Mavi Tik Sizi Kandırmasın: Güvenin Korkutucu Gerçeği

Kimlik Doğrulama ile Güven Arasındaki Uçurum

Güvenlik dünyasının uykularını kaçıran mesele, filmlerdeki siyah montlu hacker değil. Karmaşık sıfır gün açıkları da değil. Sorun çok daha sıradan ve bir o kadar tehlikeli: kimliği doğrulmanın, orijinalliği doğrulamakla aynı şey olduğunu varsaymak.

Dört ay içinde üç ayrı güvenlik olayı yaşayan bir şirketin hikâyesi, birkaç haftadır kafamda dönüp duruyor. Şirket hacklenmedi. Yazılım açığı sömürülmedi. Her seferinde saldırgan, şirketin zaten güvendiği biri haline geliverdi.

Bunu düşününce gerçekten ürpertici.

Şifre Mükemmeldi, Kişi Değildi

Geleneksel güvenlik anlayışı, kimlik doğrulamayı bir kilit-mekanizması meselesi gibi ele alıyor. Doğru şifre, MFA kontrolü geçti, giriş tamam. Ama ya kilit tam da tasarlandığı gibi çalışıyor da kapıdan geçen kişi iddia ettiği kişi değilse?

Bahsettiğim olaylar aynı sorunun üç farklı versiyonunu gösteriyor. İlki: Bir CFO'ya "BT destek" numarasından gelen arama. Hesabında şüpheli bir aktivite var, hemen kontrol etmesi gerekiyor. Arayan kişi şirketin MFA sağlayıcısını biliyor, CFO'nun seyahatte olduğunu biliyor çünkü sosyal medyada paylaşmış, eski veri sızıntılarından kalan bilgileri de masada. Tek ihtiyaçları olan şey, CFO'nun kendisine okutturdukları doğrulama kodunu sesli olarak tekrarlaması. Ve o da tekrarlıyor.

Yirmi dakika içinde birisi onun e-posta hesabından acil ödeme talep ediyor. Para neden hareket etmedi? Bir muhasebe uzmanı talebin "tuhaf" olduğunu hissetti ve CFO'yu aradı. İnsan sezgisi kurtardı.

Doğrula Ama (Aslında Doğrulama)

Bu olaylarda beni en çok şaşırtan şey saldırıların sofistikasyonu değil, çoğu güvenlik sistemine son derece sıradan görünmesi. Kimlik bilgileri doğru, kimlik doğrulama geçti, oturumlar geçerli.

Ama bir noktada gözden kaçırdığımız bir şey var: doğrulama, kutuları işaretlemekten ibaret değil. Karşınızdaki insanın gerçekten iddia ettiği kişi olduğunu ve yapmak istediği şeyi yapmaya yetkili olduğunu teyit etmek demek.

İkinci olay tamamen meşru görünen bir uzaktan çalışanla ilgiliydi. Harika özgeçmiş, inandırıcı referanslar, sağlam bir portfolyo. Sorun şu: bunların hiçbiri çalınmaya karşı dayanıksız değil. Ortaya çıkan gerçek şu ki, kişi gerçek bir mühendisin kimliğini kullanıyordu, referanslar tamamen uydurmaydı ve şirket laptoplarını kiralık bir daireye yönlendirerek yurt dışından çalışıyordu.

Bunu kim fark etti? Birisi laptopun en yoğun gece saatlerinde aktif olduğunu not etti. Bu kadar. Sofistike bir tespit değil, sadece olağandışı bir şeyi fark eden göz.

Kimsenin Konuşmadığı Oturum Sorunu

Üçüncü olay, modern güvenliğin en göz ardı edilen tehdidi. Bir yöneticinin hesabına Romanya'dan erişilmiş. O sırada Ohio'da uyuyormuş.

Şifresi çalınmamış, MFA'sı atlanmamış. Evdeki paylaşımlı bilgisayarda bir kötü amaçlı yazılım, tarayıcı oturum çerezlerini toplamış. Saldırgan dijital kapıdan girerken, tamamen meşru bir kimliği doğrulanmış kullanıcı olarak görünüyordu.

Oturum tabanlı kimlik doğrulamanın kirli sırrı şu: bir kere içeri girdin mi, çoğu zaman içinde kalıyorsun. Oturum belirteçleri saatlerce hatta günlerce geçerli olabiliyor. Ve şifrelerin aksine, kullanıcıların kolayca koruyabileceği veya değiştirebileceği bir şey değil.

Asıl Ders

Buradaki ders "dahaparanoyak ol" değil (her ne kadar azıcık sağlıklı paranoya zarar etmese de). Asıl mesele, kimlik doğrulama ile güven teyidi arasındaki boşluk.

Çoğu kuruluş ilk kısımda epey iyi iş çıkarıyor. Kimlik bilgilerini doğruluyoruz, MFA'yı zorunlu kılıyoruz, kutuları işaretliyoruz. Ama ikinci kısım —birilerinin hâlâ yetkili olup olmadığını ve davranışının uygunluğunu sürekli teyit etmek— işte orada tökezyoruz.

Bahsettiğim olayların bir ortak noktası daha var: her birini, teknik arızalar değil, davranışsal anomali arayan insanlar veya insan tasarımı sistemler yakaladı. Olağandışı bir talebi sorgulayan meslektaş. Tuhaf çalışma saatlerini fark eden analist. İmkânsız seyahati işaretleyen oturum açma.

Teknik kontroller gerekli. Ama yeterli değiller. Asıl güvenlik çarpanı, kimlik bilgileri doğru olsa bile tuhaf gelen şeyleri sorgulamaktan çekinmeyen bir kültür inşa etmek.

Şu rahatsız edici gerçeği kabul edelim: günümüz tehdit ortamında en büyük güvenlik riski, duvarların dışındaki saldırgan olmayabilir. Duvarın içinde, kusursuz görünümlü bir kimlik zaten yerleşmiş olabilir.

Etiketler ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']