Oltalama ve insan katmanı
Çağrıldığımız olayların neredeyse tamamı bir açıkla değil, bir oturum açmayla başladı. Bu bir eğitim sorunu değil, tasarım sorunudur: sistem tek bir hatanın yetmesine izin vermiştir.
Farkındalık eğitimi tıklamaları azaltır ama asla sıfıra indirmez; dolayısıyla kimsenin tıklamayacağı varsayımına dayanan bir tasarım başarısız olur. Tıklamanın olacağını varsayın ve atlatılabilir hale getirin.
Kimlik bilgisi saldırılarının çoğunu üç kontrol durdurur: oltalamaya dayanıklı çok faktörlü kimlik doğrulama, beklenmedik yerlerden oturum açmayı engelleyen koşullu erişim ve hiçbir fatura değişikliğinin yalnızca e-postayla kabul edilmediği bir ödeme prosedürü.
İlk saat eğitimden daha önemlidir. Hesabı devre dışı bırakın, etkin oturumları iptal edin, hesabın nelere dokunduğunu kontrol edin ve tıklayan kişiyi suçlamadan ne olduğunu anlatın.
Eğitim tek başına neden yeterli değil
Farkındalık eğitimi işe yarar; tıklama oranını düşürür. Ancak oranı sıfıra indirmez ve indiremeyecektir, çünkü mesajlar iyi hazırlanmıştır ve insanlar yoğundur. Günde kırk tedarikçi e-postası alan bir muhasebe çalışanı, er ya da geç diğer otuz dokuza benzemek üzere tasarlanmış olanı açacaktır.
Hata, bunu son savunma hattı saymaktır. Tek bir tıklama bir hesabı kaybetmeye yetiyorsa sorun tıklama değildir. Eğitim planda yer alır, ama engelleyen kontrol olarak değil, birinin bildirmesine kadar geçen süreyi kısaltan bir yol olarak.
Bunu gerçekten durduran üç kontrol
| Kontrol | Neyi durdurur | Çaba |
|---|---|---|
| Oltalamaya dayanıklı çok faktörlü doğrulama | Çalınmış bir parola tek başına işe yaramaz | Düşük, büyük ölçüde yapılandırma |
| Koşullu erişim | Anlamsız ülke ve cihazlardan yapılan oturum açmalar | Düşük, bir politika kararı gerektirir |
| Ödeme değişikliği prosedürü | Fatura ve banka bilgisi dolandırıcılığı; paranın gittiği yer | Teknik olarak yok, bu bir süreçtir |
Üçüncüsünün hiç de bir BT önlemi olmadığına dikkat edin. En pahalı kayıp türünü önleyen odur ve bir kuraldan başka hiçbir şey gerektirmez.
Her çok faktörlü doğrulama aynı değildir
Oturum açmayı onaylamanızı isteyen anlık bildirimler kullanışlıdır ve giderek etkisizleşmektedir. Saldırganlar, birisi sırf kesilsin diye onaya basana kadar isteği tekrar tekrar gönderir; genellikle de uygunsuz bir anda. Buna MFA yorgunluğu denir ve standart bir teknik sayılacak kadar sık işe yarar.
Oturum açtığınız ekranda görünen kodu girmenizi gerektiren sayı eşleştirmesi bunun büyük kısmını ortadan kaldırır. Donanım anahtarları ise fiilen tamamını. Orta ölçekli bir kurum için her yerde sayı eşleştirmesi, muhasebe ve sistem yöneticileri için donanım anahtarı orantılı bir yanıttır.
En pahalı saldırı teknik değildir
Fatura dolandırıcılığı ve banka bilgisi değişikliği, şifrelemeden daha fazla doğrudan mali kayba yol açar. Bir posta kutusunu iki hafta okuyan saldırgan tedarikçilerinizi, üslubunuzu ve ödeme döngünüzü öğrenir; sonra tam da doğru anda değişmiş bir hesap numarası hakkında inandırıcı bir mesaj gönderir.
