Dışarısı tehlikeli. Siber güvenlik tehditleri oldukça yaygındır ve yeterli korumaya sahip olmayan bir sistem, saldırılara açık bir sistemdir. Bu, bulut PBX sistemi için olduğu kadar bankacılık uygulaması için de geçerlidir.
Neyse ki sistem tehlikelerine karşı mücadelede yardımcı olacak çok sayıda silah mevcut. Siber güvenlik silahlarının en güçlülerinden biri tehdit modellemedir. Bu kadar etkili olmasının nedenlerinden biri de reaktif düzeltmeden ziyade metodik önlemeye dayalı bir yaklaşım olmasıdır. Bir ons önleme….
Tehdit modelleme nedir?
Tehdit modelleme, siber güvenlik profesyonellerinin bir sistemin güvenlik açıklarını ve onları hedef alabilecek olası tehditleri tanımlayabildiği süreçtir. Kimlik avı ve fidye yazılımı gibi güncel önemli örneklerle tehditler giderek artıyor.
Resim kaynaklı finansonline.com’dan
Ayrıca tehdit modelleme, her tehdidin ciddiyetinin değerlendirilmesini ve her tehdide nasıl karşı çıkılabileceğinin değerlendirilmesini içerir.
Duruma ilişkin birkaç farklı yaklaşım getirilebilir. Bu sayede her türlü tehdidin ve her türlü tehlike senaryosunun kapsanabileceği umulmaktadır. Yaklaşımların her birinin ortak noktaları vardır. İlk önce buna bakacağız.
Tüm tehdit modellemede akılda tutulması gereken önemli faktör, bunun yapılandırılmış bir süreç olmasıdır. Tehdit modellemeyi yapan BT uzmanı, birçok temel bileşeni olan sistematik bir yaklaşımı benimser.
Genel olarak konuşursak, bu bileşenler şunlardır:
1.Üzerinde çalıştığımız konuyu ele alın. Burada hangi etkinlik yapılıyor? Genel ofis işi mi yoksa VoIP aramaları gibi daha spesifik bir şey mi?
2.İşin bu bölümünü hedef alabilecek hangi tehditler mevcut? Bu, sistemin stres noktalarının yanı sıra geliştirilen en son tehditlerin de net bir şekilde anlaşılmasını gerektirir.
3.Hangi iyileştirici adımlar atılmalıdır? Sistem ve tehdit ortamı hakkında iyi düzeyde bilgi, olası tehditlerle mücadelede etkili yaklaşımlara olanak sağlayacaktır.
4.Kendini değerlendirme unsuru bulunmalıdır. BT ekibi tehdide karşı koruma konusunda iyi bir iş çıkardı mı?
Tehditler sürekli olarak gelişmekte olduğundan, güvenlik profesyonellerinin oyunun zirvesinde kalabilmek için öğrenme modunda kalmaları gerekmektedir. Bu nedenle ticari güvenlik operasyonları ve hükümet ile yetkililerin yürüttüğü veri analitiği her zaman gelişmektedir.
Buradan itibaren izlenecek üç olası geniş yaklaşım vardır. Hangisi seçilirse seçilsin, sistemde bir ayrışma unsuru olacaktır. Bu, bileşen parçalarının birbirine nasıl uyduğunu görmek için organizasyonun yapısının bozulması anlamına gelir.
Bir BT uzmanının tercih edeceği yaklaşım muhtemelen aşağıdakilerden iki veya daha fazlasının birleşimi olacaktır:
•Varlık merkezli: Bu, sistemin varlıklarının anlaşılmasını sağlayacaktır. Yani bir saldırganın ele geçirmek isteyeceği parçalar. Bu, sektöre duyarlı bilgiler, mali kayıt verileri, güvenlik protokolleri ve daha fazlası olabilir.
•Saldırgan merkezli: Bu, saldırganın kim olabileceği ve saldırganın nereye erişim kazanabileceği konusunda bir anlayış oluşturacaktır. Yani giriş noktaları. Ayrıca belirli dış kurumlara verilen güven düzeyleri de takdir edilecektir.
•Yazılım merkezli: Bu, sistemin mimarisinin ve veri akışının daha iyi anlaşılabilmesi için sistemin anlaşılmasını sağlayacaktır.
Şimdi bir siber güvenlik uzmanının tehditleri ortadan kaldırmak için kullanabileceği bazı spesifik yöntemlere bakalım:
1.CVSS
Bu, Ortak Güvenlik Açığı Puanlama Sistemi anlamına gelir. Bir sistemin tüm temel özelliklerini listeleyerek ve saldırıya karşı savunmasızlığına ilişkin 1’den 10’a kadar (10 en kötüsü) bir puan atayarak çalışır. Bu, üç ölçüm seti kullanılarak gerçekleştirilir:
Resim kaynaklı balbix.com’dan
Bu, karşılaştıkları tehditleri önceliklendirmek isteyen işletmeler için harika bir tekniktir çünkü ilk önce neyle ilgilenilmesi gerektiğine dair net bir gösterge sağlar.
