Saldırı Yüzeyi Yönetimi nedir? ASM için Eksiksiz Bir Kılavuz

Saldırı Yüzeyi Yönetimi (ASM), bir kuruluşun saldırı yüzeyindeki tüm güvenlik risklerinin sürekli olarak izlenmesi, düzeltilmesi ve azaltılmasıdır. ASM'nin nihai amacı, bilgisayar korsanlarının bir ağ çevresini ihlal etmek için sahip oldukları seçeneklerin sayısını azaltmak için saldırı yüzeyini minimum düzeyde tutmaktır.

Kısacası ASM, saldırganların savunmasız kuruluşlar için tehdit ortamını araştırırken keşfedebilecekleri ve keşfedecekleri güvenlik duvarının dışındaki her şeyi sıkıştırmayı amaçlıyor.

2018'de Gartner, güvenlik liderlerini bütünsel bir siber güvenlik risk yönetimi programının parçası olarak saldırı yüzeylerini azaltmaya, izlemeye ve yönetmeye başlamaya çağırdı. Günümüzde saldırı yüzeyi yönetimi CIO'lar, CTO'lar, CISO'lar ve güvenlik ekipleri için en önemli önceliktir.

UpGuard'ın Saldırı Yüzeyi Yönetimini nasıl kolaylaştırdığını öğrenin >

Saldırı Yüzeyi nedir?

Saldırı yüzeyiniz, verilerinizi işleyen veya depolayan İnternet'ten erişilebilen tüm donanım, yazılım, SaaS ve bulut varlıklarıdır. Bunu, siber suçluların veri çıkarmak için bir ağı veya sistemi manipüle etmek için kullanabileceği toplam saldırı vektörü sayısı olarak düşünün. Saldırı yüzeyiniz şunları içerir:

• Bilinen varlıklar: Kurumsal web siteniz, sunucular ve bunlar üzerinde çalışan bağımlılıklar gibi envantere kaydedilmiş ve yönetilen varlıklar
• Bilinmeyen varlıklar: Unutulmuş geliştirme web siteleri veya pazarlama siteleri gibi güvenlik ekibinizin kapsamı dışında duran Gölge BT veya yalnız bırakılmış BT altyapısı gibi
• Sahte varlıklar: Kötü amaçlı yazılımlar, yazım hatası yapılmış alan adları veya alan adınızı taklit eden bir web sitesi ya da mobil uygulama gibi tehdit aktörleri veya bilgisayar korsanları tarafından oluşturulan kötü amaçlı altyapı.
• Satıcılar: Saldırı yüzeyiniz kuruluşunuzla bitmiyor — üçüncü taraf ve dördüncü taraf satıcılar önemli üçüncü taraf riski ve dördüncü taraf riski sunar. Küçük satıcılar bile, tıpkı sonunda Target'ın 110 milyondan fazla tüketicinin kredi kartı ve kişisel verilerini ifşa etmesine yol açan HVAC satıcısı gibi büyük veri ihlallerine yol açabilir.

Bu varlıkların milyonlarcası her gün İnternet'te ortaya çıkıyor ve güvenlik duvarı ve uç nokta koruma hizmetlerinin kapsamı dışında kalıyor. Diğer isimler arasında dış saldırı yüzeyi ve dijital saldırı yüzeyi bulunur.

Saldırı Yüzeyinizi Azaltmak Neden Sağlam Bir Çözüm Değil?

Kuruluşların bilgi güvenliğini iyileştirmeye aşağıdakileri azaltarak yaklaşması yaygın bir durumdur:

• Çalışan kod miktarı
• Güvenilmeyen kullanıcıların kullanabileceği giriş noktaları, örneğin erişim kontrolü, RBAC ve en az ayrıcalık ilkesi
• İnternet'e yönelik web uygulamalarının, mobil uygulamaların ve çalışan hizmetlerin sayısı

Bu, kuruluşunuzun saldırı yüzeyini azaltsa da, güvenlik denetimi hatalarını önlemez.

