Bilgi güvenliği olaylarında önemli bir başarı faktörü: Çalışanlar

CONTENT

• İnternet siteleri açık kitaplar gibi
• Bilgi güvenliği olayları: En basiti en tehlikelisi
• Email adresleri: Phishing/oltalama saldırılarının 'başkenti'
• Güvenlik Bilinci: Truva atı (trojan horse) resmen geliyor
• Bilgi güvenliği olayları: Gerçek hayattan bir örnek
• Bilgi güvenliğinde başarı faktörü: Çalışanlar
• Her şeyin başı ve sonu: Çalışanları saldırılara karşı duyarlı hale getirin
• ISO 27001: Önlemler kataloğunun bir parçası olarak farkındalık
• Bir bilgi güvenliği olayı genellikle kaos demektir
• Bilgi güvenliği olayları: Sisteminizin arka kapısı
• Farkındalığın eksikliği: saldırı için benzersiz bir hedef
• Olma olasılığını en aza indirmek

İnternet siteleri açık kitaplar gibi

Bilgi teknolojisi güvenliği ve bilgi güvenliğinin oldukça farklı iki çift ayakkabı olduğu biliniyor, ancak çizgiler yine de bulanıklaşabilir. Açıkçası, BT güvenlik olayları düzenli olarak bilgi güvenliği olaylarına yol açar. Elbette, kurumsal bir ağdan ödün veren bir bilgisayar korsanıysam, benim için amaçlanmayan bir bilgiyi veya başka bir bilgiyi almaktan kaçınmak için ekranın önünde gözlerim kapalı oturmam gerekir.

Bununla birlikte, siber suçluların başlangıçta uzun vadede seçtikleri kurbanın BT sistemlerine saldırmalarını sağlayan bilgileri toplaması da mümkündür.

Güvenlik kontrolleri platformu greenhats.com'da günlük işimiz şirketleri hacklemek, güvenlik açıklarını belirlemek ve suçlular bulmadan önce bunları düzeltmektir.

"Hadi bunu biraz konuşalım" mottosuna sadık kalarak bu yazımda sizlere herkesi etkileyen bir saldırı yöntemini detaylı olarak anlatmak istiyorum. Ve sizinle birlikte şu soruyu ele almak istiyorum: Aslında tüm bunları size neden anlatıyorum?

Bilgi güvenliği olayları: En basiti en tehlikelisi

Elbette, "oltalama (phishing) saldırısı" hakkında konuşuyoruz - merak etmeyin, size daha fazla yabancı kelime ve BT terimleri kullanmamaya çalışacağım. Onlara ihtiyacım bile yok, çünkü kimlik avı teknik bir saldırı değil, (neredeyse) her güvenlik kavramının zincirindeki en zayıf halkaya yapılan bir saldırıdır. İnsanlara yönelik bir saldırı.

Sana saldırmak istediğimi varsayalım. O zaman rastgele dizüstü bilgisayarıma oturup siyah konsollara yazmaya başlamam. Hayır, önce... tam olarak bazı şeylere ihtiyacım var! Bilgi ve kişisel veriler. Bunlar neler olabilir:

• Şirketinizin e-mail adresi
• IT çalışanlarınızın isimleri
• E-mail imzalarınız
• Kurumsal kimliğiniz hakkında bilgiler
• Çalışanlarınız için ilgi çekici olabilecek bir konu

Şirketinizin adından başka bir şey bilmediğimi varsayarak doğal olarak önce siteye giriyorum, okuyorum ve öğrenilmesi gereken her şeyi öğreniyorum. Her şeyden önce, BT'nizin e-posta adresleri ve irtibat kişileri ile ilgileniyorum. Çünkü saldırı esnasında, mümkün olduğunca çok sayıda çalışana (adreslerine ihtiyacım olan) sahte bir e-posta göndermek ve mümkün olduğunca BT'ye göndermekten kaçınmak istiyorum.

Email adresleri: Phishing/oltalama saldırılarının 'başkenti'.

Birkaç e-posta adresi bulduğumda, kalıbı türetiyorum. Örneğin, "ad.soyad@samplecompany.com" Böylece, çalışanın e-posta adresinin adından nasıl çıkarılabileceğinin mantığını çözüyorum.

Sonra tekrar internete gidiyorum ancak bu sefer sosyal ağlara. Facebook & Co. XING ve LinkedIn gibi "kötü" oyunculardan bahsetmiyorum.

