Ekonomi
Basın Bülteni- Kaspersky Siber olaylara geç müdahale, kurumlar için riski artırıyor
Kaspersky Compromise Assessment (Siber İhlal Analizi) ekibinin yayımladığı yeni
rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve
operasyonel eksiklikler nedeniyle siber güvenlik olaylarını tespit edemediğini
ortaya koyuyor. Rapora göre incelenen olayların %31'inde saldırganlar, kuruluşların
sistemlerinde üç aydan uzun süre fark edilmeden faaliyet göstermeyi sürdürdü.
Yüksek önem derecesine sahip ihlallerin %52'si ise ancak 90 günden uzun süre
tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen
en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.
Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri
tarafından tespit edilemeyen hem halen devam eden saldırıları hem de daha
önce fark edilmemiş saldırıları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın
ihlal edilip edilmediğine ilişkin yüksek güvenilirlikte değerlendirme sunarken,
bağımsız uzman analizleriyle kuruluşların genel güvenlik duruşunu da değerlendiriyor.
Yıllık istatistiklerin analizine dayanan rapor şu temel sonuçları ortaya koyuyor:
İzleme araçları ve denetim mekanizmaları tek başına yeterli değil: Tespit edilen
tüm vakaların %20'si manuel yöntemlerle tespit edilirken, işletmelerin %60'ında
siber olayların gözden kaçma nedeni, mevcut araçlardan yüksek güvenilirlikli
alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına
aşırı bağımlılık olduğunu ancak bu araçların her zaman etkili bir şekilde
yapılandırılmadığını veya izlenmediğini gösteriyor. İzleme araçlarının, sürekli
değişen tehdit ortamına göre düzenli olarak optimize edilmesi ve uyarlanması
gerekiyor. Analistlerin, çoğu zaman göz ardı edilen düşük güvenilirlikli alarmları
da düzenli olarak incelemesi gerekiyor.
Zararlı dosyalar yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri
ciddi bir kör nokta oluşturuyor. Tespit edilen tüm web shell'lerin (sunuculara
uzaktan erişim sağlayan zararlı betiklerin) %40 gibi yüksek bir oranı, fark
edilmeden yedeklerde barınıyordu. Bu da ilk olay müdahale (incident response)
çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken
zararlıların yeniden etkinleşmesine yol açabiliyor. Dolayısıyla yedeklerin bütünlüğü
ve içerikleri titizlikle denetlenmelidir.
İletişim kopuklukları vakaların kaçırılmasına yol açıyor: Yapılan siber ihlal
analizlerinin neredeyse üçte biri (%32), kurum içi net onay mekanizmalarının bulunmaması
veya personel sirkülasyonu (turnover) nedeniyle bilgi birikimi kaybı yaşanması
gibi dahili iletişim sorunlarını gözler önüne serdi. Bu bulgu, yalnızca
teknik müdahale planlarının (playbook) değil, aynı zamanda insan odaklı süreçlerin
ve iletişim akışlarının iş akışları ile operasyonel seviye anlaşmalarının
(OLA) da düzenli tatbikatlarla test edilmesi gerektiğini gösteriyor.
Siber saldırı müdahale planları düzenli olarak güncellenmeli: Olası bir siber saldırı
veya sızma durumunda yürütülecek kriz yönetiminin gerçekten verimli ve etkili
olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı
ışığında sürekli güncellenen yaşayan belgeler olarak ele alınması gerekiyor.
Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin
gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini ciddi
derecede artırıyor.
Organizations face not only external risks, but also hidden threats within their
infrastructure, and signs of compromise are not always obvious. Proactive security
audits make it more likely that organizations will detect a compromise. Integrating
regular, third-party compromise assessments into organizational processes
can reduce the probability of unexpected high-severity incidents and improve
overall risk posture, comments Amged Wageh, expert at Kaspersky Compromise
Assessment.
Kaspersky Compromise Assessment Uzmanı Amged Wageh, konuya ilişkin şu değerlendirmede
bulunuyor: Kurumlar sadece dış risklerle değil, kendi altyapılarının içinde
saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her zaman
net olmayabiliyor. Proaktif güvenlik denetimleri, kurumların bir siber saldırıyı
erkenden fark etme olasılığını önemli ölçüde artırır. Düzenli ve bağımsız üçüncü
taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik
kritik vakaların yaşanma ihtimalini azaltır ve genel risk duruşunu iyileştirir.