Bir saldırgan, İnternet'e açık kalan varlıklarınızda sizden önce bir güvenlik açığı veya güvenlik açığı bulabilirse, kötü amaçlı yazılım ve fidye yazılımı yükleyerek veya veri ihlallerine neden olarak yine de zarar verebilir.

Bu nedenle birçok kuruluş, UpGuard BreachSight gibi gerçek zamanlı saldırı yüzeyi analizi ve güvenlik açığı yönetimi sağlayan araçlara yatırım yapar.

Saldırı yüzeyinizi azaltmak için bazı fikirlere ihtiyacınız varsa, bu saldırı yüzeyi azaltma örnekleri listesine bakın.

Saldırı Yüzeyi Yönetimi Neden Önemlidir?

Saldırı yüzeyi yönetimi önemlidir çünkü siber riskleri ve aşağıdakilerden kaynaklanan olası saldırıları önlemeye ve azaltmaya yardımcı olur:

• Eski, IoT ve gölge BT varlıkları
• Kimlik avı ve veri sızıntıları gibi insan hataları ve ihmalleri
• Güvenlik açığı bulunan ve güncel olmayan yazılımlar
• Bilinmeyen açık kaynaklı yazılım (OSS)
• Sektörünüze yönelik büyük ölçekli saldırılar
• Kuruluşunuza yönelik hedefli siber saldırılar
• Fikri mülkiyet ihlali
• M&A faaliyetlerinden devralınan BT
• Satıcı tarafından yönetilen varlıklar

En iyi saldırı yüzeyi görünürlük yazılımı nasıl seçilir > yalın

Dijital varlıkların zamanında tanımlanması, sağlam tehdit istihbaratı için esastır ve veri ihlalleri ve sızıntıları riskini büyük ölçüde azaltabilir. Bir saldırganın, tüm işletmeyi veya tedarik zincirini tehlikeye atmak için kuruluşunuzdaki veya BT ekosisteminizdeki savunmasız bir noktaya veya güvenlik açığına başarılı bir siber saldırı başlatması için gereken her şey.

Saldırı yüzeyi yönetimi sürecine kısa bir genel bakış için aşağıdaki videoyu izleyin:

Bu kendi kendine rehberli ürün turu ile UpGuard'ın saldırı yüzeyi yönetimi özelliklerini deneyimleyin >

Sağlam bir dış saldırı yüzeyi yönetimi çözümünün bileşenleri nelerdir?

Modern bir dış saldırı yüzeyi yönetimi çözümü beş bölümden oluşur:

1. Varlık Keşfi
2. Envanter ve sınıflandırma
3. Risk puanlaması ve güvenlik derecelendirmeleri
4. Sürekli güvenlik izleme
5. Düzeltme

Dış saldırı yüzeyi yönetimi için temel yazılım özelliklerini öğrenin >

Varlık Keşfi

Herhangi bir saldırı yüzeyi yönetimi çözümünün ilk aşaması, PII, PHI ve ticari sırlar gibi hassas verilerinizi içeren veya işleyen İnternet'e yönelik tüm dijital varlıkların keşfedilmesidir.

Kuruluşunuz ve bulut sağlayıcıları, IaaS ve SaaS gibi üçüncü taraflar, iş ortakları, tedarikçiler veya dış yükleniciler bu dahili veya harici varlıklara sahip olabilir veya bunları çalıştırabilir.

Bir saldırı yüzeyi yönetimi çözümü tarafından tanımlanması ve eşlenmesi gereken dijital varlıkların kapsamlı olmayan bir listesi aşağıda verilmiştir:

• Web uygulamaları, hizmetler ve API'ler
• Mobil uygulamalar ve arka uçları
• Bulut depolama ve ağ cihazları
• Alan adları, SSL sertifikaları ve IP adresleri
• IoT ve bağlı cihazlar
• GitHub, BitBucket ve GitLab gibi genel kod depoları
• E-posta sunucuları

Sağlayıcıya bağlı olarak, keşif süreci, etki alanlarının ve IP adreslerinin manuel olarak girilmesinden açık kaynak zekasına ve karanlık web taramasına dayalı otomatik taramaya kadar değişebilir.

