Çoğu işletmenin kimlik güvenliğinin önemini anladığı doğru olsa da, sektör son yıllarda önemli ölçüde evrim geçirdi. Beş yıl önce, uzaktan çalışma nispeten nadirdi; şimdi ise neredeyse norm haline geldi. Dahası, giderek artan sayıda işletme işgücü yönetimi, siber güvenlik ve düzinelerce başka hizmet gibi kritik hizmetler için üçüncü taraf sağlayıcılara yöneliyor. Tüm bunlar, Yazılım Hizmeti Olarak (SaaS) ve Güvenli Erişim Hizmeti Kenarı (SASE) benimsenmesiyle destekleniyor. Bulut (ve çoklu bulut) ortamları giderek daha yaygın hale geldikçe ve işletmeler uygulama altyapılarını giderek daha fazla sayıda üçüncü tarafa açtıkça, kullanımda olan kimlik sayısı da katlanarak arttı.
Daha belirgin roller üstlenen bu kimliklerin artan bir yüzdesi makine kimlikleri olarak sınıflandırılabilir. Giderek daha fazla işlem otomatikleştikçe, bunların birbirleriyle geçerli kimlik bilgileri kullanarak konuşabilmeleri gerekir. Bulut uygulamaları, robotik süreç otomasyonu (RPA) çözümleri, sunuculara ve veritabanlarına erişmek için kullanılan hizmet hesapları ve sayısız diğer insan olmayan varlık, etkili bir şekilde iletişim kurmak ve doğru şekilde çalışmak için kendi kimliklerine ihtiyaç duyar. Uygulamaların verileri paylaşması ve erişmesi gerekir. Bulut iş yüklerinin başlatılması ve kapatılması gerekir. Modern dijital ortam son derece dinamiktir; eski, daha monolitik sunuculardan büyük bir değişikliktir. Genellikle bir sistemde tek bir programdan ziyade binlerce konteynerleştirilmiş iş yükü bulunur. Bu, kullanımda olan kimlik sayısını önemli ölçüde artırmıştır. Günümüzde kullanılan kimliklerin hacmi ve işletmelerin karşı karşıya olduğu güvenlik tehditlerinin kapsamı, otomasyonun yalnızca yardımcı olmadığı anlamına gelir: zorunludur.
Bu denklemin diğer yarısı, bu kimlikler tarafından üretilen (ve erişilen) verilerin de patlama yapmış olmasıdır. Sıradan kullanıcı kimliklerinin bile artık daha karmaşık veri erişim ihtiyaçları var ve “hassas” ve “hassas olmayan” veriler arasındaki çizgi giderek belirsizleşiyor. Hem yapılandırılmış hem de yapılandırılmamış veriler arasında erişimi yönetme yeteneği önemli hale geldi. Geleneksel olarak, birçok kuruluş veri erişimi sorununu görmezden gelip bunun yerine yalnızca uygulama erişimine odaklanıyordu. Ancak nihayetinde, güvence altına alınması gereken şey verilerdir ve artık göz yummak bir seçenek değil.
Kimliğe Yönelik Tehditleri Anlamak
Kimlikleri şu anda özellikle savunmasız kılan şey nedir? Başlangıç olarak, işletmeler saldırganların kimlikleri hedef aldığını giderek daha fazla fark etse de, hala nispeten az sayıda koruma bulunmaktadır. Kötü amaçlı yazılım tespit çözümleri son derece usta hale geldi ve bu da saldırganların geleneksel saldırı vektörlerini kullanmasını zorlaştırdı. Bu iyi bir şey—ancak saldırganları kurbanlarının ortamlarına girmek için başka yollar aramaya zorladı. Birçoğu bunu kimlikleri istismar ederek yapıyor ve nedenini anlamak kolay: herhangi bir güvenlik veya BT uzmanı size insanların herhangi bir sistemdeki en zayıf nokta olduğunu söyleyecektir. Birini kullanıcı adı ve parolasını vermeye kandırmak, modern kötü amaçlı yazılım tespit çözümlerinden kaçınmaktan çok daha kolaydır. Bunu bir pencereyi kırmak yerine bir anahtarı çalmak gibi düşünün. Meşru bir kimlik kullanarak erişim sağlayan bir saldırganın, içeri giren bir saldırgandan tespit edilmesi çok daha zor olacaktır.
