Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın elektrik santrallerini, su işletmelerini ve diğer kritik altyapıları savunmak için yeni bir fikri var: her saldırganı dışarıda tutmaya çalışmayı bırakın ve içeri girenlere sahte verilerden oluşan bir diyet sunmaya başlayın. CISA'nın yeni yayımladığı rehber, kritik altyapı operatörlerine siber tuzaklar ve honeytoken'lar konuşlandırmalarını tavsiye ediyor; bunlar, izinsiz girenleri erken tespit etmek ve gerçek sistemlere ulaşmadan önce onları yavaşlatmak için tasarlanmış düşük maliyetli dijital tuzaklardır. Bu, yıllardır neredeyse tamamen yama yönetimi, çevre savunması ve erişim kontrolüne odaklanan bir ajans için dikkate değer bir ton değişikliğidir.
CISA'nın Rehberi Aslında Neyi Öneriyor
Özünde, rehber birbiriyle ilişkili iki aracı tanımlıyor. Honeytoken'lar, bir ağın içine yerleştirilen ve hiçbir meşru iş amacı olmayan sahte dosyalar, kimlik bilgileri, veritabanı kayıtları veya sırlardır. Tek görevleri, orada değerli görünerek durmaktır. Eğer biri bunlardan birine erişirse veya kullanmaya çalışırsa, bu anında bir kırmızı bayraktır, çünkü hiçbir yetkili çalışan veya sistem ona asla dokunmamalıdır. Honeypot'lar kavramı daha ileri taşır; gerçek sunucular, iş istasyonları veya endüstriyel kontrol varlıkları gibi görünecek şekilde tasarlanmış bütün sahte sistemler kurarak saldırganları gerçek ortamdan uzaklaştırır ve savunuculara taktiklerini gözlemlemek için zaman kazandırır.
CISA bunları, yalnızca büyük güvenlik bütçelerine sahip kurumlar için değil, her düzeyde siber güvenlik olgunluğuna sahip kuruluşlar için erişilebilir seçenekler olarak sunuyor. Bu, birçoğu yalın BT ve güvenlik ekipleri işleten ve kurumsal düzeyde tehdit tespit platformlarını karşılayamayan kritik altyapı operatörleri için önemlidir. Buna karşılık bir honeytoken, bir dosya paylaşımına bırakılmış sahte bir kimlik bilgisi kadar basit olabilir. Konuşlandırması çok az maliyetlidir ancak biri onunla etkileşime girdiği anda yüksek güvenilirlikte bir uyarı üretebilir.
Tuzaklar VPN'ler ve Ağ Segmentasyonuyla Nasıl Birlikte Çalışır
Aldatma teknolojisi, kuruluşların halihazırda güvendiği VPN'ler, güvenlik duvarları ve ağ segmentasyonu gibi araçların yerini almak için tasarlanmamıştır. Bu araçların geride bıraktığı boşluğu doldurmak için tasarlanmıştır. VPN'ler ve erişim kontrolleri, yetkisiz kullanıcıları baştan dışarıda tutmak için inşa edilmiştir. Ancak saldırganlar, ele geçirilmiş kimlik bilgilerini veya uzaktan erişim altyapısındaki güvenlik açıklarını istismar ederek bu savunmaları giderek daha fazla aşmanın yollarını buluyor. CISA'nın VPN'leri hedefleyen Gunra fidye yazılımı hakkındaki kendi uyarısı bunun açık bir örneğidir: tehdit aktörleri bir dayanak noktası elde etmek için uzaktan erişim zayıflıklarını aktif olarak araştırıyor, bu da tek başına çevre savunmasının artık yeterli olmadığı anlamına geliyor.
Honeytoken'lar ve tuzaklar, kararlı saldırganların eninde sonunda çevreyi aşacağı varsayımıyla çalışır; ister çalınmış bir VPN kimlik bilgisi, ister bir kimlik avı e-postası, ister yamalanmamış bir güvenlik açığı yoluyla olsun. İçeri girdikten sonra tuzaklar birer tel tuzağı gibi işlev görür. Eğer bir davetsiz misafir değerli veri veya sistemler ararken segmentlere ayrılmış bir ağda hareket ederse, yanlış yere yerleştirilmiş bir honeytoken onları neredeyse anında yakalayabilir, çoğu zaman anlamlı bir hasar vermeden önce. Bu katmanlı bir yaklaşımdır: VPN'ler ve segmentasyon saldırganları yavaşlatır ve erişimlerini sınırlar, tuzaklar ise içeri girdiklerinde tespit edilmeden hareket etmelerini çok daha zor hale getirir.
