MGM Resorts’a yönelik son siber saldırı manşetlere taşındı ve sektörde şok dalgaları yarattı. Otel ve eğlence devi, geniş çaplı kesintilerin Las Vegas’taki birçok önemli mülkü etkilemesinin ardından sistemleri tekrar çevrimiçi hale getirmekte zorlandı. Saldırı, dahili ağlardaki kesintilerin yanı sıra kumar makinelerini, ATM’leri, dijital oda anahtar kartlarını ve elektronik ödeme sistemlerini de etkiledi.
Olayla ilgili haberlerin çoğu, kumarhanenin aşılmaz görünen güvenliğine, fidye yazılımı grubu Scattered Spider’a bağlı genç saldırganların nasıl sızdığına odaklanıyordu. Siber güvenlik sektöründeki bizler için bu saldırı, en önemli ve zorlu zorluklardan birine dikkat çekti: erişim ve kimlik doğrulama kontrollerini doğru şekilde anlamak ve yönetmek.
MGM Resorts’un hacklenmesi, şirketin BT yardım masasının vishing (sesli kimlik avı) ihlaliyle başladı. Saldırganlar, çalışanların kimliğine bürünerek ve telefon üzerinden hesaplarına erişim talebinde bulunarak, son kullanıcı doğrulamasını atlatmayı ve yönetici haklarını aldıktan sonra bir fidye yazılımı saldırısı gerçekleştirmeyi başardı. Pek çok analist, MGM’nin daha iyi kimlik çözümleri veya kullanıcı kimliklerini doğrulamak için daha güçlü yöntemler kullanması durumunda olayı önleyebileceği fikrine odaklandı.
Ancak bu gerçeklerle bağdaşmıyor.
Daha Fazla Kimlik Doğrulaması Çözüm Değil
Bilgisayar korsanları sosyal mühendislik yoluyla erişim sağladı. Giderek büyüyen güvenlik çözümleri yığınına daha fazla kimlik ürünü eklemek çözüm değil ve yetkilendirme ve erişim kontrolleri konusunda yaygın bir yanlış anlaşılma olduğunu gösteriyor. Modern siber ortamda kimliği korumak kritik bir mücadele olsa da gerçek şu ki kimlik ürünleri tek başına bu saldırıyı önleyemezdi. Kuruluşların bunun yerine kimliğin yanı sıra uygun kimlik doğrulama ve erişim kontrollerini vurgulaması gerekir.
Kullanıcının bir ağda oturum açtığında söylediği kişi olmasını sağlamak için dijital kimlikleri oluşturan, saklayan ve yöneten kimlik sağlayıcıları sıklıkla kullanırız. Ancak MGM siber saldırısının da gösterdiği gibi, tehdit aktörleri bu sağlayıcıları atlayabilir ve meşru kimlikleri tehlikeye atarak onlara kuruluşun ortamına gereksiz erişim sağlayabilir.
Uçakları Güvenceye Aldığımız Gibi BT’yi de Güvenceye Almamız Gerekiyor
Havaalanı güvenliğinden bir benzetme yapmak, MGM’nin ve diğerlerinin nerede yanlış yapmış olabileceği konusunda aydınlatıcı bir bakış açısı sunuyor. Bir havaalanı düşünün. Burada birincil varlıklar (uçaklar) bomba ve silah gibi tehditlere karşı korunuyor. Uçak, bir kuruluştaki sunucuya benzer şekilde hassas bir kaynaktır. Havaalanındaki sıkı güvenlik kontrol noktaları, kapsamlı bir inceleme yapılmadan bu uçaklara doğrudan erişimin olmamasını sağlıyor. Benzer şekilde, güvenliği iyi sağlanan bir kuruluşta, sağlam bir güvenlik kontrol noktası (veya politika uygulama noktası), sunucuların önünde bir koruyucu görevi görmeli ve sıkı kontroller olmadan doğrudan erişimin engellenmesini sağlamalıdır.
TSA’nın üç aşamalı protokolü ilgi çekici bir benzetme sunuyor:
- Kimlik doğrulamaları: Güvenlik personeli kimlik veya pasaportunuzun doğruluğunu özel makineler kullanarak titizlikle kontrol etmektedir.
