Birleşik Krallık hükümeti, yeni ve daha katı siber güvenlik önlemleri başlattı.
fidye yazılımı saldırılarının büyümesine yanıt. Bu önlemler, temel devlet dairelerini siber tehditlerden korumak için tasarlanmıştır. Yine de, kuruluşlara proaktif olma ve siber güvenliğe öncelik verme zamanının geldiğine dair açık bir mesaj veriyorlar.
Bu güvenlik önlemlerinin yanı sıra, manzarayı dolduran siber tehditlere karşı farkındalığı artırmak için Ulusal Siber Güvenlik Merkezi’nden (NSCR) yeni hizmetlerin piyasaya sürülmesi geliyor. Ancak bunlar doğru yönde atılmış bir adım gibi görünse de, daha uzun ve ‘daha güçlü’ parolalar ve geleneksel çok faktörlü kimlik doğrulama (MFA) arasında değişen yanıltıcı ve yanlış tavsiyeler sunar. Saldırganlar bu savunmaları geniş ölçekte atlayarak sonuçta siber korumaya minimum düzeyde fayda sağlar.
Bu ‘savunmaların’ ana sorunu, siber saldırganların sistemlere ve ağlara girmesi için ön kapıyı açık bırakmalarıdır. Bir zamanlar en iyi uygulama olarak kabul edilen geleneksel MFA’ya güvenmek, şu anda var olan tehditlere karşı koruma sağlamada ne yazık ki artık yetersiz. Ele alınması gereken açık ve mevcut bir tehdittir.
Büyük bir organizasyonun bir siber saldırının kurbanı olması acı verecek kadar düzenli bir olay gibi görünüyor.
saldırı. Ortam, daha önce çalınan parolalardan yararlanan saldırılarla dolu ve Twilio ve Uber’in gösterdiği gibi, suçlular artık yasa dışı erişim elde etmek için eski MFA biçimlerini kolayca atlayabiliyor. Ağın ön kapısına eriştiklerinde, geri kalan veri çalmak veya fidye yazılımı yüklemek için boş alandır. Artık beyaz gürültü haline gelen bu saldırılar, bu köhne teknolojiye güvenen herhangi bir kuruluş için alarm zilleri çalıyor olmalıdır.
Geleneksel MFA’nın güvenlik açıklarını anlama
Siber saldırılar nadiren karmaşıktır. Bunun yerine saldırganlar, hedeflerinden şifreler ve güvenlik sorularından tek seferlik kodlara kadar çeşitli bilgileri çıkarmak için basit kimlik avı ve sosyal mühendislik yöntemlerini kullanır. Bunlara erişim, saldırganlara eski MFA erişilebilirlik kontrollerini atlama ve bir kuruluşun sistemlerine girme anahtarı verir.
Bu tek seferlik parolalara dayanan geleneksel MFA, kodları genellikle e-posta ve SMS gibi güvenli olmayan kanallar aracılığıyla gönderir. Bunlar, saldırganlara ortadaki saldırı tekniklerini kullanarak araya girme fırsatı vererek onlara sistemlere erişim elde etmek için gereken parolalara, MFA kodlarına ve oturum açma kimlik bilgilerine erişim sağlar. Bu modası geçmiş kimlik doğrulama süreci nedeniyle, oturum açan kişinin gerçek kullanıcı mı yoksa kılık değiştirmiş saldırgan mı olduğunu bilmek imkansızdır.
Saldırganların eski MFA kimlik doğrulamasını atlamak için kullandıkları bir başka teknik de ‘hızlı bombalama’dır. Saldırganlar, mobil anında iletme bildirimlerine dayalı olarak, bir MFA doğrulama isteğini tetiklemek için hesaba erişmeye çalışır. Bunu tekrar tekrar yapacaklar, bir kullanıcıyı oturum açmayı onaylaması için hüsrana uğratmayı ve yormayı amaçlayarak – farkında olmadan ama isteyerek erişim izni veriyorlar.
