Brandolini Yasası, “saçmalık asimetri prensibi” olarak da bilinir, basit ama yıkıcıdır:
“Bullshit’i çürütmek için gereken enerji miktarı, onu üretmekten daha büyük bir büyüklük sırasıdır.”
Siyasi tartışmalarda ve sosyal medya alev savaşlarında sık sık atılırken, siber güvenlik dünyamızla ne kadar acımasızca alakalı olduğu hakkında çok şey düşünüyorum.
Brandolini Yasası, sosyal mühendislikle savaşmaktan tehdit Intel’i incelemeye ve hatta güvendiğimiz araçları anlamaya çalıştığımız her şey üzerinde uzun bir gölge oluşturuyor.
Bu yokuş yukarı savaşı anlamak kötümser olmakla ilgili değildir: gerçekçi ve nihayetinde daha etkili olmakla ilgilidir. Öyleyse, nitty-britty’ye dalalım.
Asimetrik öğütme: suç ve savunma
Burası, güvenlikteki herkes için en doğrudan eve çarptığı yerdir. Saldırganın oyun kitabı tamamen zırhtaki tek çatlak bulmakla ilgilidir – birleştirilmemiş bir sunucu, bir şüphesiz tıklama, bir an insan hatası. Biz daha önce görmemiş olabileceğimiz tehditlere karşı, mümkün olan her giriş noktasını güçlendirmek için uğraşan biziz.
Temel kimlik avı saldırısı düşünün. Bazı tehdit oyuncusu birkaç dakika içinde sahte bir giriş sayfasını kırabilir, genel bir “hesabınız tehlikeye atıldı” e -postasını patlatabilir ve sadece birinin yem almasını bekleyebilir. Bu, zamanlarının minimum bir yatırımı.
Şimdi, bizim tarafımıza dön. Bir kişi bile tıklarsa, uyarı sirenleri blatinge başlar. Saatler, bazen günler, tehlikeye atılan hesabı izole etmek, saldırıyı izlemek, şifreleri sıfırlamak, yanal hareket için kütükleri kazmak ve karışıklığı temizlemekten bahsediyoruz.
Saldırgan zamanı: Belki 10 dakika. Savunma süresi: Potansiyel olarak 10 saat ve bu iyi bir günde. Bu Brandolini’nin en saf, en sinir bozucu formunda yasasıdır. Bir Molotov kokteylinin dijital eşdeğerini atıyorlar ve temizlik ekibiyle triyaj yapmaya bırakılıyoruz.
Sosyal Mühendislik Mayın Tarlası
Sosyal mühendislik, asimetrinin neredeyse kişisel hissettiği yerdir. Birinin gelen kutusuna basit, genellikle kötü yazılmış bir e -posta arazileri:
“Acil Güvenlik Güncellemesi Gerekli! Şimdi buraya tıklayın.”
Yazmak belki 15 saniye sürdü.
Şimdi, buna karşı inşa etmemiz gereken savunma duvarına bakalım:
- Sürekli kimlik avı simülasyonları çalıştırma (ve kaçınılmaz çalışan direnişiyle uğraşma).
- Kapsamlı güvenlik farkındalığı eğitimi geliştirmek ve sunmak.
- Sadece insanların tıkladığı başka bir şey değil, ilgi çekici eğitim yaratmaya çalışmak
- Eğitimi kimin tamamladığını izlemek (ve bunu yapmayanları nagning).
- Düzenli hatırlatıcılar ve güncellemeler göndermek.
- Herkesi tekrar, aylarca, çeyrek günden sonra tekrar test etmek.
O kadar çok çaba ki, çoğu şirket tüm çabayı koordine eden ürünler için abonelik ödüyor. Saldırı tarafında, çok fazla sofistike, sadece bir klavye veya (giderek daha fazla) bir AI’ya erişimi olan ortalama bir insana ihtiyaç duymazlar.
