Venafi’ye göre kuruluşların %86’sı geçtiğimiz yıl içinde bulut yerel ortamlarıyla ilgili bir güvenlik olayı yaşadı.
Sonuç olarak kuruluşların %53’ü uygulamanın başlatılmasını geciktirmek veya üretim süresini yavaşlatmak zorunda kaldı; %45’i başvuru hizmetlerinde kesinti veya aksama yaşadı; ve %30’u saldırganların verilere, ağlara ve sistemlere yetkisiz erişim sağlayabileceğini söyledi.
Güvenlik ve geliştirici ekipleri çatışmaya devam ediyor
Güvenlik liderlerinin %88’i, makine kimliklerinin (özellikle erişim belirteçleri ve bunlara bağlı hizmet hesaplarının) saldırganlar için bir sonraki büyük hedef olduğuna inanıyor. %56’sı geçen yıl hizmet hesaplarını kullanan makine kimlikleriyle ilgili bir güvenlik olayı yaşadı.
Güvenlik liderlerinin %77’si yapay zeka zehirlenmesinin yeni yazılım tedarik zinciri saldırısı olacağını düşünüyor. Yüzde 84’ü ise tedarik zinciri saldırılarının açık ve mevcut bir tehlike olmaya devam ettiğine inanıyor. Ancak endişe verici bir şekilde %61’lik bir kesim, üst düzey yönetimin geçen yıl tedarik zinciri güvenliği konusuna odaklandığını söylüyor.
Güvenlik liderlerinin %68’i, güvenlik profesyonelleri ile geliştiricilerin her zaman anlaşmazlığa düşeceğine inanıyor ve %54’ü, geliştiricilerin önce güvenlik zihniyetine sahip olmalarını sağlamak için kaybedilecek bir mücadele verdiklerini düşünüyor.
CyberArk Şirketi Venafi’nin İnovasyon Direktörü Kevin Bocek, “Saldırganlar artık aktif olarak bulut tabanlı altyapıyı araştırıyor” dedi. “Devasa bir siber saldırı dalgası artık bulut tabanlı altyapıyı vurarak çoğu modern uygulama ortamını etkiliyor. Daha da kötüsü, siber suçlular, yetkisiz erişim elde etmek ve hizmet hesaplarını giderek artan ölçekte kullanarak makine kimliklerinden yararlanmak için yapay zekayı çeşitli şekillerde kullanıyor. Makine kimliklerinin hacmi, çeşitliliği ve hızı bir saldırganın rüyası haline geliyor.”
Katılımcılar ayrıca, saldırganların AI modellerini ve uygulamalarını tehlikeye atmak için bu ortamları hedeflemesi nedeniyle bulut yerel güvenliğinin artan baskı altına girme riskini de bildirdi:
- %77’si, yapay zeka veri giriş/çıkışlarının kötü amaçlarla manipüle edildiği yapay zeka zehirlenmesinden endişe duyuyor.
- %75’i model hırsızlığından endişe ediyor.
- %73’ü yapay zeka liderliğindeki sosyal mühendisliğin kullanımından endişe duyuyor.
- Yüzde 72’lik bir kesim ise yapay zeka tedarik zincirindeki kaynak konusunda endişeli.
Bocek şöyle devam ediyor: “Yapay zekanın dünyamızı olumlu bir şekilde dönüştürmesi için büyük bir potansiyel var ancak bunun korunması gerekiyor.” “İster gizlice içeri giren ve bir modeli bozan, hatta çalan bir saldırgan olsun, ister yetkisiz erişim elde etmek için yapay zekayı taklit eden bir siber suçlu olsun, ister aklımıza bile gelmeyen yeni bir saldırı türü olsun, güvenlik ekiplerinin ön planda olması gerekir. Bu nedenle yapay zeka için eğitilen, dağıtılan ve çalıştırılan bireysel modellerin benzersiz kimliğine dayalı bir acil anahtar her zamankinden daha kritik hale geldi.”
Bulut karmaşıklığı, makine kimlikleriyle ilgili daha fazla olaya yol açıyor
Hizmet hesaplarıyla kullanılan erişim belirteçleri gibi makine kimlikleri %56 ile listenin başında yer aldı ancak neredeyse aynı sayıda (%53) sertifikalar gibi diğer makine kimlikleriyle ilgili olaylar yaşandı.
Bu olayların bu kadar düzenli bir şekilde meydana gelmesinin nedenlerinden biri, bulut yerel ortamlarının artan karmaşıklığıdır. Bu, güvenlik ekipleri için bulut yerel ortamlarında erişimi ve kimlik doğrulamayı destekleyen makine kimliklerini yönetme ve güvence altına alma konusunda yeni zorluklar yaratıyor.
Güvenlik liderlerinin %74’ü, insanların makine kimlik güvenliğindeki en zayıf halka olduğu konusunda hemfikir. Ekiplerin %83’ü, iş yükü düzeyinde makine kimliklerinin güvenliğinin sağlanamamasının diğer tüm güvenlikleri geçersiz kıldığının farkındadır.
%69’u, yerel bulut ortamları ile veri merkezi ortamları arasında güvenli erişim sağlamanın “yönetilmesi gereken bir kabus” olduğunu söylerken %89’u, sırları geniş ölçekte yönetme ve güvence altına alma konusunda zorluklar yaşıyor.
%83’ü birden fazla hizmet hesabına sahip olmanın da çok fazla karmaşıklık yarattığını düşünüyor, ancak çoğu (%91) hizmet hesaplarının politikaların bulut yerel ortamlarında tek tip tanımlanmasını ve uygulanmasını sağlamayı kolaylaştırdığını kabul ediyor.
Bocek sözlerini şöyle bitiriyor: “Saldırganlar, bulut tabanlı teknolojilerdeki makine kimliklerine giderek daha fazla odaklanıyor. Güvenlik ekipleri, makine kimlik güvenliğine insan kimlikleriyle aynı derecede öncelik vermelidir. Harika haber şu ki, sır yönetimi, sertifika yaşam döngüsü yönetimi (CLM) ve bulut yerel güvenliği bugün mevcut. Otomatik, uçtan uca bir makine kimlik güvenliği programı, işletmelerin bulut yerel güvenliklerini geliştirerek operasyonel istikrar ve iş büyümesini garanti altına alabilecekleri anlamına geliyor.”