Trendyol şirketler grubunda çalışan uygulama güvenliği uzmanları Emre Durmaz ve Fatih Çelik imgproxy uygulamasında bir sıfırıncı gün zafiyeti keşfetti.
NIST tarafından CVE numarası verilen güvenlik açığı kurumca onaylandı.
Türk Akademisyenden büyük başarı: Teknik Bilgisayar Bilimi Ödülünü ABD dışından alan ilk insan
Siber saldırılardan korunma konusuna gerçekçi bir şekilde yaklaşırsak geldiğimiz nokta itibariyle saldırıların tamamının önlenmesinin neredeyse imkânsız olduğunu söylemek zor değil. Dijital dünyaya gittikçe artan bağımlılık, siber dünyanın barındırdığı hassas veri sayısı ve çeşitliliği saldırganların iştahlarının artarak devam etmesine neden olmaktadır. Bu durumun bir yansıması olarak da siber saldırıların kapsam ve yeteneklerinin her geçen gün arttığını; üreticilerin rutin faaliyetlerine ek olarak ürünlerinde çıkan açıkları kapatmak için yoğun mesai harcadığını ve tüm bunlara rağmen yine de son dönemde tanıştığımız Meltdown ve Spectre zaafiyetleri gibi büyük çaptaki güvenlik zafiyetleri nedeniyle siber dünyada bireysel ve kurumsal anlamda “mutlak güvenli” olduğumuzu söylemek güç.
Siber saldırıların doğuracağı maddi ve manevi zararları engellemek bütünüyle gerçekçi olmasa da bu zararları en aza indirgemek mümkün. Yakın geçmişteki siber olaylar incelendiğinde son kullanıcılar kadar saldırganların özellikle finansal çıkar sağlamak amacıyla hedef aldıkları kurum ve şirketlerin de siber saldırılardan payını aldığını gözlemliyoruz. Böylesine gelişmiş teknoloji ve araç kullanma yetisine sahip tehdit aktörlerinin katıldığı bir oyunu kazanmak için en az onlar kadar organize, nitelikli ve hazırlıklı olmak oldukça kritik bir rol oynamaktadır. Bunu sağlamak için de saldırı öncesinden saldırı sonrasına kadar tüm süreçleri kapsayacak geniş, iyi tanımlanmış ve sistematik bir yöntem benimsemek kuşkusuz en etkili çözüm aracı olacaktır.
Siber güvenlik alanındaki otorite kuruluşlardan olan National Institute of Standards and Technology (NIST) siber olay müdahale süreçleri ile ilgili olarak yayınladığı makalede (Computer Security Incident Handling Guide, Special Publication 800-61 Revision 2 Paul Cichonski, Tom Millar, Tim Grance Karen Scarfone) anlatılan model, siber olay inceleme ve müdahale çalışmaları için kılavuz niteliğinde olmasının yanı sıra hem yurt için hem de yurt dışındaki SOME birimlerinde sıklıkla uygulanmaktadır. Buna göre siber olay müdahale süreçleri, hazırlık; tespit ve analiz; sınırlandırma, düzeltme ve iyileştirme; son olarak olay değerlendirme olmak üzere dört aşamadan oluşmaktadır.
Hazırlık aşamasındaki temel amaç, bir siber olay gerçekleşmeden önce yapılan çalışmalar ile kurumun hedef alınacağı bir saldırıdan minimum düzeyde etkilenmesini ve bir tehdit karşısında mümkün olan en hızlı şekilde tepki vermesini sağlamaktır. Bu kapsamda alınması tavsiye edilen bazı aksiyonlar aşağıda listelenmiştir:
Bu aşamadaki en can alıcı konu, sayıca çok fazla olan yanlış pozitifler arasından asıl tehdidin tespitinin net ve isabetli bir şekilde yapılmasıdır. Bu kısmın analistler için zor bir görev olmasına neden olan durumlardan en önemlisi, önceden hiç karşılaşılmamış (sıfırıncı gün) veya sofistikasyonu oldukça yüksek seviyelerde olan saldırılardır. Karmaşık olan bu sürecin ardından eğer gerçek bir siber tehdit söz konusu ise bu tehdidin kapsamı ve şiddeti detaylı bir şekilde belirlenmelidir.