Savunma istisnasız tek bir kuraldır: banka bilgisi değişikliği, elinizde zaten bulunan bir numara aranarak doğrulanır; asla e-postadaki numara değil. Yazıya dökün, yönetime de uygulayın ve ısrar etmeyi sosyal olarak kabul edilebilir kılın. Çoğu kurumda kural vardır ve talep üst düzey birinden geldiğinde sessizce esnetilir; oysa kural tam da o durum için yazılmıştır.
İlk saatte ne yapmalı
- Hesabı devre dışı bırakın ve oturumları iptal edin. Parolayı değiştirmek yetmez; etkin bir oturum bunu atlatır.
- Neyin değiştiğini kontrol edin. Posta yönlendirme kuralları, eklenen cihazlar, değiştirilmiş kurtarma bilgileri. Saldırganlar bunları dakikalar içinde kurar.
- Neye erişilebildiğini kontrol edin. Hesabın hangi dosya ve posta kutularını açabildiğini; yalnızca açtıklarını değil.
- İnsanlara haber verin. Aynı mesajı başkaları da aldı. Sessizlik ikinci bir tıklamayı garantiler.
- Bildiren kişiyi suçlamayın. Suçlarsanız bir sonraki bildirim bir gün geç gelir ve fark tam olarak o gündür.
Bunun bir olay prosedüründe nereye oturduğu siber güvenlik altında, NIS2 kapsamındaki bildirim yükümlülükleri ise neyi kanıtlamanız gerektiği altında anlatılıyor.
Simülasyonlar doğru kullanılırsa işe yarar
Tıklama yüzdesi ve azarlayan bir e-posta üreten oltalama simülasyonu pek bir şey sağlamaz. İlk kişinin ne kadar sürede bildirdiğini ölçen simülasyon ise çok şey sağlar, çünkü bildirim süresi bir olayın ne kadar zarar vereceğini belirleyen sayıdır.
Düzenli yapın, saçma derecede kolay değil gerçekçi tutun ve tıklama oranı yerine bildirim süresini yayımlayın. Bu, insanların neyi iyileştirmeye çalıştığını değiştirir.
Bu konuda bize sorulanlar
Kurumların ucuz atlattıktan sonra sorduğu şeyler.
Farkındalık eğitimi gerçekten işe yarıyor mu?
Tıklama oranını düşürür ama asla sıfıra indirmez. Asıl değeri, şüpheli bir mesajın bildirilmesine kadar geçen süreyi kısaltmasıdır ve bir olayın ne kadar zarar vereceğini belirleyen de bu süredir. Onu tıklamayı önleme yolu olarak değil, tespiti hızlandırma yolu olarak görün.
Çok faktörlü kimlik doğrulama tek başına yeterli mi?
Tek başına en etkili kontroldür, ancak anlık onaya dayalı çok faktörlü doğrulama, biri onaylayana kadar tekrarlanan istekler gönderilerek aşılabilir. Sayı eşleştirmesi bu riskin büyük kısmını, donanım anahtarları ise fiilen tamamını ortadan kaldırır.
Biri tıkladıysa önce ne yapmalıyız?
Hesabı devre dışı bırakıp etkin oturumları iptal edin; yalnızca parolayı değiştirmek açık bir oturumu çalışır halde bırakır. Ardından eklenen yönlendirme kurallarını ve cihazları kontrol edin, hesabın nereye erişebildiğini belirleyin ve aynı mesajı alan herkesi uyarın.
Fatura dolandırıcılığını nasıl önleriz?
İstisnasız uygulanan tek bir kuralla: banka bilgisi değişiklikleri, elinizde zaten bulunan bir numara aranarak doğrulanır; asla e-postadaki numarayla değil. Hiçbir maliyeti yoktur ve gördüğümüz en pahalı kayıp türünü önler.
Bu, işimizin neresine düşüyor
Nereye bağlanıyor.
Kendi kurumunuzda bakılmasını ister misiniz?
Yarım saatlik bir görüşme, doğru taraf olup olmadığımızı anlamaya genelde yeter; değilsek bunu söyleriz.