Kaspersky, kurumlara şu adımları atmasını öneriyor:
- Tehdit algılama sistemlerinin etkinliğini ve doğruluğunu ölçmek adına, telemetri
bütünlüğü ile kural geçerliliğini önceliklendiren kapsamlı bir denetimi 30 gün
içinde gerçekleştirin.
- Tüm düşük güvenilirlikli tespit olaylarını belirli bir takvim dahilinde incelemek
üzere bir Kademe 1 (Tier 1) Alarm Doğrulama Ekibi kurun.
- Temel hat belirleme (baselining), düşük güvenilirlikli alarmlar ve yeni ortaya
çıkan saldırgan tekniklerine odaklanan tehdit avcılığı (threat hunting) yetkinlikleriyle
desteklenmiş, 7/24 güçlü bir izleme mekanizması oluşturun.
- Tüm kritik varlıklarda sürekli yamalamayı ve denetim günlüğü (audit log) aktivasyonunu
sağlamak için zafiyet yönetimi süreçlerinizi yeniden değerlendirin.
- Kişisel cihazlardan kaynaklanan kimlik bilgisi sızıntılarını önlemek ve güvenli
BYOD (Kendi Cihazını Getir) uygulamalarını pekiştirmek amacıyla güvenlik farkındalığı
eğitim programlarınızı güncelleyin. Bu noktada Kaspersky Automated Security
Awareness Platform gibi çözümlerden yararlanabilirsiniz.
- Teknik müdahale planlarını test etmek, ekip becerilerini keskinleştirmek ve iletişim
akışlarını güçlendirmek için periyodik masaüstü tatbikatlar (tabletop exercises)
düzenleyin.
- Farklı ekipler arasındaki iletişimi yönetmek ve kolaylaştırmak amacıyla operasyonel
seviye anlaşmaları (OLA) oluşturun, ayrıca doğru dokümantasyon için standart
operasyon prosedürlerini (SOP) devreye alın.
-iDeal Haber Merkezi-
- twitter.com/iDealDataHaber // www.idealdata.com.tr -
rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve
operasyonel eksiklikler nedeniyle siber güvenlik olaylarını tespit edemediğini
ortaya koyuyor. Rapora göre incelenen olayların %31'inde saldırganlar, kuruluşların
sistemlerinde üç aydan uzun süre fark edilmeden faaliyet göstermeyi sürdürdü.
Yüksek önem derecesine sahip ihlallerin %52'si ise ancak 90 günden uzun süre
tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen
en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.
Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri
tarafından tespit edilemeyen hem halen devam eden saldırıları hem de daha
önce fark edilmemiş saldırıları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın
ihlal edilip edilmediğine ilişkin yüksek güvenilirlikte değerlendirme sunarken,
bağımsız uzman analizleriyle kuruluşların genel güvenlik duruşunu da değerlendiriyor.
Yıllık istatistiklerin analizine dayanan rapor şu temel sonuçları ortaya koyuyor:
İzleme araçları ve denetim mekanizmaları tek başına yeterli değil: Tespit edilen
tüm vakaların %20'si manuel yöntemlerle tespit edilirken, işletmelerin %60'ında
siber olayların gözden kaçma nedeni, mevcut araçlardan yüksek güvenilirlikli
alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına
aşırı bağımlılık olduğunu ancak bu araçların her zaman etkili bir şekilde
yapılandırılmadığını veya izlenmediğini gösteriyor. İzleme araçlarının, sürekli
değişen tehdit ortamına göre düzenli olarak optimize edilmesi ve uyarlanması
gerekiyor. Analistlerin, çoğu zaman göz ardı edilen düşük güvenilirlikli alarmları
da düzenli olarak incelemesi gerekiyor.
Zararlı dosyalar yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri
ciddi bir kör nokta oluşturuyor. Tespit edilen tüm web shell'lerin (sunuculara
uzaktan erişim sağlayan zararlı betiklerin) %40 gibi yüksek bir oranı, fark
edilmeden yedeklerde barınıyordu. Bu da ilk olay müdahale (incident response)
çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken
zararlıların yeniden etkinleşmesine yol açabiliyor. Dolayısıyla yedeklerin bütünlüğü
ve içerikleri titizlikle denetlenmelidir.