Orada firmanızı arıyorum ve kimlerin bu firma için çalıştığını belirttiklerine bakıyorum. Bu şekilde, tanımlanan kalıbı kullanarak adresleri türetebileceğimiz bir isim listesi elde ederim. Aynı zamanda, sosyal ağlardaki profillerden, mesleki deneyimlerine ve BT ilgi alanlarına göre hangi meslektaşlarınızın yaklaşmakta olan saldırımı potansiyel olarak tanıyabileceğini şimdiden söyleyebilirim.

Bu çalışanlara sahte e-mail göndermeyeceğim.

Güvenlik Bilinci: Truva atı (trojan horse) resmen geliyor

Artık saldırı hedefimi bildiğime göre, şirketinizin bir çalışanını taklit etmeyi öğrenmeliyim. Bunun için önce sizinle iletişime geçiyorum. Resmi kanallar aracılığıyla, örneğin potansiyel bir müşteri olarak. Size bir e-posta yazıyorum ve teklif istiyorum. Bu şekilde bana yanıt verirsiniz (muhtemelen ürün portföyü veya benzeri şeylerle).

Yanıtınız bana çok değerli bilgiler sağlıyor:

• E-mail imzanız nasıl görünüyor?
• Hangi yazı karakterini kullanıyorsunuz?
• Logonuzu dökümanlar üzerinde nasıl konumlandırıyorsunuz?
• Başlıkları nasıl vurguluyorsunuz?
• Hangi renkleri kullanıyorsunuz?
• Ve çok daha fazlası...

Şimdiye kadar anlattıklarım roket bilimi gerektirmiyor. Ama dikkat edin, işte asıl hile geliyor. Şirketinizin adının "SampleCompany" olduğunu ve internette "samplecompany.com" adresinde bulunabileceğini varsayalım. Daha sonra internette sizin adresinize çok benzeyen bir adres arıyorum. Örneğin, "samplecompany.eu". Bu adresi satın alıyorum (gerçekten sadece birkaç Euro'ya mal oluyor) ve şimdi saldırımı onun üzerine inşa edebilirim.

Artık "ad.soyad@samplecompany.eu" adresinden, doğrudan sizden gelmiş gibi görünen, imzanızın bulunduğu e-postalar gönderebilirim. Gönderici olarak hangi adları kullandığım önemli değil çünkü teknik olarak hiçbir fark yaratmaz.

Bilgi güvenliği olayları: Gerçek hayattan bir örnek

Yöneticiniz aslında yöneticiniz değil ise

Örneğin, BT'nizin yöneticisi gibi davranırsam bu gerçekten tehlikeli olabilir. Size ve tüm meslektaşlarınıza, örneğin, tüm çalışanların mevcut kişilerin aktarılıp aktarılmadığını kontrol etmek için lütfen bir kez kimlik doğrulaması yapmaları gereken uzaktan toplantılar için yeni bir video portalına dikkatinizi çektiğim bir e-posta yazabilirim.

Veya genel müdürünüzün asistanı olarak size yazıp Noel partisinin pandemi nedeniyle iptal edildiğini, ancak bunun yerine yönetim tarafından beş yepyeni iPhone çekilişinin yapıldığını duyurabilirim. Herkesin sadece bir kez çekilişe katılacağından emin olmak için, her çalışandan ekteki portalda bir kez kimlik doğrulamasını isteyebilirim - kazananlar Aralık sonunda açıklanacak.

Sahte oturum açma alanı: Dijitalleşme sayesinde çocuk oyuncağı

Hangi yöntemi seçersem seçeyim - size söz konusu "portal" a giden bir bağlantı göndermem gerekiyor. Bu  "raffle.samplecompany.eu" veya "portal.samplecompany.eu" olabilir.

Ayrıca bu noktada yaratıcılığımı özgür bırakabilirim. İlgili sayfanın sahibi olduğum için, orada size ve meslektaşlarınıza güvenilir görünen bir şey inşa etmem gerekiyor. Yarışma durumunda, örneğin, şirketinizin logo tasarımında, belki de Noel Baba ile güzel bir giriş alanı. Ya da kayan yıldızlar.

Parolalar saldırgana giden yoldur - düz metin olarak

Tabii ki, portalımda güvenlik en önemli önceliktir! Her şey mükemmel bir şekilde şifrelenmiştir ve üçüncü şahısların girdilerinizi okuması imkansız hale getirilmiştir. Sonuçta, hassas bilgiler olan kullanıcı adlarını ve şifreleri giriyorsunuz. Teknik açıdan, tüm bunlar kesinlikle ciddi. Verileriniz güvenli bir şekilde aktarılır ve en iyi ellerde olur - benimki.

