Her çalışan siber güvenlik farkındalığına sahip olacak formda eğitilmeli
Şirketlerin insan kaynaklarında odak noktası yine şekilleniyor. Siber güvenlik farkındalığı çalışanlar için edinilmesi gereken öncelikli yetenekler ortasında yer alıyor. Yeni işe alımlarda, siber güvenlik farkındalığı ve okuryazarlığı eğitimleri öncelikli alınması gereken eğitimlerin başında yer almaya başlayacak.
Dikkatsizlik yahut ihmal üzere insan tabiatına ilişkin zafiyetleri istismar etme formüllerini kullanan toplumsal mühendislik akınlarında siber hatalılar ekseriyetle kurumların çalışanlarını maksat alıyorlar. Sistemlere giriş bilgilerini elde etmek yahut ziyanlı yazılımı indirterek art kapı oluşturmak için kuruma ya da çalışana özel hazırlanan tuzak e-postalar, bildiriler ve telefon görüşmeleriyle gerçekleştirilen bu çeşit ataklar son yıllarda büyük artış göstermektedir. Toplumsal mühendislik taarruz teknikleri siber taarruzların 98’inde kullanılıyor, bilgi güvenliği konusunda farkındalık yoksunluğunu yapılacak teknolojik yatırımlarla karşılamak mümkün değil. Geldiğimiz noktada farkındalık eğitimleri tesirli savunma usullerinin ortasında kendine değerli bir yer buluyor. Bu tıp taarruzlara karşı teknoloji tabanlı tehdit algılama, güvenlik duvarı yahut atak izleme tahlilleri tek başına kâfi olmuyor.
Sosyal mühendislik üzere bir akının şimdi gerçekleşmeden tespit edilip önlenmesinde kullanıcı farkındalığı en tesirli savunma hali olarak karşımıza çıkıyor. Tehdit istihbaratı çalışmaları toplumsal mühendislik akınlarını önlemede büyük yarar sağlasa da bilhassa kişi ya da üniteye özel hücumlardan etkinlenmemek ya da riskleri asgariye indirmek için bahis tekrar çalışanların bu bahisteki farkındalığına geliyor. Kuşkulu bir epostada toplumsal mühendislik saldırısının izlerini fark edip bunun tuzak bir eposta olduğunu algılayabilmek çok değerli. Kuşkulu linkleri tıklamadan ya da rastgele bir evrak indirmeden evvel bildirinin kaynağını teyit edecek ve parola/OTP üzere giriş bilgilerinin kimseyle paylaşılmaması gerektiğinin şuurunda olacak seviyede bir farkındalık edinilmesi, bu tıp taarruzların şimdi gerçekleşmeden önlenmesini kolaylaştırıyor. Bu farkındalığın edinilmesi için kurum içi eğitimlerinin tüm çalışanları kapsaması ve birebir vakitte toplumsal mühendislik ataklarının hem teknik hem fizikî tüm çeşitlerine karşı şuur kazandıracak halde tasarlanması gerekiyor. Uygulanacak önlemler, farkındalık eğitimi ve uyulması gereken kuralların kurumsal güvenlik siyasetinde yer alması da ehemmiyet arz ediyor.
UBER SALDIRISI TOPLUMSAL MÜHENDİSLİK ÖRNEĞİ
Sosyal mühendislik akınları kullanıcıları gaye almaya devam ediyor. En son örneği, 15 Eylül 2022 Perşembe günü Uber sistemlerini amaç alan toplumsal mühendislik tabanlı atak çalışanların güvenlik farkındalığı kazanmasının değerini bir sefer daha ortaya koyuyor. Uber’de yaşanan bu güvenlik ihlalinin, 18 yaşında bir saldırgan toplumsal mühendislik sistemiyle bir Uber çalışanından aldığı erişim bilgilerini kullanarak kurum iç VPN sistemine erişmesi formunda gerçekleştiği sav ediliyor. İç ağda tespit edilen ve yönetici login bilgilerini içeren PowerShell betikleriyle Uber’in AWS ve G Suite hesaplarının da ele geçirildiği tez ediliyor. Hackerın Uber’in kaynak kodlarını sızdırma tehdidinde bulunduğu da argümanlar ortasında.
Saldırganın birebir vakitte Uber’in Bug Bounty programı kapsamında hizmet aldığı HackerOne tarafından paylaşılan zafiyet raporlarına eriştiği bilgisi bulunuyor. Kurumun iç sistemleri, eposta paneli ve Slack sunucusuna ilişkin ekran imajları paylaştığı ve güvenlik yazılımlarına ve Windows domainlerine tam erişim sağladığı belirtiliyor. Hackerın ele geçirdiği öteki sistemler ortasında AWS web konsolu, VMware ESXi sanal makineleri, Google Workspace email admin panelinin de bulunduğu haberlerde geçiyor. Uber’in akın savlarını doğruladığı, kolluk kuvvetleriyle temasta oldukları belirtiliyor.
Uber örneğinde de görülebileceği üzere bir anlık ihmal yahut bilinçsiz davranış ile parola üzere hassas bir bilginin dikkatsiz bir halde paylaşılmasının sonuçları çok önemli sonuçları olduğunu söyleyen BeyazNet CTO’su Akgün Yardımcı şöyle konuştu:
“Kurum içi hassas varlıkların ve dataların tehlikeye düşmesine neden olmasının yanında, beklenmedik ölçekte büyük bir tesire sahip güvenlik sıkıntısına yol açıyor. Güvenlik farkındalığıyla birinci etapta aşılması daha kolay olan toplumsal mühendislik ataklarında, çalışandan elde ettiği geçerli login bilgileriyle iç ağa erişen bir siber hatalıyı teknoloji tabanlı tahlillerin algılayıp durdurması daha şiddetli olmaktadır. Bilgi güvenliği, siber güvenlik farkındalığı, sistemleri korumakta giderek daha değerli bir hale geliyor.”
SİBER GÜVENLİK FARKINDALIĞI EĞİTİMİ HER ŞİRKET İÇİN GEREKLİLİK
Kurumların ve şirketlerin Uber’e yapılan taarruzla birlikte farkındalığının arttığına işaret eden e-Mektep Eğitimler Koordinatörü Yasin Yeniyurt, “Öncelikle kritik bilgi sahibi çalışanlardan başlamak üzere tüm çalışanların siber güvenlik farkındalığı eğitimi alması ile ilgili talepler geliyor. Bu trend gitgide büyüyerek işe alımlarda olmazsa olmaz haline gelecektir. Siber güvenlik farkındalığı eğitimlerinin yanında, daima bilgi güncelleme ve yeni tehditleri öğrenme için bu tıp eğitimlerin yılda en az 2 defa yapılması gerekiyor.” halinde konuştu.
Kaynak: (BYZHA) – Beyaz Haber Ajansı