WatchGuard: Engellenen Siber Saldırılar Haftalar Sonra Veri Sızıntısı Olarak Geri Dönebilir
WatchGuard, bir siber saldırının engellenmesinin olay müdahalesinin sona erdiği anlamına gelmediği uyarısında bulundu. Şirkete göre saldırganın tespit edilmeden önce hangi sistemlere eriştiği, ne yaptığı ve veri çıkarıp çıkarmadığı ayrıca araştırılmalı. İlk aşamada kapatılan yetkisiz erişimlerin haftalar sonra veri sızıntısıyla ilişkilendirilebildiği örnekler, olayın bütün yönleriyle incelenmesinin önemini ortaya koyuyor.
WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, saldırının gerçek boyutunun kapsamlı incelemeyle anlaşılabileceğini belirtti. Şirket, özellikle birden fazla müşterinin sistemlerini izleyen yönetilen hizmet sağlayıcıların (MSP) uyarıları doğrulaması, farklı olaylarla ilişkilendirmesi ve etkilenen sistemlerin bağlamında değerlendirmesi gerektiğini vurguluyor.
Saldırının kapsamını belirlemedeki güçlükler
WatchGuard’a göre uç noktalar, kullanıcı kimlikleri, SaaS uygulamaları ve bulut iş yükleri farklı faaliyet kayıtları üretiyor. Müşteri sayısı arttıkça bu kaynaklardan bağlam kaybetmeden kanıt toplamak zorlaşıyor. Tek başına olağan görünen oturum açma işlemleri, yetkili araçların kullanımı veya dışarıya kurulan bağlantılar birlikte değerlendirildiğinde saldırganın sistem içinde ilerlediğini gösterebiliyor.
Gece ve hafta sonu gelen uyarıların zamanında incelenmemesi de saldırganlara yetki yükseltme, ağ içinde ilerleme ve hassas verileri arama fırsatı verebiliyor. Bu nedenle bir uyarının kapatılması, olayın tümüyle çözüldüğünü tek başına kanıtlamıyor.
MDR hizmetinin rolü
WatchGuard, yönetilen tespit ve müdahale (MDR) hizmetlerinin farklı kaynaklardan gelen telemetriyi ve varlık bilgilerini ilişkilendirerek tekil uyarılarla saldırı zincirlerini ayırabildiğini belirtiyor. Uzman analistler yanlış alarmları ayıklıyor, meşru araçları kullanan saldırgan faaliyetlerini araştırıyor ve saldırının hangi yoldan başladığını belirlemeye çalışıyor.
Şirkete göre saldırı durdurulduktan sonra da olayın başlangıcı, saldırganın faaliyetleri ve eriştiği varlıklar yeniden yapılandırılmalı; tehdidin tamamen ortadan kalktığı doğrulanmalı. Yusuf Evmez, saldırıyı durdurmanın anlık riski azalttığını, ancak kurumun maruz kaldığı gerçek riski ortaya çıkaranın inceleme olduğunu ifade etti.
Kaynaklar:
Basın Bülteni
Yorumlar