Bir dış saldırı yüzeyinin anatomisi

Siber saldırıların çoğu ağdan kilometrelerce uzakta gerçekleşir ve Web uygulamaları, bilgisayar korsanlığıyla ilgili ihlallerde en yaygın olarak yararlanılan vektör kategorisini oluşturur. Ne yazık ki çoğu organizasyon, internet varlıkları ve bu varlıkların global saldırı yüzeyine nasıl bağlandığına ilişkin net bir bilgi sahibi değildir. Gölge BT, birleşme ve satın almalar (M&A) ve dijital tedarik zincirleri bu konuda görünürlük eksikliğine en çok katkıda bulunan üç önemli faktördür.

Gölge BT

BT’nin işletme gereksinimlerine uyum sağlayamadığı noktada işletmeler yeni web varlıkları geliştirmek ve dağıtmak için farklı çözüm yolları ararlar. Bu gölge BT etkinlikleri genellikle güvenlik ekibini karanlıkta bırakır ve sonuç olarak ekip, güvenlik programı kapsamında oluşturulan varlıkları kullanıma sunamaz. Yönetilmeyen ve sahipsiz varlıklar, zamanla bir organizasyonun saldırı yüzeyinde ilgilenilmesi gereken bir sorumluluğa dönüşebilir.

Güvenlik duvarı dışındaki dijital varlıkların bu şekilde hızlı şekilde artış göstermesi artık beklenilen bir durumdur. Yeni RiskIQ müşterileri genellikle düşündüklerinden yaklaşık yüzde 30 daha fazla varlığa sahip olduklarını fark ederken RiskIQ da her geçen dakika 15 süresi dolmuş hizmeti (alt etki alanının ele geçirilmesine açık) ve 143 açık bağlantı noktasını tespit etmektedir.²

Birleşme ve satın almalar

Günlük operasyonlar ve M&A (Birleşme ve Satın Alma), stratejik ortaklıklar ve dış kaynak kullanımı gibi kritik işletme girişimleri bir dış saldırı yüzeyi oluşturur veya var olan yüzeyi genişletir. Günümüzde siber güvenlik hakkında ayrıntılı inceleme sunan teklif oranı %10’un altındadır.

Organizasyonların ayrıntılı inceleme sürecinde potansiyel siber riskler hakkında eksiksiz bir görünüm elde etmemesinin altında yatan birkaç ortak sebep vardır. Bunlardan birincisi, şirketin edindiği dijital iletişim durumunun büyüklüğüdür. Büyük organizasyonlar genellikle binlerce veya on binlerce aktif web sitesine veya başka türlü kamunun erişimine açık varlıklara sahiptir. Satın alınacak şirketteki BT ve güvenlik ekipleri web sitelerine ilişkin bir varlık kaydına sahip olsa da, bu çoğu zaman elde mevcut olanın yalnızca kısmi bir görünümünü sunar. Bir organizasyonun BT etkinlikleri ne kadar merkeziyetsizse boşluk da o kadar büyük olur.

Tedarik zincirleri

Kurumların moden tedarik zincirini oluşturan dijital iş ortaklıklarına olan bağımlılığı giderek artmaktadır. 21. yüzyılda işletme faaliyetlerinin yürütülmesi için bu bağımlılıklar vazgeçilmez olsa da bunlar aynı zamanda dağınık, katmanlı, son derece karmaşık üçüncü kişi ilişki ağlarını meydana getirmektedir. Bu ağların çoğu güvenlik ve risk ekiplerinin proaktif olarak koruma ve savunma kapsamının dışında kalmaktadır. Sonuç olarak, risk sinyali veren güvenlik açığı olan dijital varlıkların hızlıca tanımlanması büyük bir zorluk teşkil etmektedir.

Bu bağımlılıklar hakkında yeterli bilgi ve görünürlüğün sağlanmaması da tehdit aktörleri arasında en sık karşılaşılan ve etkili olan vektörlerin üçüncü kişi saldırıları olmasına neden olmuştur. Günümüzde saldırıların büyük bir kısmı dijital tedarik zinciri kaynaklıdır. BT uzmanlarının %70’i üçüncü, dördüncü veya beşinci kişileri içeren dış varlıklara orta-yüksek seviyede bağımlılıkları olduğunu belirtmektedir.⁹ Aynı zamanda, organizasyonların %53’ü ise üçüncü kişi kaynaklı en az bir veri ihlali olayını deneyimlemiştir.¹⁰

Geniş ölçekli tedarik zinciri saldırıları daha yaygın hale gelse de organizasyonlar her gün küçük çaplı saldırılarla da mücadele etmektedir. Magecart gibi dijital kredi kartı taraması yapan kötü amaçlı yazılımlar, üçüncü taraf e-ticaret eklentilerini etkilemektedir. RiskIQ, Şubat 2022’de 300’den fazla alan adının Magecart dijital kredi kartı bilgilerinin çalınmasına yönelik kötü amaçlı yazılımdan etkilendiğini tespit etmiştir.¹¹

Günümüzün küresel internet saldırı yüzeyi hepimizin bir parçası olduğu, büyük ölçüde dinamik, bütüncül ve tamamıyla dolaşık bir ekosistem halini almıştır. İnternet iletişim durumuna sahip olduğunuzda size zarar veren kişiler de dahil olmak üzere internetteki herkesle etkileşime geçersiniz. Bu nedenle, tehdit altyapısının izlenmesi kendi altyapınızı da izlemek kadar önemlidir.

Farklı tehdit grupları, kolaylıkla ilişkilendirilmekten kaçınmak için IP’lerden, etki alanlarından ve sertifikalardan oluşan altyapıları geri dönüştürme ve paylaşma yöntemine başvurarak kötü amaçlı yazılım, kimlik avı kitleri ve C2 bileşenleri gibi açık kaynak emtia araçlarını kendi ihtiyaçlarına uygun şekilde son ayarlamalarını yapıp kullanmaktadır.

Her gün 560.000’den fazla yeni kötü amaçlı yazılım tespit edilirken yeraltı siber suç pazarlarında tanıtılan kimlik avı kitlerinin sayısında da 2018’den 2019’da iki kat artış yaşanmıştır. 2020 yılında tespit edilen kötü amaçlı yazılım varyantlarının sayısında %74 artış yaşanmıştır.¹⁴ RiskIQ artık her 49 dakikada bir Cobalt Strike C2 sunucusu tespit etmektedir.