İnsanların doğası gereği dikkatsiz olması değil: saldırganın mesajı genellikle korku ve aciliyeti avlarken, savunmalarımız çok daha yavaş, daha kasıtlı bir süreç olan temkinli bir farkındalık kültürü oluşturmaya dayanıyor. Duygudan yararlanıyorlar, mantık aşılamaya çalışıyoruz. Asimetrik çaba, asimetrik etki.
Verilerde Boğulma
Güvenlik araçlarımız ve ürettikleri sonsuz kütük ve uyarılar akışlarıyla yaşıyoruz ve nefes alıyoruz. Ama işte ovmak: saldırganlar da bunu biliyor. Gerçek tehdidi maskelemek için kasıtlı olarak küçük uyarılar seli tetikleyebilirler.
Aniden, SIEM’iniz bazı anormal davranışlar nedeniyle bir Noel ağacı gibi aydınlanıyor. Gerçek bir saldırı denemesi mi? Veya sadece CI/CD boru hattınız tekrar hareket ediyor mu? Bunu cevaplamak için, ekibinizdeki birisinin her uyarıyı araştırmak için zaman harcaması gerekir. Ve buradaki Brandolini başını destekliyor.
Yanlış pozitif – biraz sıra dışı bir dosya karma, beklenmedik bir ağ bağlantısı oluşturmak inanılmaz derecede kolaydır. Ama bir şeyin bir tehdit olmadığını kanıtlamak? Bu, kazma, bağlam ve genellikle önemli bir zaman yatırımı gerektirir. Bunu günde düzinelerce, hatta yüzlerce uyarı ile çarpın ve analistlerin bir gürültü denizinde bataklık yaparak sinyali eksik.
Buradaki asimetri keskindir: saldırganın kısmı üzerindeki küçük, genellikle iyi huylu bir eylem, bizim tarafımızda saatlerce araştırma yapabilir.
Tehdit intel yankı odası
Tehdit zekası dünyası da bu dengesizliğe karşı bağışık değil. Sansasyonel başlıkların dramatik iddialarda bulunduğunu ne sıklıkla görüyoruz?
“Sektörünüzü hedefleyen büyük yeni fidye yazılımı kampanyası!”
“Ulus-devlet oyuncusu daha önce hiç görülmemiş sıfır gün konuşlandırıyor!”
Acil tepki liderlikten gelen soruların telaşı: “Savunmasız mıyız? Bu konuda ne yapıyoruz?”
Ve sonra gerçek iş başlar:
- İddiaları desteklemek için somut kanıtlar bulmaya çalışmak.
- Varsa örnekleri analiz etmek.
- Bildirilen uzlaşma göstergelerinin (IOCS) izlenmesi.
- Atıfın geçerliliğini belirlemeye çalışmak.
- Açıklama için tehdit intel sağlayıcılarınızla koordinasyon.
- Yanıt planınızı geliştirmek ve iletmek.
Bazen, tüm bu çabalardan sonra, ilk tehdidi aşırı hiper, yanlış yorumlanmış veya hatta tamamen imal ediliyor. Ancak gölgeleri takip etmek için harcanan zaman ve kaynaklar gitti. Asimetri, korku uyandıran anlatıların yaratılabileceği kolaylıkta yatmaktadır.
Tedarik zinciri kara delik
Tedarik zinciri asimetrik ataklar için ana hedef haline gelmiştir. Kötü şöhretli Solarwinds ihlalinde, birkaç satır özenle hazırlanmış kod, saldırganların binlerce kuruluş tarafından kullanılan güvenilir yazılıma sızmasına izin verdi.
Bunlar kaba kuvvet saldırıları değildi, dijital ekosisteme ince, neredeyse cerrahi eklemelerdi. Saldırganların gerektirdiği ilk çaba, izleyen büyük bozulma ve temizliğe kıyasla nispeten küçüktü.
Sonrası şunları içerir:
- İnce diş tarağı ile yazılım yapımlarını ve CI/CD boru hatlarını incelemek.
