Ancak araştırmacılar, video konferansın artık işletmelerin çalışanları, müşterileri, müşterileri, satıcıları ve diğerleriyle nasıl etkileşimde bulunduğu konusunda kritik bir rol oynadığı göz önüne alındığında, bu platformların önemli potansiyel güvenlik riskleri taşıdığını söylüyor.
Kuruluşlar, birleşme ve satın alma, hukuk, askeri, sağlık, fikri mülkiyet ve diğer konuları ve hatta kurumsal stratejileri tartışmak için video konferans kullanıyor. Bu verilerin kaybı bir şirket, çalışanları, müşterileri ve müşterileri için felaket olabilir.
Ancak, video konferans güvenliğiyle ilgili yakın tarihli bir Aite-Novarica Group raporu, ankete katılan BT uzmanlarının %93’ünün video konferans çözümlerindeki güvenlik açıklarını ve açık riskleri kabul ettiğini gösterdi.
En alakalı riskler arasında, güvenli olmayan, eski veya yama uygulanmamış video konferans uygulamalarının kullanılması güvenlik açıklarını açığa çıkarabilirken, hassas bilgilerin kesintiye uğramasına, sabotaj yapılmasına, tehlikeye atılmasına veya ifşa edilmesine neden olabilecek konuşmalara kontrollü erişimin olmaması yer alır.
Keeper Security’nin CTO’su ve kurucu ortağı Craig Lurey, “Riskler arasında kesinti potansiyeli, yetkisiz erişim ve belki de en önemlisi, kötü bir aktörün hassas bilgileri edinme fırsatı yer alıyor” diyor.
Görüntülü İletişim Platformlarını Hedefleyen Tehditler Artıyor
Video konferans yazılımının uzak çalışanlar tarafından kullanılması, onu vahşi ortamda çeşitli saldırı türleri için kolay bir hedef haline getirir. Örneğin, pandemi sırasında ilk evden çalışma dalgasının ardından “Zoom-bombing” ve diğer saldırılar gündeme geldi.
FBI’ın İnternet Suçları Raporuna göre diğer tehditler arasında DDoS saldırıları ve kötü amaçlı yazılım yer alıyor. Örneğin Mayıs ayında tehdit avcıları, Zoom’un sohbet işlevinde, sıfır tıklamayla uzaktan kod yürütmeye (RCE) izin vermek için istismar edilebilecek bir güvenlik açığı zinciri keşfetti.
Güvenlik firması Vectra da yakın zamanda Microsoft Teams’de bir güvenlik açığı keşfetti. Zayıflık, saldırganlara bir şirketin ağında çok daha kolay hareket etme yeteneği verir.
Ancak sıfır gün açıkları ve diğer yüksek profilli saldırılar çok dikkat çekerken, Vulcan Cyber’de kıdemli teknik mühendis olan Mike Parkin, çoğu olmasa da birçok saldırının hala kullanıcıları hedef aldığına dikkat çekiyor.
“Bu genellikle kimlik avı e-postaları veya uzlaşmaya yol açan diğer sosyal mühendislik saldırıları veya dolandırıcılık yoluyla doğrudan kayıplara yol açabilecek iş e-postası uzlaşma saldırıları anlamına gelir” diyor.
KOBİ’ler Video Konferans Tehditlerinden Özellikle Risk Altında
Araştırmacılar, riskin özellikle küçük ve orta ölçekli işletmeler (KOBİ’ler) için keskin olduğunu söylüyor. Bu segment, pandemiden önce bile seyahat maliyetlerini azaltmak için büyük ölçüde video ortak çalışmasına güveniyordu ve şimdi bir süper kullanıcı sınıfını temsil ediyor.
Aynı zamanda KOBİ’ler, savunmalarını güçlendirmek için gerekli güvenlik bilincine veya şirket içi uzmanlığa sahip olmayabilir. Parkin, KOBİ’lerin genellikle uygun bir siber güvenlik programı uygulamak ve yönetmek için mücadele ettiğini söylüyor.
“Kaynak eksikliği, video konferans kullanımlarında uygun güvenliği bilmemek veya uygulayamamakla kendini gösterebilir” diyor.
Zerify’ın kurucu ortağı ve başkan yardımcısı George Waller, KOBİ’lerin genellikle daha büyük şirketlerin sahip olduğu mali ve teknik kaynaklara sahip olmadığını kabul ediyor.
“Bu nedenle, e-posta, kimlik avı ve fidye yazılımı gibi en temel saldırılara karşı bile çok daha savunmasızlar” diyor. “Pandemi sonrası, birçok KOBİ hala sınırlı personel ve bütçelerle çalışıyor. Bu nedenle, onlara çelme takmak ve yıkıcı bir veri ihlaline neden olmak daha kolay.”
Bu arada, bu sektör genellikle bir siber saldırıyı yok olma düzeyinde bir olay haline getirebilecek mali kısıtlamalarla karşı karşıyadır. Yakın tarihli bir IBM ihlal raporuna göre, ABD’deki bir veri ihlalinin ortalama boyutu şu anda 9,44 milyon dolardır ve küçük işletmelerin %60’ı bir veri ihlalinden sonraki altı ay içinde iflas eder.
