Kaspersky raporu: Kuruluşlar siber olayları geç fark ediyor, müdahale süreçlerindeki eksikler riski artırıyor

0

BEĞENDİM

ABONE OL

News

0

Kaspersky Compromise Assessment (Siber İhlal Analizi) ekibinin yayımladığı yeni rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve operasyonel eksiklikler sebebiyle siber güvenlik olaylarını tespit edemediğini ortaya koyuyor. Rapora nazaran incelenen olayların %31’inde saldırganlar, kuruluşların sistemlerinde üç aydan uzun müddet fark edilmeden faaliyet göstermeyi sürdürdü. Yüksek ehemmiyet derecesine sahip ihlallerin %52’si ise lakin 90 günden uzun mühlet tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.

Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri tarafından tespit edilemeyen hem hala devam eden hücumları hem de daha evvel fark edilmemiş taarruzları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın ihlal edilip edilmediğine ait yüksek güvenilirlikte kıymetlendirme sunarken, bağımsız uzman tahlilleriyle kuruluşların genel güvenlik duruşunu da pahalandırıyor. Yıllık istatistiklerin tahliline dayanan rapor şu temel sonuçları ortaya koyuyor:

İzleme araçları ve kontrol düzenekleri tek başına kâfi değil: Tespit edilen tüm hadiselerin %20’si manuel usullerle tespit edilirken, işletmelerin %60’ında siber olayların gözden kaçma sebebi, mevcut araçlardan yüksek güvenilirlikli alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına aşırı bağımlılık olduğunu lakin bu araçların her vakit tesirli bir halde yapılandırılmadığını yahut izlenmediğini gösteriyor. İzleme araçlarının, daima değişen tehdit ortamına nazaran tertipli olarak optimize edilmesi ve uyarlanması gerekiyor. Analistlerin, birçok vakit göz ardı edilen düşük güvenilirlikli alarmları da tertipli olarak incelemesi gerekiyor.

Zararlı belgeler yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri önemli bir kör nokta oluşturuyor. Tespit edilen tüm web shell’lerin (sunuculara uzaktan erişim sağlayan ziyanlı betiklerin) %40 üzere yüksek bir oranı, fark edilmeden yedeklerde barınıyordu. Bu da birinci olay müdahale (incident response) çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken zararlıların tekrar aktifleşmesine yol açabiliyor. Hasebiyle yedeklerin bütünlüğü ve içerikleri titizlikle denetlenmelidir.

İletişim kopuklukları hadiselerin kaçırılmasına yol açıyor: Yapılan siber ihlal tahlillerinin neredeyse üçte biri (%32), kurum içi net onay düzeneklerinin bulunmaması yahut işçi sirkülasyonu (turnover) sebebiyle bilgi birikimi kaybı yaşanması üzere dahili bağlantı sıkıntılarını gözler önüne serdi. Bu bulgu, sadece teknik müdahale planlarının (playbook) değil, tıpkı vakitte insan odaklı süreçlerin ve irtibat akışlarının iş akışları ile operasyonel düzey mutabakatlarının (OLA) da tertipli tatbikatlarla test edilmesi gerektiğini gösteriyor.

Siber atak müdahale planları sistemli olarak güncellenmeli: Olası bir siber taarruz yahut sızma durumunda yürütülecek kriz idaresinin hakikaten verimli ve tesirli olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı ışığında daima güncellenen “yaşayan belgeler” olarak ele alınması gerekiyor. Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini önemli derecede artırıyor.

“Organizations face not only external risks, but also hidden threats within their infrastructure, and signs of compromise are not always obvious. Proactive security audits make it more likely that organizations will detect a compromise. Integrating regular, third-party compromise assessments into organizational processes can reduce the probability of unexpected high-severity incidents and improve overall risk posture,” comments Amged Wageh, expert at Kaspersky Compromise Assessment. 

Kaspersky Compromise Assessment Uzmanı Amged Wageh, hususa ait şu değerlendirmede bulunuyor: “Kurumlar yalnızca dış risklerle değil, kendi altyapılarının içinde saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her vakit net olmayabiliyor. Proaktif güvenlik kontrolleri, kurumların bir siber saldırıyı erkenden fark etme mümkünlüğünü değerli ölçüde artırır. Tertipli ve bağımsız üçüncü taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik kritik olayların yaşanma ihtimalini azaltır ve genel risk duruşunu düzgünleştirir.”

Kaspersky, kurumlara şu adımları atmasını öneriyor:

• Tehdit algılama sistemlerinin aktifliğini ve doğruluğunu ölçmek ismine, telemetri bütünlüğü ile kural geçerliliğini önceliklendiren kapsamlı bir kontrolü 30 gün içinde gerçekleştirin.
• Tüm düşük güvenilirlikli tespit olaylarını muhakkak bir takvim dahilinde incelemek üzere bir “Kademe 1 (Tier 1) Alarm Doğrulama Ekibi” kurun.
• Temel çizgi belirleme (baselining), düşük güvenilirlikli alarmlar ve yeni ortaya çıkan saldırgan tekniklerine odaklanan tehdit avcılığı (threat hunting) yetkinlikleriyle desteklenmiş, 7/24 güçlü bir izleme düzeneği oluşturun.
• Tüm kritik varlıklarda daima yamalamayı ve kontrol günlüğü (audit log) aktivasyonunu sağlamak için zafiyet idaresi süreçlerinizi tekrar değerlendirin.
• Kişisel aygıtlardan kaynaklanan kimlik bilgisi sızıntılarını önlemek ve inançlı BYOD (Kendi Cihazını Getir) uygulamalarını pekiştirmek amacıyla güvenlik farkındalığı eğitim programlarınızı güncelleyin. Bu noktada Kaspersky Automated Security Awareness Platform gibi tahlillerden yararlanabilirsiniz.
• Teknik müdahale planlarını test etmek, grup maharetlerini sertleştirmek ve bağlantı akışlarını güçlendirmek için periyodik masaüstü tatbikatlar (tabletop exercises) düzenleyin.
• Farklı gruplar arasındaki iletişimi yönetmek ve kolaylaştırmak emeliyle operasyonel düzey mutabakatları (OLA) oluşturun; ayrıyeten gerçek dokümantasyon için standart operasyon prosedürlerini (SOP) devreye alın.

Kaynak: (BYZHA) Beyaz Haber Ajansı