Siber İhlal Analizi ekibinin yayımladığı yeni rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve operasyonel eksiklikler nedeniyle siber güvenlik olaylarını tespit edemediğini ortaya koyuyor.

Rapora göre incelenen olayların %31’inde saldırganlar, kuruluşların sistemlerinde üç aydan uzun süre fark edilmeden faaliyet göstermeyi sürdürdü. Yüksek önem derecesine sahip ihlallerin %52’si ise ancak 90 günden uzun süre tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.

Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri tarafından tespit edilemeyen hem halen devam eden saldırıları hem de daha önce fark edilmemiş saldırıları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın ihlal edilip edilmediğine ilişkin yüksek güvenilirlikte değerlendirme sunarken, bağımsız uzman analizleriyle kuruluşların genel güvenlik duruşunu da değerlendiriyor. Yıllık istatistiklerin analizine dayanan rapor şu temel sonuçları ortaya koyuyor:

İzleme araçları ve denetim mekanizmaları tek başına yeterli değil: Tespit edilen tüm vakaların %20’si manuel yöntemlerle tespit edilirken, işletmelerin %60’ında siber olayların gözden kaçma nedeni, mevcut araçlardan yüksek güvenilirlikli alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına aşırı bağımlılık olduğunu ancak bu araçların her zaman etkili bir şekilde yapılandırılmadığını veya izlenmediğini gösteriyor. İzleme araçlarının, sürekli değişen tehdit ortamına göre düzenli olarak optimize edilmesi ve uyarlanması gerekiyor. Analistlerin, çoğu zaman göz ardı edilen düşük güvenilirlikli alarmları da düzenli olarak incelemesi gerekiyor.

Zararlı dosyalar yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri ciddi bir kör nokta oluşturuyor. Tespit edilen tüm web shell’lerin (sunuculara uzaktan erişim sağlayan zararlı betiklerin) %40 gibi yüksek bir oranı, fark edilmeden yedeklerde barınıyordu. Bu da ilk olay müdahale (incident response) çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken zararlıların yeniden etkinleşmesine yol açabiliyor. Dolayısıyla yedeklerin bütünlüğü ve içerikleri titizlikle denetlenmelidir.

İletişim kopuklukları vakaların kaçırılmasına yol açıyor: Yapılan siber ihlal analizlerinin neredeyse üçte biri (%32), kurum içi net onay mekanizmalarının bulunmaması veya personel sirkülasyonu (turnover) nedeniyle bilgi birikimi kaybı yaşanması gibi dahili iletişim sorunlarını gözler önüne serdi. Bu bulgu, yalnızca teknik müdahale planlarının (playbook) değil, aynı zamanda insan odaklı süreçlerin ve iletişim akışlarının iş akışları ile operasyonel seviye anlaşmalarının (OLA) da düzenli tatbikatlarla test edilmesi gerektiğini gösteriyor.

Siber saldırı müdahale planları düzenli olarak güncellenmeli: Olası bir siber saldırı veya sızma durumunda yürütülecek kriz yönetiminin gerçekten verimli ve etkili olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı ışığında sürekli güncellenen “yaşayan belgeler” olarak ele alınması gerekiyor. Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini ciddi derecede artırıyor.

MSI Cyborg 15 B13WFKG : Geleceğin Cyberpunk İstasyonu