Anasayfa
Güvenlik
Makaleler
Bilgi Güvenliği Metodolojileri: 2019'da Yeni Trendler Neler?

Bilgi Güvenliği Metodolojileri: 2019'da Yeni Trendler Neler?

2019 Siber Güvenlik Teknolojilerinde Trendler

Zero Trust Modeli

Erişim kontrolleri, kimlik doğrulaması, trafik izleme gibi güvenlik kontrollerinin sıfır güven esasına göre gerçekleştirilmesi olarak tanımlanan Zero Trust modelinde ağa erişim sağlayan bir kişinin veya cihazın kim olduğu ve yetkilerinin ne olduğu tespit edilmeden hiçbir şeye erişimine izin verilmemesi kuralı uygulanır. IDG 2018 Güvenlik Öncelikleri Araştırmasına[1] göre Sıfır Güven modeli diğer güvenlik teknolojilerine göre daha fazla ilgi çekiyor. Günümüzde siber suçluların daha çok çalıntı, zayıf veya ele geçirilmiş giriş bilgilerini kullanarak sistemlere sızmaları ve fark edilmemek amacıyla güvenilir kullanıcılar gibi davranmaları sıfır güven modelinin önemini ortaya çıkarmaktadır. Bu nedenle 2019’da bu modelin daha fazla uygulama alanı bulması öngörülüyor.

Ayrıcalıklı Hesap Yönetimi

Gartner 2018 en çok önerilen güvenlik projeleri listesinde[1] yer alan Ayrıcalıklı Hesap Yönetimi (Privileged Account Management-PAM) çözümlerine birçok kurum tarafından henüz gereken önceliğin verilmediği veya kısmen uygulamaya alındığı belirtiliyor. Ayrıcalıklı hesapların ele geçirilmesi ile ilgili atakların artış gösterdiği günümüzde bulut bilişim ve sıfır güven modeli ile uyumlu PAM çözümünün 2019’da daha da öne çıkacağı belirtiliyor.

DevOps

Operasyon ve geliştirici ekipler arasında işbirliği üzerine temellendirilmiş agile metodunu kullanarak bilişim teknolojileri servislerinin hızlı bir şekilde sunulmasını esas alan bir model olan DevOps yaklaşımının da atak yüzeyini arttıran bir yapıya sahip olduğu belirtiliyor. Agile yöntemlerinin avantajını sunmakla birlikte DevOps’a ait sayısı sürekli artan kullanıcı hesaplarının denetimi ve yönetimi büyük önem arz ediyor. Geleneksel güvenlik modellerinin agile özelliğini kısıtlaması ve manuel ayarları gerektirmesinden dolayı yeni erişim kontrol mekanizmalarına ihtiyaç duyulmaktadır. Bu nedenle geliştirici ortamlarının güvenliğinin sağlanması adına güvenlik ve operasyon ekiplerinin DevOps’a ait kullanıcı ve sistem hesaplarının yönetimini ve denetimini sıkı bir şekilde yapmaları gerekmektedir. Tüm bu nedenlerden dolayı DevOps önümüzdeki yıl üst sıralarda yer alacak bir güvenlik kriteri olarak değerlendirilmektedir.

Yapay Zeka

Makine öğrenmesi ve yapay zeka teknolojileri izleme, denetim, tehdit algılama ve alarm sistemlerini kapsayan otomatize siber savunma teknikleri için kritik öneme sahip bir altyapı olarak tanımlanır. Kullanıcı davranışlarını analiz edip sınıflandırarak iyi ve kötü aktiviteleri birbirinden ayırabilme, birbirinden bağımsız gibi görünen saldırı göstergelerini yorumlayıp korelasyon kurallarına göre alarm üretme gibi çeşitli kritik işlevlere sahip olan güvenlik yapay zeka uygulamaları siber savunma ekiplerinin işini kolaylaştırdığı için önümüzdeki yılda önemi artacak olan güvenlik trendlerinden biri olarak tanımlanıyor.

Yapay zeka üzerine temellendirilmiş siber güvenlik sistemleri makine öğrenmesi tekniklerinin yardımıyla öğrenme ve kendini geliştirme fonksiyonlarına da sahiptir. Siber güvenlik sistemlerinin ürettiği büyük veriyi işleme yetisini de yapay zeka sayesinde kazanan güvenlik sistemleri saldırıları tespit ederken normal ve olağandışı aktiviteleri birbirinden ayırmak için baseline oluşturma yöntemini kullanır. Baseline oluşturma işlemi veri girdisinin işaretlenmemiş olması yani hangi data sınıfına ait olmadığının bilinmemesi esasına dayanan gözetimsiz(unsupervised) öğrenme algoritmasına bir örnektir. Tamamıyla yeni veya varolan bir zararlıdan oluşturulan gelişmiş malware’leri tespit etmekte kullanılan yöntem ise gözetimli(supervised) öğrenmeye örnek olarak sayılabilir.

