Intel Security tarafından Enterprise Strategy Group’a (ESG) hazırlatılan Tackling Attack Detection and Incident Response (Saldırı Tespit ve Olay Müdahalesi) başlıklı yeni raporda, kurumların güvenlik stratejileri, siber saldırı ortamı, olaya müdahale etmede yaşanan zorluklar ve ihtiyaçlar değerlendirildi. Anket sonuçlarına göre, güvenlik alanında çalışanlar, güvenlik olaylarıyla boğulmuş durumda; geçtiğimiz yıl her bir şirket için ortalama 78 inceleme yapılmış olup bu olayların %28’i, siber saldırılar arasında en tehlikeli ve potansiyel olarak en çok zarar veren saldırı şekli olan hedefli saldırı niteliğindeydi. Ankete katılan bilgi işlem ve güvenlik profesyonellerine göre, saldırılara müdahale etme sorunlarını aşmak için daha iyi tespit ve analiz araçlarını kullanmak, verilecek olan eğitimlerle personelin verimlilik ve etkinliğini arttırmak başlıca çözümler arasında yer alıyor.
ESG’de kıdemli yönetici analist olarak çalışan Jon Oltsik,saldırı tespit ve tepki konusunda “zaman” ve “saldırının yol açacağı zarar” arasında çok büyük bir korelasyon olduğunun altını çiziyor. Oltsik’e göre organizasyonun tespiti, soruşturması ve tepki vermesi ne kadar uzun sürerse, kıymetli verilerin ihlalinin önüne geçmek de bir o kadar zorlaşıyor. Bu yüzden Oltsik, CISO’ların saldırı verilerini toplamanın ve işlemenin, tehdit tespiti ve cevabındaki önemini hep akılda tutmaları gerektiğini öğütlüyor.
Daha iyi entegrasyon
Ankete katılanların yaklaşık %80’ine göre güvenlik tehditlerinin tespit edilmesi ve tepki verilmesi konularında organizasyonlarının yaşadığı darboğazın sebebi, güvenlik araçları arasındaki entegrasyon ve iletişim eksikliği. Gerçek zamanlı ve detaylı görünürlük, hedefli saldırılara anında tepki verebilmek için büyük önem taşırken, katılımcıların %37’si güvenlik istihbarat ve BT operasyon araçları arasındaki sıkı entegrasyonun önemini vurguluyor.
Saldırının kapsamının belirlenmesi ve etkisinin azaltılması amacıyla yapılan eylemler, en çok zaman isteyen görevlerin başında geliyor ve bu tür operasyonlarda araçların entegre çalışması süreçleri hızlandırabiliyor. Bir dizi farklı güvenlik ürününden oluşan yamalı mimariler; araçların, konsolların, süreçlerin ve raporların kullanımını ayırarak zaman kaybına yol açıyor ve yeterince iyileştirme yapılamadığından, organizasyonlar çok daha hacimli saldırı riskleriyle karşı karşıya kalıyor.
Daha iyi algılama
Profesyonellerin muzdarip oldukları diğer bir konuysa, kullanıcı, ağ, uygulamalar ve host davranışlarının sınırlı anlaşılmasından ötürü zayıflayan gerçek zamanlı güvenlik görünürlüğü. En çok toplanan 4 veri tipi ağ ilintili ve bunların %30’u da kullanıcı aktivitesi verisi olunca, elde edilen verilerin yeterli olmadığı ortaya çıkıyor. Kullanıcıların, hangi verilerin endişe verici olduğunu anlamlandırabilmesi için daha fazla yardıma ihtiyacı oluyor. Bu boşluk da, neden organizasyonların neredeyse yarısının (%47) saldırı kapsam ve etki belirlemeyi özellikle zaman harcayıcı bulduğunu açıklıyor.
Daha iyi analiz
Kullanıcıların, güvenlik olay ve tehlike istihbarat verilerini toplayarak hacimli bir veri dağı elde etmek yerine, sadece anlamlı olanı alıp onu tespit ederek olayları değerlendirmek için kullanmanın önemini görmesi gerekiyor. Katılımcıların %58’i daha iyi tespit araçlarına (bulut bazlı zekalarla çalışan statik ve dinamik analiz araçlar gibi), %53’ü ise güvenlik verisini işlenebilir istihbarata çeviren analiz araçlarına ihtiyaçları olduğunu söylüyor. Katılımcıların 1/3’ü normal sistem davranışlarını taban çizgisine oturtup, farklılıkları daha hızlı tespit edebilecekleri araçlara ihtiyaç duyuyor.
