Cloud GenAI iş yükleri önceden var olan bulut güvenliği zorluklarını devralır ve güvenlik ekiplerinin tehdit algılama mekanizmaları da dahil olmak üzere yenilikçi güvenlik önlemlerini proaktif olarak geliştirmeleri gerekir.
Geleneksel bulut tehdit tespiti
Tehdit tespit sistemleri, olası güvenlik ihlallerinin erken tespitine olanak sağlamak için tasarlanmıştır; genellikle bu göstergeler, önleyici güvenlik önlemlerini atlatmış olabilecek saldırganları ima eder. Bu nedenle, tehdit tespit sistemleri, katmanlı, derinlemesine savunma güvenlik mimarisi için olmazsa olmazdır.
Tehdit algılama sistemleri tarafından kullanılan yaygın bir strateji, esasen güvenlik analizi için günlük olaylarını toplayan bir tehdit algılama motoru kullanmaktır. Bu tehdit algılama motorları, şüpheli faaliyetleri gösteren belirli günlük girişlerini algılamak için algoritmalardan yararlanır. Sigma kuralları, şüpheli olarak işaretlenmesi gereken günlük olaylarını belirtmek için birçok tehdit algılama motoru tarafından yaygın olarak kullanılır. Ancak, siber güvenlik satıcıları tarafından geliştirilen çok çeşitli günlük biçimleri nedeniyle, Sigma kuralları sonunda siber güvenlik satıcılarının tescilli algılama motorlarıyla uyumlu tescilli biçimlere dönüştürülür.
Yanlış pozitifler tehdit tespitinde her zaman bir zorluktur; bu nedenle, tespitlerin doğruluğunu artırmak ve uyarı yorgunluğunu azaltmak için diğer stratejiler (örneğin, olay korelasyonu ve Siber Tehdit İstihbaratı (CTI)) kullanılır. Daha yakın zamanda, tespit mühendisliği tehdit tespitinin uzmanlaşmış bir yönü olarak ortaya çıkmış ve tespit mühendislerinin tehdit tespit sistemlerini özelleştirmesine olanak sağlamıştır.
Paylaşılan Sorumluluk Modeli kapsamında, bulutu kullanan kuruluşlar tehdit tespiti yapmaktan sorumludur. Bu sorumluluk kuruluşlar için oldukça zorlayıcı olmuştur çünkü şirket içi sistemlerdeki tehdit tespiti ile buluttaki tehdit tespiti arasında çok fark vardır.
Büyük farklardan biri, kuruluşların günlükleri sağlamak için bulut hizmeti sağlayıcılarına (CSP’ler) bağımlı olması nedeniyle olay günlüklerine erişimdir. Buna karşılık, günlükler şirket içi sistemler için doğrudan erişilebilirdir. Bir diğer büyük fark ise bulut kaynaklarının buluttaki API’ler aracılığıyla birbirine bağlı olmasıdır. Tasarım gereği bu, bulutun temel niteliklerine olanak tanır: çeviklik, ölçeklenebilirlik ve esneklik. Birbirine bağlılık, tehdit tespiti için iki ucu keskin bir kılıçtır: savunucular bunu hızlı saldırı tespiti ve önleme için kullanabilirken, saldırganlar da bulutun yapısına yatay olarak hızla geçmek için kullanabilir.
GenAI bulut iş yükleri için tehdit algılama
GenAI bulut iş yüklerinde tehditleri tespit etmek çoğu kuruluş için önemli bir endişe olmalıdır. Bu konu çok fazla tartışılmasa da, yalnızca saldırılar ortaya çıktığında veya uyumluluk düzenlemeleri GenAI iş yükleri için tehdit tespit gerekliliklerini zorunlu kıldığında patlayabilecek bir saatli bombadır.
GenAI bulut iş yüklerinde tehdit tespit sistemlerinin geliştirilmesinde çeşitli zorluklar mevcuttur.
Varlık Yönetimi: Kuruluşların GenAI iş yüklerini izlemek için otomatik envanter sistemleri gereklidir. Bu, tehdit tespiti için kritik bir gerekliliktir ve güvenlik görünürlüğünün temelidir. Ancak, güvenlik ekiplerinin GenAI benimsemesinden habersiz olduğu kuruluşlarda bu zorlayıcı olabilir. Benzer şekilde, yalnızca bazı teknik araçlar GenAI bulut iş yüklerinin bir envanterini keşfedebilir ve koruyabilir.
Tehdit algılama mantığının eksikliği: Tehdit algılama motorlarının buluttaki kötü amaçlı veya şüpheli olayları tespit etmek için belirli bir mantığa ihtiyacı vardır. Ancak bu mantık, açık kaynaklı çabalar, örneğin Sigma kuralları veya siber güvenlik satıcıları aracılığıyla geliştirilmelidir. Şu anda, bu tür algılama kurallarının çok az kullanılabilirliği var gibi görünüyor.