- Ortamınızdaki her yazılım parçasının bütünlüğünü doğrulamak.
- Hangilerinizden hangisinin etkilenmiş olabileceğini anlamaya çalışmak.
- Kendi müşterilerinizi potansiyel riskler hakkında bildirmek.
- Güvenliği ihlal edilmiş yazılıma güvence yeniden inşa etmek için çalışmak.
Birkaç satır kötü amaçlı kod, dünyanın dört bir yanındaki savunucular için aylarca özenli çalışmayı tetikleyebilir. Asimetri acımasızdır: sadece ilk saldırı ile mücadele etmiyoruz, aynı zamanda tüm tedarik zinciri boyunca basamaklı etkiyle uğraşıyoruz.
Akıllı Savunma Stratejileri
Peki, bu doğal olarak düzensiz oyun alanında nasıl geziniyoruz? Saldırganın işini sihirli bir şekilde zorlaştıramasak da, savunma yeteneklerimizi artıran stratejilere odaklanabiliriz.
İşte Brandolini Yasası’nı kabul eden ve ele alan bazı taktikler:
- Otomatik algılama ve yanıt: Saldırı hızı manuel yanıt yeteneklerimizi geride bırakırsa, sistemlerimizi gerçek zamanlı olarak tepki vermesi için güçlendirmemiz gerekir. Otomasyon, yanıt boşluğunu daraltmanın anahtarıdır.
- Sıfır Güven Mimarisi: Bir ihlalin gerçekleştiği varsayımı altında çalışarak, bu başarılı saldırıdan elde edilen potansiyel hasarı en aza indiriyoruz. Her erişim girişimi incelenir ve saldırganın yanal hareket etme yeteneğini azaltır.
- Davranışsal Analitik: Yalnızca bilinen imzalara güvenmek yerine, normal aktiviteden sapmaları tanımlamaya odaklanmamız gerekir. Bu, aksi takdirde çatlaklardan geçebilecek yeni saldırıları ve içeriden gelen tehditleri tespit etmemize yardımcı olur.
- Sürekli, gerçekçi güvenlik eğitimi: Güvenlik bilinci yılda bir kez bir onay kutusu alıştırması olmamalıdır. Saldırganların kullandığı gerçek dünya taktiklerini yansıtan sürekli, ilgi çekici simülasyonlara ihtiyacımız var. Pratik hale getirin, alakalı hale getirin ve yapışmasını sağlayın.
- Karmaşıklık Azaltma: Altyapımız ne kadar karmaşık olursa, saldırganlar için o kadar fazla potansiyel saklanma yerleri vardır ve daha fazla varsayımlar doğru olmalıyız. Çevrelerimizi basitleştirmek, izlemeyi ve savunmayı kolaylaştırır.
Saldırganlarla asla mükemmel bir parite elde edemeyeceğiz, ancak bu daha akıllı savunma stratejilerine odaklanarak oyunu daha kazanılabilir hale getirebiliriz.
Son Düşünceler: Dengesizliği kucaklamak
Brandolini yasası, savunmanın genellikle hücumdan daha ağır bir yükselme olduğunu sürekli bir hatırlatmadır, ancak bu kaybetmeye mahkum olduğumuz anlamına gelmez. Bu, mükemmel güvenlik vaadine karşı dayanıklılığa öncelik vermek için stratejik olmamız gerektiği anlamına gelir. Bu, manzaranın muhtemelen asla “adil” veya “basit” olmayacağını kabul etmek anlamına gelir.
Siber güvenlik doğal olarak asimetriktir ve Brandolini yasası bize bunun neden bu kadar kalıcı bir meydan okuma olduğunu hatırlatır. Ancak doğru zihniyet ve doğru araçlarla, bu zorluğu bir avantaj olarak yeniden çerçeveleyebiliriz. Basitlik, otomasyon, bağlama duyarlı erişim, haksız bir mücadelede hayatta kalma stratejileridir. Ve eğer onları iyi kullanırsak, savunacağız ve katlanacağız.