Erişim Kontrolünü Yönetmek ve İzlemek için Lepide Kılavuzu

Kimin hangi verilere erişmesi gerektiğini ve erişmemesi gerektiğini belirleme yeteneği, herhangi bir veri güvenliği stratejisinin ayrılmaz bir parçasıdır veya en azından öyle olmalıdır. Ne yazık ki birçok kuruluş hâlâ verilerini güvende tutmak için ihtiyaç duydukları kontrole sahip değil.

Birçoğunun, bırakın bu verilere nasıl erişildiğine dair net bir anlayış bir yana, hangi verileri sakladıklarına dair tam bir envanteri bile yok. Yakın zamanda yapılan bir araştırmaya göre kuruluşların neredeyse %20'sinde herkese açık 1.000'den fazla hassas klasör bulunur ve yaklaşık aynı miktarda, tutarsız izinlere sahip 1.000'den fazla klasör bulunur.

Kuruluşlar giderek daha hassas verileri bulutta depoluyor; bulut çözümlerinin uygun fiyatlı, ölçeklenebilir ve kullanışlı olduğu göz önüne alındığında bu hiç de şaşırtıcı değil. Ancak doğru şekilde yapılandırılmazsa hassas dosyalarınızı internete açık bırakabilirler. Örneğin, son zamanlarda kötü yapılandırılmış veya "sızdıran" Amazon S3 klasörlerinden kaynaklanan çok sayıda veri ihlaline tanık olduk. Son istatistiklere göre, tüm S3 paketlerinin %7'si sınırsız halka açık erişime sahip.

Bunun gibi istatistikler göz önüne alındığında, veri ihlallerinin neden manşetlerde yer almaya devam ettiği gerçekten şaşırtıcı değil. Çoğu siber suçlunun aradığı şey hassas verilerdir ve uygun erişim kontrolleri olmadığında, bunları onlara hazır bir şekilde teslim ediyoruz.

Erişim İzinleri Nelerdir?

Erişim izinleri, her liste öğesinin belirli bir konunun belirli bir nesneyle nasıl etkileşimde bulunabileceğini belirttiği bir erişim kontrol listesi (ACL) tarafından tanımlanır. Veya daha az soyut bir ifadeyle, belirli bir kullanıcı, program veya işlemin belirli bir dosya veya klasör üzerinde hangi işlemleri gerçekleştirebileceği.

Farklı Erişim Kontrolü Türleri Nelerdir?

Hassas verilere erişimi kontrol etmek için çeşitli teknikler vardır ancak Rol Tabanlı Erişim Kontrolü (RBAC) ve Özellik Tabanlı Erişim Kontrolü (ABAC) en yaygın olanlardır. RBAC, bir kişinin kullanıcı türünü, iş unvanını, departmanını, fiziksel konumunu veya şirkette geçirdiği zamanı içerebilecek rolüne göre erişimin verildiği yerdir. ABAC ise ayrıntılı erişim kontrolünü sağlamak için “IF, THEN” ifadelerini kullanıyor.

Örneğin, kullanıcı_türü=yönetici VE departman=BT ise, O ZAMAN "yedeklemeler" klasörüne okuma/yazma erişimi verin. ABAC en hassas kontrol seviyesini sağlayacaktır, ancak ek karmaşıklık katmanı kör noktalara neden olabilir. Bu nedenle, RBAC muhtemelen en uygun yaklaşımdır, ancak gerekirse RBAC ve ABAC'ın bir kombinasyonu da kullanılabilir.

En Tehlikeli İzinlerin Yanlış Ayarlanması

Çoğu zaman, bireysel izinler çok büyük sorunlar yaratmaz; en büyük ve en tehlikeli, yanlış ayarlanmış izinler genellikle miras sorunları ve grup katılımı yoluyla belirlenir. Genellikle bir kuruluşa zarar verebilecek iki ana izin türü vardır:

1. Herkesin dosya ve klasörlere erişme ve bunları değiştirme hakkı vardır, bu da aşırı izinlere sahip çok sayıda kullanıcı oluşturur ve içeriden gelen bir tehdit veya veri ihlali için potansiyel saldırı yüzeyini artırır.
2. Yanlış ayarlanmış veritabanı izinleri de veri sızıntısına neden olabilir.

Çoğu zaman yanlış yapılandırmaların tehlikeli izinlerin en büyük nedenlerinden biri olduğunu görüyoruz. Örneğin Sunshine Behavioral Health LLC, yakın zamanda yanlış yapılandırılmış Amazon S3 klasörleri nedeniyle 93.000'den fazla hasta dosyasının veri sızıntısını bildirdi.

