Siber Güvenliğin Kısa ama Etkili Cümleleri
9 min read
Siber güvenlik dünyasında yüzlerce teknoloji, binlerce ürün ve sayısını takip etmenin giderek zorlaştığı güvenlik terimi var.
Firewall, DLP, EDR, XDR, SIEM, SOAR, PAM, MFA, Zero Trust…
Listeyi biraz daha uzatırsak bir noktadan sonra siber güvenlik makalesinden çok otomobil plaka kodlarına benzeyebilir. 😊
Ama bütün bu teknolojilerin arkasında aslında oldukça basit bazı prensipler bulunuyor.
Üstelik bunların çoğunu anlatmak için 200 slaytlık bir sunuma ihtiyacımız yok.
Bazen tek bir cümle yeterli.
Çünkü siber güvenliğin yıllar içinde oluşmuş çok güçlü mottoları var.
Bazıları teknik.
Bazıları felsefi.
Bazıları ise yaşanmış binlerce güvenlik olayının birkaç kelimelik özeti.
Gelin bunların en önemlilerine biraz farklı bir gözle bakalım.
1. “Security is Everyone’s Responsibility”
Güvenlik herkesin sorumluluğudur.
Muhtemelen bilgi güvenliği dünyasının en bilinen mottolarından biri.
Ama aynı zamanda en sık unutulanlardan.
Birçok kurumda güvenlik denildiğinde insanların aklına ilk olarak Bilgi Güvenliği veya Siber Güvenlik ekipleri gelir.
Bir kullanıcı şüpheli bir bağlantıya tıklar.
“Güvenlik ekibi çözsün.”
Bir sunucuda kritik açık çıkar.
“Güvenlik ekibi ilgilensin.”
Bir dosya yanlış kişiye gönderilir.
“Güvenliğe haber verelim.”
Burada küçük bir problem var.
Güvenlik ekibi her yerde olamaz.
Bir kurumda 10.000 çalışan ve 30 kişilik güvenlik ekibi olduğunu düşünelim.
30 kişinin diğer 9.970 kişinin yaptığı her işlemi kontrol etmesi mümkün mü?
Pek değil.
Aslında güvenlik biraz apartman güvenliğine benziyor.
Apartmanın kapısında dünyanın en iyi güvenlik görevlisi olabilir.
Ama siz arkanızdan gelen herkese kapıyı tutup:
“Buyurun, siz de girin.” derseniz sistem çok uzun süre güvenli kalamaz. 😊
Günlük hayattan bir örnek
Bir çalışan şöyle bir e-posta alıyor:
“Microsoft 365 hesabınız 30 dakika içerisinde kapatılacaktır. Hesabınızı doğrulamak için tıklayın.”
Altında büyük kırmızı bir buton:
HESABIMI DOĞRULA
Kullanıcı tıklıyor.
Kullanıcı adı ve şifresini giriyor.
Sonra MFA kodunu da yazıyor.
Saldırgan açısından bakarsak müşteri deneyimi mükemmel. 😊
Oysa kullanıcı yalnızca 10 saniye durup gönderen adresine baksa saldırı belki de başlamadan bitecek.
İşte bu nedenle güvenlik yalnızca güvenlik ekiplerinin işi değildir.
Güvenlik bir departman değil, kurum kültürüdür.
2. “Never Trust, Always Verify”
Asla güvenme, her zaman doğrula.
Zero Trust yaklaşımının en meşhur cümlesi.
Eskiden güvenlik anlayışı biraz kale mantığıyla çalışıyordu.
Şirket ağına dışarıdan gelen kişi?
Şüpheli.
Şirket ağındaki kişi?
Güvenilir.
Fakat zamanla küçük bir problem ortaya çıktı.
Saldırganlar da şirket ağına girmeyi öğrendi.
VPN hesapları ele geçirildi.
Çalışan hesapları çalındı.
Yetkili hesaplar saldırganların eline geçti.
Sonra güvenlik dünyası önemli bir gerçeği kabul etti:
Bir kişinin içeride olması, güvenilir olduğu anlamına gelmez.
Zero Trust tam olarak burada devreye giriyor.
Kim olduğunu doğrula.
Hangi cihazdan geldiğini kontrol et.
Nereye erişmek istediğine bak.