MITRE ATLAS ile uyum: MITRE ATLAS (Yapay Zeka Sistemleri için Rakip Tehdit Alanı), gerçek dünya saldırı gözlemlerine ve Yapay Zeka kırmızı ekipleri ile güvenlik gruplarının gerçekçi gösterilerine dayanan Yapay Zeka destekli sistemlere karşı düşman taktikleri ve tekniklerine ilişkin küresel olarak erişilebilir, canlı bir bilgi tabanıdır.
MITRE ATT&CK gibi, güvenlik ekipleri de tehdit algılama sistemlerini algılama kurallarıyla uyumlu hale getirerek geliştirmek için bu bilgi tabanından yararlanır. Bu, uyarı yorgunluğunu azaltır ve gerçekçi tehdit algılamasını mümkün kılar. Ancak, mevcut MITRE ATLAS geneldir ve buluta özgü GenAI tekniklerini tanımlamaz. Bunun, Cloud IaaS Matrisi’ne benzer şekilde gelişmesi biraz zaman alabilir.
Algılama boşlukları ve API kötüye kullanımı: Çoğu bulut tehdidi gerçek güvenlik açıkları değil, mevcut özelliklerin kötüye kullanımıdır ve bu da kötü amaçlı davranışların tespitini zorlaştırır. Bu, kural tabanlı sistemler için de bir zorluktur çünkü API çağrıları veya günlük olayları kötü amaçlı olayları gösterdiğinde her zaman akıllıca tanımlayamazlar. Bu nedenle, saldırıları gösteren olası olayları formüle etmek için olay korelasyonundan yararlanılır.
GenAI’nin birkaç suistimal vakası vardır, örneğin, hızlı enjeksiyonlar ve eğitim verisi zehirlenmesi. Ancak, Cloud GenAI daha yaygın hale geldikçe daha fazla suistimal vakası ortaya çıkacak ve bunları tespit etmek zor olabilir. Bu nedenle sürprizlerden kaçınmak için proaktif önlemler gereklidir.
Bir vaka çalışması: Amazon Bedrock
Yukarıda belirtilen noktaları, buluttaki önde gelen GenAI servislerinden biri olan ve Amazon Web Service tarafından sağlanan Amazon Bedrock üzerinden örneklendirelim.
Amazon Bedrock, A121 Labs, Anthropic, Cohere, Meta, Mistral AI, Stability AI ve Amazon gibi önde gelen AI şirketleri tarafından sağlanan çeşitli Temel Modellere (FM) erişim sağlar. Bedrock, kuruluşların titiz AI süreçlerinden geçmeden yenilikçi GenAI uygulamaları oluşturmasını sağlamak için çeşitli AI teknikleri kullanır – örneğin, ince ayar ve RAG (geri alma-artırılmış üretim). Ayrıca, Bedrock sunucusuzdur ve kullanıcıları altyapı düzenleme ve bakımı yükünden kurtarır.
Ancak, AWS paylaşımlı sorumluluk modelinin, özelliklerinin ve Bedrock’a uygulanmasının sağlam bir şekilde anlaşılması, bir tehdit tespit sistemi için zorunludur. Bedrock’tan yararlanan kuruluşların öncelikle Bedrock’ın tüm bileşenlerinin güncel bir envanterini keşfedebilen ve koruyabilen verimli bir bulut varlık yönetim sistemine ihtiyaçları vardır. Bu yetenek, kötü amaçlı olabilecek değişikliklerin hızlı bir şekilde belirlenmesini sağlayacaktır.
Sonra, Bedrock’a karşı tüm API çağrılarına dayalı olay günlüklerini toplayan ve analiz eden tehdit algılama sistemlerine ihtiyacınız var. AWS Cloudtrail işe yarayabilir; ancak, toplanan günlükleri kötü amaçlı Cloudtrail olay adları açısından incelemek için orantılı algılama mantığına ihtiyaç vardır. Ayrıca, Bedrock’un Bedrock bileşeni için Bilgi Tabanında AWS S3’ü tanıtması bu anlayışın merkezinde yer alır. Bu kritik Bedrock bileşeni, temel Amazon Bedrock bileşenleri arasında veri alma ve işlemeyi yönetir. S3’ün bir veri kaynağı olarak oynadığı hayati rol, Bedrock’un Aşil topuğudur; veri zehirlenmesi, hizmet reddi, veri ihlali ve S3 fidye yazılımı dahil olmak üzere çeşitli saldırı vektörleri sunar. Bu saldırı vektörlerini hızla algılayan sistemleri geliştirmek zorunludur.
Bulut saldırı emülasyonu
Bulut saldırısı emülasyonu, kontrollü bulut altyapısında gerçek dünya saldırılarının taktiklerini, tekniklerini ve prosedürlerini (TTP’ler) taklit ederek kuruluşların bu saldırıların altyapıları üzerindeki etkisini pratik ve güvenli bir şekilde değerlendirmelerine olanak tanır.
