Siber güvenlik uzmanı Trellix'e nakliye şirketleri ve siber risk ile ilgili 3 soru

GEODIS, Trellix’in siber güvenlik alanındaki tutkulu liderlerinden biri olan Mo Cashman ile lojistik ve nakliye şirketleri için siber riske dair görüşleri ve şirketlerin kontrolü sağlamak için nasıl yanıt vermeleri gerektiği konusunda görüştü. Kendisi bugün ayrıca veri hakimiyeti ve güvenliği hakkındaki görüşlerini paylaşıyor.
Trellix, McAfee Enterprise ve FireEye arasında gerçekleşen birleşmeyle (Ekim 2021) doğan yeni küresel siber güvenlik devinin adıdır.

Bir lojistik ve nakliye şirketi, müşterilerini korumak için siber saldırılara karşı hangi önlemleri almalıdır?

Nakliye sektörü, çoğu dijital kuruluşu etkileyen amatör siber saldırı tehditlerinin çoğuyla karşı karşıyadır. Bununla birlikte, altyapı ve ekonomi açısından olmasının kritik yanı sıra bulut teknolojisinin kendine has kritik durumları nedeniyle bulut tabanlı uygulamalara ve şirketlere karşı dayanıklılıklarını tehdit eden fidye yazılımları ve saldırılar görüyoruz.

Son zamanlarda, Hizmet olarak Fidye Yazılımının kullanılması, iş operasyonlarını bozmanın etkili bir yolu olmuştur. Hizmet olarak Fidye Yazılımının kullanılması , iş operasyonlarını bozmanın etkili bir yolu olmuştur. Nakliye sektörü, son çeyrekte Fidye Yazılımı tarafından en çok hedef alınan ikinci sektör olmuştur (kaynak: Trellix Threat Intelligence).

Fidye yazılımlarının şifreleme ile başlamadığını anlamak önemlidir. Günümüzde fidye yazılımı tehditlerinin çoğu çok aşamalı saldırılardır. Bunlara karşı korunmak için kuruluşların çoğu halihazırda Endpoint Security, EDR, Secure Web Proxies ve Email Security gibi doğru kontrollere sahiptir. Ancak, genellikle devam eden saldırıyı tespit etmek için SOC'deki tehdit algılama ve müdahale süreçlerinden ve tespit sürecini iyileştirmek için XDR becerilerine yatırım yapmaktan ve ayrıca fidye yazılımına karşı dayanıklılık için kritik öneme sahip olan Olay Müdahale süreçlerini tekrarlamaktan yoksundurlar.

Nakliye şirketleri için bir diğer önemli saldırı vektörü de bulut tabanlı API'ler ve uygulamalardır. Günümüzde, tüm internet trafiğinin %80'inden fazlası API tabanlı hizmetlere aittir. Bulut uygulamaları (SaaS, PaaS veya IaaS) API'lerin genel olarak yazılım geliştiriciler tarafından tasarlanma, kullanılma ve faydalanma şeklini dönüştürmüştür. API'ler, bugün kullandığımız en modern uygulamaların omurgası haline gelmiştir. Bu bulut uygulamalarının bazılarının erişim imkanları ve popülerliği sayesinde sahip oldukları kritik veri hazinesi, tehdit unsurları için API'leri kârlı bir hedef haline getirir. API'lerin bağlantılı doğası, daha geniş tedarik zinciri saldırıları için bir giriş vektörü haline gelmeleri nedeniyle işletmelere potansiyel olarak ek riskler getirir. Çoğu durumda, API'lere yapılan saldırılar fark edilmez; çünkü bunlar genellikle güvenilir kanallar olarak kabul edilir ve aynı yönetim ve güvenlik kontrollerinden faydalanmazlar.

