Saldırı Engellenmesi Yeterli Değil

Bir saldırganı engellemek, onun tespit edilmeden önce neler yaptığı, nelere eriştiği ve veri çıkarıp çıkarmadığı sorularını yanıtsız bırakabiliyor. WatchGuard, olay müdahalesinin saldırının yalnızca durdurulmasıyla sınırlı kalmaması gerektiğine dikkat çekiyor. Bütünleşik siber güvenlik alanında çalışan WatchGuard Technologies, saldırıyı kontrol altına almanın olay müdahalesinin yalnızca bir parçasını oluşturduğunu ifade ediyor.

WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, saldırının gerçek boyutunu ortaya koymanın ancak kapsamlı bir inceleme ile mümkün olduğunu belirtiyor.

Güvenlik Ekiplerinin Yapması Gerekenler

Güvenlik ekiplerine göre, saldırganın ne kadar ilerlediğini, hangi sistemlere ulaştığını ve tehdidin hâlâ ortamda bulunup bulunmadığını belirlemeleri gerekiyor. Haftalar önce kapatılan yetkisiz erişimlerin daha sonra yüz binlerce kişi ve kurumun verilerinin dışarı çıkarılmasına imkan tanıdığının ortaya çıktığı örnekler, gerçek etkinin ancak saldırının baştan sona yeniden yapılandırılmasıyla anlaşılabileceğini gösteriyor.

WatchGuard, MSP'lerin de müşterilerine yalnızca kapatılmış bir kaydı değil, yaşananların tam resmini sunabilmesi gerektiğini vurguluyor.

Saldırı Kapsamını Belirlemenin Zorlukları

Birden fazla müşteri yöneten MSP'ler, bir saldırının kapsamını belirlerken dört temel zorlukla karşılaşıyor:

  • Uyarıların Doğrulanması: Bir uyarı bir şeyin ilgi gerektirdiğini gösterse de devam eden bir saldırı olup olmadığını ya da ne kadar yayıldığını söylemiyor. Bu nedenle uyarıların doğrulanması, diğer olaylarla ilişkilendirilmesi ve etkilenen varlığın bağlamında değerlendirilmesi gerekiyor.
  • Veri Kaynakları Farklılığı: Uç noktalar, kimlikler, SaaS uygulamaları ve bulut iş yükleri farklı faaliyet kayıtları üretirken müşteri sayısı arttıkça bu ortamlardan bağlamı kaybetmeden kanıt toplamak zorlaşıyor.
  • Bağlamsal Analiz: Oturum açma işlemleri, yetkili araçlar veya dışa giden bağlantılar tek başına olağan görünürken art arda değerlendirildiğinde ortamda ilerleyen bir saldırganı ortaya çıkarabiliyor.
  • Zaman Faktörü: Gece ya da hafta sonu gelen uyarıların gerçek zamanlı incelenmemesi, saldırganlara yetki yükseltmek, yanal hareket etmek ve hassas verileri aramak için zaman kazandırıyor.

Yönetilen Tespit ve Müdahale Hizmetinin Rolü

WatchGuard'a göre yönetilen tespit ve müdahale (MDR) hizmeti, telemetriyi ve varlık bağlamını ilişkilendirerek tekil uyarıları saldırı zincirlerinden ayırıyor ve bir ihlalin tek bir sistemle sınırlı kalıp kalmadığını gösteriyor.

Uzman analistler yanlış alarmları ayıklıyor, meşru araçlar kullanan saldırganları tespit ediyor ve saldırganın kuruma hangi yoldan girdiğini belirleyerek benzer zayıflıkların müşteri ortamının başka noktalarında da bulunup bulunmadığını ortaya koyuyor.

Saldırı durdurulduktan sonra ise MDR, saldırının nasıl başladığını, saldırganın neler yaptığını ve hangi varlıklara ulaştığını yeniden yapılandırarak tehdidin tamamen ortadan kalkıp kalkmadığını doğruluyor. Uç nokta, ağ, kimlik, bulut ve güvenlik açığı verilerini bir araya getiren panolar ve raporlar da MSP'lerin müşterilerine sağladıkları değeri somut biçimde göstermesini kolaylaştırıyor.