Kaspersky raporu: Kuruluşlar siber olayları geç fark ediyor, müdahale süreçlerindeki eksikler riski artırıyor

Kaspersky Compromise Assessment (Siber İhlal Analizi) ekibinin yayımladığı yeni rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve operasyonel eksiklikler nedeniyle siber güvenlik olaylarını tespit edemediğini ortaya koyuyor. Rapora göre incelenen olayların %31'inde saldırganlar, kuruluşların sistemlerinde üç aydan uzun süre fark edilmeden faaliyet göstermeyi sürdürdü. Yüksek önem derecesine sahip ihlallerin %52'si ise ancak 90 günden uzun süre tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.

Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri tarafından tespit edilemeyen hem halen devam eden saldırıları hem de daha önce fark edilmemiş saldırıları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın ihlal edilip edilmediğine ilişkin yüksek güvenilirlikte değerlendirme sunarken, bağımsız uzman analizleriyle kuruluşların genel güvenlik duruşunu da değerlendiriyor. Yıllık istatistiklerin analizine dayanan rapor şu temel sonuçları ortaya koyuyor:

İzleme araçları ve denetim mekanizmaları tek başına yeterli değil: Tespit edilen tüm vakaların %20'si manuel yöntemlerle tespit edilirken, işletmelerin %60'ında siber olayların gözden kaçma nedeni, mevcut araçlardan yüksek güvenilirlikli alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına aşırı bağımlılık olduğunu ancak bu araçların her zaman etkili bir şekilde yapılandırılmadığını veya izlenmediğini gösteriyor. İzleme araçlarının, sürekli değişen tehdit ortamına göre düzenli olarak optimize edilmesi ve uyarlanması gerekiyor. Analistlerin, çoğu zaman göz ardı edilen düşük güvenilirlikli alarmları da düzenli olarak incelemesi gerekiyor.

Zararlı dosyalar yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri ciddi bir kör nokta oluşturuyor. Tespit edilen tüm web shell'lerin (sunuculara uzaktan erişim sağlayan zararlı betiklerin) %40 gibi yüksek bir oranı, fark edilmeden yedeklerde barınıyordu. Bu da ilk olay müdahale (incident response) çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken zararlıların yeniden etkinleşmesine yol açabiliyor. Dolayısıyla yedeklerin bütünlüğü ve içerikleri titizlikle denetlenmelidir.

İletişim kopuklukları vakaların kaçırılmasına yol açıyor: Yapılan siber ihlal analizlerinin neredeyse üçte biri (%32), kurum içi net onay mekanizmalarının bulunmaması veya personel sirkülasyonu (turnover) nedeniyle bilgi birikimi kaybı yaşanması gibi dahili iletişim sorunlarını gözler önüne serdi. Bu bulgu, yalnızca teknik müdahale planlarının (playbook) değil, aynı zamanda insan odaklı süreçlerin ve iletişim akışlarının iş akışları ile operasyonel seviye anlaşmalarının (OLA) da düzenli tatbikatlarla test edilmesi gerektiğini gösteriyor.

Siber saldırı müdahale planları düzenli olarak güncellenmeli: Olası bir siber saldırı veya sızma durumunda yürütülecek kriz yönetiminin gerçekten verimli ve etkili olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı ışığında sürekli güncellenen "yaşayan belgeler" olarak ele alınması gerekiyor. Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini ciddi derecede artırıyor.

“Organizations face not only external risks, but also hidden threats within their infrastructure, and signs of compromise are not always obvious. Proactive security audits make it more likely that organizations will detect a compromise. Integrating regular, third-party compromise assessments into organizational processes can reduce the probability of unexpected high-severity incidents and improve overall risk posture,” comments Amged Wageh, expert at Kaspersky Compromise Assessment. 

Kaspersky Compromise Assessment Uzmanı Amged Wageh, konuya ilişkin şu değerlendirmede bulunuyor: “Kurumlar sadece dış risklerle değil, kendi altyapılarının içinde saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her zaman net olmayabiliyor. Proaktif güvenlik denetimleri, kurumların bir siber saldırıyı erkenden fark etme olasılığını önemli ölçüde artırır. Düzenli ve bağımsız üçüncü taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik kritik vakaların yaşanma ihtimalini azaltır ve genel risk duruşunu iyileştirir.”

Kaspersky, kurumlara şu adımları atmasını öneriyor:

• Tehdit algılama sistemlerinin etkinliğini ve doğruluğunu ölçmek adına, telemetri bütünlüğü ile kural geçerliliğini önceliklendiren kapsamlı bir denetimi 30 gün içinde gerçekleştirin.


• Tüm düşük güvenilirlikli tespit olaylarını belirli bir takvim dahilinde incelemek üzere bir "Kademe 1 (Tier 1) Alarm Doğrulama Ekibi" kurun.


• Temel hat belirleme (baselining), düşük güvenilirlikli alarmlar ve yeni ortaya çıkan saldırgan tekniklerine odaklanan tehdit avcılığı (threat hunting) yetkinlikleriyle desteklenmiş, 7/24 güçlü bir izleme mekanizması oluşturun.


• Tüm kritik varlıklarda sürekli yamalamayı ve denetim günlüğü (audit log) aktivasyonunu sağlamak için zafiyet yönetimi süreçlerinizi yeniden değerlendirin.


• Kişisel cihazlardan kaynaklanan kimlik bilgisi sızıntılarını önlemek ve güvenli BYOD (Kendi Cihazını Getir) uygulamalarını pekiştirmek amacıyla güvenlik farkındalığı eğitim programlarınızı güncelleyin. Bu noktada Kaspersky Automated Security Awareness Platform gibi çözümlerden yararlanabilirsiniz.


• Teknik müdahale planlarını test etmek, ekip becerilerini keskinleştirmek ve iletişim akışlarını güçlendirmek için periyodik masaüstü tatbikatlar (tabletop exercises) düzenleyin.


• Farklı ekipler arasındaki iletişimi yönetmek ve kolaylaştırmak amacıyla operasyonel seviye anlaşmaları (OLA) oluşturun; ayrıca doğru dokümantasyon için standart operasyon prosedürlerini (SOP) devreye alın.

Kaynak: (BYZHA) Beyaz Haber Ajansı