2022’nin sonlarında meydana gelen LastPass güvenlik ihlali, güvenlik topluluğunda bir şok dalgası yarattı. Parola yöneticileri, olması gerektiği için genellikle en güvenli ve güvenilir platformlar olarak görülür. Çok sayıda hizmetin kimlik bilgilerine sahip olarak, herhangi bir müşteri kasasındaki bir ihlalin feci sonuçları olabilir.
Hiçbir hizmet mükemmel değildir ve bu parola yöneticileri için de geçerlidir, kendinizi daha da fazla korumak için ne yapabilirsiniz?
Güçlü hizmet parolaları seçmekten, gizli anahtarları özenle korumaya ve çok faktörlü kimlik doğrulama kullanımını sağlamaya kadar, kuruluşunuzun güvenlik açıklarını en aza indirecek adımlar atabilir.
LastPass İhlalinde Ne Oldu?
Aralık 2022’de, tehdit grupları LastPass yedek verilerini çaldı. İhlal, kaynak kodu verilerini ve URL’ler gibi şifrelenmemiş meta verileri ve şifreler gibi şifrelenmiş verileri içeren müşteri kasalarını içeriyordu. LastPass kullanımıyla ilgili bir basın bülteninden alınan verilere göre, bu ihlal en az 30 milyon kullanıcıyı ve 85.000 işletmeyi etkiliyor.
Bu ihlal, bir tehdit aktörü kaynak kodunu ve teknik verileri içeren bulut tabanlı bir depolama ortamına eriştiğinde meydana geldi. Tehdit aktörleri, çalınan verileri, tehdit aktörlerinin depolama hacimlerine daha fazla erişim elde etmek ve verilerin şifresini çözmek için kullandıkları başka bir LastPass çalışanına karşı kullandı.
Sonuçta bu, tehdit aktörlerinin şifrelenmiş müşteri kasaları da dahil olmak üzere büyük miktarda veriyi çalmasına yol açtı.
Kuruluşunuz Ne Yapabilir?
Hassas verilerinizi bir bulut hizmetine emanet etmek, kuruluşunuz için doğru olanı bulmak için ciddi araştırma gerektiren bir hizmettir. Şirket içi bir çözüm de doğası gereği daha güvenli değildir.
Fazla çalışan BT yöneticilerinin yanlışlıkla bir çözümü yanlış yapılandırması, kimlik bilgilerini bir tehdit aktörüne kaptırması veya şirket içi bir çözümü güncellemeyi unutması tamamen mümkündür.
Bulut hizmetlerinin sahip olduğu bir avantaj, yukarıdaki zorlukların tümüne adanmış ekiplerdir.
Birçok BT departmanı, benzer grupları şirket içi bir parola yönetimi çözümüne atamak için daha fazla kaynağa ihtiyaç duyar. BT kuruluşunuzun bulut tabanlı bir hizmet kullanacağını varsayarsak, verilerinizi nasıl daha iyi koruyabilirsiniz?
Sıfır Bilgili Parola Yönetim Mimarilerinin Kullanımını Sağlama
Bulut tabanlı bir parola yönetimi çözümü seçerken, hizmetin verilerinizin şifresini çözme yolu olmamalıdır. Tipik olarak, çevrimiçi hizmetin sahip olmadığı, müşterinin sahip olduğu bir şifreleme anahtarı aracılığıyla yapılır; bu “gizli anahtar”, veriler kaybolsa bile bir tehdit aktörü tarafından kurtarılamayacağını garanti eder.
Bu şifreleme, yalnızca verileri şifrelemek için kullanılan gizli anahtar, ne kadar iyi korunduğu ve bulut sağlayıcı tarafında kullanılan şifreleme düzeyi kadar iyidir.
Müşteri olarak yapabileceğiniz şey, herhangi bir makul zaman diliminde şifresi çözülemeyen, yeterince karmaşık, rastgele oluşturulmuş bir parola oluşturmaktır.
