Güvenlik Ürünleri Arasında Kalan Kör Noktalar

Güvenlik Ürünleri Arasında Kalan Kör Noktalar

Kurumların “Her Şeyi Aldık” Deyip En Çok Zarar Gördüğü Alanlar

Birçok kurum siber güvenliğe yatırım yaptığını söylerken şu cümleyi kurar:

“Firewall var, EDR var, SIEM var, daha ne olsun?”

İşte tam bu noktada görünmeyen bir tehlike başlar. Çünkü saldırganlar artık tek bir güvenlik ürününü aşmaya çalışmaz. Onlar, güvenlik ürünlerinin birbirleriyle konuşmadığı, çakıştığı ya da hiç kapsamadığı alanları hedef alır. Bu alanlara güvenlik dünyasında kör noktalar denir.

Kör noktalar, sistemlerde bir eksiklikten çok yanlış güven hissinden beslenir. Kurum, güvende olduğunu sanır; saldırgan ise tam olarak bu boşluktan içeri süzülür.

Kör Nokta Nedir ve Neden Oluşur?

Kör nokta, teknik olarak izlenmeyen, kaydı tutulmayan veya yanlış yorumlanan alan demektir. Ancak pratikte asıl sorun şudur:

Güvenlik ürünleri vardır ama aralarında bağ yoktur.

Bu durum genellikle şu nedenlerle ortaya çıkar:

1. 1. Farklı üreticilerden alınmış, birbiriyle entegre olmayan ürünler
   2. Log üreten ama analiz edilmeyen sistemler
   3. Sadece ağ katmanına odaklanıp uç noktayı veya kullanıcıyı göz ardı etmek
   4. Güvenlik ürünlerinin yanlış veya eksik konfigürasyonu
   5. “Varsayılan ayarlar yeterlidir” düşüncesi

Sonuçta sistem kağıt üzerinde güvenlidir, fakat pratikte saldırgan için sessiz bir geçit vardır.

En Tehlikeli Kör Nokta: Ürünler Arasındaki Boşluklar

Bir firewall trafiği inceler, bir EDR uç noktayı izler, SIEM log toplar.

Peki şu sorunun cevabı genellikle yoktur:

Bu ürünler aynı olayı aynı bağlamda görüyor mu?

Örneğin:

1. 1. Firewall’da şüpheli bir bağlantı görülür
   2. Aynı IP, bir uç noktada zararlı bir dosya indirir
   3. EDR bu dosyayı düşük riskli olarak işaretler
   4. SIEM bu iki olayı ilişkilendirmez

Tek tek bakıldığında her şey “normal” görünür.

Birlikte bakıldığında ise bu bir saldırı zinciridir.

İşte saldırganlar tam olarak bu bağlam kopukluğundan faydalanır.

Log Var Ama Anlam Yok

Birçok kurumda loglar vardır, hatta çok fazladır.

Ama şu soru nadiren sorulur:

“Bu loglardan gerçekten anlamlı bir güvenlik çıktısı alabiliyor muyuz?”

Logların kör noktaya dönüşmesinin başlıca nedenleri şunlardır:

1. 1. Kritik sistemlerin log üretmemesi
   2. Üretilen logların SIEM’e hiç gönderilmemesi
   3. Gönderilen logların yanlış parse edilmesi
   4. Alarm eşiklerinin çok yüksek veya çok düşük olması
   5. Olayların korelasyonunun yapılmaması

Bu durumda saldırgan sisteme girer, hareket eder, yetki yükseltir ve çıkar.

Her şey loglarda vardır, ama kimse bakmamıştır.

Bulut ve Hibrit Ortamlar: Yeni Kör Nokta Fabrikası

On-premise sistemler için tasarlanmış güvenlik yaklaşımları, bulut ortamlarında çoğu zaman yetersiz kalır.

Sık yapılan hatalar:

1. 1. Bulut servis sağlayıcısının her şeyi koruduğunun sanılması
   2. IAM yapılandırmalarının yeterince izlenmemesi
   3. API trafiğinin görünmez kalması
   4. Geçici kaynakların log bırakmadan silinmesi

Bulutta saldırılar genellikle çok hızlıdır. Dakikalar içinde gerçekleşir ve iz bırakmadan kaybolur. Eğer doğru görünürlük yoksa, ihlal fark edilmeden aylar geçebilir.

İnsan Faktörü: En Büyük Ama En Az Ölçülen Kör Nokta

Güvenlik ürünleri sistemleri korur, ama kararları insanlar verir.

1. 1. Yanlış tıklanan bir e-posta
   2. Paylaşılan bir parola
   3. Gevşek bırakılmış bir yetki
   4. “Sonra bakarım” denilen bir alarm

Bu davranışlar çoğu zaman hiçbir güvenlik ürününde tek başına kritik alarm üretmez. Ancak saldırganın en sevdiği giriş kapıları tam olarak bunlardır.

Kullanıcı davranışı izlenmediğinde, teknik olarak kusursuz görünen bir sistem bile savunmasızdır.

Kör Noktalar Nasıl Ortadan Kaldırılır?

Kör noktalar tamamen yok edilemez, ama yönetilebilir hale getirilebilir.

Bunun için:

1. 1. Güvenlik ürünleri entegrasyon odaklı seçilmeli
   2. Olaylar tek tek değil, zincir halinde analiz edilmeli
   3. “Log toplamak” değil, “anlam çıkarmak” hedeflenmeli
   4. Varsayılan ayarlara güvenilmemeli
   5. Düzenli saldırı simülasyonları ve gap analizleri yapılmalı

En önemlisi de şu anlayış benimsenmeli:

Güvenlik bir ürün değil, bir süreçtir.

Sonuç: En Tehlikeli Açık, Fark Edilmeyen Açık

Siber saldırıların büyük kısmı artık sofistike sıfırıncı gün açıklarından değil,

kimsenin bakmadığı alanlardan gelir.

Bir kurum ne kadar çok güvenlik ürünü kullanırsa kullansın, eğer aralarında boşluklar varsa saldırgan için harita hazırdır.

Gerçek güvenlik, görünen tehditlerden çok görünmeyen alanlara bakabilme yeteneğidir.