Bu erişime gerçekten ihtiyacı var mı kontrol et.
Davranışı normal mi analiz et.
Yani:
“Kartını gösterdi, içeri girdi.” dönemi büyük ölçüde bitti.
Artık soru şu:
“Kart senin olabilir ama saat 03:17’de neden müşteri veritabanının tamamını indiriyorsun?”
İşte güvenliğin güzel tarafı burada başlıyor.
Kimlik doğru olabilir.
Şifre doğru olabilir.
MFA başarılı olabilir.
Ama davranış yanlış olabilir.
Bu nedenle modern güvenlik sadece “Sen kimsin?” diye sormaz.
Aynı zamanda:
“Ne yapıyorsun?” diye de sorar.
3. “Least Privilege”
İhtiyacın kadar yetki.
Bilgi güvenliğinin en basit ama uygulanması en zor prensiplerinden biri.
Mantığı çok basit:
Bir kullanıcının işini yapmak için ihtiyacı olmayan bir yetkisi varsa o yetki verilmemelidir.
Ama gerçek hayatta süreç bazen şöyle işler:
— Ahmet’in bu sisteme erişmesi gerekiyor.
— Hangi yetkiler lazım?
— Mehmet’te ne varsa Ahmet’e de verelim.😊
Altı ay sonra Ahmet’in 37 sisteme erişimi vardır.
Bir yıl sonra departman değiştirir.
Yeni yetkiler eklenir.
Eskileri?
Durmaya devam eder.
Üç yıl sonra Ahmet’in erişim listesi küçük çaplı bir sistem yöneticisini kıskandıracak hale gelir.
Sonra Ahmet’in hesabı ele geçirilir.
Saldırgan sisteme girer ve karşısında açık büfe bulur.
Database? Var.
Dosya sunucusu? Var.
Raporlama sistemi? Var.
Test ortamı? Var.
Production? O da var.
Güvenlik açısından temel soru şudur:
Bir kullanıcı hesabı ele geçirilirse saldırgan ne kadar ileri gidebilir?
Least Privilege yaklaşımı tam olarak bu hasarı sınırlamaya çalışır.
Çünkü siber güvenlikte amaç her zaman saldırıyı %100 engellemek değildir.
Bazen asıl amaç:
Saldırgan içeri girdiğinde hareket edebileceği alanı küçültmektir.
4. “The Human is the Weakest Link”
İnsan en zayıf halkadır.
Bu cümleyi güvenlik dünyasında çok duyuyoruz.
Ama bence biraz haksızlık ediyoruz.
Çünkü insan aynı zamanda en güçlü güvenlik kontrolü de olabilir.
Bir saldırgan düşünelim.
Firewall’u geçmesi gerekiyor.
EDR’ı atlatması gerekiyor.
IPS’i geçmesi gerekiyor.
MFA’yı aşması gerekiyor.
DLP’ye yakalanmaması gerekiyor.
SIEM alarm üretmemeli.
Zor iş.
Alternatif?
Muhasebeden Ayşe Hanım’a telefon açmak.
“Merhaba, BT’den arıyorum. Bilgisayarınızda kritik bir sorun tespit ettik. Size birazdan gelen MFA isteğini onaylayabilir misiniz?”
Ayşe Hanım onaylarsa saldırgan birçok teknolojiyi birkaç saniyede geçmiş olabilir.
Bu yüzden sosyal mühendislik hâlâ saldırganların en sevdiği yöntemlerden biri.
Çünkü insanlarda bulunan bazı özellikleri kullanıyor:
Merak.
Korku.
Otoriteye güven.
Acelecilik.
Ödül beklentisi.
Örneğin:
“Maaş Güncellemesi – Yeni Zam Oranları.xlsx” isimli bir dosya düşünün.
Kaç kişi tıklar?
Muhtemelen güvenlik farkındalık eğitimine katılanların bile eli fareye doğru hafifçe gider. 😊
İşte bu nedenle güvenlik farkındalığı eğitimlerinin amacı insanları güvenlik uzmanı yapmak değildir.
Amaç şudur:
İnsanın içindeki küçük şüphe mekanizmasını aktif tutmak.
“Bu mail gerçekten normal mi?”
“Bu kişi neden benden şifre istiyor?”
