Engellenen Siber Saldırılar Haftalar Sonra Veri Sızıntısı Olarak Dönebiliyor

Bütünleşik siber güvenlik alanında dünya lideri olan WatchGuard Technologies, saldırıyı kontrol altına almanın olay müdahalesinin yalnızca bir parçasını oluşturduğunu ifade ediyor.

Şirkete göre güvenlik ekiplerinin saldırganın ne kadar ilerlediğini, hangi sistemlere ulaştığını ve tehdidin hâlâ ortamda bulunup bulunmadığını da belirlemesi gerekiyor. Haftalar önce kapatılan yetkisiz erişimlerin daha sonra yüz binlerce kişi ve kurumun verilerinin dışarı çıkarılmasına imkan tanıdığının ortaya çıktığı örnekler, gerçek etkinin ancak saldırının baştan sona yeniden yapılandırılmasıyla anlaşılabileceğini gösteriyor.

WatchGuard, MSP’lerin de müşterilerine yalnızca kapatılmış bir kaydı değil, yaşananların tam resmini sunabilmesi gerektiğini vurguluyor.

SALDIRININ KAPSAMINI BELİRLEMEK DÖRT TEMEL ZORLUK BARINDIRIYOR

WatchGuard, birden fazla müşteriyi izleyen MSP’lerin bir saldırının kapsamını belirlerken dört temel zorlukla karşılaştığını belirtiyor. Bir uyarı bir şeyin ilgi gerektirdiğini gösterse de devam eden bir saldırı olup olmadığını ya da ne kadar yayıldığını söylemiyor.

Bu nedenle uyarıların doğrulanması, diğer olaylarla ilişkilendirilmesi ve etkilenen varlığın bağlamında değerlendirilmesi gerekiyor. Uç noktalar, kimlikler, SaaS uygulamaları ve bulut iş yükleri farklı faaliyet kayıtları üretirken müşteri sayısı arttıkça bu ortamlardan bağlamı kaybetmeden kanıt toplamak zorlaşıyor.

Oturum açma işlemleri, yetkili araçlar veya dışa giden bağlantılar tek başına olağan görünürken art arda değerlendirildiğinde ortamda ilerleyen bir saldırganı ortaya çıkarabiliyor. Gece ya da hafta sonu gelen uyarıların gerçek zamanlı incelenmemesi ise saldırganlara yetki yükseltmek, yanal hareket etmek ve hassas verileri aramak için zaman kazandırıyor.

HER YENİ SORUN İÇİN AYRI BİR ÜRÜN KAR MARJLARINI ERİTİYOR

WatchGuard’a göre yönetilen tespit ve müdahale (MDR) hizmeti, telemetriyi ve varlık bağlamını ilişkilendirerek tekil uyarıları saldırı zincirlerinden ayırıyor ve bir ihlalin tek bir sistemle sınırlı kalıp kalmadığını gösteriyor. Uzman analistler yanlış alarmları ayıklıyor, meşru araçlar kullanan saldırganları tespit ediyor ve saldırganın kuruma hangi yoldan girdiğini belirleyerek benzer zayıflıkların müşteri ortamının başka noktalarında da bulunup bulunmadığını ortaya koyuyor.

Saldırı durdurulduktan sonra ise MDR, saldırının nasıl başladığını, saldırganın neler yaptığını ve hangi varlıklara ulaştığını yeniden yapılandırarak tehdidin tamamen ortadan kalkıp kalkmadığını doğruluyor. Uç nokta, ağ, kimlik, bulut ve güvenlik açığı verilerini bir araya getiren panolar ve raporlar da MSP’lerin müşterilerine sağladıkları değeri somut biçimde göstermesini kolaylaştırıyor.

“KAPATILAN BİR UYARI HER ZAMAN KAPANAN BİR OLAY ANLAMINA GELMİYOR”

Olay müdahalesinin saldırının durdurulmasıyla başladığını belirten WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, “Saldırıyı durdurmak anlık riski azaltıyor, ancak gerçekleşmiş olan riski ortaya çıkaran şey inceleme. Saldırganın nereden girdiğini, nelere ulaştığını ve tehdidin tamamen ortadan kalkıp kalkmadığını bilmeden bir olayı kapatmak, kurumları haftalar sonra çok daha büyük bir sürprizle karşı karşıya bırakabiliyor.

Kesintisiz analist desteği ve farklı kaynaklardan gelen verileri birleştiren görünürlük, MSP’lerin müşterilerine saldırının gerçek boyutunu net biçimde gösterebilmesini sağlıyor.” dedi.