İletişim kopuklukları vakaların kaçırılmasına yol açıyor: Yapılan siber ihlal
analizlerinin neredeyse üçte biri (%32), kurum içi net onay mekanizmalarının bulunmaması
veya personel sirkülasyonu (turnover) nedeniyle bilgi birikimi kaybı yaşanması
gibi dahili iletişim sorunlarını gözler önüne serdi. Bu bulgu, yalnızca
teknik müdahale planlarının (playbook) değil, aynı zamanda insan odaklı süreçlerin
ve iletişim akışlarının iş akışları ile operasyonel seviye anlaşmalarının
(OLA) da düzenli tatbikatlarla test edilmesi gerektiğini gösteriyor.
Siber saldırı müdahale planları düzenli olarak güncellenmeli: Olası bir siber saldırı
veya sızma durumunda yürütülecek kriz yönetiminin gerçekten verimli ve etkili
olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı
ışığında sürekli güncellenen yaşayan belgeler olarak ele alınması gerekiyor.
Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin
gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini ciddi
derecede artırıyor.
Organizations face not only external risks, but also hidden threats within their
infrastructure, and signs of compromise are not always obvious. Proactive security
audits make it more likely that organizations will detect a compromise. Integrating
regular, third-party compromise assessments into organizational processes
can reduce the probability of unexpected high-severity incidents and improve
overall risk posture, comments Amged Wageh, expert at Kaspersky Compromise
Assessment.
Kaspersky Compromise Assessment Uzmanı Amged Wageh, konuya ilişkin şu değerlendirmede
bulunuyor: Kurumlar sadece dış risklerle değil, kendi altyapılarının içinde
saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her zaman
net olmayabiliyor. Proaktif güvenlik denetimleri, kurumların bir siber saldırıyı
erkenden fark etme olasılığını önemli ölçüde artırır. Düzenli ve bağımsız üçüncü
taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik
kritik vakaların yaşanma ihtimalini azaltır ve genel risk duruşunu iyileştirir.
Kaspersky, kurumlara şu adımları atmasını öneriyor:
- Tehdit algılama sistemlerinin etkinliğini ve doğruluğunu ölçmek adına, telemetri
bütünlüğü ile kural geçerliliğini önceliklendiren kapsamlı bir denetimi 30 gün
içinde gerçekleştirin.
- Tüm düşük güvenilirlikli tespit olaylarını belirli bir takvim dahilinde incelemek
üzere bir Kademe 1 (Tier 1) Alarm Doğrulama Ekibi kurun.
- Temel hat belirleme (baselining), düşük güvenilirlikli alarmlar ve yeni ortaya
çıkan saldırgan tekniklerine odaklanan tehdit avcılığı (threat hunting) yetkinlikleriyle
desteklenmiş, 7/24 güçlü bir izleme mekanizması oluşturun.
- Tüm kritik varlıklarda sürekli yamalamayı ve denetim günlüğü (audit log) aktivasyonunu
sağlamak için zafiyet yönetimi süreçlerinizi yeniden değerlendirin.
- Kişisel cihazlardan kaynaklanan kimlik bilgisi sızıntılarını önlemek ve güvenli
BYOD (Kendi Cihazını Getir) uygulamalarını pekiştirmek amacıyla güvenlik farkındalığı
eğitim programlarınızı güncelleyin. Bu noktada Kaspersky Automated Security
Awareness Platform gibi çözümlerden yararlanabilirsiniz.
- Teknik müdahale planlarını test etmek, ekip becerilerini keskinleştirmek ve iletişim
akışlarını güçlendirmek için periyodik masaüstü tatbikatlar (tabletop exercises)
düzenleyin.
- Farklı ekipler arasındaki iletişimi yönetmek ve kolaylaştırmak amacıyla operasyonel
seviye anlaşmaları (OLA) oluşturun, ayrıca doğru dokümantasyon için standart
operasyon prosedürlerini (SOP) devreye alın.
-iDeal Haber Merkezi-
- twitter.com/iDealDataHaber // www.idealdata.com.tr -