Siber saldırı nedir?

Siber saldırı nedir?

Siber saldırı, bir bilgisayara, bilgi işlem sistemine ya da ağa yetkisiz erişim sağlamaya yönelik her girişimdir. Amaç her zaman aynı olmasa da yön aynıdır: sistemi devre dışı bırakmak, kesinti yaratmak, veriyi değiştirmek, silmek ya da çalmak.

Tanımın içinde üç unsur var ve üçü birlikte aranır: yetkisiz erişim girişimi, zarar verme niyeti ve hedefte bir sistem ya da veri. Bir kullanıcının yanlışlıkla yaptığı hatadan farkı niyettir. Bir arıza ya da yanlış yapılandırmadan farkı ise bunu birinin bilerek yapıyor olmasıdır.

Saldırganları harekete geçiren motivasyon birkaç başlıkta toplanıyor:

• Mali kazanç. Fidye talebi, sahte fatura, ödeme yönlendirme, çalınan verinin satışı.
• Kesinti yaratmak. Hizmeti durdurmak, itibar zedelemek, operasyonu kilitlemek.
• Casusluk. Fikri mülkiyet, müşteri ve sözleşme verisi, yönetim yazışmaları.
• İdeolojik eylem. Bir kurumu hedef gösteren hacktivist kampanyalar.
• Devlet destekli operasyonlar. Kritik altyapıya ve savunma sanayisine yönelik uzun soluklu erişim.

Motivasyonu bilmek saldırıyı durdurmaz ama önceliği belirler. Ödeme akışı yöneten bir kurumla hasta kaydı tutan bir kurumun risk haritası aynı değildir.

Bir siber saldırı hangi aşamalardan geçer?

Saldırılar nadiren tek bir hamlede gerçekleşir. Çoğu, birbirini izleyen ve saatler ya da aylar sürebilen bir zincirden oluşur.

1. Keşif. Çalışan adları, e-posta biçimi, kullanılan teknolojiler ve internete açık servisler toplanır. Bu aşama çoğu zaman sistemlerinize hiç dokunmaz.
2. İlk erişim. Kimlik avı e-postası, ele geçirilmiş bir tedarikçi hesabı, yaması uygulanmamış bir servis ya da zayıf bir parola.
3. Yetki yükseltme. Sıradan bir kullanıcı hesabından yönetici yetkisine geçiş.
4. Yatay hareket. Aynı ağdaki diğer sistemlere, dosya sunucularına ve yedeklere doğru yayılma.
5. Kalıcılık. Erişimi sürdürecek arka kapı, zamanlanmış görev ya da yeni bir hesap bırakma.
6. Hedefe ulaşma. Veri çıkarma, dosyaları şifreleme, hizmeti durdurma ya da ödeme talebi.

Bu zincirin savunma açısından anlamı şu: her aşama bir kesme noktasıdır. Saldırganın altı adımı tamamlaması gerekir, sizin tek bir adımı kesmeniz yeterlidir.

Aynı zincir, tespit süresinin neden en kritik ölçü olduğunu da açıklar. Saldırgan bütün adımları tamamladıktan sonra fark edilen bir olay artık bir saldırı değil, bir ihlaldir.

En yaygın siber saldırı türleri hangileri?

Türleri ezberlemek tek başına işe yaramaz. Her türün hangi savunmayı zorunlu kıldığını bilmek gerekir.

• Kimlik avı ve sosyal mühendislik. Teknik bir açık aranmaz; çalışanın karar anı hedeflenir. E-posta, mesaj, telefon ya da sahte giriş sayfası kullanılabilir.
• Kötü amaçlı yazılım. Truva atı, solucan ve casus yazılım; indirilen bir dosya ya da eklentiyle sisteme yerleşir.
• Fidye yazılımı. Dosyaları şifreler ve çoğu örnekte bağlı yedekleri de hedef alır. Yedeklerin çevrimdışı kopyası bu yüzden ayrı bir başlık.
• Parola saldırıları ve kimlik bilgisi doldurma. Başka bir sızıntıdan gelen kullanıcı adı ve parola çiftleri denenir; çok faktörlü doğrulama yorgunluğu da bu ailenin bir parçası.
• Hizmet dışı bırakma (DDoS). Veri çalmayı değil, erişilebilirliği hedefler. Kesinti tek başına ciddi bir iş etkisidir.
• Ortadaki adam (MITM). İki taraf arasındaki trafiğe girilir, dinlenir veya değiştirilir. Güvenilmeyen ağlarda ve sahte kablosuz erişim noktalarında öne çıkar.
• Sıfır gün açıkları. Yaması henüz bulunmayan bir açık sömürülür. Bu türde savunma, yamadan çok izleme ve sınırlandırmaya dayanır.
• Tedarik zinciri saldırıları. Güvenilen yazılım, güncelleme kanalı veya iş ortağı erişimi üzerinden gelinir. Kurumun kendi sistemleri kusursuz olsa bile sonuç aynı olur.
• İçeriden tehdit. Kasten ya da dikkatsizlikle olabilir. İkincisi daha sık görülür ve yetki tasarımıyla sınırlanır.

