Siber Öldürme Zinciri Nedir? Örnekler ve nasıl çalışır?
Siber Öldürme Zinciri, kuruluşların siber saldırı sürecini anlamalarına yardımcı olacak bir çerçeve olarak Lockheed Martin tarafından geliştirildi.
Bir siber saldırının olaylar zincirindeki her noktayı anlarsanız, çabalarınızı bu zinciri kırmaya ve zararları hafifletmeye odaklayabilirsiniz.
Pek çok kuruluş, değişen derecelerde başarı ile doğru Siber Öldürme Zincirini tanımlamak için kendi yaklaşımını benimsemiştir. Bu makalenin amaçları doğrultusunda Lockheed Martin tarafından geliştirilen orijinal 7 adımlı Siber Öldürme Zincirine odaklanacağız. Verilerinizi daha iyi korumak için zincirdeki her adımı ve zinciri nasıl kıracağınızı ele alacağız.
Siber Öldürme Zinciri 7 Adımda Nasıl Çalışır?
Siber Öldürme Zincirinin her aşaması, hem iç hem de dış belirli bir tehdit türüyle ilgilidir. Çoğunlukla, karşılaştığınız tehdit ne olursa olsun (kötü amaçlı yazılım, kimlik avı, içeriden öğrenilen tehditler ve daha fazlası), bunların öldürme zincirindeki bir veya daha fazla faaliyete dahil olması muhtemeldir.
1. Adım - Keşif
Bu aşamada saldırganlar kurbanlarını seçiyor ve güvenlik açıklarını araştırıyor. Hangi hassas verilere sahip olduğunuzu, bunların nerede saklandığını, bu verilere kimlerin erişebileceğini ve ağa giden en iyi yolların neler olduğunu tespit ediyor olabilirler.
2. Adım - Silahlandırma
Saldırganlar kuruluşunuzun güvenlik açıklarına ilişkin araştırmalarını tamamladılar ve hedeflerini seçtiler. Bu adımda ağa en iyi şekilde nasıl girebileceklerini araştırıyorlar. Bu, bilinen güvenlik açıklarından yararlanmak üzere tasarlanmış bir virüs veya kötü amaçlı yazılım aracılığıyla olabilir.
3. Adım - Teslimat
Saldırı yöntemi hedef ortama iletilir. Kullanılan gerçek yöntem farklılık gösterebilir ancak çoğunlukla kötü amaçlı e-posta ekleri, web siteleri veya USB aygıtları aracılığıyla gelir.
4. Adım - Suistimal
Bu adımda, kötü amaçlı kod eklenmiştir veya güvenlik açığından yararlanılmıştır ve saldırganlar görevlerini yerine getirmek için kendilerini hazırlamaktadır.
5. Adım - Kurulum
Kötü amaçlı yazılım, saldırganların hedef ortama erişmesini sağlayan bir erişim noktası kurar.
6. Adım - Komuta ve Kontrol
Saldırganlar artık hedef ortama kesintisiz erişime sahip ve onu istedikleri zaman manipüle edebiliyorlar.
7. Adım - Hedefe Yönelik Eylemler
Saldırının orijinal hedefleri artık komutla gerçekleştirilebilir. Bunun sonucu veri hırsızlığından Fidye Yazılımına kadar her şey olabilir. Amaç ne olursa olsun, eğer bu adım başarılı bir şekilde tamamlanırsa, bir veri ihlalinin kurbanı olursunuz ve muhtemelen itibarınız ve kârınız açısından ciddi maliyetlerle karşı karşıya kalırsınız.
Siber Öldürme Zincirine Yönelik Eleştiriler
Orijinal Siber Öldürme Zinciri, siber tehditlerin doğasını anlamada devrim niteliğinde olsa da, güvenlik tehditlerinin çoğunun kuruluş dışından kaynaklandığı inancının olduğu bir dönemde yaratılmıştı. Bu nedenle Siber Öldürme Zinciri, araştırmalara göre karşılaşmanız muhtemel en yaygın tehdit olan içeriden gelen tehdidi dikkate almaz.
Örneğin, öldürme zincirinin silah haline getirilmesi, teslimatı ve kurulumu aşamalarında, saldırının bir tür kötü amaçlı yazılım veya virüs yoluyla gerçekleştirileceği yoğun şekilde ima ediliyor. Çoğu durumda, ayrıcalıklı kullanıcılar erişim kontrollerini kötüye kullandıklarında veri ihlalleri meydana gelir. Bu tür saldırılarda 2, 3 ve 4. adımlar büyük ölçüde önemsizdir.