Bu arada, böyle bir saldırıda şifrenizin karmaşıklığı tamamen önemsizdir; saldırgana ulaştığında düz metin olarak sona erer. Ve portalımı buna göre uyarlarsam (minimal düzeyde daha karmaşık olsa bile) çok çeşitli 2 faktörlü çözümlerin "kimlik avı" yapılabileceğini unutmayın.

Bilgi güvenliğinde başarı faktörü: Çalışanlar

Sonunda en önemli soruyu açıklığa kavuşturmaya söz verdim: Bütün bunları size neden anlatıyorum? Cevap: Başka kim yapar?

Tanımladığım saldırının - tamamen teknik bir bakış açısından - bir saldırı olmadığını anlamak önemlidir. Size aslında bana ait olan bir adresten e-posta yazıyorum. Kötü amaçlı yazılım bir yana, içinde bir ek bile yok. İnternette sisteminizi tehlikeye atmaya çalışmayan bir sayfaya yönlendirilirsiniz. Ve daha önce açıkladığım gibi, bu site de mükemmel bir şekilde güvenlidir ve tüm trafik en iyi şekilde şifrelenmiştir.

Bu, oturum açtığınız diğer (saygın) sitelerde böyledir. Ve tıpkı LinkedIn veya XING'de kimliğinizi doğrulamak için özel şifrenizi girdiğiniz gibi, şimdi siteme giriyorsunuz.

Teknik açıdan, bir e-postayı taklit etmediğimi anlamak oldukça önemli. Tüm şirketinizi taklit ediyorum.

İşte bu yüzden teknik koruma önlemleri işe yaramaz. Çözüm, saldırıyı tespit edip önlemekte yatar, ve bu size kalmış. Tıpkı bu yönde çalışan farkındalığını artırmak için alınabilecek uygun önlemler gibi.

Çünkü bu senaryoyu düzgün bir şekilde kurarsam, saldırıyı tespit etmek ancak adresteki farklılığı fark ederek mümkün olur, yani bizim durumumuzda ".com" yerine ".eu". Birinizin ya da diğerinizin, stresli günlük işlerinizde bile bunu yapmak için gerekli genel bakışa sahip olduğunuzdan kesinlikle emin olduğunuzun farkındayım. Bu nedenle, sizden daha ileri olanlara biraz fikir vermek istiyorum:

Ayrıca "samplecompany.com" un sahte olduğunu kabul eder misiniz? Küçük bir ipucu: "l", L değil, Yunanca "Iota" harfidir. İnsan gözü için aralarında hiçbir fark yoktur, bilgisayarınız muhtemelen biraz farklı görür. Şirketler için simüle ettiğimiz tüm phishing saldırılarında, hiçbir çalışanının verilerini açıklamadığı tek bir müşteri olmadığına sizi temin edebilirim.

Her şeyin başı ve sonu: Çalışanları saldırılara karşı duyarlı hale getirin

Dolayısıyla soru, meslektaşlarınızın böyle bir saldırıya uğrayıp düşmeyeceği değil. Soru daha çok, kaç çalışanın saldırıyı tanıyacağı, bunu BT'ye ne kadar çabuk rapor edeceği ve BT'nin yanıt vermesi için ne kadar zamana sahip olacağıdır.

İşte tam da bu noktada çalışan, güvenlik bilinci açısından daha fazla bilgi güvenliği ve BT güvenliği için bir başarı faktörü haline gelir.

Stratejilerini kendilerine saklayan ve bu tür saldırıların feci sonuçlarından zevk alan beyaz bilgisayar korsanlarından biri olmak istemiyorum. Şirketinizi biraz daha güvenli hale getirmek için sizinle birlikte katkıda bulunmak isterim.

Şimdi sıra sizde: Size az önce anlattığım şey, insanların ve onların bazen ihmalkar bilgi işlemelerinin istismar edilebileceği ve bir saldırgan olarak kâr elde etmek için kullanılabileceği birçok yoldan sadece bir örnek. BT departmanları buna karşı yalnızca sınırlı ölçüde koruma sağlayabilir veya hiç korumayabilir; bu onların işi. Saldırıları kendiniz düşünün, iş arkadaşlarınızı nasıl kandırabileceğinizi düşünün ve (sanal) yemek masasında bunu bir konu haline getirin.

ISO 27001: Önlemler kataloğunun bir parçası olarak farkındalık

Ardından, şirketinizi düzenli olarak test edin ve farkındalığı güvenlik planınızın bir parçası haline getirin. Bunu bilgi güvenliği yönetim sistemi (ISMS) için uluslararası kabul görmüş bir standartta da bulacaksınız.

