelir.
• Yalnızca etkinliği değil, sonuçları ölçün: Yalnızca ilişkilendirilen uyarı sayısını değil, tespit süresini, kontrol altına alma süresini ve yanlış pozitiflerden kaynaklanan iş kesintisini takip edin.

Bağlamsal etken savunmanın belirsizliği ortadan kaldırmak için bir reçete veya temel güvenlik kontrollerinin yerine geçeceğini düşünmeyin. Yaptığı şey, verilere sahip olmak ile bunları anlamlandırmak arasındaki boşluğu kapatmaktır. Saldırılar karmaşıklıkta arttıkça, kuruluşların sinyaller arasındaki bağlantıları görebilmesi ve bunlara hassasiyetle tepki verebilmesi gerekir.

Kaynak: Orijinal haber