Kritik Altyapı Operatörleri Neden Öncelikli Hedef
CISA'nın bu rehberi doğrudan kritik altyapı operatörlerine yöneltme kararı, riskin en yüksek olduğu yeri yansıtıyor. Su sistemleri, enerji sağlayıcıları ve diğer temel hizmetler genellikle modern BT ağları ile siber güvenlik düşünülerek tasarlanmamış daha eski operasyonel teknolojinin bir karışımını işletir. Bu kombinasyon onları cazip hedefler haline getirir ve yalnızca geleneksel araçlarla savunulmalarını zorlaştırır. Yakın zamanda 30'dan fazla sistemi vuran Minnesota su siber saldırısı sadece iki gün içinde, büyük bir kurumsal güvenlik ekibinin kaynaklarından yoksun olabilecek altyapı sağlayıcıları arasında koordineli saldırıların ne kadar hızlı yayılabileceğini gösteriyor. Aldatma teknolojisi bu kuruluşlara, sürekli izleme veya pahalı tespit platformları gerektirmeden yüksek doğrulukta uyarılar üreterek kendi ağırlıklarının üzerinde yumruk atma imkânı sunuyor.
Bir İhlalden Sonra Yanal Hareketi Tespit Etmek İçin Bunun Anlamı
Olay müdahalesindeki en zor sorunlardan biri, ilk ihlalden sonra bir saldırganın ağ içinde ne kadar ilerlediğini anlamaktır. Bir dayanak noktası elde eden saldırganlar genellikle bir fidye yazılımı yükünü başlatmadan veya veri sızdırmadan önce günler veya haftalar boyunca sessizce yanal hareket ederek, ayrıcalıkları yükselterek ve değerli sistemleri haritalayarak geçirir. Geleneksel güvenlik araçları, bu sessiz keşif faaliyetini normal ağ etkinliğinden ayırt etmekte zorlanabilir.
Honeytoken'lar bu denklemi değiştirir. Meşru bir kullanımları olmadığı için, biriyle herhangi bir etkileşim neredeyse garantili bir kötü niyetli faaliyet işaretidir ve normalde erken uyarı işaretlerini gömen gürültüyü keser. Operasyonel teknolojiye veya müşteri verilerine ulaşmadan önce davetsiz misafirleri yakalamaya çalışan kritik altyapı operatörleri için bu erken sinyal, kontrol altına alınmış bir olay ile tam kapsamlı bir kesinti arasındaki fark olabilir.
Bu Sizin İçin Ne Anlama Geliyor
Bir kamu hizmeti, belediye sistemi veya başka bir altyapı operatörü için BT veya güvenlik alanında çalışıyorsanız, CISA'nın rehberi baştan sona okumaya ve mevcut savunmalarınıza düşük maliyetli bir ek olarak değerlendirmeye değerdir, onların yerine geçecek bir şey olarak değil. VPN'ler, çok faktörlü kimlik doğrulama ve ağ segmentasyonu, saldırganları dışarıda tutmak için hâlâ hayati önem taşımaktadır. Tuzaklar ve honeytoken'lar, bu savunmaları yine de aşanları yakalamakla ilgilidir. Özel güvenlik personeli olmayan kuruluşlar bile küçük başlayabilir; hassas konumlara birkaç sahte kimlik bilgisi veya dosya yerleştirebilir ve bunlarla herhangi bir etkileşim için uyarılar kurabilir.
Günlük kullanıcılar ve daha küçük kuruluşlar için daha büyük çıkarım, hiçbir tek güvenlik katmanının kusursuz olmadığının bir hatırlatıcısıdır. Saldırganlar, VPN zayıflıklarını istismar eden devam eden fidye yazılımı kampanyalarında görüldüğü gibi, uzaktan erişim araçlarını sürekli araştırıyor, bu da derinlemesine savunmanın her zamankinden daha önemli olduğu anlamına geliyor.
Önemli Çıkarımlar
- CISA'nın siber tuzaklar ve honeytoken'lar hakkındaki rehberi, kritik altyapı operatörlerine izinsiz girenleri erken tespit etmek için düşük maliyetli bir yol sunuyor.
- Tuzaklar, VPN'lerin, erişim kontrollerinin ve ağ segmentasyonunun yerini almak yerine onları tamamlar.
- Honeytoken'lar, meşru kullanıcılar onlarla asla etkileşime girmediği için, bir ihlalden sonra yanal hareketi işaretlemede özellikle etkilidir.
- Sınırlı güvenlik bütçelerine sahip daha küçük altyapı operatörleri bu yaklaşım için öncelikli bir kitledir.
- Kuruluşlar, aldatma teknolojisini güçlü çevre savunmalarıyla eşleştirmelidir, çünkü saldırganlar ilk dayanak noktaları elde etmek için uzaktan erişim zayıflıklarını hedeflemeye devam etmektedir.