Bu sadece boş bir spekülasyon değil. En son Verizon Veri İhlali Araştırmaları Raporu (DBIR), ihlallerin %68’inin bir çalışanın sosyal mühendislik saldırısına kurban gitmesi gibi kötü niyetli olmayan bir insan unsurunu içerdiğini vurguluyor. Raporda ayrıca, çalınan kimlik bilgilerinin son 10 yılda tüm ihlallerin %31’inde rol oynadığı ve yalnızca geçen yıl ihlallerin %38’inde mevcut olduğu belirtiliyor. Bu bulgular, saldırganların kolayca istismar edebilecekleri bir güvenlik açığı olarak kimliklere odaklandıklarının altını çiziyor. Kimlik avı saldırıları giderek daha etkili hale geliyor (özellikle saldırganlar daha ikna edici e-postalar hazırlamak için üretken yapay zeka araçlarından yararlandıkça) ve güvenlik araçları kötü amaçlı ekleri tanıma ve engellemede daha iyi hale geldikçe, saldırganlar bunun yerine kullanıcıları kendi bilgilerini vermeleri için kandırıyor. DBIR’ye göre, kimlik avı kurbanının dolandırıcılığa düştükten sonra istenen verileri girmesi ortalama 28 saniye sürüyor ve kullanıcıların yalnızca %20’si kimlik avı e-postalarını başarıyla tanımlayıp bildiriyor. Bunlar endişe verici rakamlar.
Çok faktörlü kimlik doğrulama (MFA) gibi saldırganların tehlikeye atılmış kimlik bilgilerini kullanmasını önemli ölçüde zorlaştıran nispeten basit çözümler olduğunu belirtmekte fayda var. Ancak kuruluşlar MFA’nın değerini anlasa da, nispeten azı bunu kullanıyor. Aslında, çok sıkı bir şekilde düzenlenen sektörlerdekiler de dahil olmak üzere endişe verici sayıda büyük işletme MFA olmadan faaliyet gösteriyor. Ne yazık ki, kuruluşlar temellerini güçlendirerek daha iyi hizmet alabilecekleri halde, genellikle yenilikçi yeni güvenlik çözümleriyle dikkati dağılabiliyor. MFA gibi basit çözümlere öncelik vermemek, saldırganların hayatını kolaylaştırıyor ve onlara gereksiz bir avantaj sağlıyor.
Fidye Yazılımları ve Tedarik Zinciri Saldırıları Hala En Üst Düzeyde
Elbette, sosyal mühendislik, günümüzün saldırganlarının kullandığı tek kimlikle ilgili saldırı vektörü olmaktan çok uzak. Fidye yazılımları saldırı alanına hakim olmaya devam ediyor ve tehdit aktörleri, kendi ayrıcalıklarını yükseltmek ve daha önemli sistemlere (örneğin veri yedeklemeleriyle ilişkili olanlar) erişim sağlamak için düzenli olarak tehlikeye atılmış kimlikleri kullanıyor. Günümüzde çok fazla kuruluş, güvenlikten ziyade kolay dahili erişimi önceliklendiriyor ve kimliklere gerçekte ihtiyaç duyduklarından daha fazla hak sağlıyor. Bu, bir saldırganın işini zahmetsiz hale getiriyor ve genellikle tespit edilmeden ağ boyunca yatay olarak hareket etmelerine, geniş bir veri yelpazesine erişmelerine (ve bunları şifrelemelerine veya çalmalarına) olanak tanıyor. Bir kuruluşun hak politikaları ne kadar gevşekse, bir saldırganın erişebileceği bilgi o kadar fazla olur ve bir ihlalin zarar verici olma olasılığı da o kadar yüksek olur.
Üçüncü taraf saldırıları da hemen hemen her sektörde manşetlere çıkmaya devam ediyor. SolarWinds ihlali birçok kuruluş için bir uyarı niteliğindeydi ve tedarik zinciri saldırılarının ne kadar kapsamlı bir etkiye sahip olabileceğini gösterdi. O olaydan bu yana geçen yıllarda Okta ve MOVEit gibi şirketlere yönelik saldırılar tehlikeyi daha da vurguladı. Günümüz işletmelerinin yalnızca kendi kimlikleri hakkında endişelenmeleri gerekmiyor; ortakları, satıcıları, SaaS sağlayıcıları ve diğerleri hakkında da endişelenmeleri gerekiyor. Çok fazla erişime sahip tek bir tehlikeye atılmış kimlik, yalnızca sizin için değil, tüm ortak ekosisteminiz için ciddi sorunlara yol açabilir. ABD’de bir veri ihlalinin ortalama maliyetinin yaklaşık 10 milyon dolar olduğu bir zamanda, güçlü kimlik güvenliğine olan ihtiyaç hiç bu kadar yoğun bir şekilde hissedilmemişti.
