Dijital sistemlerdeki yanlış yapılandırmalar ya da önemsiz gibi gözüken küçük hatalar siber saldırıların gerçekleşmesine neden oluyor. Bu da giderek büyüyen bir güvenlik tehdidi oluşturuyor. Bu güvenlik açıkları, sistem, uygulama veya ağ ayarları, güncel olmayan varsayılan ayarlar veya bulut hizmetleri, veritabanları veya güvenlik duvarlarındaki arızalar gibi en iyi güvenlik uygulamalarına uymadığında ortaya çıkıyor. Yetkisiz erişim, hassas bilgilerin çalınması gibi birçok konuda kullanıcıları ciddi risklere maruz bırakan güvenlik açıkları, tehlikeye sebep oluyor. WatchGuard Türkiye, Yunanistan ve MEA Bölge Müdürü Yusuf Evmez, yanlış yapılandırmaları ve doğurduğu güvenlik açıklarını paylaştı.
Yanlış yapılandırmaların doğurduğu sorunlar olukça endişe verici bir boyuta ulaşmış durumda. Open Worldwide Application Security Project’e (OWASP) göre bu sorun, en önemli güvenlik riskleri listesinin bir önceki baskısında altıncı sırada yer alırken bu baskıda ise beşinci sıraya yükseldiğini belirtiyor. OWASP analiz ettiği uygulamaların yüzde 90’ında yanlış yapılandırmalar tespit ederken yaptıkları Microsoft araştırması da yazılım ve cihazlardaki uygun olmayan konfigürasyonların fidye yazılımı saldırılarının yüzde 80’ine neden olduğunu ortaya koyuyor.
Yapılandırma sorunu sürüyor
OWASP’in açıklara ilişkin farkındalığı artırma çabalarına rağmen, özellikle bulut hizmetlerinin yükselişiyle birlikte bu yapılandırma sorunu devam ediyor. Yakın tarihli bir örnek, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından yayınlanan ve federal kurumların Office 365 ortamlarını önerilen güvenli yapılandırmalarla uyumlu hale getirmelerini gerektiren yönerge sorunun önemini ve ciddiyetini gözler önüne seriyor.
Dağıtık sistemlerin artan karmaşıklığı da yanlış yapılandırmaların çoğalmasında önemli bir rol oynuyor. Bu karmaşıklık, sistemlerin teknik özellikleri ve operasyonel gereksinimleri hakkındaki yanlış anlamalarla birleştiğinde, yönetilen bir hizmet sağlayıcı (MSP) olarak işi daha da zorlaştırıyor. Tam görünürlük eksikliği, düzenli olarak gözden geçirilmeyen varsayılan yapılandırmaların kullanımı ve sürekli izleme olmadan fark edilmeyecek yetkisiz değişiklikler gibi faktörler nedeniyle hibrit ve bulut ortamlarında yanlış yapılandırmaları tespit etmek zor bir boyut kazanıyor.
Mali kayıplar mümkün
Eski sistemler ve özel uygulamalar, gizli veya zorlu denetim yapılandırmaları içerdiğinden durumu daha da kötüleştiriyor ve düzeltici eylemi de engelliyor. Bu zayıflıkların sonuçları, güvenli yapılandırmalara dayanan birden fazla birbirine bağlı ortamla çalışan MSP işletmeleri için kötü olabilir. Bir yandan, bu saldırılara maruz kalan kullanıcılara ödenen tazminatlar, bir yandan da GDPR ve HIPAA gibi düzenlemelere uyulmadığından gerçekleşecek yasal cezalar nedeniyle mali kayıpların yaşanması mümkün. Ayrıca yanlış konfigürasyonlar sebebiyle de müşterilerin güveninin sarsılması ve sözleşmelerin fesh edilmesi gibi sonuçlar doğurabilir.
“Sunulan hizmete yapay zeka dahil edilmeli”
Bu zorlukların üstesinden gelmek ve riskleri azaltmak için alınabilecek etkili önlemlerin olduğunu ifade eden Yusuf Evmez, ‘’Kapsamlı bir strateji; sağlam güvenlik politikaları, iyi tanımlanmış erişim kontrolleri ve net olay müdahale prosedürleri içermelidir. Yapay zeka gibi otomatik araçlar olası yanlış yapılandırmaları ve yetkisiz değişiklikleri izleyip tespit edebildiğinden sunulan hizmete yapay zekayı da dahil etmek oldukça önemli” dedi.
Evmez, düzenli denetimler ve ekip için sürekli eğitimin en iyi güvenlik uygulamalarının tutarlı bir şekilde uygulanmasını sağladığını söyleyerek, “Bu önlemlerin benimsenmesi olayların önlenmesine yardımcı olur ve MSP işinizi bir mükemmellik ve güvenilirlik ölçütü olarak konumlandırır. Karmaşık yapılandırmaları yönetme ve riskleri azaltma becerinizi göstermek müşterilerinizin güvenini güçlendirmesini sağlarken uzun vadeli ilişkileri sağlamlaştırır. Ayrıca yeni iş fırsatlarının önünü açar. Bu yaklaşım operasyonel başarı sağlar ve anahtar rolünüzü pekiştirir” diye konuştu.