Nasıl tepki verilebilir? Bu bağlamda, nihai olarak kullanımda olan API’lerin riske dayalı bir envanterine ve bu hizmetlere erişimi kontrol edecek bir yönetişim politikasına sahip olmak amacıyla, tüketilen API'leri inceleme yeteneği ile uygulama kullanımına ilişkin ve aynı zamanda API'leri daha geniş kurumsal ekosisteme entegre eden hizmet hesapları ve uygulama ilkeleri gibi altyapıdaki kullanıcı tabanlı olmayan varlıklara yönelik görünürlük kazanmak öncelik olmalıdır.

Geliştiriciler için, API'lere yönelik etkili bir tehdit modeli geliştirmek ve olay müdahalelerini ve kötü amaçlı kullanımların tespit edilmesini daha da iyileştirmek amacıyla etkili güvenlik günlüğü ve telemetri gibi sıfır güven erişim kontrol mekanizması uygulamak bir öncelik olmalıdır.

Bir nakliye şirketinin müşteri ihtiyaçlarını karşılamak için müşteri verilerini koruması ve kullanılabilirliğini sürdürmesi gerekir. Bunun için, fidye yazılımı ve bulut güvenlik kontrollerinin iyileştirilmesi koruma düzeyini artırmada önemli araçlardır.

Kodlama sırasında dikkate alınması gereken ana güvenlik dikkat noktası:

1. API'lerin, bilgilerin istenmeyen şekilde açığa çıkmasına neden olacak şekilde yanlış yapılandırılması
2. API'lere erişim sağlamak ve hedeflenen ortamlarda bu erişimi devam ettirmek için Oauth/Golden SAML gibi modern kimlik doğrulama mekanizmalarının kötüye kullanılması.
3. Konuşlanma ve yayılma amacıyla Microsoft Graph API gibi daha fazla bulut API'sini kullanmak için geleneksel kötü amaçlı yazılım saldırılarının evrimi. Bunun kanıtını Solarwinds saldırısında ve APT40/ GADOLINIUM gibi diğer tehdit unsurlarında gördük.
4. API'lerin OneDrive gibi bulut depolama hizmetlerinde fidye yazılımı gibi kurumsal verilere saldırı başlatmak için potansiyel kötüye kullanımı.
5. API’lerin Yazılım tanımlı altyapı için kullanımı, altyapının tamamen ele geçirilmesine veya gölge altyapısının kötü amaçlar için oluşturulmasına yol açan potansiyel bir kötüye kullanımı ifade eder.

Tedarik zinciri boyunca genişletilmiş ekosistem bağlamında IOT'nin uygulanmasıyla karşı karşıya kalan bir lojistik ve nakliye şirketi, siber riski nasıl kontrol edebilir?

Sıfır Güven ve Siber Dayanıklılık, nakliye şirketlerinin riski yönetmek için bir strateji olarak benimsemeye çalışması gereken iki güvenlik ilkesidir.

NIST Special Publication, Sıfır Güven’i, savunmayı statik ve ağ tabanlı ortamlardan kullanıcılara, varlıklara ve kaynaklara odaklanmaya taşıyan, gelişen siber güvenlik paradigmaları kümesi olarak tanımlar. Sıfır Güven, varlıklara yalnızca fiziksel veya ağ segmentlerine dayalı olarak hiçbir örtülü güven verilmemesini gerektirir. Bu, örneğin IOT cihazları için çok geçerlidir.

Siber Dayanıklılık ise, bir kuruluşun sürekli olarak güvenlik duruşunu uyarlama, tehditleri tespit etme ve bunlara yanıt verme yeteneğidir; böylece olumsuz koşullar altında etkin bir şekilde faaliyet gösterebilir. Günümüzde Siber Dayanıklılık, esnek bir organizasyon sağlamak için iş sürekliliği ve bilgi koruması gibi diğer güvence uygulamalarıyla birlikte çalışan sıfır güvene dayalı bir güvenlik mimarisini gerektirir. Dünya genelinde birçok ülke için üretim veya sağlık kuruluşlarının yanı sıra gibi nakliye şirketleri de altyapı açısından kritik önemdeki sektörler olarak kabul edilmektedir. Operasyonel teknolojilerini veya bulutta barındırılan hizmetlerini hedef alan bir siber saldırıya rağmen faaliyet gösterebilme yetenekleri hem iş başarısı hem de dayanıklılık açısından kritik öneme sahip olacaktır.