Yapay zekâya sahip sistemlerin endüstriyel uygulamaları işleri otomatikleştirme ve karar alma gibi süreçleri iyileştirme gibi avantajlar sunar. Ancak büyük veriyi işleme gibi fonksiyonları onları aynı zamanda siber saldırılar için bir hedef haline getirmektedir. Mantıksal işleyişlerini bozup işlevlerini yapamaz hale getirecek zararlı girdilere karşı kırılgan bir yapıya sahip olan yapay zekâ teknolojileri 2019 yılında siber güvenlik camiasının ilgi çekecek bir konu olarak görülüyor.

Yapay zekânın siber saldırılar için manipüle edilmesine örnek gösterilebilecek bazı uygulamalar: Ağları ve sistemleri yoklayarak istismar edilebilecek daha önce keşfedilmemiş zafiyetleri tespit etmek, gerçekçi içeriklerle oltalama ve sosyal mühendislik saldırılarını daha karmaşık hale getirebilmek

Ayrıca yapay zekâ tabanlı saldırı araçlarının, daha önce manuel çalışma gerektiren ve maliyetli olan hedefe özel saldırıların sıfır maliyetle gerçekleştirilmelerini sağlayacak bir otomasyon özelliğini siber suçlulara sunacağı belirtiliyor. AI ile ilgili siber saldırıların bir yandan yapay zeka sistemlerini hedef alma bir yandan atakları sofistike hale getirmek için yapay zeka tekniklerini kullanma etrafında şekilleneceği öngörülüyor.

Otonom Tehdit Algılama Sistemleri

Hâlihazırda siber savunma bileşenlerinden olan otomatize tehdit algılama sistemlerinde de uygulama alanı bulan yapay zekâ teknolojisinin yeni bir güvenlik trendi olarak tanımlanan otonom sistemlere dönüşmesinin önümüzdeki süreçte bir ihtiyaç olarak karşımıza çıkacağı öngörülüyor. Riskleri algılayıp alarm üreten otomatize çözümlerin ötesinde tehditleri saptayarak müdahale gerektirmeden kendi kendine kontrol altına alabilen ve güvenlik sürecinin baştan sona verimli bir şekilde yürütülmesine katkı sağlayan sistemler olarak tanımlanan otonom güvenlik sistemleri yeni nesil bir savunma teknolojisi olarak görülmektedir. Yapay zekâ ve makine öğrenmesi üzerine temellendirilmiş otonom sistemlerin özellikle bulut teknolojilerinde uygulama alanı bulacağı vurgulanıyor. Bulut güvenlik önlemleri erişim kontrolü, tehdit saptama ve veri kontrolü gibi üç ana bileşen üzerine temellendirilir ve en azından üç ayrı platform kurulması ihtiyacını doğurur. Otomatize bir platform bulut bazlı yeni sistemleri mevcut güvenlik çözümlerine entegre etmede katkı sağlayabilir; ancak çeşitli servislere erişmek çeşitli cihazlar kullanan farklı kullanıcılardan gelecek alarmları üretmenin ötesinde bu alarmları ayıklama konusunda yetersiz kalabilir. Tehditleri algılama ve aynı zamanda etkisizleştirme işlemlerini gerçekleştirebilen otonom sistemler bilişim personelinin yükünü azaltmaya daha çok yardımcı olmaktadır.

Çok Faktörlü Kimlik Doğrulama

Sadece parola ile korumaya dayanan güvenlik sistemlerinin yetersiz kalması çok faktörlü kimlik doğrulama yöntemlerini öne çıkarıyor. Ancak her kurumun farklı farklı çok faktörlü kimlik doğrulama yöntemleri kullanması kullanıcıların süreci yönetmelerini zorlaştırıyor. Bu nedenle çok faktörlü kimlik doğrulama sistemlerinin bir standarda kavuşturulması gerekiyor. Önümüzdeki yılın MFA(Multi-Factor Authentication) kullanımını kolaylaştıracak ve zorunlu kılacak yöntemlerle gelmesi bekleniyor.