Otomasyon Modern Kimlik Güvenliğinin Temel Bir Parçasıdır
Manuel kimlik yönetimi bir noktada mümkün olabilirdi—ama o günler çoktan geride kaldı. Bunu yapmak, her sistemden gelen haklar arasında ilişkilendirilmiş yüz binlerce kayıt içeren elektronik tablolar gerektirirdi. Microsoft Excel bir milyon satırla sınırlıdır—ve mütevazı büyüklükteki bir şirkette bile tüm kimlikleri ve hakları yönetmek için en azından bu kadar satıra ihtiyacınız olurdu. Ve bu, kuruluş genelinde kimlikleri ve izinleri takip etmek için gereken personel kaynaklarını bile hesaba katmaz. Sadece kullanımda olan tüm kimlikleri kataloglamak için bir düzine kişinin haftalar veya aylar harcaması gerekebilir—ve bunu yaptıklarında, bilgiler zaten güncelliğini yitirmiş olur. Modern dijital ortam hızla hareket eder ve bu, kuruluşların kendilerini yeterince korumak istemeleri durumunda kimliklerin gerçek zamanlı olarak yönetilmesi gerektiği anlamına gelir.
Neyse ki, siber güvenlik otomasyonu nispeten kısa bir zaman diliminde uzun bir yol kat etti. Günümüz kuruluşlarının kimliklerini manuel olarak yöneten çalışkan çalışanlara güvenmesine gerek yok; modern çözümler kimlikleri ve hakları çok daha kısa bir sürede (ve insan hatasının can sıkıcı zorluğu olmadan) sorunsuz bir şekilde belirleyip ilişkilendirebilir. Dahası, bunu anında yapabilir, kimliklerin nasıl davrandığını ve genellikle hangi verilere eriştiğini izleyerek kullanılmayan izinleri ortadan kaldırabilir veya uygun yerlerde ek izinler eklemeyi önerebilirler. Bu, kuruluşların “en az ayrıcalık ilkesine” uymasını sağlayarak kimliklere yalnızca temel işlevlerini yerine getirmeleri için ihtiyaç duydukları asgari erişimi sağlar. Bu, bir kimliğin bir saldırgan tarafından tehlikeye atılması durumunda, o saldırganın yalnızca o kimliğin işlevi için temel olan sistemlere erişebileceği anlamına gelir. Bu, saldırganların bir ağda hareket etmesini önemli ölçüde zorlaştırır ve bir saldırıda verebilecekleri potansiyel hasarı sınırlar.
Kimlikler için “normal” davranışın nasıl göründüğünü öğrenme yeteneği, kuruluşların anormallikleri veya olası saldırı faaliyetlerini belirlemesine de yardımcı olur. Modern kimlik çözümleri, bir kimlik yetkisiz sistemlere veya verilere tekrar tekrar erişmeye çalışırsa veya bir kimlik standart sürecin dışında sağlanırsa güvenlik personelini bilgilendirebilir. Bu, saldırganların meşru kullanıcı kimlik bilgilerini kullanarak erişim elde ettiklerinde bile fark edilmeden faaliyet göstermelerini zorlaştırır. Günümüzün tehdit ortamında, çevre korumaları yeterli değildir ve sağlam bir kimlik çözümü, erişim anında kimlikleri izlemeyi bırakamaz. Bunun yerine, bu kimliklerin zaman içinde nasıl davrandığını izlemeleri gerekir; hangi sistemlere ve verilere eriştiklerini, ne zaman eriştiklerini ve hangi konumdan eriştiklerini. Sonuç, olası saldırı faaliyetlerini gerçekleştiği anda belirlerken aynı zamanda yanıt veren ve dinamik bir şekilde erişim ayrıcalıkları verebilen gerçek zamanlı bir kimlik yönetim sistemidir.