Daha iyi uzmanlık
Ankete katılanlar, güncel tehlikeler hakkında bilgileri ve güvenlik soruşturması becerileri konusundaki eksikliklerinin farkında. Bu nedenle teknik entegrasyon ve analitik beceriler artsa bile, gördükleri verileri anlamlandıramamaktan endişe ediyorlar. Katılımcıların yalnızca %45’i kendilerini zararlı yazılımları perdeleme teknikleri konusunda bilgili görürken, %40’ı siber güvenlik bilgi ve yetkinliklerinin artması için daha çok eğitime ihtiyaç duyduklarını belirtiyor.
Aksiyon için otomasyon
Soruşturmaların hacmi ve sınırlı kaynaklara sahip yetkinlikler, kullanıcıların olay tespit ve tepki yardımına olan ihtiyaçlarını kuvvetlendiriyor. %42’nin bildirdiğine göre, en çok zamanlarını alan görev, bir saldırının etkisini en aza indirgemek için yapılanlar oluyor. Katılımcıların %27’si, gerçek zamanlı bir değerleme için güvenlik istihbaratları tarafından otomotize edilmiş analizleri tercih edeceklerini belirtirken, %15’i süreçlerin otomasyonunu personelini daha önemli işlere yönlendirebilmek için istiyor.
Intel Security Genel Müdürü Chris Young, güvenlik operasyonlarında kullanılan süreleri kalp krizi geçiren hastaların kurtulabilmesi için hastaneye yetiştirilmeleri gereken altın saate benzetiyor. Young’a göre güvenlik endüstrisi de,tıpkı kalp krizi örneğinde olduğu gibi, çalışmalarını organizasyonlarının saldıranı tespit ve savuşturma zamanlarını kısaltarak, zarar almamasını engellemeye yönlendirmeli. Young, “Bunun için, zor da olsa, nelerin bizi yarıda bıraktığını kendimize sorarak, düşüncelerimizi güvenliği nasıl sağlamamız gerektiği üzerine yoğunlaştırmalıyız” diyor.
ESG, Intel Security araştırması içerisinde en iyi uygulamalar ve çıkarılan dersler açısından birçok ipucu sunduğunu belirtiyor. Bu verilere göre CISO’lara bazı önerilerde bulunuyor:
· Sıkı bir şekilde entegre edilmiş güvenlik teknolojisi mimarisini yaratmak: CISO’lar, münferit güvenlik araçlarını entegre güvenlik mimarisiyle değiştirmelidir. Bu stratejiyle amaç; kullanıcı, uç nokta ve ağ davranışlarını gözlemleyerek, saldırı bilgilerinin paylaşılması ve böylece şirket genelinde görünürlüğü arttırarak, daha etkili ve koordineli yanıtlar alınmasıdır.
· Siber güvenlik stratejisini güçlü analizlerle destekleyerek, hacimden anlamlı veriye geçmek: Siber güvenlik stratejileri, güçlü güvenlik analizlerine dayalı olmalıdır. Büyük miktarlarda iç verilerin (örneğin, loglar, akışlar, paketler, uç nokta delil toplama (forensik), statik/dinamik kötü amaçlı yazılım analizi, kurumsal istihbarat (örneğin, kullanıcı davranışı, işletme davranışı vs.) ve dış verilerin (örneğin, tehdit istihbaratı, zaafiyet bildirimleri vs.) toplanması, işlenmesi, analiz edilmesi ve anlamlı veriye ulaşılması gerekiyor.
· Olay tespiti ve olaya yanıtın otomasyonunu sağlamak: Kurumlar, en yeni saldırı tekniklerine ayak uydurma konusunda zorlandığından dolayı, CISO’lar gelişmiş zararlı yazılım analizleri, akıllı algoritmalar ve tehdit istihbaratının tüketimi gibi konularda süreçlerin otomasyonuna daha fazla öncelik vermelidir. Böylece kurum içi davranışı, tehdit göstergeleriyle (IoC) ve siber saldırganlar tarafından kullanılan yöntem ve prosedürlerin (TTP) karşılaştırılması otomatize edilir.
· Sürekli siber güvenlik eğitimi sunmak: CISO’lar, profesyonellere tehditleri daha iyi anlamalarını ve etkili olay yanıtı için en iyi uygulamaları öğrenebilecekleri yıllık eğitim kursları gibi siber eğitimlerini sürekli olarak güvenlik ekiplerine sunulmasını talep etmelidir.