“Bu link neden farklı bir domaine gidiyor?”
“Bu MFA isteğini ben başlatmadım ki?”
Bazen kurumun en iyi güvenlik sistemi milyon dolarlık bir ürün değil, kullanıcının söylediği şu cümledir:
“Bir dakika… Burada bir gariplik var.”
5. “Data is the New Oil”
Veri yeni petroldür.
Bu cümleyi teknoloji dünyasında uzun zamandır duyuyoruz.
Fakat bilgi güvenliği açısından bakıldığında çok önemli bir anlamı var.
Çünkü saldırganların büyük bölümü aslında sistemlerinizle ilgilenmiyor.
Sunucunuzun markası umurunda değil.
Database sürümünüzle duygusal bir bağı yok.
Switch’inizi de koleksiyonuna eklemek istemiyor. 😊
Onların ilgilendiği şey çoğunlukla:
Veri.
Müşteri bilgileri.
Kimlik bilgileri.
Kredi kartları.
Kaynak kodları.
Fiyatlandırma tabloları.
Teklifler.
Finansal bilgiler.
Çalışan bilgileri.
Ticari sırlar.
Yani saldırgan açısından sunucu çoğu zaman kasa değildir.
Kasaya ulaşmak için kullanılan kapıdır.
Bu nedenle modern güvenlik yaklaşımının merkezinde artık sadece sistem değil, veri bulunmalıdır.
Sorulması gereken sorular değişiyor.
“Sunucu çalışıyor mu?” yerine:
“Veriye kim erişiyor?”
“Database erişilebilir mi?” yerine:
“Bu kullanıcı neden bu kadar fazla kayıt okuyor?”
“Dosya indirildi mi?” yerine:
“Bu dosyanın içinde hassas veri var mı?”
Çünkü korunması gereken asıl varlık teknolojinin kendisi değil, teknolojinin taşıdığı bilgidir.
6. “Defense in Depth”
Tek güvenlik kontrolüne güvenme.
Evimizin kapısında kilit var.
Peki neden bazı evlerde alarm da var?
Kamera neden var?
Apartman girişinde güvenlik neden var?
Çünkü hiçbir güvenlik kontrolü kusursuz değildir.
Siber güvenlikte buna Defense in Depth, yani katmanlı güvenlik diyoruz.
Örneğin saldırgan kullanıcının şifresini ele geçirdi.
İlk katman düştü.
Ama MFA var. MFA da geçildi.
Endpoint üzerinde EDR var. O da atlatıldı.
Database’e ulaştı. Database Activity Monitoring saldırganın yaptığı anormal sorguları görüyor.
Veriyi indirmeye başladı. Network kontrolleri devreye girdi.
Dosyayı dışarı çıkarmaya çalıştı. DLP devreye girdi.
SIEM bütün bu olayları ilişkilendirdi. SOC alarm aldı.
İşte gerçek güvenlik budur.
Bir kontrol başarısız olduğunda hikâye bitmemeli.
Başka bir kontrol:
“Merhaba, ben hâlâ buradayım.” diyebilmeli. 😊
7. “You Can’t Protect What You Can’t See”
Göremediğin şeyi koruyamazsın.
Siber güvenlikte en sevdiğim prensiplerden biri.
Çünkü oldukça basit bir gerçeği anlatıyor.
Bir kurumda hangi verilerin olduğunu bilmiyorsanız onları nasıl koruyacaksınız?
Hangi database’lerin bulunduğunu bilmiyorsanız nasıl izleyeceksiniz?
Hangi kullanıcıların privileged olduğunu bilmiyorsanız yetkilerini nasıl kontrol edeceksiniz?
Hangi sistemlerin internete açık olduğunu bilmiyorsanız risklerini nasıl yöneteceksiniz?
Bu biraz evinizde kaç tane kapı olduğunu bilmeden güvenlik sistemi kurmaya benziyor.
“Evimiz çok güvenli.”
Kaç kapı var?
“Bilmiyoruz.”
Pencereler?
“Onlara hiç bakmadık.”
Arka bahçede bir kapı var mı?
“Bir ara kontrol ederiz.” 😊
İşte bu yüzden visibility, yani görünürlük siber güvenliğin temel taşlarından biridir.
Asset inventory.
