S&P Yetersiz İyileştirmenin Önemli Bir Risk Olduğunu Söyledi

S&P Global Ratings, zayıf kurumsal çözümlerin zayıf bir şekilde önemli bir risk faktörü olabileceğini söyledi. S&P tarafından derecelendirilen 7.000’den fazla şirketin güvenlik açığı verilerinin analizi, 10 şirketten dördünün bilinen sistem kusurlarını “nadiren” düzelttiğini ortaya çıkardı.

Log4Shell gibi uzun kuyruklu kusurlar için sık olmayan düzeltmeler özellikle sorunlu olabilir (bkz.: Federaller, Log4Shell’in Çinli Hackerların Favori Vuln’ları Arasında Olduğunu Söyledi).

S&P tarafından analiz edilen veri kümesindeki en eski güvenlik açığı yirmi yılı aşkın bir süre önce keşfedildi ve bu güvenlik açığı, artık satıcı tarafından desteklenmeyen yazılımı etkiliyor. Derecelendirme kuruluşu, “Ayrıca, bu güvenlik açığı tek bir kuruluşta sekiz ay boyunca mevcuttu ve bu da saldırganlara bu güvenlik açığından yararlanmaları için bolca fırsat sağlıyor” dedi.

S&P, Verizon Veri İhlali Araştırmaları Raporu’nun son verilerine dayanarak, güvenlik açığı istismarının 2023’te neredeyse üç katına çıktığını ve bunun her yıl ortaya çıkarılan güvenlik açıklarının sayısında uzun vadeli bir artışın hızlandığına işaret ettiğini söyledi.

Yine de tüm güvenlik açıkları eşit şekilde yaratılmamıştır. İyileştirme çabalarını izlemenin bir yolu, herhangi bir güvenlik açığından yararlanılma olasılığını tahmin etmek için siber savunmacılar tarafından geliştirilen bir model olan Exploit Prediction Güvenlik Puanını kontrol etmektir. S&P tarafından analiz edilen veri seti, derecelendirilen şirketlerin ortalama EPSS puanının 0,33 olduğunu gösterdi; bu da “saldırı yüzeylerindeki güvenlik açıklarının ortalama olarak düşük istismar olasılığına sahip olduğunu gösteriyor.”

İsimsiz bir şirketin 0,9’un üzerinde bir EPSS puanı kaydetmesi, hacklenme olasılığının yüksek olduğunu gösteren bazı şirketler daha kötü performans gösterdi. Söz konusu güvenlik açığının CVSS puanı 5,3 idi ve bu da iki sistemin riski hesaplama şekli arasındaki boşluğun altını çiziyordu.

“Kötü güvenlik açığı yönetimi, genel olarak zayıf siber risk yönetiminin bir göstergesi olabilir ve bu, daha geniş yönetim ve yönetişim değerlendirmemizde dikkate alınabilir” diye uyardı.

Arizona darülaceze eczane hizmetleri sağlayıcısı OnePoint Hasta Bakımı, yaklaşık 800.000 kişiyi kişisel ve sağlık bilgilerini içeren bir veri ihlali konusunda bilgilendirdi. OnePoint, 8 Ağustos’ta ağında şüpheli etkinlik tespit ederek hassas verilere yetkisiz erişimi doğruladı. Açığa çıkan veriler potansiyel olarak açığa çıkan isimler, adresler, tıbbi kayıt numaraları, teşhis ve reçete ayrıntılarıdır. İhlal aynı zamanda bireylerin bir alt kümesinin Sosyal Güvenlik numaralarını da etkiledi.

Fidye yazılımı grubu INC Ransom, karanlık web sızıntı sitesinde Eylül ayında OPPC verilerini şifrelediğini ve sızdırdığını iddia ederek sorumluluğu üstlendi.

Telekomünikasyon devi Iliad Group’un bir yan kuruluşu olan Fransız ISP Free, 22,9 milyon mobil ve sabit hat abonesinin müşteri bilgilerini etkileyen bir veri ihlali olduğunu doğruladı. Free’ye göre şifreler, ödeme kartı bilgileri ve iletişim içeriği gibi ayrıntılar tehlikeye atılmadı.

Saldırı bir yönetim aracını hedef aldı ve Cumartesi günü Agence France-Presse’ye faaliyetler ve hizmetler üzerinde herhangi bir operasyonel etki gözlemlenmediğini bildirdi.

İhlal sırasında çalınan veriler artık suç forumu BreachForums’ta satılıyor ve tehdit aktörü “drussellx” 19 milyondan fazla müşterisi olan bir veri seti sattığını iddia ediyor.

Bir Rus mahkemesi, 2022 başlarında çeteye uygulanan baskının ardından Cuma günü REvil fidye yazılımı grubunun dört üyesini hapse mahkum etti. 4,5 ile 6 yıl arasında değişen cezalar, Rus yetkililerin Ocak 2022’de, suçlarının bir kısmıyla ilgili tutuklamaların ardından geldi. zaten verilmiş cümleler. Rus devlet haber ajansı TASS, dörtlünün diğer tutuklu REvil üyelerinden ayrı olarak yargılandığını bildirdi.

Rusya, ABD’nin grubun yüksek profilli siber saldırıları üzerindeki baskısından sonra başlangıçta Sodinokibi olarak da bilinen REvil’i hedef aldı. Rusya’nın Ocak 2022’de REvil’e karşı eylem yapacağını duyurmasının ardından sekiz kişi gözaltına alındı. Rusya’nın Ukrayna’yı işgal etmesinden sonra ABD-Rusya işbirliği sona erdi. Sanıklar yalnızca Rus yasalarına göre ödeme kartı dolandırıcılığı ve kötü amaçlı yazılım dağıtımı gibi suçlarla suçlandı.

Amerika Birleşik Devletleri, İngiltere, Kanada, Avustralya ve Yeni Zelanda’dan teşkilatlardan oluşan Beş Göz istihbarat ittifakı, küçük işletmelerin, özellikle de yeni teknoloji şirketlerinin kendilerini siber tehditlerden korumalarına yardımcı olacak güvenlik yönergeleri yayınladı. MI5 Genel Direktörü Ken McCallum’a göre bu tavsiyeler, Çin gibi ulus devlet aktörlerinin fikri mülkiyet haklarını güvence altına almaya odaklanarak devlet destekli grupların hack saldırılarına karşı koymayı amaçlıyor.

“Beş Göz Güvenli İnovasyon” yönergeleri, güvenlik yöneticilerinin atanması, varlık envanterlerinin tutulması, üçüncü taraf hizmetlerine ilişkin verilerin yönetilmesi ve iş ortaklarının veri erişiminin düzenlenmesi gibi temel güvenlik önlemlerini kapsar. Tavsiyeler, devlet destekli tehditleri ele almanın yanı sıra, suç işleyen bilgisayar korsanlığı gruplarına ve vicdansız rakiplere karşı savunma stratejileri de içeriyor.

Geçen Haftadan Diğer Hikayeler