Siber Öldürme Zincirine yönelik diğer eleştiriler arasında, ilk birkaç adımın güvenlik ekiplerinin kontrolü dışında gerçekleşmesi ve bu noktalarda zinciri kırmanın neredeyse imkansız hale gelmesi yer alıyor.
Günümüzün Güvenlik Tehditlerine Karşı Güncellenmiş Siber Öldürme Zinciri
Siber Öldürme Zincirine bakmanın daha iyi bir yolu, silahlandırma ve teslimatı daha basit bir "İzinsiz Giriş" adımında birleştirmek olacaktır. Bu adımda saldırganlar (ister içeriden ister dışarıdan saldırganlar olsun), bir yer kazanmak için ağdaki veya izin yapısındaki mevcut güvenlik açıklarından yararlanabilecektir.
İçeridekilerin ortamınızda nasıl hareket ettiğini açıklamak için yeni bir adım eklenebilir. Çoğu zaman, bir saldırgan ayrıcalıklı erişime sahip olduğunda, daha hassas verilere erişim sağlamak için yanal olarak diğer sistemlere ve kullanıcı hesaplarına geçer.
Lockheed Martin'in kaçırdığı bir diğer adım da saldırganların kasıtlı olarak adli tıp ve soruşturmaları karıştırmak için izlerini örtmeleridir. Saldırının önceden planlanmış veya kötü amaçlı olması durumunda bu adım dikkate alınmalıdır. Çoğu zaman veri ihlalleri tesadüfi olduğundan bu adım görülmez. Saldırganlar genellikle kötü niyetli saldırılarla normal kullanıcıların ve sistemlerin verilere erişimini engellemeye çalışır, böylece işlerini engellenmeden yapabilirler. Bu, hizmet reddi olarak bilinir.
Güncellenen Siber Öldürme Zinciri şöyle görünebilir:
- Keşif
- İzinsiz giriş
- Sömürü
- Ayrıcalık Yükseltmesi
- Yanal Hareket
- Gizleme/Anti-Adli Tıp
- Hizmet Reddi
- Hedefe Yönelik Eylemler
Siber Öldürme Zincirini tam olarak görselleştirmek için onu daha çok bir daire olarak hayal etmelisiniz. Saldırganın zincirde 8. adıma ulaşması saldırının bittiği anlamına gelmez. Veri ihlalleri kuruluşunuz için kalıcı bir tehdittir ve buna göre ele alınmalıdır.
Siber Ölüm Zincirini Kırmak
Teorik olarak Siber Ölüm Zinciri herhangi bir aşamada (keşif aşaması hariç) kırılabilir. Çoğunlukla zincir, veriler ve sistemlerle etkileşimlerin proaktif ve sürekli izlenmesi yoluyla kırılabilir.
Örneğin, izinlerin gerçek zamanlı uyarılar yoluyla artırıldığını tespit ederseniz tehdidin hassas verilere erişmesini önlemek için hemen harekete geçebilirsiniz. Benzer şekilde, günlüklerin takibini, izlemesini ve denetlemesini yapıyorsanız, gizleme daha az etkili olur.
Bazı durumlarda tehditleri keşif aşamasında bile tespit edebilirsiniz. Bir kullanıcı hassas veriler içeren bir dosyaya ilk kez erişiyorsa ve bu dosyaya erişimi olmaması gerekiyorsa, bu erişime sahip olmasını hemen engelleyebilirsiniz. Bu, bir tehdidin tamamen gerçekleşmesini engelleyebilir.
Bunu etkili bir şekilde yapmak için yalnızca normal olay günlüklerine veya SIEM çözümüne güvenemezsiniz. Elemeniz gereken çok fazla gürültü olacak ve gerçek dünya kararlarını vermek için ihtiyaç duyduğunuz bağlamı elde edemeyeceksiniz. Veri Güvenliği Platformları, SIEM'inize daha fazla değer katmanıza ve daha ayrıntılı raporlama ve uyarılar sağlamanıza yardımcı olabilir.
Lepide'ın Siber Ölüm Zincirini kırmanıza nasıl yardımcı olabileceğini görmek istiyorsanız bugün Lepide Veri Güvenliği Platformunun bir demosunu planlayın.
>