2024 yılı, siber güvenlik dünyasında, özellikle de manşetlere hakim olmaya devam eden yapay zeka (AI) alanında, dikkat edilmesi gereken çok sayıda farklı hikayeyi ortaya çıkardı.
Bu yıl yapay zeka korkusundan, belirsizliğinden ve şüphesinden uzaklaşıp veri gizliliği ve koruması, büyük ölçekli ihlaller ve yaygın olarak kullanılan açık kaynak bileşenlerinin güvenliğini çevreleyen zorlu konular gibi diğer büyük sorunlara odaklanıyoruz.
Ayrıca, ürün ve hizmetlerinin sağladığı ayrıcalıklı erişimin müşterilerine saldırmak için kötüye kullanılmasından sonra kendilerini sıklıkla manşetlerde bulan siber güvenlik şirketlerinin kendileri için de sorunlar vardı. Ivanti, Microsoft ve Okta bu yıl ilk 10’da yer alıyor ve CrowdStrike’dan bahsetmemeyi ihmal etmiş oluruz.
İşte Computer Weekly’nin 2024 yılının en iyi 10 siber güvenlik öyküsü.
1. 26 milyar kaydın sızdırılması ‘tüm ihlallerin anası’ olabilir
Ocak 2024’ün sonunda araştırmacılar tarafından 26 milyar kayıttan oluşan ve toplam boyutu 25 GB’ı aşan bir veri dökümü keşfedildi. Tarihin en büyük sızıntısı ve “tüm ihlallerin anası” olarak adlandırılan Çin sosyal medya platformlarıyla ilgili verilerin çoğunluğunun yanı sıra Adobe, Dropbox, LinkedIn, MyFitnessPal, Telegram ve X gibi platformlar da dahil edildi.
Verilerin çoğunun, muhtemelen kimlik hırsızlığı, kimlik avı saldırıları ve hesap ele geçirme amacıyla başkalarına satmayı amaçlayan bir komisyoncunun çeşitli küçük sızıntılarından derlendiği görülüyor.
2. Okta, yüksek profilli ihlallerin ardından sibere karşı önlemlerini ikiye katlıyor
Şubat ayında kimlik ve erişim yönetimi (IAM) sağlayıcısı Okta, önümüzdeki 12 ay içinde güvenliğe yaptığı yatırımı ikiye katlamayı planladığını duyurdu ve Güvenli Kimlik Taahhüdünü başlattı. Bu, 2023 ve öncesinde gerçekleşen bir dizi siber saldırı sırasında ürün ve hizmetlerinin kötüye kullanılmasının ardından geldi.
Şirketin yönetimi, bir güvenlik lideri olarak, müşterilerinin kendisine emanet ettiği kimlik verilerinden işe yaramaz kişilerin faydalanmasını engellemek için çok daha fazla çalışması gerektiğini anladığını söyledi.
3. Yaygın Ivanti güvenlik açıkları ortalığı karıştırıyor
Başka bir siber şirket 2024’ün başında haberlerde yer aldı; varlık, kimlik ve tedarik zinciri yönetimi uzmanı Ivanti, Policy Secure ağ erişim kontrolü (NAC), Ivanti Connect Secure güvenli yuva katmanı sanal özel ağında bir dizi güvenlik açığı buldu. (SSL VPN) ve sıfır güven erişimine yönelik Ivanti Neurons (ZTA) ürünleri, bir tehdit aktörü tarafından istismar edildikten sonra dünya çapındaki kuruluşlarda endişelere neden oldu.
Söz konusu üç güvenlik açığı, saldırganların ayrıcalıklı verilere erişmesine ve kurbanlarının sistemlerinde yüksek erişim hakları elde etmesine olanak sağladı.
4. Kasıtlı olarak yerleştirilen arka kapıyla ilgili açık kaynak uyarısı
Nisan ayında, açık kaynaklı XZ Utils veri sıkıştırma kütüphanesinin kullanıcıları, koda kasıtlı olarak yerleştirilmiş bir arka kapının kanıtlarının ortaya çıkmasının ardından büyük bir tedarik zinciri saldırısının kurbanı olmaktan kıl payı kurtuldu. Kütüphanenin 5.6.0 ve 5.6.1 sürümlerine yerleştirilen kötü amaçlı kod, etkilenen Linux dağıtımlarına yetkisiz erişimi mümkün kıldı.
Daha sonra, tehlikeli kodun, proje geliştiricilerinin güvenini kazanmak için uzun bir süre kasıtlı olarak çok çalışan kötü niyetli bir aktör tarafından buraya yerleştirildiği ortaya çıktı. Yaygın olarak kullanılan açık kaynak bileşenlerinin güvenliği yılın en büyük temalarından biri olacaktı.
5. Microsoft, ABD’nin sert raporunun ardından siber girişimini güçlendiriyor
Mayıs ayında Microsoft, ABD hükümetinin Siber Güvenlik İnceleme Kurulu’nun (CSRB) ardından tehdit aktörleri tarafından sıklıkla kullanılan yazılım ve güvenlik açığı sorunlarını ele almak üzere yola çıkan programı genişleterek Güvenli Gelecek Girişimi’ni (SFI) iki katına çıkardı. rapor.
Redmond, tehdit ortamının hızlı gelişiminin, hem kendi operasyonlarının hem de müşterilerinin karşı karşıya olduğu tehditlerin ciddiyetinin altını çizdiğini söyledi ve dünyanın BT ekosistemindeki merkezi rolü göz önüne alındığında, kazanılması gereken “kritik bir sorumluluğa” sahip olduğunu kabul etti. güveni koruyun.
