Yazan: Andy Syrewicze, Microsoft MVP’si ve Teknik Evangelist, Hornetsecurity
2023 yılı, polis güçlerinden sağlık hizmeti sağlayıcılarına kadar çeşitli kuruluşları hedef alan bir dizi kötü niyetli siber saldırıya sahne oldu. Tehdit ortamı, kariyerim boyunca büyük ölçüde değişti; artık her saniye 500’den fazla potansiyel siber saldırı kaydediliyor.
Bu nedenle kuruluşların kendilerini tehdit aktörlerinden en iyi şekilde nasıl koruyacaklarını anlamaları her zamankinden daha kafa karıştırıcı olabilir. Hornetsecurity tarafından yapılan son araştırma, işletmelerin neredeyse %60’ının fidye yazılımı saldırıları konusunda ‘çok’ ila ‘aşırı’ endişe duyduğunu, ancak sekiz kuruluştan birinin (%12,2) bir felaket kurtarma planı olmadığını ortaya çıkardı. Bu şirketlerin yarıdan fazlası birincil neden olarak ‘kaynak veya zaman eksikliğini’ gösterdi; bu da iş liderlerini siber güvenlik korku hikayelerinden nasıl kaçınabilecekleri konusunda eğitmenin önemini gösteriyor.
Yönetilmeyen IoT cihazlarının tehlikeleri
Akıllı teknolojinin yükselişiyle birlikte Nesnelerin İnterneti (IoT) cihazları dünya çapında ofislerde ve işyerlerinde yaygın hale geldi. IoT cihazları, akıllı kapı kilitlerinden, fitness takipçilerine, tıbbi sensörlere ve hatta bir buzdolabına kadar her şeyi kapsayabilir. İlk bakışta bu cihazlar zararsız görünebilir ancak internet bağlantı yetenekleri nedeniyle siber saldırılar gerçekleştirmek üzere tehdit aktörleri tarafından manipüle edilebilirler.
Kariyerim boyunca gözlemlediğim en çarpıcı hack, bir akvaryumdaki akıllı aydınlatma sisteminin, bir ofis binasında hedeflenen fidye yazılımını başlatmak üzere manipüle edilmesiyle ilgiliydi. IoT cihazlarıyla ilgili sorun, görünüşte zararsız görünümleri nedeniyle bu cihazların tanımlanmasının zorluğunda yatmaktadır. Daha sonra bunun ilk düşündüğüm kadar benzersiz olmadığını keşfettim; benzer bir saldırı bir kumarhanede de meydana geldi. Neyse ki akvaryum aydınlatması olayında saldırının kapsamı daha küçüktü ve yalnızca bir avuç bilgisayarı hedef alıyordu, bu da teminatın küçük olduğu ve cihaz tanımlandıktan sonra kolayca kurtarılabileceği anlamına geliyordu.
Bu saldırıların görünüşte zararsız IoT cihazlarından kaynaklandığı gerçeği, bir ofis alanındaki tüm cihazların takip edilmesinin önemini göstermektedir. Düzenli donanım yazılımı güncellemelerinin gerçekleştirilmesini sağlayarak, söz konusu cihazlar için çok faktörlü kimlik doğrulamanın kullanılmasını sağlayarak ve/veya IoT cihazlarının özel bir ağa yerleştirilmesini sağlayarak kuruluşlar, IOT cihazlarının yönetim unsurlarına dışarıdan erişimi engelleyebilir ve bu da siber saldırıları önleyebilir. -saldırılar.
Güvenlik Farkındalığı Eğitimi, kimlik avı korku hikayelerini nasıl önleyebilir?
Kimlik avının en popüler siber saldırı yöntemlerinden biri olduğu ve tüm siber saldırıların yaklaşık %40’ını oluşturduğu bir sır değil. Yakın zamanda yapılan Hornetgüvenlik araştırması, tüm e-posta trafiğinin %40’ının tehdit oluşturduğunu ve günlük küresel e-posta trafiğinin %5’inin (yaklaşık 19 milyar e-posta) kötü amaçlı olarak sınıflandırıldığını ortaya çıkardı.
İşletmelere yönelik siber saldırılardan kaynaklanan açık tehdit, hızlı bir şekilde gerçekçi ve başarılı kimlik avı saldırıları oluşturmak üzere manipüle edilebilen üretken yapay zeka modellerinin geliştirilmesi sayesinde daha da arttı. Kimlik avı girişimleri, kuruluşların fonlarını zimmete geçirmek için insanların zayıf noktalarını gözetliyor ve kariyerimde gördüğüm en yıkıcı kimlik avı planlarından bazıları, bu saldırılara karşı önleyici bir yöntem olarak çalışanları eğitmenin önemini gösteriyor.
Başka bir örnek, yönetilen bir hizmet sağlayıcısına yönelik hedefli hedef odaklı kimlik avını içerir. CFO, görünüşe göre şirketin sahibinden gelen bir e-posta aldı. Bu e-posta, tüm doğru tanımlayıcılar, iletişim bilgileri ve unvanlarla çok akıllıca hazırlanmıştı, ancak mesaj biraz hatalıydı; CFO’dan 72 bin dolarlık bir faturanın ödemesini doğrudan banka havalesi yoluyla göndermesini istiyordu ki bu da normların dışındaydı. Neyse ki CFO, güvenlik konusunda farkındalık eğitimi almış ve bunun bir hedef odaklı kimlik avı girişimi olduğunu tespit edebilmişti. Garip bir şekilde, MSP’nin o sırada yerel kolluk kuvvetleriyle devam eden bir projesi vardı ve sonunda faili yakalayarak bu korku hikayesine mutlu bir son verdi.
2.000’den fazla BT uzmanının katıldığı bir ankette, dörtte biri (%25) Microsoft 365’in fidye yazılımı saldırılarına karşı bağışık olduğundan emin olmadıklarını veya yanlış inandıklarını söyledi. Bu yanlış güvenlik duygusu, savunmalarını üçüncü taraf araçlarla güçlendirme ihtimalinin düşük olduğu anlamına geliyor. Kuruluşlar, etkili güvenlik farkındalığı eğitimi sunarak çalışanlarına yeni siber saldırı yöntemlerini tanıma becerisi kazandırabilir ve mevcut ve gelecekteki siber tehditlerle başa çıkabilecek donanıma sahip, sürdürülebilir ve çok yönlü bir siber güvenlik kültürünün geliştirilmesine yardımcı olabilir.
Bunun gibi korku hikayelerine tanık olduğumuzda, bir kuruluş içinde kullanılan cihazları takip etmenin ve mevcut tehdit ortamına karşı eğitimli kalmanın büyük önem taşıdığı açıkça görülüyor. Kuruluşların ayrıca verilerin güvende kalmasını sağlamak için uygun, sürdürülebilir ve sağlam savunma yöntemlerine yatırım yapması gerekir. Bu, filtreler ve güvenlik duvarları dahil teknik savunmalar, izleme araçları ve makine öğrenimi tarafından yönlendirilenler gibi diğer yenilikçi çözümlerin yanı sıra çalışanlar arasında sürdürülebilir bir güvenlik kültürünü teşvik etmek için bir güvenlik farkındalığı eğitim programının uygulanması olabilir.
Reklam