MITRE ATT&CK çerçevesi, taklit edilen saldırıları büyük ölçüde etkiler ve böylece savunuculara anlamlı bir değer sağlar. Ayrıca, MITRE Engenuity, kuruluşların yayınlanmış güvenlik açıklarına dayanan varsayımsal saldırılar yerine gerçekçi saldırılara öncelik vermek için yararlanabilecekleri bir kılavuz olan Tehdit Bilinçli Savunmayı formüle etti. Tehdit Bilinçli Savunmanın temel bir ayağı, güvenlik önlemleri ve CTI kombinasyonunun beklendiği gibi olduğunu doğrulamak için kullanılan düşman emülasyonudur. Bulut saldırısı emülasyonu, API ile bulutun yapısına entegre olarak ve bulut tabanlı bir deneyim sağlayarak düşman emülasyonu konseptini bulut altyapısına uygular.
Bulut saldırısı emülasyonu, gerçek saldırgan davranışını tipikleştiren siber saldırıları güvenli bir şekilde taklit ederek bulut algılama hatalarını ve uyarı yorgunluğunu en aza indirir. Genellikle güvenlik olayları olarak yakalanan taklit edilen saldırgan davranışı, algılama stratejilerini atlatabilecek saldırı vektörlerini ortaya çıkarma fırsatları sağlar.
Bulut saldırı emülasyonu, bulut API’leri, özellikleri ve kaynakları öngörülemez şekilde değiştiğinden ve bu değişiklikler potansiyel güvenlik açıkları ve saldırı fırsatları oluşturduğundan, bulut tespitini önemli ölçüde geliştirmek ve iyileştirmek için kritik bir bileşendir.
Bulut güvenliği operasyon ekipleri bulut saldırı emülasyonundan çeşitli yollarla yararlanabilir.
Tespit mühendisleri, saldırı modellerinin kayıt sisteminde (örneğin Cloudtrail) yakalanıp yakalanmadığını doğrulayabilir ve ayrıca olası yanlış pozitifleri belirleyerek uyarı yorgunluğunu azaltan kurallar geliştirebilir.
Bulut günlükleri genellikle merkezsizdir veya kullanılamaz. Örneğin, Amazon Bedrock’a karşı bir veri zehirleme saldırısı, Cloudtrail konsolunda bulunmayan nesne düzeyindeki olayları içerir. Bu olayları belirlemek, örneğin Security Lake veya CLoudtail Lake kullanarak ek yapılandırma gerektirir. Bunun farkında olmayan SOC ekipleri, S3 veri kaynağı kovasına karşı veri zehirleme saldırılarını kaçırabilir.
Ancak bulut saldırı emülasyonlarını çalıştırmak, bu kör noktaları belirleyerek orantılı tespit mekanizmaları geliştirmek için fırsatlar sunar. Emülasyonu yapılan saldırılar MITRE ATT&CK ve MITRE ATLAS’a dayalı olabilir, böylece GenAI bulut iş yüklerine yönelik tehditlerin bağlamsal olarak anlaşılması sağlanır.
Çözüm
GenAI dünyayı kasıp kavurdu ve kuruluşlar, iş avantajları elde ederken inovasyonu mümkün kılmak için bu teknolojiyi hızla benimsiyor. Ancak çoğu kuruluş, inovasyonun gerekli maliyeti ve faydaları arasında anlamlı bir denge kurmak için genel bulut sağlayıcıları tarafından sunulan GenAI hizmetlerini benimseyecektir.
GenAI bulut iş yüklerinden yararlanmak, şu anda pek tartışılmayan birkaç güvenlik zorluğunun kapısını açacaktır, özellikle de tehditlerin etkili bir şekilde nasıl tespit edileceği. Bu zorluğun en kafa karıştırıcı yönü, paylaşılan sorumluluk modelinin GenAI iş yüklerinin yorumunu kavramak, mevcut tehdit tespit stratejilerini GenAI’ye özgü zorluklarla uyumlu hale getirmek ve uygun teknolojiler geliştirmek olacaktır.
Gerçek saldırılardan öğrenmenin tehdit tespitini güçlendirmek için en güçlü motivasyon olduğu kanıtlanmış olsa da, bulut saldırısı emülasyonu gerçek bir siber saldırının kesin etkileri olmadan ucuza öğrenmenin bir yolunu sağlar. Bu nedenle, GenAI’ye özgü tehditlerin dinamiklerini belirlemek ve buna uygun tespit yaklaşımları geliştirmek için harika bir yoldur. Dahası, bulut saldırısı emülasyon teknikleri Tehdit Bilgili Savunmayı etkinleştirir ve böylece uyarı yorgunluğunu ve GenAI bulut iş yükleri için yanlış pozitifleri önemli ölçüde azaltır.