6. CrowdStrike güncellemesi dünya çapında kaosa neden oluyor
2024’ün en büyük BT hikayesi – tartışmasız – tam anlamıyla bir güvenlik olayı değildi, ancak bir güvenlik şirketinden kaynaklandığı için burada ortaya çıkıyor. 19 Temmuz’da, Birleşik Krallık’ın her yerindeki ve ötesindeki BT profesyonelleri, temel sistemleri çökerten, hızla yayılan bir BT kesintisinin farkına vardılar; bu kesinti, siber firma CrowdStrike’ın, temel tehdit tespit sensörlerine kusurlu bir hızlı yanıt güncellemesi göndermesinin ardından Windows bilgisayarlarının soğumasına neden oldu. önyükleme döngüsü denir.
Kapsamlı kesinti, o dönemde büyük bir güvenlik olayına yol açmadı, ancak CrowdStrike yöneticilerinin yasal yansımalarıyla karşı karşıya kalması ve hatta olayla ilgili olarak politikacılar önünde hesap vermeye çağrılmasının sonuçları bugün de devam ediyor. Birkaç ay önceki XZ Utils korkusunda olduğu gibi, CrowdStrike olayı da kişinin koduna çok dikkat etmenin önemini bir kez daha gösteriyor.
7. Kampanyacılar Birleşik Krallık siber yasalarında reform yapılması için kanıt çağrısında bulunuyor
Geçtiğimiz birkaç yıl boyunca CyberUp’ın yasal reform kampanyasını takip edenler, grubun Britanyalı politikacıları, eski 1990 tarihli Bilgisayar Kötüye Kullanım Yasası’nda reform yapma zamanının geldiğine ikna etmede yaşadığı zorlukları çok iyi biliyorlar. Bilgisayara “izinsiz” erişim suçuyla ilgili olarak, Birleşik Krallık’taki güvenlik profesyonellerini sırf işlerini yaptıkları için kovuşturma riskiyle karşı karşıya bırakıyor.
Keir Starmer’ın Downing Street 10 numaraya taşınmasıyla birlikte kampanya ekibi yaz boyunca yeni bir kanıt ve görüş çağrısı başlatma fırsatını değerlendirdi ve Birleşik Krallık’taki güvenlik firmalarının yaklaşık üçte birinin yasa nedeniyle parasal kayıp yaşadığını ve £’ı riske attığını söyledi. Sektörün ekonomiye yıllık 10,5 milyar sterlinlik katkısının 3 milyarı.
8. NCSC, Horne’un gelişiyle sekizinci yılını kutluyor
Computer Weekly listesinde sekizinci sırada yer alan Ulusal Siber Güvenlik Merkezi bu yıl sekizinci yaş gününü kutladı; ancak Ekim ayında göreve gelen yeni lideri Richard Horne, kuruluşun yalnızca üçüncü resmi CEO’su oldu.
Sekiz yıl çok uzun bir süre olmayabilir (Brexit referandumu sekiz yıl önceydi), ancak siber güvenlik ortamı o dönemde kökten değişti ve ileriye baktığımızda güvenlik ile istihbarat arasındaki karşılıklı bağımlılık daha kritik hale geldikçe ve riskler ve Yeni teknolojilerin ve daha karmaşık tehditlerin fırsatları arttıkça, NCSC’nin bu teknolojilerin güvenliğini ele alma ve bunları Birleşik Krallık’ın avantajına nasıl kullanabileceği konusunda daha iyi olma çalışmaları devam ediyor.
9. Saldırganlar tarafından giderek daha fazla araştırılan sıfır gün açıkları
Kasım ayında, NCSC ve ABD’deki eşdeğeri CISA, 2023’te en çok yararlanılan 15 güvenlik açığından çoğunluğunun sıfır gün olduğunu ortaya koyan yeni yıllık veriler yayınladı. Bu eğilim 2022’de yarıdan azdı. Bu eğilim 2024’e kadar devam etti ve NCSC, savunmacıların güvenlik açığı yönetimi ve yamalama konusunda oyunlarını önemli ölçüde geliştirmeleri gerektiği konusunda uyardı.
En ağır şekilde istismar edilen CVE’ler arasında, Progress Software’in MOVEit Transfer, Log4Shell ve Citrix’teki kötü şöhretli sorunlar da dahil olmak üzere artık yaygın olarak bilinen bazı CVE’ler vardı ve bunların çoğu yıllar öncesine dayanıyordu.
10. İtiraz başarısız olduktan sonra ABD’de TikTok yasağı yaklaşıyor
2024’ün sonunda, Washington DC temyiz mahkemesinin İlk Değişiklik haklarının ihlal edildiğini iddia eden Çin’e ait sosyal medya platformunun beyanlarını reddetmesinin ardından TikTok’un muhtemelen birkaç hafta içinde ABD’de yasaklanacağı haberi geldi.
Firmanın veri koruma ve gizlilik uygulamalarıyla ilgili meşru endişeler ve TikTok’un elindeki verilerin Çin hükümeti tarafından istismar edilebileceği ihtimali, küresel sonuçlara yol açacak ve milyonlarca kullanıcıyı, etki sahibini ve işletmeyi etkileyecek potansiyel yasağın temelinde yer alıyor. .
Biraz ironik bir şekilde, kendisinin bir zamanlar yasaklamayı denediği göz önüne alındığında, platformun yasağın ertelenmesi için en iyi umudu, 2025’te siber güvenlik dünyasında şüphesiz etkili bir güç olacak olan yeni başkan Donald Trump’ta olabilir.