UpGuard'da, bu keşif sürecini güvenilir ticari, açık kaynaklı ve tescilli yöntemlerle günlük olarak yürütüyoruz. Bu, döndürülmüş olan İnternet'e yönelik varlıkları keşfetmemizi sağlar.

UpGuard'ı diğer sağlayıcılardan farklı kılan şey, sızdırılan kimlik bilgilerini ve açığa çıkan verileri yanlış ellere geçmeden önce tespit etme konusundaki benzersiz yeteneğimizdir.

Örneğin, bir AWS mühendisi tarafından bir GitHub deposunda açığa çıkan verileri 30 dakika içinde tespit ettik. Bunu AWS'ye bildirdik ve depo aynı gün güvence altına alındı. Bu depo, parolalar, AWS anahtar çiftleri ve özel anahtarlar dahil olmak üzere kişisel kimlik belgelerini ve sistem kimlik bilgilerini içeriyordu.

Bunu yapabildik çünkü açık ve derin web'de açıkta kalan veri kümelerini aktif olarak keşfettik, açık S3 klasörlerini, genel Github depolarını ve güvenli olmayan RSync ve FTP sunucularını taradık.

Veri sızıntısı keşif motorumuz, müşterilerimiz tarafından sağlanan anahtar kelimeleri sürekli olarak arar ve yıllarca süren veri ihlali araştırmalarından elde edilen uzmanlık ve teknikleri kullanarak analist ekibimiz tarafından sürekli olarak iyileştirilir.

Sadece bizim sözümüzle yetinmeyin. New York Times, Bloomberg, Washington Post, Forbes ve TechCrunch güvenlik araştırmalarımıza yer verdi.

Envanter ve Sınıflandırma

Varlıklarınız keşfedildikten sonra, BT varlık envanteri olarak da bilinen dijital varlık envanteri ve sınıflandırmasına başlamanın tam zamanıdır. Alıştırmanın bu bölümü, varlıkların türüne, teknik özelliklerine, özelliklerine, iş açısından kritikliğine, uyumluluk gereksinimlerine veya sahibine göre gönderilmesini ve etiketlenmesini içerir.

Düzenli varlık bakımı, güncellemeleri ve korumasından sorumlu bir kişi veya ekibe sahip olmak çok önemlidir.

UpGuard BreachSight ile dışarıya dönük tüm BT altyapınızı otomatik olarak keşfedeceğiz.

Platform içinde, gerektiği kadar çok kişi ekleyebilir ve varlıkları mülkiyet, varlık, teknik özellikler, iş açısından kritik, uyumluluk gereksinimleri veya sahip gibi istediğiniz herhangi bir mülke göre etiketleyebilir ve düzenleyebilirsiniz.

Ayrıca, güvenlik risklerinin nerede olduğunu ve bunları düzeltmekten kimin sorumlu olduğunu görmek için altyapınızın belirli bölümlerinde raporlar çalıştırabileceksiniz. Bu verilere API'miz tarafından kolayca erişilebilir ve diğer sistemlerle entegre edilebilir.

Üçüncü taraf risklerini yönetmek için, satıcılarınızın ve üçüncü tarafların dışarıya dönük İnternet varlıklarını otomatik olarak keşfetmek ve bunları buna göre etiketlemek için UpGuard Satıcı Riski'ni kullanabilirsiniz.

ASM'yi Yönetim Kuruluna nasıl ileteceğinizi öğrenin >

Risk Puanlaması ve Güvenlik Derecelendirmeleri

UpGuard'ın güvenlik derecelendirmelerini nasıl hesapladığını öğrenin >

Saldırı yüzeyi yönetimi, eyleme dönüştürülebilir risk puanlaması ve güvenlik derecelendirmeleri olmadan imkansız olurdu. Birçok kuruluş, milyonlarca olmasa da binlerce dalgalı dijital varlığa sahiptir.

Güvenlik derecelendirme yazılımı olmadan, her bir varlığın hangi güvenlik sorunlarına sahip olduğunu ve veri ihlallerine, veri sızıntılarına veya diğer siber saldırılara neden olabilecek bilgileri açığa çıkarıp çıkarmadığını anlamak zor olabilir.