Gizli anahtarın korunması, bir ihlal durumunda bir tehdit aktörünün kuruluşunuzun verilerinin şifresini çözmesinin hiçbir şekilde mümkün olmaması açısından çok önemlidir.
İdari Hesapların Güvenliğini Sağlama
Doğal olarak, herhangi bir hizmet, çevrimiçi hizmeti yapılandırmak için yönetici erişimi gerektirecektir. Yönetici hesabının genellikle depolanan tüm verilere erişimi vardır.
Bu hesabı, güçlü bir parola politikası aracılığıyla kimlik avından veya kaba kuvvet parola girişimlerinden korumak, bir tehdit aktörünün şirketinizin parola kasalarına erişmesini engelleyecektir.
Bir yönetici hesabı, varsayılan bir kullanıcı adının veya ihlal edilmiş parolaların kullanımını içermemelidir. NIST, ihlal edilmiş bir parola listesine karşı parolaların kontrol edilmesini önerir.
Çok Faktörlü Kimlik Doğrulamayı Zorlama
Güçlü bir parola ile birleştiğinde, uygun çok faktörlü kimlik doğrulamayı zorunlu kılmak, kuruluşunuzun hassas verilerine erişmeye yönelik tüm girişimleri boşa çıkarmada uzun bir yol kat edecektir. İyi bir MFA kurulumu, bir donanım anahtarı gibi sağlam yöntemler veya parmak izi gibi bir biyometrik yöntem kullanmayı içermelidir.
MFA genellikle bir eklenti olarak görülür, ancak güvenlik bilincine sahip bir kuruluş MFA politikalarını herkes için uygular. Çalıntı bir parolayla bile, MFA’yı tehlikeye atmak için harcanan zaman ve çaba kazanımlara değmediğinden, MFA genellikle bir tehdit aktörünü durdurur.
Kaynaklara Erişimi Güçlü Parola İlkeleriyle Koruma
Şirketinizin hassas verilerinin korunmasının temelinde sağlam bir parola politikası yatmaktadır. Çevrimiçi şifre çözme anahtarı, yönetici hesapları ve çevrimiçi kaynaklara erişen tüm cihaz hesapları için güçlü bir parola ilkesi çok önemlidir.
Kuruluşunuzun, ihlal edilen parolaları tekrar kullanmayan uygun bir parola politikasına sahip olmasını sağlayarak, bir ihlal olması durumunda şirketiniz başarılı olacaktır.
Kaynakları Specops Şifre Politikası ile Koruyun
Güçlü bir parola ilkesinin temelini oluşturan Specops Parola İlkesi, kuruluşunuzu güvenli ve uyumlu tutacak özellikler sunar.
Kapsamlı parola karmaşıklığı kuralları ve ihlal edilmiş parola koruması eklentisi sayesinde, kuruluşunuz kullanıcılarınızın parolalar için en iyi uygulamalara uymasını sağlayabilir.
Parola kurallarının ötesine geçen Specops Parola İlkesi, aygıtların ayrıntılı bir şekilde hedeflenmesini sağlamak için Active Directory alanınızla bütünleşir. Ayrıca, kuruluşunuz değiştirilen bir parolanın karmaşıklık gereksinimlerini karşılayıp karşılamadığını doğrudan kullanıcının masaüstünden gösterebilir.
Saldırıya Uğramış Bir Parola Yöneticisinin Tehlikelerini Azaltın
Sonunda, ihlal edilmiş bir şifre yöneticisi asla iyi değildir, ancak felaket olması da gerekmez. Sağduyulu hesap güvenliği uygulamalarını, güçlü parola ilkelerini ve zorunlu çok faktörlü kimlik doğrulamayı kullanarak, kuruluşunuzu kurban olmaktan korumaya yardımcı olabilirsiniz.
Herhangi bir hizmetin herhangi bir zamanda ihlal edilebilir olduğunu varsaymak her zaman en iyisidir. İhlal durumunda uygun güvenliği uygulayın ve şirketinizin ve müşterinizin verilerinin riskini en aza indirin.
Sponsorlu ve Specops Software tarafından yazılmıştır