Örneğin ISO/IEC 27001, şirketinizin bilgilerinin nasıl ele alınacağı konusunda zincirdeki en zayıf halkanın farkındalığını ve dolayısıyla hassaslaştırılmasını sağlamanızı gerektirir (Bölüm 7.3 ve Ek 7.2.2). Bu, bir e-posta adresi kadar basit bir şeyle başlar. GDPR gibi diğer düzenleyici veya yasal gereklilikler de olaydan kaçınmaya yönelik önleyici yaklaşımı hedefler.

Müşterilerimiz için yaptığımız gibi, yönergeler, eğitim, güncel haberler hakkında iletişim ve hatta simüle edilmiş kimlik avı saldırıları gibi farkındalık önlemleriyle standardın gereksinimlerini karşılayın. Ve: Kendinize karşı dürüst olun ve önceki eğitim önlemlerinizin sizi az önce özetlediğim gibi bir acil duruma hazırlamakta ne kadar başarılı olduğunu kendinize sorun.

Bir bilgi güvenliği olayı genellikle kaos demektir

Dürüstlük konusuna gelmişken: Bir siber saldırının tetiklediği bilgi güvenliği olayına gerçekte nasıl tepki verirsiniz? Kuşkusuz, reaktif güvenlik konusu her zaman biraz rahatsız edicidir, ancak bu konuşulması gereken bir şeydir.

İnsanlar bunu bir yangın alarmı tatbikatı gibi düşünmeyi severler. Mesai saatleri içinde bir noktada, beklenmedik bir şekilde bir zil çalar, herkes binayı düzenli ve sakin bir şekilde terk eder, biraz dışarıda bekler ve iş arkadaşlarıyla hava durumu hakkında sohbet eder ve sonrasında bir süre sonra herkesin içeri girmesine izin verilir ve yolda bir kahve alabilirler.

Ancak bu öyle olmuyor.

Saldırının olduğu birkaç şirket ekibimle zaten iletişime geçti ve inanın bana: Bu bir kaos. Modern bilgisayar korsanları olayın gerçekleşmesinden birkaç gün sonra bile kurbanların öfkesinden yararlanmaya devam ediyor.

Size şunu açıklamak istiyorum, oltalama saldırımıza geri dönelim. Diyelim ki saldırgan olarak iş arkadaşlarınızın BT sistemlerine parolalarını kullanarak uzaktan bağlanmayı başardım. Şirketinizden birinin burada bir saldırı olduğunu fark edip BT'ye bildirdiğini bilmeyeceğimi mi sanıyorsunuz? En iyi ihtimalle, kişisel olarak yaparsın, bunun tamamen farkındayım.

Bilgi güvenliği olayları: Sisteminizin arka kapısı

Bu yüzden iki şey yapıyorum: Birincisi, şirketinizi rahatsız eden ve size yapacak bir şey veren bariz bir şey. Örneğin, iş arkadaşınız adına müşterilerinize spam e-postalar gönderiyorum. Bu göze çarpar, size ve BT departmanınıza yapacak bir şey verir. Artık tüm acil durum planlarınızı dolaptan çıkarabilir ve BT temsilcilerinizle mükemmel bir şekilde bilgi güvenliği olayı üzerinde çalışabilirsiniz. Kararmış imajı yeni bir parlaklığa kavuşturacak ve belki de "hayatta kalan" biri olarak eskisinden daha iyi görünmenizi sağlayacak karmaşık pazarlama önlemleri dahil. Profesyoneller bunu yapabilir.

Ama aynı zamanda, bir saldırgan olarak, BT'nizin tüm bu gürültüde fark etmeyeceği bir sisteme arka kapı kurmaya çalışıyorum. Bir kuyumcuya girmek, en büyük vitrini devirmek ve herkes kırılan parçalara atlarken gizlice tüm pahalı yüzükleri ve saatleri cebime koymak gibi.

Söylemeye gerek yok, ne aradığını bilmiyorsan arka kapımı bulman son derece zor. Ve sonra hiçbir şey yapmıyorum. Haftalarca, aylarca.