Kullanıcıları hayal kırıklığına ve bitkinliğe zorlamak, MFA yorgunluk saldırıları olarak bilinen saldırıların temelidir ve eski kimlik doğrulama teknolojilerini atlatmanın etkili bir yoludur. Bu tür bir saldırının popülaritesi siber suçlular arasında giderek artıyor ve araştırmalar, bu MFA yorgunluk saldırılarının MFA’nın etkinleştirildiği kullanıcı banka hesaplarının %55’inde, Facebook hesaplarının %54’ünde ve Instagram hesaplarının %47’sinde gerçekleştiğini gösteriyor. Yorgunluk saldırıları Apple Kimliği hesaplarında (%19) ve PayPal hesaplarında (%13) daha az görülürken, kullanıcıların yalnızca %19’u bu hesaplarda MFA’yı etkinleştirmiştir.
Tükenmeyi önlemek için birçok kullanıcı, gerektiğinde otomatik doldurma amacıyla uygulamaların ve tarayıcıların parolaları kaydetmesini sağlar. Aslında araştırmada, kullanıcıların %80’i en az bir hesapla otomatik parola doldurma araçlarını kullandıklarını kabul etti ve bu da sonuçta hesap güvenliğini baltalıyor.
Kimlik avına karşı direnç, umutsuzca ihtiyaç duyulan bir yükseltmedir
Tüm MFA eşit yaratılmamıştır. Zayıf MFA – parolalara, tek seferlik kodlara, SMS anında iletme bildirimlerine veya kimlik avına maruz kalabilen sihirli bağlantılara dayananlar ise öyledir. Bunları kullanan kuruluşlar, sistemlerinde acilen mevcut mimarilerine uyan ve kullanıcının yükünü kaldıran bir yükseltme aramalıdır.
İşte burada, kriptografik FIDO geçiş anahtarları ve yüz tanıma, parmak izleri veya yerel PIN kodları gibi yerleşik güvenli kimlik doğrulama özellikleri kullanan parolasız ve kimlik avına dayanıklı çözümlerin uygulanması devreye giriyor. Modern MFA, doğrulayıcı kimliğe bürünme korumaları olarak bilinenleri de içermelidir. Bu, yalnızca kimlik bilgilerinin kriptografik geçiş anahtarlarına ve biyometriye dayalı olmadığı, aynı zamanda bir kimlik doğrulama talebini yanıtlayan aracının, talebin yetkili bir etki alanından geldiğini kriptografik olarak doğrulayabileceği anlamına gelir. Bu teknikler, parola tabanlı ve ortadaki düşman saldırılarının tüm sınıfını ortadan kaldırır. Siber suçlular, bu güçlü kimlik doğrulama teknikleri sayesinde, günümüzde parolalar ve eski MFA ile olduğu gibi kimlik doğrulamasını kolayca atlayamaz. Bu nedenle, bu teknoloji, çoğu kişiyi otomatik olarak doldurulan parolaların güvensiz kollarına iten geleneksel MFA’nın getirdiği hayal kırıklığı ve yorgunluktan kullanıcıları kurtarırken, veri ihlallerinin en önemli nedenini ortadan kaldırabilir.
Kullanıcının kimliğini cihaza bağlayan ve kullanıcıları sorunsuz bir şekilde doğrulamak için biyometrik kimlik doğrulaması uygulayan kimlik avına dayanıklı ve parolasız bir MFA ile kuruluşların cephaneliğinde bu tehditlere karşı koruma sağlamak için tasarlanmış bir araç vardır. Şirketler bu teknolojiye geçiş yaparak müşterilerini, kullanıcılarını ve kendilerini başka türlü kendilerine zarar verecek olanlardan daha iyi koruyabilirler. Bu hamle, siber suçluların şimdi ve gelecekte en popüler silahlarını – güvenliği ihlal edilmiş kimlik bilgilerinin ön kapı anahtarı – kullanmalarını önlemede uzun bir yol kat edebilir.