Güçlü Kimlik Yönetimine Doğru İlk Adımlar
Kimlik güvenliğini iyileştirmenin en iyi yanlarından biri, her şeyi aynı anda yapmanız gerekmemesidir. Doğru yönde atılan her küçük adım, kuruluşu günümüz saldırganlarına karşı daha güvenli ve dayanıklı hale getirebilir. Bir kuruluşun atabileceği ilk (ve en önemli) adımlardan biri çok faktörlü kimlik doğrulamayı (MFA) uygulamaktır. Hayır, MFA mükemmel değildir ve evet, kararlı saldırganlar bunu aşmanın yollarını bulabilir. Ancak saldırganların genellikle istediklerinin kolay bir puan olduğunu ve ek sürtünme eklemenin onları sıklıkla farklı bir hedef aramaya yöneltebileceğini unutmamak önemlidir. Basit gelebilir, ancak kritiktir ve etkilidir. Güvenlik farkındalığı eğitimi de uzun bir yol kat eder. Tek başına yeterli değildir (sonuçta insanlar hala hata yapar), ancak kullanıcıları temel dijital hijyen konusunda eğitmek, yalnızca kendilerini daha iyi nasıl koruyacaklarını anlamalarına değil, aynı zamanda bunun neden önemli olduğunu anlamalarına da yardımcı olabilir.
Son olarak, gerçekten modern bir kimlik çözümü uygulamak kritik öneme sahiptir. Çok uzun zaman önce değil, kimlik yönetimi çözümleri uygulanması zor ve zaman alıcı olarak biliniyordu ve bu da birçok kuruluşun ayak sürümesine neden oluyordu. Artık durum böyle değil ve bir süredir de böyle değil. Yapay zeka ve makine öğrenimi tarafından desteklenen modern otomasyon yetenekleri sayesinde, sistemleri ve kullanıcıları envanterleme ve kuruluş genelindeki erişim ihtiyaçlarını ilişkilendirme süreci tamamen son derece hızlı bir şekilde gerçekleştirilebilir. Modern çözümler, doğuştan gelen rolleri hızla belirleyebilir ve ayrıcalıkları güvenli bir şekilde ekleme veya kaldırma fırsatlarının nerede olduğunu gösterebilir. Bu, özellikle siber işgücü eksikliğinin birçok sektörde baş ağrısına neden olduğu bir zamanda, kuruluşlar için değer elde etme süresini önemli ölçüde azaltabilir. Otomasyon ayrıca, uygulamaları kimlik çözümüne entegre etme (yerleştirme olarak adlandırılır) gibi sıkıcı süreci de ele alabilir ve değer elde etme süresini önemli ölçüde azaltabilir.
Kimliklerin ihtiyaç duydukları sistemlere ve verilere güvenli bir şekilde erişebilmelerini sağlamak giderek daha önemli hale geliyor ve günümüzün kimlik çözümleri, yeni verimlilikleri hızla sunmak için uygulama sürecini kolaylaştırıyor. Artık sadece güvenlikle ilgili değil; modern kimlik yönetimi, net üretkenlik kazanımları da sunuyor.
Kimlik Güvenliği Daha Güvenli Veri, Daha Yüksek Üretkenlik Anlamına Gelir
Saldırganlar akıllıdır. Kimliklerin savunmasız olduğunu ve zayıf kimlik yönetiminin tek bir tehlikeye atılmış kimliği önemli bir ihlale dönüştürmelerine olanak sağlayabileceğini anlarlar. Ancak günümüz kuruluşlarının bunu tek başlarına yapmaları gerekmez. Kimlik yönetimi ve güvenlik çözümleri son birkaç yılda çok yol kat etti, keşif sürecini otomatikleştirdi ve kuruluşların gerçek zamanlı olarak gelişen erişim ve hak gereksinimlerine etkili bir şekilde ayak uydurmasını sağladı. Dahası, bu çözümler mevcut kimliklerden şüpheli faaliyetleri izleyebilir ve kuruluşların devam eden saldırıları daha güvenilir ve doğru bir şekilde tespit edip düzeltmesini sağlar. Kimlik yönetimi ve güvenliğe yönelik yaklaşımlarını modernize ederek kuruluşlar yalnızca verilerini her zamankinden daha güvenli tutmakla kalmıyor, aynı zamanda heyecan verici yeni üretkenlik kazanımları da sağlıyor.
Reklam