Erişim Kontrolü İzinlerini Neden Düzenli Olarak İncelemelisiniz?

İşletmeler büyüyüp geliştikçe erişim kontrolü izinleri hızla kontrolden çıkabilir. Kullanıcılar her zaman rol değiştirir veya işletmeden ayrılırlar ve erişim kontrollerinin de bunu yansıtacak şekilde değiştirilmesi gerekir. Erişim kontrolü izinlerinizi düzenli olarak gözden geçirmeden bu kullanım örneklerini tespit edemezsiniz ve potansiyel saldırı yüzeyiniz katlanarak büyüyebilir. Erişim kontrolü izinleriniz, daha büyük bir risk değerlendirme sürecinin parçası olarak düzenli olarak gözden geçirilmelidir. Aranacak şeylerden bazıları şunlardır:

• Hangi kullanıcılarınız en hassas verilerinize erişebiliyor?
• Bu kullanıcılardan kaçı rol gereksinimlerinin bir parçası olarak bu erişime ihtiyaç duyuyor?
• Kaç tane izin değişikliği oluyor ve bu değişiklikler aşırı izinlere mi yol açıyor?
• Hangi kullanıcılarınız hassas verileri oluşturuyor ve değiştiriyor?

İdeal olarak, veri ihlali riskini azaltmak için izinleri mümkün olduğunca kısıtlamanız gerekir.

Erişim Kontrolü İzinleri Nasıl Yönetilir

Erişim kontrolü izinlerinizi sürekli ve proaktif bir temelde yönetmek, aşırı izinleri ve izinlerin yayılmasını önlemenize ve verileri korumanıza yardımcı olabilir. Erişim kontrolü izinlerinin doğru şekilde yönetildiğinden emin olmak için yapabileceğiniz birkaç şey vardır.

1. Verilerinizi Sınıflandırın ve Kimin Erişime Sahip Olduğunu Belirleyin

Hangi yaklaşımı kullanırsanız kullanın, kurulumunuzdaki kontrollerin karmaşıklığını azaltmak için verilerinizin nasıl düzenlenmesi gerektiğini düşünmeye biraz zaman ayırmanız önemlidir. Bir sınıflandırma şemasına karar verdikten sonra, mevcut depolarınızı ince ince tarayarak hangi verilere sahip olduğunuzu ve bunların nasıl sınıflandırılması gerektiğini not etmeniz gerekecektir.

Pek çok kuruluşun, birkaç yıl boyunca biriktirdiği büyük yapısal olmayan veri arşivleri olacağından, bu göz korkutucu bir görev gibi görünebilir. Neyse ki, süreci daha az acı verici hale getirmeye yardımcı olacak araçlar mevcut. Bir veri sınıflandırma aracı, depolarınızı otomatik olarak tarayacak, aşağıdakiler de dahil olmak üzere çok çeşitli veri türlerini keşfedecek ve sınıflandıracaktır: sosyal güvenlik numaraları, biyometrik veriler, tıbbi kayıtlar, ödeme kartı ayrıntıları ve GDPR, HIPAA, PCI vb. kapsamındaki diğer veri türleri. Bu çözümler aynı zamanda aşırı izinlere sahip hassas veriler içeren dosyaların ayrıntılı bir özetini de sunacak, böylece erişim kontrollerini hızlı ve verimli bir şekilde kurmanız gereken görünürlüğü sağlayacaktır.

Tamam, hangi kategorileri ayarlamamız gerektiğine ve her kategoriye ait veri türlerine biraz daha derinlemesine bakalım.

2. Erişim Denetimini Kategorilere Ayırın

Yöneticiler istedikleri kategorileri oluşturma özgürlüğüne sahip olsa da en yaygın kategoriler Genel, Özel ve Kısıtlı'yı içerecektir. Aşağıda göstereceğim gibi bazı gri alanlar olmasına rağmen üçten fazla kategoriye ihtiyaç duymaları pek olası değildir:

Herkese açık veriler, genel kullanıma sunulan tüm verileri içerebilir. Ancak bu, genel halkın verilere yazma erişimine sahip olacağı anlamına gelmiyor; yalnızca belgeleri kısıtlama olmaksızın görüntüleyebilecekleri anlamına geliyor. Eğer halkın belirli bir veri parçasına yazma erişimine izin veriliyorsa, ona erişim kontrolleri atamanın bir anlamı yoktur. Herkese açık veriler iş ilanlarını, ürün listelerini, satış bilgilerini vb. içerebilir.