Bu nedenle, hangi risklerin azaltılması ve önceliklendirilmesi gerektiğini anlayabilmeniz için dijital varlıkların sürekli olarak tespit edilmesi, taranması ve puanlanması çok önemlidir.

Güvenlik derecelendirmeleri, bir kuruluşun güvenlik duruşunun veriye dayalı, nesnel ve dinamik bir ölçümüdür.

Sızma testi, güvenlik anketleri veya saha ziyaretleri gibi geleneksel risk değerlendirme tekniklerinin aksine, güvenlik derecelendirmeleri objektif, harici olarak doğrulanabilir bilgilerden türetilir.

UpGuard, en popüler ve güvenilir güvenlik derecelendirme platformlarından biridir. Derecelendirmelerimizi, siber güvenlik riskini müdahaleci olmayan bir şekilde nicel olarak değerlendirebilen verileri toplamak için güvenilir ticari ve açık kaynaklı veri kümelerini alan ve analiz eden tescilli algoritmalar aracılığıyla oluşturuyoruz.

UpGuard ile, bir kuruluşun güvenlik derecelendirmesi 0 ile 950 arasında değişebilir ve web uygulamaları, IP adresleri ve pazarlama siteleri gibi dışarıya dönük tüm varlıkların risk derecelendirmesinin ağırlıklı ortalamasından oluşur.

Derecelendirme ne kadar düşükse, maruz kaldıkları riskler o kadar şiddetli olur. Tersine, derecelendirme ne kadar yüksek olursa, güvenlik uygulamaları o kadar iyi olur ve siber saldırılar o kadar az başarılı olur.

Güvenlik derecelendirmelerimizi güncel tutmak için, bir web sitesi tarandığında veya bir güvenlik anketi gönderildiğinde puanları yeniden hesaplarız. Bu, çoğu web sitesi günlük olarak tarandığından, bir kuruluşun güvenlik derecelendirmesinin günde birkaç kez güncelleneceği anlamına gelir.

UpGuard'ın güvenlik derecelendirmelerini nasıl hesapladığını öğrenin >

Sürekli Güvenlik İzleme

Sürekli güvenlik izleme, bir saldırı yönetimi çözümünün en önemli parçalarından biridir. Açık kaynaklı yazılım, SaaS, IaaS ve dış kaynak kullanımının giderek daha fazla benimsenmesi, yanlış yapılandırma ve güvenlik açığı yönetiminin her zamankinden daha karmaşık olduğu anlamına geliyor.

İyi bir saldırı yüzeyi yönetimi yazılımı, yeni keşfedilen güvenlik açıkları, zayıflıklar, yanlış yapılandırma ve uyumluluk sorunları için varlıklarınızı 7/24 izleyecektir.

UpGuard BreachSight, bilinen güvenlik açıklarının keşfini otomatikleştirecek ve harici olarak kullanıma yönelik yazılımınızda değerlendirmeler sağlayacaktır. Bu bilgiler, HTTP başlıkları veya web sitesi içeriği tarafından açığa çıkarılabilir.

Yalın Harici bir saldırı yüzeyi izleme aracının nasıl seçileceği >

Bir güvenlik açığının temel özelliklerini yakalamak ve önem derecesini yansıtmak için 0 ile 10 arasında sayısal bir puan üretmek üzere geliştirilmiş yayınlanmış bir standart olan Ortak Güvenlik Açığı Puanlama Sistemi'ni (CVSS) kullanıyoruz.

Bu sayısal puan, güvenlik açığını doğru bir şekilde değerlendirmenize ve önceliklendirmenize yardımcı olmak için nitel bir temsile (düşük, orta, yüksek ve kritik) de çevrilir.