Liste uzayabilir; değişmeyen şey saldırganın her zaman en az direnç gösteren noktayı aradığıdır.

Saldırı türü · neyi hedefler · ilk savunma adımı

Kimler hedef alınıyor?

"Biz küçüğüz, bizi hedeflemezler" varsayımı en pahalı varsayımlardan biri. Saldırganların önemli bir bölümü hedef seçmez; tarama yapar ve en kolay açık bulduğu yerde durur.

Hedef yelpazesi geniş: küçük ve orta ölçekli işletmeler, belediyeler, hastaneler, üniversiteler, üretim tesisleri, muhasebe ve hukuk büroları. Ortak nokta sektör değil; iş durduğunda bunun hemen fark edilmesi.

Saldırı yüzeyi son on yılda belirgin biçimde büyüdü: bulut hizmetleri, uzaktan çalışma, mobil cihazlar, internete açık cihazlar ve tedarikçi erişimleri. Her yeni erişim bir kolaylık, aynı zamanda yeni bir kapı.

Kurumunuz için nereden başlamalı?

Siber güvenlik tek bir ürünle çözülecek bir mesele değil. Sıraya konmuş birkaç temel adım, çoğu kurumda riskin büyük bölümünü azaltır.

1. Çok faktörlü kimlik doğrulamayı yaygınlaştırın. Önce e-posta, uzak erişim ve yönetim hesaplarında. Parola tek başına kimlik kanıtı sayılmamalı.
2. Yama disiplinini kurun. İşletim sistemi, iş uygulamaları, ağ cihazları ve yönetim araçları aynı takvimin içinde olmalı. Yönetim araçları en yüksek yetkiyle çalışır.
3. En az yetkiyi uygulayın. Günlük iş için yönetici hesabı kullanılmamalı; ayrılan çalışanın ve biten projenin erişimi aynı gün kapatılmalı.
4. Yedekleri test edin. Yedeğin varlığı değil, geri dönüş süresi önemli. En az bir kopya çevrimdışı ya da ayrı kimlikle korunmalı.
5. E-posta ve web tarafını filtreleyin. Ekleri, bağlantıları ve yeni kaydedilen alan adlarını kontrol eden bir katman, en sık giriş yolunu daraltır.
6. Kayıt tutun ve izleyin. Kaydı olmayan bir sistemde ihlali geriye dönük göstermek mümkün değildir. Mesai dışı erişim, alışılmadık indirme ve tanınmayan adresler en temel üç sinyal.
7. Olay müdahale planını yazın. Kim fark edecek, kime haber verecek, kim karar verecek, hangi bildirimler ne sürede yapılacak? Bu sorular kriz anında değil, bugün cevaplanmalı.
8. Envanteri ve internete açık servisleri azaltın. Bilinmeyen bir varlık yamalanamaz, izlenemez ve kapatılamaz.

Son bir not: savunma, "ihlal olmayacak" varsayımıyla kurulduğunda ihlal anında ne yapacağını bilemez. Fidye yazılımı, çalınmış bir oturum ya da yanlış yapılandırılmış bir depolama alanı; hepsinde ilk saatlerde verilecek kararlar sonucu belirler.

Microsoft'un Security 101 serisindeki tanım çerçeveyi sade tutuyor: siber saldırı, bir bilgisayar sistemine veya ağa zarar vermek amacıyla yetkisiz erişim sağlama girişimidir. Savunma tarafındaki karşılığı ise daha uzun: hangi sistemleriniz var, kim erişiyor, hangi kayıtları tutuyorsunuz ve fark ettiğinizde ne yapıyorsunuz?