Özel veriler, varsayılan olarak genel kullanıma açık olmayan verilerdir, ancak belirli koşullar altında genel erişime izin verilebilmektedir. Bu, bir ödeme duvarının arkasında bulunan bilgileri veya istek üzerine müşterilere sunulabilecek verileri içerebilir. Ancak özel veriler, ürün tasarımları, fikri mülkiyet hakları, şirket karları gibi kamuya açıklanamayan işletmeye özel bilgileri veya şirketin itibarını zedeleyebilecek veya gelir kaybına yol açabilecek her türlü bilgiyi de içerebilir. kamuoyuna açıklanacak.

Kısıtlanmış veriler, kamuya açıklanması halinde para cezaları, davalar veya ciddi iş kaybıyla sonuçlanabilecek verilerdir. GDPR, HIPAA ve PCI-DSS gibi veri koruma düzenlemeleri, gizli verilerin kamuya açıklanmamasını sağlamak için önlemlerin alınmasını gerektirir ve bu düzenlemelere uyulmaması maliyetli olabilir. Örneğin, GDPR uyarınca cezalar 20 milyon Euro'ya veya küresel yıllık cironun %4'üne (hangisi daha yüksekse) kadar çıkabilir.

Gördüğünüz gibi, farklı veri türlerinin farklı hassasiyet düzeyleri vardır ve birçok farklı veri türüne hitap etmek için birçok farklı kategori oluşturmak cazip gelebilir. Ancak bir denge bulmak önemlidir, çünkü çok fazla ayrıntı karmaşıklık yaratacaktır ve bu da bir kullanıcının belirli bir veri parçasına erişmesi gerekip gerekmediğinin belirlenmesini zorlaştırabilir.

3. En Az Ayrıcalık İlkesini (PoLP) Uygulayın

“En az ayrıcalık ilkesi” veri güvenliğinde çok önemli bir ilkedir. İster bir kullanıcıdan, ister bir programdan ya da bir süreçten bahsediyor olalım, onlara yalnızca rollerini yerine getirmek için ihtiyaç duydukları verilere erişim izni verilmelidir. En az ayrıcalık güvenliğinin uygulanması, sıradan çalışanların iş işlevleriyle ilgili olmayan verileri gözetlemesini önlemenin yanı sıra, kötü amaçlı yazılım saldırılarının ağ boyunca yanal olarak yayılmasını önlemeye de yardımcı olacaktır.

Erişim İzinlerini İzleme

Erişim kontrollerini ayarlamak bir şeydir, ancak yine de bunları izlemenin ve kurduğunuz kontrollerin bir şekilde manipüle edilmediğinden emin olmanın bir yoluna ihtiyacınız olacaktır. Yetkisiz izin değişikliklerini aramak için yerel sunucu günlüklerini manuel olarak incelemek teorik olarak mümkün olsa da, süreç karmaşık ve verimsiz olacağından bu önerilen yaklaşım olmayacaktır. Bunun yerine, birden fazla kaynaktan gelen olay günlüklerini otomatik olarak toplayacak ve ilgili bilgileri sezgisel bir konsol aracılığıyla sunacak olan Lepide Veri Güvenliği Platformu gibi bir üçüncü taraf değişiklik denetimi çözümü kurmanız daha iyi olacaktır.

Özel bir denetim çözümü, bilgisayar korsanlarının sisteminizde fark edilmeden gezinmek için yararlanmaya çalışacağı etkin olmayan kullanıcı hesaplarının tespit edilmesine ve yönetilmesine de yardımcı olacaktır. Ayrıca, hassas verilerinizi yeterince korumak için ihtiyaç duyduğunuz görünürlüğü sağlamak üzere size gerçek zamanlı uyarılar ve önceden tanımlanmış raporlar da sağlayacaktır.

Paranın satın alabileceği en iyi güvenlik teknolojilerine sahip olabilirsiniz ancak hassas verilerinizin güvenliği söz konusu olduğunda erişim kontrolleri her şeydir. Özetle, hassas verilerinizin nerede bulunduğunu ve bunlara kimlerin erişebildiğini ve erişmesi gerektiğini bilmeniz gerekir. Ayrıca erişim izinlerinin ne zaman ve kim tarafından değiştirildiğini de bilmeniz gerekir.