Güvenlik açıklarına ek olarak, aşağıdakileri belirlemek için yüzlerce ayrı yanlış yapılandırma denetimi gerçekleştiriyoruz:

• Ortadaki adam saldırılarına karşı duyarlılık
• Güvenli olmayan SSL/TLS sertifikaları
• SPF, DKIM ve DMARC ayarları
• HTTP Sıkı Taşıma Güvenliği (HSTS)
• E-posta sahteciliği ve kimlik avı riski
• Kötü amaçlı yazılımlara yatkınlık
• Ağ güvenliği
• Gereksiz açık yönetim, veritabanı, uygulama, e-posta ve dosya paylaşım bağlantı noktaları
• Bilinen veri ihlallerine ve veri sızıntılarına maruz kalma
• Güvenlik açığı bulunan yazılımlar
• HTTP erişilebilirliği
• Güvenli çerez yapılandırması

Diğer sağlayıcıların aksine, bu kontroller günlük olarak yapılır ve platformumuz veya API'miz aracılığıyla isteğe bağlı olarak güncellenebilir.

İyileştirme ve Azaltma

Kuruluşlar, risk puanlaması sırasında belirlenen sıraya veya öncelik ve risk düzeyine bağlı olarak önceki adımlardan düzeltme ve azaltma süreçlerine başlayabilir. Dahili BT ekipleri, iyileştirme kontrolleri sağlamak, yazılım için yamalar yüklemek, veri şifrelemeyi uygulamak, sistem kodlarında hata ayıklamak ve sistem yapılandırmalarını güncellemek gibi riskleri düzeltmek için bir iş akışı belirlemek için bir ASM aracı kullanabilir.

Düzeltme çabası, belirli risklerin düzenli olarak güncellenmesini ve bilinmeyen varlıkların sürekli olarak keşfedilmesini, artık etki alanlarının kullanımdan kaldırılmasını ve hatta üçüncü taraf varlıkların riskler ve zayıflıklar için taranmasını sağlamak için otomatik çözümleri de içerebilir. Ek olarak, ASM süreci, kuruluşların dahili BT süreçlerini ve politikalarını düzenli olarak gözden geçirmelerini ve verileri ve varlıkları için ek korumalara ihtiyaç duyup duymadıklarını belirlemelerini sağlar.

Tam düzeltme mümkün değilse, işletme etkisini, kapsamını ve etkinliğini sınırlayarak tehdidi azaltmaya çalışmalıdır. İşletmeler bunu, en iyi güvenlik uygulamalarını, güvenlik operasyonlarını ve program incelemelerini uygulayarak ve mevcut siber güvenlik önceliklerinin eksiksiz bir dijital dönüşümünü gerçekleştirerek başarabilir.

Modern tehdit ortamının meşru kurumsal BT varlıklarından daha ileri gittiğini ve siber suçlular, rakipler veya yalnızca unutulmuş varlıklar tarafından dağıtılan kötü amaçlı veya hileli varlıkları içerebileceğini anlamak önemlidir. Bu, hedef odaklı kimlik avı web sitelerini, e-posta sahtekarlığını, LinkedIn gibi sosyal medyadaki OPSEC başarısızlıklarını, fidye yazılımlarını, siber çömelmiş veya yazım hatası yapılmış alan adlarını, şirket içi sistemleri veya diğer birçok siber tehdidi içerebilir.

Bu, hassas verileri, kişisel olarak tanımlanabilir bilgileri, korunan sağlık bilgilerini, biyometriyi, psikografikleri, bulut güvenliğini, parolaları, IoT cihazlarını ve önceki veri ihlallerinde veya mevcut veri sızıntılarında karanlık ağa sızdırılan ticari sırları giderek daha fazla içerir.

Piyasadaki en iyi saldırı yüzeyi yönetimi çözümleri hakkında bilgi edinin >

UpGuard'ın düzeltme isteği özelliğine genel bir bakış için bu videoyu izleyin.

UpGuard, mevcut ve potansiyel saldırı vektörlerini tespit ederek kuruluşların saldırı yüzeyi yönetim programlarının verimliliğini artırmalarına yardımcı olur ve veri ihlali yaşama riskinizi artırır.

Siber risk önceliklendirme ve popüler çerçevelerle eşleşen güvenlik anketleri gibi gelişmiş özelliklerle UpGuard, güvenlik ekiplerinin bir risk oluşturmasına yardımcı olur. ASM programı, modern saldırı yüzeyi ortamındaki değişikliklere rağmen etkili olmaya devam ediyor.