Sıfır Güven, mimari bir ilke ve strateji olduğu için uygulanması gereken bir yolculuktur. Bazı iyi başlangıç noktaları şunlardır:

Tüm kurumsal sistemlerde Sürekli İzlemeyi uygulayın. İzleme, yalnızca kurum genelinde potansiyel kötü amaçlı faaliyetleri, kritik önemdeki sistem veya hizmet duruş değişiklikleri veya güvenlik açıklarını ve anormal kullanıcı faaliyetlerini proaktif olarak izleyerek günlük kayıt verilerinin toplanmasından ve depolanmasından ibaret olmamalıdır.

Kurumsal varlıklar ve hizmetler hakkında mümkün olduğunca fazla bilgi edinin. Varlık keşfi ve anlayışı, BT tarafından yönetilen sistemlerin ve son kullanıcı cihazlarının ötesine uzanmalıdır. Sıfır Güven İlkelerine göre, tüm veri kaynakları ve bilgi işlem hizmetleri birer kaynaktır. Bu nedenle varlık keşfi ve anlayışı, bulut hizmetleri, BYOD, yükleniciye ait OT otomasyon sistemleri, kurumsal kaynaklara ve kurumsal verilere erişen çalışan ve tedarikçi sistemlerine kadar uzanmalıdır.

Güvenilen bölgeleri ve mikro segment kaynaklarını ortadan kaldırın. Kilit önemdeki sıfır güven ilkesi, kurumsal kaynaklara yalnızca konuma veya ağ segmentine dayalı erişim izni vermez. Bu özellikle işyeri ve endüstriyel sistemler arasında önemlidir; ancak tedarikçilerin veya çalışanların uzaktan erişim ağlarının yanı sıra kritik iş ve güvenlik sistemleri arasında mikro segmentasyonu da kapsar.

Amerikalı ve yakında Çinli büyük şirketlerin sahip olduğu ve kontrol araçlarının zayıf kaldığı bulut altyapılarında giderek artan depolanan verilerin güvenliğini ve hakimiyetini nasıl görüyorsunuz?

Bu zorlu bir konu ve üç adımlı bir yaklaşım benimsememiz gerektiğine inanıyorum.

Birincisi, bulut altyapısı barındırma platformlarından veya sahiplikten bağımsız olarak müşteri verilerini dış tehditlerde hırsızlığa karşı korumak benim görüşüme göre bir numaralı önceliktir. Ve bu, veri sahibi (nakliye şirketi) ile bulut hizmet sağlayıcısı arasında paylaşılan bir sorumluluktur. Nakliye şirketleri, bulut platformlarında çalışmak üzere inşa edilmiş uygulamaların güvenli olduğundan ve erişimin ihlali ile ilgili belirtiler açısından izlendiğinden emin olmalıdır. Bulut hizmeti sağlayıcıları, Iaas ve Paas bileşenlerinin güvenli olduğundan emin olmalı ve kontrollerin uygun bir şekilde yapıldığının kanıtı olarak gerekli üçüncü taraf sertifikalarını sağlamalıdır.

İkinci olarak, veri ve uygulama sahipleri IOT sistemlerine güç veren uygulamaların oluşturulmasına yönelik bir tasarım yaklaşımıyla gizlilik sağlamalıdır. Veri toplamayı yalnızca gerekli öğelerle en aza indirmek, şifreleme yoluyla verileri korumak ve GDPR veyaPopia gibi yerel gizlilik düzenlemelerine uymak, riski yönetmek için kritik öneme sahip olacaktır.

Son olarak, devlet kurumları, bulut sağlayıcıları ve sektör, dijital sınırlar ve çözümlerle ilgili ortak bir anlayış oluşturmak sağlamak için birlikte çalışmalı, veri hakimiyetini veya gizliliğini tehlikeye atmadan düzenleyici gereklilikleri karşılayabilmesini sağlamalıdır.