Bir saldırganı engellemek, onun tespit edilmeden önce neler yaptığı, nelere eriştiği ve veri çıkarıp çıkarmadığı sorularını yanıtsız bırakabiliyor. WatchGuard, olay müdahalesinin saldırının yalnızca durdurulmasıyla sınırlı kalmaması gerektiğine dikkat çekiyor. WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, saldırının gerçek boyutunu ortaya koymanın ancak kapsamlı bir inceleme ile mümkün olduğunu belirtiyor.
Bütünleşik siber güvenlik alanında dünya lideri olan WatchGuard Technologies, saldırıyı kontrol altına almanın olay müdahalesinin yalnızca bir parçasını oluşturduğunu ifade ediyor. Şirkete göre güvenlik ekiplerinin saldırganın ne kadar ilerlediğini, hangi sistemlere ulaştığını ve tehdidin hâlâ ortamda bulunup bulunmadığını da belirlemesi gerekiyor. Haftalar önce kapatılan yetkisiz erişimlerin daha sonra yüz binlerce kişi ve kurumun verilerinin dışarı çıkarılmasına imkan tanıdığının ortaya çıktığı örnekler, gerçek etkinin ancak saldırının baştan sona yeniden yapılandırılmasıyla anlaşılabileceğini gösteriyor. WatchGuard, MSP’lerin de müşterilerine yalnızca kapatılmış bir kaydı değil, yaşananların tam resmini sunabilmesi gerektiğini vurguluyor.
Saldırının Kapsamını Belirlemek Dört Temel Zorluk Barındırıyor
WatchGuard, birden fazla müşteriyi izleyen MSP’lerin bir saldırının kapsamını belirlerken dört temel zorlukla karşılaştığını belirtiyor. Bir uyarı bir şeyin ilgi gerektirdiğini gösterse de devam eden bir saldırı olup olmadığını ya da ne kadar yayıldığını söylemiyor. Bu nedenle uyarıların doğrulanması, diğer olaylarla ilişkilendirilmesi ve etkilenen varlığın bağlamında değerlendirilmesi gerekiyor. Uç noktalar, kimlikler, SaaS uygulamaları ve bulut iş yükleri farklı faaliyet kayıtları üretirken müşteri sayısı arttıkça bu ortamlardan bağlamı kaybetmeden kanıt toplamak zorlaşıyor. Oturum açma işlemleri, yetkili araçlar veya dışa giden bağlantılar tek başına olağan görünürken art arda değerlendirildiğinde ortamda ilerleyen bir saldırganı ortaya çıkarabiliyor. Gece ya da hafta sonu gelen uyarıların gerçek zamanlı incelenmemesi ise saldırganlara yetki yükseltmek, yanal hareket etmek ve hassas verileri aramak için zaman kazandırıyor.
Her Yeni Sorun İçin Ayrı Bir Ürün Kar Marjlarını Eritiyor
WatchGuard’a göre yönetilen tespit ve müdahale (MDR) hizmeti, telemetriyi ve varlık bağlamını ilişkilendirerek tekil uyarıları saldırı zincirlerinden ayırıyor ve bir ihlalin tek bir sistemle sınırlı kalıp kalmadığını gösteriyor. Uzman analistler yanlış alarmları ayıklıyor, meşru araçlar kullanan saldırganları tespit ediyor ve saldırganın kuruma hangi yoldan girdiğini belirleyerek benzer zayıflıkların müşteri ortamının başka noktalarında da bulunup bulunmadığını ortaya koyuyor. Saldırı durdurulduktan sonra ise MDR, saldırının nasıl başladığını, saldırganın neler yaptığını ve hangi varlıklara ulaştığını yeniden yapılandırarak tehdidin tamamen ortadan kalkıp kalkmadığını doğruluyor. Uç nokta, ağ, kimlik, bulut ve güvenlik açığı verilerini bir araya getiren panolar ve raporlar da MSP’lerin müşterilerine sağladıkları değeri somut biçimde göstermesini kolaylaştırıyor.
“Kapatılan Bir Uyarı Her Zaman Kapanan Bir Olay Anlamına Gelmiyor”
Olay müdahalesinin saldırının durdurulmasıyla başladığını belirten WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, “Saldırıyı durdurmak anlık riski azaltıyor, ancak gerçekleşmiş olan riski ortaya çıkaran şey inceleme. Saldırganın nereden girdiğini, nelere ulaştığını ve tehdidin tamamen ortadan kalkıp kalkmadığını bilmeden bir olayı kapatmak, kurumları haftalar sonra çok daha büyük bir sürprizle karşı karşıya bırakabiliyor. Kesintisiz analist desteği ve farklı kaynaklardan gelen verileri birleştiren görünürlük, MSP’lerin müşterilerine saldırının gerçek boyutunu net biçimde gösterebilmesini sağlıyor.” dedi.