Bir siber saldırıya maruz kalındığında mümkün olan en kısa süre içinde bu saldırının hedefini ve metodunun anlaşılması yapılacak savunma çalışmasının kalitesini doğrudan etkilemektedir. Saldırı tespit süresinin uzaması halinde kurum tarafından sunulan servisler kesintiye uğraması ve hassas bilgilerin çalınması gibi telafisi zor olan durumlar yaşanabilir. Bu sürecin daha hızlı ve verimli bir şekilde atlatılabilmesi için kurumun sisteminde çalışan güvenlik cihazlarının ürettiği çeşitli alarm ve loglardan faydalanılmaktadır. Saldırı tespit ve önleme sistemleri (IDPS), güvenlik bilgi ve olay yönetimi (SIEM), antivirüs ve istenmeyen mail filtreleyen yazılımlar, dosya bütünlüğünü kontrol eden yazılımlar ve üçüncü parti ağ ve sistem izleme servisleri bilgi sistemlerinin güvenliğini izleme açısından kullanılabilecek önde gelen alarm kaynaklarındandır.
Olay tespiti yapılırken analistlerin dikkatini çeken bazı göstergeler saldırının tip ve kapsamının anlaşılmasına yardımcı olmaktadır. İşletim sistemi, ağ cihazları, servis ve uygulama loglarının incelenmesiyle sıklıkla karşılaşılan bazı göstergelere; web sunucusunda zafiyet tarama işlemine ait logların görülmesi, yeni ortaya çıkan ve belirli bir mail sunucu sürümünü hedef alan zafiyetler, bir kuruma saldırı düzenleyeceğini sanal ortamda açıklayan gruplar, ağ saldırı tespit sensörlerinin veritabanı sunucusunda arabellek aşımı gerçekleştiğine dair gönderdiği alarm, antivirüs yazılımının bir bilgisayara zararlı yazılım bulaştığını duyurması, sistemde sıradışı karakterlerden oluşmuş dosya adlarının görülmesi, log dosyalarında yetkisiz kişiler tarafından yapılan değişiklikler, bir uygulama logunda birçok defa başarısız erişim taleplerinin görülmesi, sistem yöneticisinin ağ trafiğinde anormal bir artış gözlemlemesi gibi örnekler verilebilir.
Olay analizinin daha kolay bir şekilde yapılması için aşağıdaki çalışmalar önerilmektedir:
Ayrıca, sürecin kayıt altına alınması ve düzenli bir şekilde ilerlenmesi amacıyla yapılan tüm çalışmalar dökümante edilmelidir. Bu dökümanda olayın güncel durumu, olay ile ilgili göstergeler, alınan aksiyonlar, olaydan etkilenmiş olan varlıklar, ilgili kişilerin irtibat bilgileri, araştırma kapsamında elde edilen kanıtlar ve analist notları yer almalıdır. Böylelikle tehdit karşısında alınacak aksiyon daha sistematik, hızlı ve doğru bir yöntem sonucunda ortaya çıkmış olacaktır.
Olay Tespit ve Analiz aşamasında saldırının detayları anlaşıldıktan sonra saldırının yaratacağı negatif etkileri azaltmak ve saldırının yayılmasına engel olarak kontrol altına almak amacıyla sınırlandırma çalışmaları yapılmaktadır. Bu bölümde dikkatli bir şekilde karar verilmesi gerekilen konu sınırlandırma stratejisinin belirlenmesidir. Örnek olarak bir sistemin kapatılması, ağ ile bağlantısının kesilmesi veya bazı yeteneklerinin devredışı bırakılması gibi kararlar olayın türüne göre alınabilir. Ayrıca, sınırlandırma stratejisi ve bununla bağlantılı uygulamaların mümkün olduğunca kısa zaman içersinde gerçekleştirilmesi gereklidir; aksi halde saldırganlar sağlamış oldukları yetkisiz erişim seviyelerini yükseltebilmekte ve diğer sistemlere sızabilmektedirler.
Saldırının izole edilerek kontrol altına alınmasının ardından tehditi oluşturan bileşenler (kötücül yazılımın silinmesi, ele geçen kullanıcı hesaplarının kapatılması, sömürülen zafiyetlere ilişkin güncelleme çalışmalarının yapılması vb.) ortadan kaldırılmaya başlanır. Etkilenen tüm sistem ve cihazların isabetli bir şekilde tespit edilmesi düzeltme fazının verimliliğini oldukça arttıracaktır.
İyileştirme aşamasında ise temizlenmiş durumda olan tüm sistemler rutin ve sorunsuz şekilde çalışmaya müsait hale getirilir. Gerekli olması halinde saldırıdan etkilenmiş sistemlere temiz yedekler kurulabilir veya tüm sistem baştan oluşturularak ayağa kaldırılabilir. Saldırganların ele geçirdikleri dosyalar, temiz versiyonlarıyla değiştirilebilir, şifreler yeniden belirlenebilir ve uç ağ güvenliği sağlamlaştırılabilir. Saldırı sonucunda oluşan hasara bağlı olarak iyileştirme süreci uzun zaman alabilmektedir.
