Yayınlanan yeni rapor, birçok kuruluşun reaktif güvenlik yaklaşımı, yetersiz izleme süreçleri ve operasyonel eksiklikler nedeniyle siber güvenlik olaylarını tespit edemediğini ortaya koyuyor. Rapora göre incelenen olayların yüzde 31’inde saldırganlar, kuruluşların sistemlerinde üç aydan uzun süre fark edilmeden faaliyet göstermeyi sürdürdü. Yüksek önem derecesine sahip ihlallerin %52’si ise ancak 90 günden uzun süre tespit edilemeden kaldıktan sonra ortaya çıkarılabildi. Son bir yılda belirlenen en eski olayın ise tam dört yıl boyunca fark edilmediği tespit edildi.
Kaspersky Compromise Assessment hizmeti, kurumların BT güvenlik araçları ve süreçleri tarafından tespit edilemeyen hem halen devam eden saldırıları hem de daha önce fark edilmemiş saldırıları ortaya çıkarmaya odaklanıyor. Hizmet, bir ağın ihlal edilip edilmediğine ilişkin yüksek güvenilirlikte değerlendirme sunarken, bağımsız uzman analizleriyle kuruluşların genel güvenlik duruşunu da değerlendiriyor. Yıllık istatistiklerin analizine dayanan rapor şu temel sonuçları ortaya koyuyor:
İzleme araçları ve denetim mekanizmaları tek başına yeterli değil: Tespit edilen tüm vakaların yüzde 20’si manuel yöntemlerle tespit edilirken, işletmelerin %60’ında siber olayların gözden kaçma nedeni, mevcut araçlardan yüksek güvenilirlikli alarm (high-confidence alert) alınamaması oldu. Bu durum, otomatik güvenlik araçlarına aşırı bağımlılık olduğunu ancak bu araçların her zaman etkili bir şekilde yapılandırılmadığını veya izlenmediğini gösteriyor. İzleme araçlarının, sürekli değişen tehdit ortamına göre düzenli olarak optimize edilmesi ve uyarlanması gerekiyor. Analistlerin, çoğu zaman göz ardı edilen düşük güvenilirlikli alarmları da düzenli olarak incelemesi gerekiyor.
Zararlı dosyalar yedeklerden geri yükleniyor: Birçok kurum için yedekleme sistemleri ciddi bir kör nokta oluşturuyor. Tespit edilen tüm web shell’lerin (sunuculara uzaktan erişim sağlayan zararlı betiklerin) yüzde 40 gibi yüksek bir oranı, fark edilmeden yedeklerde barınıyordu. Bu da ilk olay müdahale (incident response) çalışmaları tamamlandıktan sonra, Bu durum, sistem yedeklerden geri yüklenirken zararlıların yeniden etkinleşmesine yol açabiliyor. Dolayısıyla yedeklerin bütünlüğü ve içerikleri titizlikle denetlenmelidir.
İletişim kopuklukları vakaların kaçırılmasına yol açıyor: Yapılan siber ihlal analizlerinin neredeyse üçte biri (yüzde 32), kurum içi net onay mekanizmalarının bulunmaması veya personel sirkülasyonu (turnover) nedeniyle bilgi birikimi kaybı yaşanması gibi dahili iletişim sorunlarını gözler önüne serdi. Bu bulgu, yalnızca teknik müdahale planlarının (playbook) değil, aynı zamanda insan odaklı süreçlerin ve iletişim akışlarının iş akışları ile operasyonel seviye anlaşmalarının (OLA) da düzenli tatbikatlarla test edilmesi gerektiğini gösteriyor.
Siber saldırı müdahale planları düzenli olarak güncellenmeli: Olası bir siber saldırı veya sızma durumunda yürütülecek kriz yönetiminin gerçekten verimli ve etkili olabilmesi için, müdahale planlarının yeni bulgular ve tehdit istihbaratı ışığında sürekli güncellenen “yaşayan belgeler” olarak ele alınması gerekiyor. Müdahale planlarının evrilen tehdit senaryolarına uyarlanmaması, kritik tehditlerin gözden kaçması ve sistemlerin kalıcı olarak ele geçirilmesi riskini ciddi derecede artırıyor.
Kaspersky Compromise Assessment Uzmanı Amged Wageh, konuya ilişkin şu değerlendirmede bulunuyor:
“Kurumlar sadece dış risklerle değil, kendi altyapılarının içinde saklanan tehditlerle de karşı karşıya ve siber ihlal belirtileri her zaman net olmayabiliyor. Proaktif güvenlik denetimleri, kurumların bir siber saldırıyı erkenden fark etme olasılığını önemli ölçüde artırır. Düzenli ve bağımsız üçüncü taraf uzlaşma değerlendirmelerini kurumsal süreçlere entegre etmek, beklenmedik kritik vakaların yaşanma ihtimalini azaltır ve genel risk duruşunu iyileştirir.”