Şimdi sessizce şirket ağınızda ilerlemeye çalışıyorum. Ağınızı tüketecek ve güvenlik sistemlerinizi uyaracak "gürültülü" yazılım tarayıcıları olmadan. Tamamen manuel, yarı eski usul. Bu arada, hacker tarafında buğdayın samandan ayrıldığı yer burasıdır. Ağınız yalnızca test senaryolarında güvenlik tarayıcılarına maruz kaldıysa, artık size hiç yardımcı olmayacaktır. Yayıldım ve bekliyorum - sabırla. Yedeklemelerin ne zaman ve nasıl yapıldığını, kimin kiminle iletişim kurduğunu ve kuruluşunuzun en hassas olduğu yerleri belirlemeye çalışırım. Örneğimizde, bunu muhtemelen geceleri - veya en azından gözlemlenme olasılığımın daha da düşük olduğu genel çalışma saatlerinden sonra yapıyorum. Ve tabii ki izlerimi her gün kapatıyorum.

Ve sonra - aylar sonra - büyük bilgi güvenliği olayı meydana gelir. Örneğin, size şantaj yapmak için sayısız şifreleme Truva atından birini kullanıyorum. "Tesadüfen", ancak benim ön çalışmalarımdan dolayı en yüksek ayrıcalıklar altında çalışır, güvenlik önlemlerinizi atlar ve önce en alakalı dosyalarınızla birlikte sistemlere yayılır. Ve bunca zaman içinde, yedekleme sisteminizde bir zayıflık fark ettiysem... Dediğim gibi, kaos.

Farkındalığın eksikliği: saldırı için benzersiz bir hedef

Evet, hala örneğimizdeyiz ama burası hiçbir şekilde Hollywood değil. Bu, yaygın bir uygulamadır ve bu tür şifreleme Truva atlarıyla mücadele eden şirketleri hala bu kadar sık duymamızın ve okumamızın önemli bir nedenidir. Birkaç yıl önce, bunlar internette daha belli belirsizdi ve sürünün yalnızca en zayıf koyunları onların kurbanı oldu: Dışarıda teknik güvenliği zayıf olan şirketler.

Bugün işler farklı. Çalışanların farkındalık eksikliği, şirketleri hedeflemek için kullanılır ve yalnızca kurban tamamen kontrol edildiğinde otomatik saldırı yazılımı devreye alınır.

Hala proaktif BT güvenlik önlemlerinin ve özellikle güçlü güvenlik bilincinin herhangi bir şirketin BT güvenlik konseptindeki en önemli yapı taşları olduğuna inanıyorum - bunu destekleyecek çok fazla örnek ve somut vaka var. Bununla birlikte, iyi gelişmiş bir güvenlik bilinci, etkilenmenin mümkün olduğu anlayışını da içerir. Kendimi buna dahil ediyorum. Ve eğer bu olursa, hazırlıklı olmalısınız.

Olma olasılığını en aza indirmek

Sözlerime kasıtlı olarak yangın alarmı örneğini dahil ettim. Bu, şirketi tüm proaktif önlemlere rağmen yangın çıkması ihtimaline hazırlar. Bazı şirketler ayrıca bilgi güvenliği olayları ve BT güvenliği olayları için buna benzer bir şeye sahiptir. Ve bu sizin için biraz fazla iyi bir şey ise (tabii ki şirkete bağlıdır), yine de size bir ipucum var:

Proaktif güvenlik önlemlerinizin bir parçası olarak sızma testleri veya başka saldırı simülasyonları uygularsanız, bulduğunuz güvenlik açıklarını düzeltmekle yetinmeyin. Her zaman şu soruyu sorun: Geçmişte bu güvenlik açığından yararlanıldı mı? Arka kapılar kuruldu mu?

Veya başka bir deyişle, her "bulguya" gerçek bir bilgi güvenliği olayının ciddiyeti ile yaklaşın. Bu şekilde, gerçekleşme olasılıklarını en aza indirirken, aynı zamanda asla ihtiyacınız olmamasını içtenlikle dilediğim reaktif güvenlik planlarınızı teste tabi tutuyorsunuz. Yangın alarmı gibi.

Bütün bunlar farkındalığın bir parçasıdır ve aynı zamanda bütünün sadece bir parçasıdır. Bu konuyu "Yarın mı karar versem?" diye erteleyip bu zayıf anınızda yakalanırsanız umarım bana hala gülümseyebiliyor olursunuz. Umarım.

Güven ve uzmanlık

Metinlerimiz ve broşürlerimiz, yalnızca standart uzmanlarımız veya uzun yıllara dayanan deneyime sahip denetçilerimiz tarafından yazılmıştır. Metin içeriği veya yazara sunduğumuz hizmetler hakkında herhangi bir sorunuz varsa, lütfen bizimle iletişime geçmekten çekinmeyin.