Diğerlerine kıyasla en çok ihmal edilen ve gelecekte meydana gelebilecek tehlikeleri önlemekte önemli rol oynayan değerlendirme aşamasında karşılaşılmış olan siber tehdit tüm detaylarıyla birlikte irdelenir. Olay müdahale süreçlerinin ne kadar verimli ve doğru işlediği, bu süreçlerin nasıl geliştirilebilineceği, benzer tehdit ve tehlikelere maruz kalamak için hangi önlemlerin alınabilineceği, takip edilen göstergelere ek olarak hangi farklı göstergelerin de izlenmesi gerektiği, olay müdahalesi sırasında kullanılmış olan araçlara hangilerinin eklenilebileceği gibi sorular tüm ilgili çalışanların katılacağı bir toplantıda cevaplanması faydalı olacaktır. Kuşkusuz, bu etkileşimden çıkarılacak dersler kurumun güvenlik seviyesini ve olay müdahale yeteneğini arttıracaktır.
Siber Bülten abone listesine kaydolmak için formu doldurunuz
Kullanıcıların parola yönetiminde ısrarla aynı hataları yapmaya devam etmesi ABD Ulusal Stadartlar ve Teknoloji Enstitüsü’nü (NIST) bezdirmiş olacak ki, kurum parola yönetimi konusunda yeni yaklaşımlara yöneldi. Yeni bir çözüm üzerinde çalışan uzmanlar Davranışsal Biometrik Teknolojileri bilgi güvenliğinin yeni garantisi olarak görüyor.
İlgili haber>> Bilgisayarın şifresi “siz” olsanız?
Perde arkasında çalışan davranışsal biometrik teknolojiler kullanıcının dijital cihazla nasıl bir etkileşim kurduğunu analiz ediyor. Cihaza temas eden parmağınızdaki kan basıncından, klavye kullanma hızınıza ve telefonunuzu elinizde hangi açıyla tuttuğunuza kadar bir çok faktör dikkate alınarak ‘öğrenilen’ kullanıcı alışkanlıkları parolanın yerini alacak.
Davranışsal biometrik aktiviteler kopyalanamaz ve bir noktaya kadar hacklenemez olarak kabul ediliyor. Bir kişinin telefonunu nasıl kullandığına dair alışkanlıkları çok zor kopyalanabilir.
Bir kullanıcı cihazı eline aldığında biometrik davranışsal özelliklerinden oluşan çeşitli kombinasyonlara göre bir ‘güven skoru’ kazanacak. Yeterli skoru alabilmiş ise ‘sahip’ olarak işlemlerine izin verilecek; eğer gerekli skorun altında performans geöstermiş ise kişinin herhangi bir işlem yapmasına izin verilmeyecek.
Biometrik teknolojilerin multi-faktör doğrulamalara göre büyük bir avantajı bulunuyor. Multi-faktör doğrulama sizin bildiklerinizin bir kombinasyonundan oluşuyor. Sahip olduğunuz evcil hayvan, yeni bir parola ya da ilkokuldaki sıra arkadaşınız. Fakat hiçbiri ele geçirilemez değil.
İlgili haber>> Facebook karaborsada şifreleri satın alıyor
Sayısı gittikçe artan veri sızıntıları ve mahremiyet sorunları da parola ve diğer yöntemlerin istenen amaca hizmet etmediğinin göstergesi. Davranışsal biometrik aktiviteler kopyalanamaz ve bir noktaya kadar hacklenemez olarak kabul ediliyor. Bir kişinin telefonunu nasıl kullandığına dair alışkanlıkları çok zor kopyalanabilir.
Otomatize edilmiş botların daha kolay tespit edilebilmesini sağlayan biometrik teknolojiler ortaklaşa kullanılan cihazlarda her kullanıcının kendisini tanımlayarak kaydetme zorunluluğu da ortadan kaldıracak.
Parolalar bazı bazı durumlarda dijital hayatın bir parçası olarak kalmak zorunda ama mobil cihazlarla olan etkileşim arttıkça ve akıllı kartlarla donatılmış IoT pazarı büyüdükçe parola ve ek güvenlik kodları yerini ‘dokunuşlarımıza’ bırakacağa benziyor.
Siber Bülten abone listesine kaydolmak için doldurunuz!