Biyometrik Kimlik Doğrulama

Son zamanlarda ortaya çıkan SIM swap atağında siber suçlular kurban hakkında toplayabildikleri kadar veri toplayarak kişisel bilgiler, doğum günü, telefon numaraları ve güvenlik sorularına yanıt gibi çeşitli kritik bilgileri ele geçirirler. Bu bilgileri kullanarak GSM sağlayıcısından aynı hesap üzerinden yeni bir SIM kart aktive edilmesini talep edip kullanıcıya ait her türlü mesajlaşma, telefon konuşmaları, email, sosyal medya ve banka hesapları gibi kritik verilere erişim sağlarlar. Bu saldırı genellikle cep telefonuna gönderilen kod ile doğrulamayı esas alan iki faktörlü kimlik doğrulama sisteminin gücünü de kötü yönde etkilemektedir. Yüz tanıma gibi biyometrik kimlik doğrulama sistemlerinin de alternatif bir kimlik doğrulama yöntemi olmasını sekteye uğratması nedeniyle güvenlik uzmanları yeni bir arayış olarak davranışsal biyometri sistemine işaret etmektedir.

KVKK

GDPR ve KVKK gibi kişisel verilerin korunumu ile ilgili yasal düzenlemelerin; kurumlarda gizliliğin ön planda tutularak datanın toplanması, kullanımı ve paylaşımı gibi konularda önemli değişikliklere gidilmesine katkı sağlayacağı belirtiliyor.

Advanced Threat Protection

Microsoft’un önümüzdeki yıl, hassas bilgileri ele geçirmeye yönelik sofistike zararlı yazılım veya hacking tabanlı tehditlere karşı koruma vadeden Advanced Threat Protection (ATP) çözümünü tüm ana ürünlerine entegre edeceği belirtiliyor.

5G Teknolojili IoT Cihazları

2019 yılında 5G’ye geçişlerin hız kazanacağı bir yıl olması beklenirken bu yeni teknolojinin getireceği güvenlik açıklıkları konusunda uzmanlar şimdiden uyarıyor. 5G teknolojili IoT cihazlarının merkezi bir router görevi gören Wi-Fi yönlendirici yerine 5G ağlara direk olarak bağlanması, yüksek orandaki IoT verilerinin bulut sistemlere yedeklenmesi ve iletimi gibi kritik işlemler saldırganlara yeni cazip hedefler sunacaktır.

Runtime Application Self-Protection (RASP)

Buffer overfllow bellek taşırma saldırılarını ve zararlı yazılımların başka cihazlara bulaşmasını önlemek üzere geliştirilen Runtime Application Self-Protection (RASP) teknolojisinin önümüzdeki yılda yeni bir güvenlik trendi olarak yaygınlaşması bekleniyor. RASP randomizasyon olarak da adlandırılan binary stirring, kontrol akışı bütünlüğü ve priori optimizasyonu gibi yöntemleri uygulayarak saldırganların kodlarını çalıştırmak için yapmaları gereken hesapları imkânsızlaştırmaktadır.

Kimlik Bazlı Güvenlik (Identitiy Based Security)

Ağa bağlanan kullanıcı veya cihazların tanımlanmasını ve erişebileceği kaynakları sahip olduğu haklara göre belirlemeyi esas alan identity-based security mobil iletişim, bulut bilişim ve BYOD gibi yeni teknolojiler için yeni bir erişim kontrol sistemi sunan bir teknoloji. Bu teknoloji geleneksel güvenlik çözümlerinin uyguladığı IP ve Port bilgilerine göre erişim kontrolü yapmak yerine kullanıcı veya grup bilgilerine göre erişim kontrolü yaparak daha verimli bir denetim mekanizması sunmaktadır. Özellikle bulut servislerinin güvenliğinde geleneksel uygulamaların yetersiz kalması identity-based security sisteminin yaygınlaşmasına neden olacağı öngörülüyor.

Uç Nokta Güvenliği

EDR ve MDR gibi uç nokta güvenliği çözümlerinin önümüzdeki yılların ilgi çeken konuları arasında olması öngörülüyor.

DevSecOps

Yazılım geliştirmede güvenliği projenin başından itibaren devreye almak esasına dayanan DevSecOps; yazılımın yanı sıra bulut, altyapı ve paydaşlarla yapılan çalışmalarda da uygulanması gereken bir modeldir. Önümüzdeki yıl DevSecOps trendinin daha çok ilgi çekeceği 2019 siber güvenlik tahminleri arasında.

Siber Risk Sigortası

Siber risk sigortası ise yakın zamanda yaygınlaşması beklenen bir diğer güvenlik trendi olarak görülmektedir.

Yeni siber savunma modeli Cyber Multilayered Center

Yeni bir siber savunma modeli olarak tanımlanan Cyber Multilayered Center (CMC) modelinde SOC’un ana bileşenleri olan insanların, süreçlerin ve teknolojilerin CMC teknolojisi altında toplanması hedeflenmektedir. CMC; siber güvenlik operasyon merkezi(SOC), siber tehdit istihbaratı, red team ve saldırı yüzeyi daraltma(Attack Surface Reduction) gibi kritik bileşenleri kapsar.