Data discovery.
Database monitoring.
Network visibility.
Log management.
Endpoint monitoring.
Hepsinin temel amacı aynı:
Önce gör. Sonra koru.
8. “Assume Breach”
Saldırının gerçekleşebileceğini kabul et.
Bu motto ilk duyulduğunda biraz karamsar gelebilir.
Ama aslında oldukça gerçekçi.
“Bize kim saldıracak?”
“Bizde önemli veri yok.”
“Firewall var.”
“Antivirüs kurulu.”
“Bugüne kadar bir şey olmadı.”
Bu cümlelerin ortak bir problemi var:
Geçmişte saldırıya uğramamış olmak, yarın saldırıya uğramayacağınız anlamına gelmez.
Assume Breach yaklaşımı şunu söyler:
Bir saldırganın sisteme girebileceğini kabul et ve güvenliği buna göre tasarla.
O zaman sorular değişir.
Saldırgan içeri girerse onu görebiliyor muyum?
Hareketlerini takip edebiliyor muyum?
Yetki yükseltmesini fark edebilir miyim?
Büyük miktarda veri çektiğinde alarm üretebilir miyim?
Veriyi dışarı çıkarmasını engelleyebilir miyim?
Olayı ne kadar hızlı tespit edebilirim?
Bu bizi siber güvenlikte çok önemli başka bir noktaya getiriyor.
Mesele sadece saldırıya uğrayıp uğramamak değildir.
Mesele:
Ne kadar hızlı fark ettiğiniz ve ne kadar hızlı müdahale ettiğinizdir.
9. “Security is a Process, Not a Product”
Güvenlik bir ürün değil, süreçtir.
Bütün yazının özeti bu cümle olabilir.
Yeni firewall aldık. Güvendeyiz.
EDR kurduk. Güvendeyiz.
DLP aldık. Artık kesin güvendeyiz.
SIEM de kurduk. Tamamdır. 😊
Keşke böyle olsaydı.
Dünyanın en iyi güvenlik ürününü satın alabilirsiniz.
Ama yanlış yapılandırılmışsa?
Politikalar güncel değilse?
Alarmlar kimse tarafından takip edilmiyorsa?
Loglar toplanmıyorsa?
Yetkiler yıllardır gözden geçirilmemişse?
Patch’ler uygulanmıyorsa?
Kullanıcı farkındalığı yoksa?
O ürün sadece pahalı bir dekorasyon olabilir.
Siber güvenlik satın alınan bir kutu değildir.
Sürekli yaşayan bir süreçtir.
Kur.
İzle.
Test et.
Ölç.
Güncelle.
İyileştir.
Ve tekrar başa dön.
Çünkü saldırganlar yöntemlerini sürekli geliştirirken savunmanın yıllarca aynı kalmasını beklemek pek mantıklı değil.
SONUÇ: EN İYİ GÜVENLİK MOTTOSU HANGİSİ?
Belki de hepsini tek bir cümlede birleştirebiliriz:
“Güven ama kontrol et” artık yeterli değil.
Modern siber güvenlik dünyası bize biraz daha farklı bir şey söylüyor:
Doğrula.
En az yetkiyi ver.
Davranışı izle.
Veriyi tanı.
Katmanlı koruma kullan.
Saldırı ihtimalini kabul et.
Ve güvenliği hiçbir zaman bitmiş bir proje olarak görme.
Çünkü siber güvenlikte en tehlikeli cümle muhtemelen şudur:
“Bizde her şey güvenli.”
Bu cümleden hemen sonra gelen ikinci tehlikeli cümle ise genellikle şöyledir:
“Bu MFA isteği neden geldi? Neyse, onaylayayım.” 😊
Teknoloji değişiyor.
Saldırı yöntemleri değişiyor.
Yapay zekâ hem savunma hem saldırı tarafında oyunun kurallarını değiştiriyor.
Ama güvenliğin temel prensipleri büyük ölçüde aynı kalıyor.
Ve belki de güvenlik farkındalığının en basit mottosu hâlâ şu:
DUR. DÜŞÜN. DOĞRULA.
Bazen üç saniyelik bir şüphe, milyonlarca liralık güvenlik teknolojisinden daha değerli olabilir.
Seyhan Tekelioğlu
