Yazılım saldırısı vektörlerine yakından bir bakış

Ulus devletlerin ve bilgisayar korsanı gruplarının pek çok sektördeki tedarik zinciri sağlayıcılarını hedef almaya devam etmesinin muhtemel olduğu açıkça görülüyor. Daha önce, teknik borçların kurumları nasıl zayıflatabildiğini yazmıştım. Bu, düşünülmesi gereken konulardan biri. Peki, kötü niyetli saldırganlar yeni saldırıları nasıl ve nereden başlatıyor? Başka hangi saldırı vektörleri kullanılabilir?

Sunburst gibi saldırılar, REvil grubu tarafından Kaseya’ya karşı düzenlenene benzer fidye yazılım saldırıları ve diğerleri ana akım medyanın dikkatini çekmeye devam ederken, 2021’de pek de üzerinde durulmayan bir saldırı dikkatimi çekti: Azure Linux makinelerindeki Open Management Infrastructure (OMI) yazılım aracısını etkileyen dört OMIGOD güvenlik açığı.

Açık kaynaklı projeler, büyük bir hızla büyümeye devam ediyor. Açık kaynaklı yazılımların güvenliğinde son 10 yılda dramatik iyileştirmeler yapıldığı doğru ve açık kaynaklı yazılımların güvenlik açıklarının çok daha hızlı bir şekilde yamandığına da şüphe yok. Bu, iyi bir haber. Ancak, açık kaynaklı tedarik zinciri saldırılarının endişe verici bir hızla arttığı da bir gerçek. Sonatype; 2021 Yazılım Tedarik Zincirinin Durumu raporunda, açık kaynaklı projelere karşı 12.000 saldırıda bulunulduğu tahmininde bulunuyor ve bu rakam bir önceki yıla göre %650 artış anlamına geliyor.

Rekabet açısından yeniliklere verilen öncelik ve sürekli olarak pazara ürün sunma sürelerini kısaltmaya odaklanılması, büyük ve küçük şirketleri açık kaynaklı projeleri benimsemeye itiyor. Hem devlet kurumları hem de özel kuruluşlar, gittikçe artan bir hızla yenilikler yapma ve yazılım projeleri gerçekleştirme baskısını hissediyor. Ancak, "hızlı hareket edip bir şeyleri bozma" anlayışının, özellikle de siber güvenlik açısından bir bedeli var.

Dolayısıyla, kamu sektöründeki ve özel sektördeki herkesin tüm açık kaynaklı projelerde güvenliğe öncelik vermesi bir zorunluluktur. Açık kaynaktan yararlanılmak istenmesi, kısmen yeniliklerden ve pazara ürün sürme süresinden kaynaklanıyor. Ancak, kurumların proje süresince pek çok aşamada durum tespiti yapması gerekiyor. Bu da hem projenin başlangıcında hem de geliştirme ve dağıtım süreçleri boyunca farklı kod inceleme katmanları anlamına geliyor. Bu, kolay bir iş değil ve suistimallerin kurum dışındaki kötü niyetli kişilerden veya bu projelerde çalışan dahili kaynaklardan gelebileceği düşünüldüğünde daha da karmaşıklaşıyor.

Kendimizi nasıl koruyabiliriz?

Kötü amaçlı yazılım güncellemeleriyle mücadelede temel silahlardan biri, teknik borç konusunun ele alınmasıdır. Bir teknik projenin mükemmel ve geleceğe hazır olmak için mal olması gereken “bedelle” (zaman, insan kaynakları, teknoloji yatırımı), kurumların o anda ödemeye hazır olduğu “bedel” arasında bir fark vardır. Yatırımın azalması ürünlerin çağının gerisinde kalmasına neden olabilir ancak bu borcun büyük kısmı, kesinlikle gerekli ancak sıkça görmezden gelinen bir unsur olan yazılım güncellemelerinin uygulanmasından kaynaklanmakta.

Kötü niyetli kişilerin (ulus devletler veya finansal amaçları olan suçlular) yazılım güncellemeleri aracılığıyla kötü amaçlı yazılımlar dağıtması ihtimali mevcut olsa da BT yöneticilerinin gelen güncelleme ve yamaları uygulamayı ihmal etmemesi gerekiyor.

Teknik borcun artması durumunda, oluşan güvenlik açıkları saldırganlar için bir giriş yolu oluşturur ve yeni kötü amaçlı yazılım dağıtma teknikleri, yamanmamış güvenlik açıklarıyla birleştiğinde çok endişe verici bir durum ortaya çıkar.

Ek olarak, karma çalışmanın yaygınlaşmasıyla birlikte son kullanıcıların sistemlerini yamama ve güncelleme konusunda daha fazla sorumluluk alması gerekiyor. Bu da güncellemelerin hiç yapılmamasına veya bu göreve alışkın olmayan ve BT ekiplerinin şüpheli olduğunu fark edecekleri davranışları kabul edebilecek kişiler tarafından yapılmasına neden olabiliyor. Liderler, çalışanların ilk güvenlik hattı olarak görev yapmasını sağlamak için siber güvenlik eğitimlerinin sunulmasını ve düzenli olarak güncellenmesini sağlamak zorunda.

Solarwinds, kötü amaçlı yazılım güncellemelerinden faydalanılan ilk olay değildi ve sonuncu da olmayacak. Ancak, şirket çapında farkındalık ve güçlü bir yama yönetimiyle savunmalarımızı güçlendirebiliriz.

Forcepoint DLP

Popular Content

Malware Blogs & Insights

Pazardaki Toplu Kötü Amaçlı Yazılım Güncellemelerine Hazır Mıyız?