SOC: Güvenlik Operasyon Merkezleri, kurumların güvenliklerini yüksek seviyede tutmak için saldırı olaylarını algılama, analiz etme, önleme ve müdahale etme gibi adımları uygulayarak sürekli izleme ve iyileştirme işlemlerini en verimli şekilde uygulamaya çalışan deneyimli bir ekip ve bu ekip için sağlanan teknolojik altyapı olarak tanımlanabilir. SOC ayrıca siber istihbarat aksiyonları, derinlemesine zararlı yazılım analizi ve devamlı olarak koruma ve tespit metodlarını geliştirmek ve iyileştirmekten sorumlu tehdit avcılığı işlevine sahip Threat Defense Operations(TDO) birimini de bünyesinde barındırır.
Siber Tehdit istihbaratı: Siber güvenlik tehditleri, tehdit aktörleri, istismar kodları, zararlı yazılımlar, zafiyetler, IOC’ler (Indicator of Compromise), tehditin kapasitesi, arkaplanı/altyapısı, motivasyonu, amacı, kaynağı gibi kritik unsurlara ait verilerin toplanıp değerlendirilmesi ve bunların bir saldırıya dönüşemeden savunma mekanizmalarının harekete geçirilmesi gibi süreçleri kapsar.

Red Team: Penetrasyon testlerinden ayıran başlıca özelliği kuruma ait bilgi varlıklarının analizini başka bir deyişle saldırı gerçekleşmesi halinde ne tür hassas verilerin sızdırılabileceğini ortaya çıkarmayı amaçlamasıdır. Sızma testi ile benzer yanları ise saldırganların gerçek hayatta kullandığı teknikleri ve yöntemleri kullanmasıdır. Bu taktik ve yöntemler sızma testinde olduğu gibi zafiyetlerin tek tek belirlenmesinde değil de kritik bilgilere ulaştıracak olan açıkları bulmak için kullanılır. Red Team’in görevleri arasında sosyal mühendislik testleri ve fiziksel güvenlik de yer alır. Red Team metodolojisinin en önemli unsuru bir saldırının ne kadar süre tespit edilemeden kurumda etkili olabileceği ve saldırılara yanıt sistemlerinin ne kadar başarılı olduğu gibi ölçümlerin de yapılmasına yardımcı olarak gerçek saldırılara yakın derecede bir değerlendirme sağlamasıdır.

Saldırı yüzeyini daraltma(ASR): Zafiyetleri, gereksiz varlıkları veya zaruri olmayan servisleri tespit ederek elimine etmek gibi görevleri olan bu proaktif savunma birimi yama yönetiminin de ötesinde kurumun bileşenleri için güvenlik sıkılaştırması ve sürekli iyileştirme işlevlerini yerine getirirler.

Tuzak Saldırı Tespit Sistemleri

Siber saldırı tespit sistemlerinin farklı bir yöntemi olarak sunulan ve kurum ağına gerçekleştirilen sızma ve atak girişimlerine ait bilgileri toplamak ve analiz etmek için yapılandırılmış olan Honeypot gibi tuzak saldırı tespit sistemleri, yeni nesil aktif savunma teknolojierinin bir parçası olarak değerlendirilmektedir. Tuzak saldırı sistemi sahte dosyalar, sahte giriş bilgileri, sahte ağ paylaşımları, sahte cache girdileri ve sahte uç nokta birimleri gibi tekniklerin yardımıyla saldırının kimden geldiği, saldırı teknikleri ve verilebilecek yanıtın ne olabileceği gibi konularda bilgi sağlar.

Siber Güvenlik Eğitimi

Güvenlik profesyonellerinin eğitiminde sertifikaların ötesinde master derecelerinin daha çok önem kazanacağı ve kurumların işe alımlarda master eğitimleri ile disiplinler arası yetenekler kazanmış olan adayların avantaj sahibi olacağı belirtiliyor.

Kaynaklar

[1] Why the next generation of security platforms should be autonomous

[2] How AI Is Transforming Cyber Defense

[3] WCyber Security Predictions: 2019 and Beyond

[4] Next Generation Cyber Defense: How RASP Technology Helps Automation Industries Combat Malware

[5] 60 Cybersecurity Predictions For 2019

[6] 10 cyber security trends to look out for in 2019

[7] The Next Generation Cyber Operations Center

[8] Five Capabilities of a Next-Generation SOC

[9] 9 cyber security predictions for 2019

[10] Six Cybersecurity Predictions for 2019

[11] 9 cyber security predictions for 2019