Waller, “Siber suçlular hassas, gizli veya sınıflandırılmış verileri çaldığında, onu geri almanız için size fidye ödetebilir,” diye açıklıyor. “Ayrıca, bu verileri kuruluşunuzu utandırmak veya ondan kâr elde etmek için kullanabilecek diğer hain insanlara da satabilirler.”
Ne yazık ki, zorlukların ortasında KOBİ’ler genellikle sandıklarından daha fazla hedef oluyor.
Parkin, “Saldırganın potansiyeli daha az olsa da, çaba ve risk düşük ve KOBİ kuruluşları genellikle daha büyük kuruluşlara göre siber güvenliğe daha az yatırım yapıyor” diye açıklıyor. “Fidye yazılımına ve iş e-postası gizliliğini tehlikeye atan saldırılara karşı özellikle hassas olabilirler.”
2FA, Sıfır Güven, Video Konferansların Güvenli Olmasına Yardımcı Olur
Neyse ki, her büyüklükteki işletmenin kullandıkları video konferans sisteminin siber suçlular için “alçakgönüllü meyve” kategorisine girmemesini sağlamak için atabilecekleri bazı temel adımlar var.
Birincisi, platformlarının ve uygulamalarının hem toplantıyı oluşturan kişi hem de toplantı katılımcısı için iki faktörlü kimlik doğrulama (2FA) sunduğundan ve oturum açma bağlantılarının paylaşılamayacağından emin olmaları gerekir; çoğu video konferans platformu bu tür temel güvenlik özelliklerine sahiptir ve bunların nasıl kullanılacağına ilişkin tavsiyeler sunar.
Lumu’nun CEO’su ve kurucusu Ricardo Villadiego, örneğin işletmelerin KOBİ’lerin konuşmalara erişimi kontrol etmesine izin veren kimlik ve parola ve uçtan uca şifreleme gibi güvenlik özelliklerini etkinleştirmesi gerektiğini söylüyor.
“Parolaları tekrarlamaktan kaçının, mikrofonları ve hoparlörleri kilitleyin ve bir video konferansa girmeden önce her kullanıcının kimliğini doğrulayın” diyor. “Görüntülü konferans araçları aracılığıyla paylaşılabilecek dosya ve bağlantı türlerini sınırlayın, toplantı kayıtlarına yalnızca bir parola ile erişilebilmesini sağlayın ve telefonda tartışmayacağınız bilgileri konuşmayın.”
Waller, casus yazılım yoluyla görüntülü görüşmeleri gözetlemenin KOBİ’lerin de farkında olması gereken bir tehdit olduğunu ekliyor.
“Kameranızın, mikrofonunuzun ve ses çıkışı veri akışlarınızın kilitli olduğundan ve kötü amaçlı yazılımlarla gözetlenemeyeceğinden emin olun” diyor. “Organizasyonlar ayrıca bir keylogging önleyici ve ekran kazıma önleme teknolojisi kullanmalı ve AV yazılımının güncel olduğundan emin olmalıdır.”
Bu arada Lurey, KOBİ’lere video konferans platformlarını, uygulamaya erişmeden önce tüm kullanıcıların kimliğinin doğrulanmasını, yetkilendirilmesini ve sürekli olarak doğrulanmasını gerektiren sıfır güven güvenlik mimarisiyle korumalarını tavsiye ediyor.
“Bir sağlayıcıyı akıllıca seçin ve uçtan uca şifreleme sağlayıp sağlamadığını kontrol edin” diyor. “Çoğu büyük platform bunu yapar.”
Yerleşik güvenlik yeteneklerini etkinleştirerek ve bu güvenlik özelliklerinin asla devre dışı bırakılmamasını sağlamak için tutarlı uygulama sağlayarak platformu doğru şekilde yapılandırmanın da zorunlu olduğunu ekliyor.
Son olarak Parkin, bazı video konferans platformlarında karşı koymak için belirli adımlar gerektiren başka güvenlik açıkları olduğunu tavsiye ediyor ve video konferans yazılımını güncel tutmanın önemini vurguluyor. Güvenlik ekipleri ayrıca anormal etkinlik için ağ davranışını proaktif olarak izlemeli ve kullanılan video konferans platformunun hüküm ve koşullarını okuduğundan emin olmalıdır.
O ekliyor değişen tehdit ortamıyla, Özellikle KOBİ’ler için zorluk, bilinen tehditlere karşı savunma yapmak, yeni ortaya çıkanların önünde olacak şekilde konumlanmak ve ortamlarına özgü riski yönetmek arasındaki dengeyi bulmaktır.
“Siber güvenlik söz konusu olduğunda küçük işletmelerin kaynakları genellikle kısıtlıdır, bu da sahip oldukları kaynaklarla verimli olmaları gerektiği anlamına gelir” diyor. “Ancak, yatırım için çok fazla değer sağlayabilecek kullanıcı eğitimi gibi şeylere odaklanmak yardımcı olabilir.”