- Bagaj taraması: Bu, yolcuların zararlı eşyalar taşımadığından emin olmak için potansiyel tehditlere yönelik bir kontroldür.
- Doğrulamayı tekrarlayın: Yolcular havalimanının genel alanlarından uçağa biniş bölgelerine geçtiklerinde bu kontrollerden geçerek sürekli güvenlik sağlıyorlar.
Bu havaalanı protokolü kurumsal dijital alana çevrilebilir:
- Kullanıcı doğrulama: Kimlik sağlayıcı olarak bilinen araçların kullanılması ve telefon doğrulaması gibi çok faktörlü kimlik doğrulama mekanizmalarının desteklenmesi, kullanıcıların gerçek olmasını sağlar.
- Cihaz bütünlüğü kontrolü: Bagajları tehditlere karşı taramaya benzer şekilde kuruluşların, korsanlığın gerçekleşmediğinden, yetkisiz erişimin engellendiğinden ve fidye yazılımlarının bu sistemlere aktarılmadığından emin olmak için hassas sunucular ve hizmetler arasındaki veri aktarımlarını taraması gerekir.
- Sürekli doğrulama: Tıpkı yolcuların biniş alanlarına her girişlerinde TSA kontrollerini tekrarlamaları gerektiği gibi, bu ister ilk uçuşunuz ister yüzüncü uçuşunuz olsun, siz de güvenlik sürecinden geçersiniz. Siber güvenliğin de aynı titizliğe ihtiyacı var; kullanıcılardan gelen kaynaklara erişim taleplerinin her birini doğruluyoruz. Uygun erişim ve yetkilendirme kontrolleri bu şekilde uygulanır, böylece yalnızca doğrulanmış kullanıcılar talep ettikleri kaynaklara erişebilir. Dijital erişim sürekli olarak doğrulanmalıdır. Dizüstü bilgisayarın veya cihazın dış dünyadan sunucunun ön kapısına geçmek istediği her seferde kontrol edilmesi koruma sağlar. Bu, girişler arasında da kontrollerin yapılması gerektiği anlamına gelir.
MGM’nin eksikliği mi? İlk adımı (kimlik doğrulama) gerçekleştirirken, sonraki kritik aşamaları gözden kaçırdı. Yalnızca kimlik ürünlerini güçlendirmenin bu tür ihlalleri düzeltebileceği fikri temelde hatalıdır. Bu, bir havaalanının kimlik kontrollerini hızlandırmasına ancak bagaj taramasını ihmal etmesine, safça bunun zararlı eşyaların uçaklara ulaşmasını önleyeceğine inanmasına benzer.
Yetkilendirme ve Erişime Daha İyi Bir Yaklaşım
Kuruluşunuzda daha iyi yetkilendirme ve erişim kontrolleri uygulamak için, sistemlere ve hizmetlere yetkisiz erişimi önlemek için istek başına erişim kararlarının uygulanması gerektiğini belirten NIST 800-207 Sıfır Güven Mimarisi modelini takip etmek, ihlalleri önlemenin temelidir. . VPN’ler, VDI’ler ve şirket içi proxy’ler gibi eski teknolojilerin sıfır güvenilir güvenli erişim hizmeti uç çözümüyle değiştirilmesi, daha fazla erişim ve yetkilendirme kontrolü sağlar ve istekleri her seferinde denetler. Kimlik belirleme üzerinde daha iyi kontrol sağlamak için parolaların yanı sıra standartlaştırılmış, çok faktörlü kimlik doğrulamanın da uygulanması kritik öneme sahiptir.
MGM siber saldırısı, modern kuruluşların karşılaştığı kritik siber güvenlik sorunlarından birini ortaya çıkardı. Dijital ortamlarımızı giderek karmaşıklaşan tehditlere karşı korumak için eski teknolojileri güncellemeli ve havalimanlarımızda gördüğümüz kapsamlı, çok katmanlı güvenliği yansıtan sıfır güven yaklaşımına doğru ilerlemeliyiz. Sektör olarak, karmaşık tehditlerle mücadele etmek için yetkilendirme ve erişim kontrollerine yaklaşım şeklimizi büyük ölçüde geliştirmemiz gerekiyor.