2.MAKARNA
Bu, Saldırı Simülasyonu ve Tehdit Analizi Süreci anlamına gelir. Bu, teknik güvenliğe odaklanmayı ve bunu iş hedefleriyle eşleştirmeyi amaçlayan yedi adımlı bir prosedürdür. Atılan adımlar aşağıdaki gibidir:
- Amaç tanımı
- Teknik kapsam tanımı
- Sistem ayrıştırması
- Tehdit analizi
- Güvenlik açığı analizi
- Saldırı simülasyonu
- Risk değerlendirmesi
PASTA yaklaşımının avantajları arasında kapsamlılığı ve departmanlar arası işbirliğini teşvik etme şekli yer almaktadır. Sonuçta yedi adım bu tür bir ekip yaklaşımını gerektirir, aksi takdirde yalnızca kısmi bilgi elde edilecektir. Dezavantajları ise uzun olması, yani pahalı olmasıdır.
3.ADIM
Bu, Microsoft’un 1990’larda ortaya çıkmasından bu yana ortalıkta. Kısaltması, ele aldığı farklı tehditleri ifade eder:
- Kimlik Sahtekarlığı: Saldırgan başka bir kimlik üstlenerek erişim kazanır.
- Kurcalama: Verilerin ve veri gizliliğinin kötü niyetli bir amaçla değiştirilmesi.
- Reddetme: Saldırganın suçluluğunu inkar etme yeteneği.
- Bilgi ifşası: Verilerin yetkisiz kuruluşlara ne ölçüde ifşa edilebileceği.
- Hizmet reddi: Saldırgan, hizmetleri meşru kullanıcılar tarafından kullanılamayacak şekilde tüketmeyi başarır.
- Ayrıcalığın Yükselmesi: Saldırgan kendisi için daha yüksek ayrıcalık elde etmeyi başarır.
STRIDE kullanan bir siber güvenlik uzmanı, bir sistemi bu yolların her biriyle saldırı altındaymış gibi test eden senaryolar oluşturmaya çalışacaktır. Sonuç, sistem güvenlik açıklarının son derece kapsamlı bir resmidir. Dezavantajı ise zaman alıcı olması ve biraz OTT olabilmesidir. Titiz olmak harika. Ancak bazen tüm temelleri kapsamak gereksizdir.
4. Saldırı ağacı
Resim kaynaklı totem.tech’ten
Bu bir saldırı konseptini ortaya koyan bir diyagramdır. Başka bir deyişle, sisteme olası saldırı yolları şematik olarak gösterilmiştir. Bu, saldırganın beceriler ve hedefler açısından tanımlandığı saldırgan merkezli bir yaklaşımdır. Bu şekilde çalışır:
- Başlangıçta bir kök düğüm var. Bu saldırganın hedefini temsil eder.
- Yaprak düğümleri eklenir. Bunlar bu hedefe ulaşmanın olası yollarını temsil eder.
- Her düğüm, güvenlik açığı seviyeleri ve etki potansiyeli açısından değerlendirilir.
- Düğüm değerlendirmelerine göre ihtiyaç duyulan yerlere savunmalar kurulur.
Saldırı ağaçlarının güzel bir avantajı, bunlar üzerinde bir dizi ortak saldırı dizisini kullanabilmenizin yanı sıra tamamen yeni tehdit vektörlerini deneyebilmenizdir. Aynı zamanda görsel olarak anlaşılırlığı iyi olan, kullanımı kolay bir tekniktir.
Dezavantajları ise vasıfsız bir kullanıcının güvenlik açıklarını gözden kaçırabilmesidir. Bunun nedeni, tehdit değerlendirmesine ilişkin somut saldırı ağacı kurallarının bulunmamasıdır. Bu alanda olası sorunları doğru bir şekilde değerlendirmek için yetenekli bir siber güvenlik uzmanı gerekir.
5. GENİŞ
Bu yaklaşım Görsel, Çevik ve Basit Tehdit modellemeyi ifade eder. Tehdit modellemesinin çeşitli ekipler ve alt sistemler genelinde uygulanmasını gerektiren büyük kuruluşlar için en iyisidir. İki modelden oluşur:
- Uygulama tehdidi. Bu, kullanıcı-uygulama etkileşimlerinde ve ayrıca dış sistemlerle etkileşimlerde hangi tehditlerin mevcut olduğunu görmek amacıyla bir uygulamayı değerlendirmek için tasarım düzeyinde mimari bir perspektif kullanır.
- Operasyonel tehdit: Bu, sistem altyapısına bakan bir DevOps yaklaşımıdır.
İki model çoğu sisteme yerleştirilebilir; bu da VAST’ın son derece çok yönlü olduğu anlamına gelir. Diğer avantajlar arasında ölçeklenebilir ve otomasyon dostu olması yer alır. Ayrıca özel güvenlik uzmanlığı gerektirmez. Dezavantajları tazeliğini içerir. Hala oldukça yeni olduğundan diğer yaklaşımlarla ortak olan belge hacmi yoktur.
Reklam
LinkedIn grubumuz “Bilgi Güvenliği Topluluğu”na 500.000’den fazla siber güvenlik profesyoneline katılın!