Birçok şirket deneyimsiz bilgisayar korsanları tarafından bile saldırıya uğrayabilir

Rus araştırmacılar birçok kuruluşun iç ağlarına sızan davetsiz misafirlere karşı korunmadığını keşfetti. Harici test projelerinin %70’inde güncel olmayan yazılımların kullanımıyla ilişkili kritik güvenlik açıkları bulundu ve projelerin %19’unda güvenli olmayan web uygulama kodunun neden olduğu sorunlar bulundu. Uzmanlar, günümüzde tehditleri önlemek için siber istihbarat verilerinin kullanılmasının, kuruluşları koruma kavramlarının yeniden düşünülmesini gerektirdiğine inanıyor. Detaylar İzvestia yazısında.

İç ve dış saldırgan

Positive Technologies (Izvestia’dan temin edilebilir) tarafından yapılan testlerin gösterdiği gibi, Kuruluşların tesislerinin ve projelerinin %96’sı, iç ağlarına sızan davetsiz misafirlere karşı korunmadı. Ve bunlardan yalnızca biri güvendeydi: Araştırmacılar yalnızca silahtan arındırılmış bölgeye erişim sağlamayı başardılar.

Uzmanların dahili ağlara ulaşmasının ortalama 10 gün sürdüğü ortaya çıktı. Sızma testinin başarılı olduğu kuruluşların %100’ü, BT altyapısı üzerinde tam kontrol sağlayan dahili bir saldırgandan korunamadı.

Şirketlerin %63’ünde düşük vasıflı bir saldırgan kuruluşa dışarıdan sızmayı başarabilecek. Aynı pay, BT altyapısı üzerinde tam kontrolün dışarıdan düşük vasıflı bir ihlalci tarafından elde edilebildiği işletmelerden de oluşuyor.

Kuruluşların %96’sında çalışanların kimlik bilgilerine ulaşmak mümkün oldu. Projelerin %64’ünde bir saldırgan, önemli gizli bilgilere yetkisiz erişim sağlayabilir. Bazı durumlarda bu bilgiler çalışanların fikri mülkiyeti veya resmi yazışmalarıydı.

Positive Technologies Izvestia’ya şöyle konuştu: “Her projede, en az bir kabul edilemez olayın uygulanma olasılığını doğrulayabildik; bu genellikle BT altyapısı üzerinde tam kontrol sahibi olmayı gerektirmiyordu.” “Örneğin, uzmanların iç ağlara erişim sağlayamadığı bir organizasyonda, 460 binden fazla kullanıcının kişisel bilgilerinin yer aldığı bir veri tabanına erişim olanağı doğrulandı.

Kaspersky Lab’in deneyimi şunu gösteriyor: Çoğu zaman, riskin ilk vektörü, kamuya açık uygulamalardaki güvenlik açıklarından yararlanılması ve zayıf parolaların seçilmesidir. Bu yöntemler saldırganlar için yüksek düzeyde teknik eğitim gerektirmez.

Kaspersky Lab baş uzmanı Sergey Golovanov, “Ne yazık ki şirketlerin bilgi güvenliği önerilerine rağmen insanlar şifre politikalarını ihmal etme ve güncellemeleri erteleme eğiliminde” diyor. — Günümüzde şirketlerin siber saldırılarla karşılaşma riski oldukça yüksektir. En acil olanları ise şifreleyiciler, silecekler ve veri sızıntılarına yol açan olaylardır. İçeriden saldırılar meydana gelir, ancak genel olarak çok nadirdirler.

Fotoğraf: IZVESTIA/Dmitry Korotaev

FACCT siber güvenlik danışmanı Sergei Zolotukhin, çoğu kuruluşun tehlike düzeyini hafife alması nedeniyle saldırılara hazırlıklı olmadığına inanıyor. “Düşük vasıflı saldırgan” hakkındaki tezin abartılması, odağı gerçek sorundan uzaklaştırıyor: Saldırıların iyi eğitimli ve motivasyonu yüksek profesyoneller tarafından gerçekleştirildiğinden emin.

Zolotukhin, “Ve etkili bir çatışma ancak düşmanımızı tanıdığımızda, onun gücünü ölçülü bir şekilde değerlendirdiğimizde, kullanabileceği teknikleri ve taktikleri anladığımızda ve bir saldırıyı püskürtmek için önceden tabyalar inşa ettiğimizde mümkündür” dedi.

Izvestia, Rusya FSTEC’ine, Rusya Federasyonu Dijital Kalkınma Bakanlığı’na ve Roskomnadzor’a talep gönderdi.

Zorunlu siber güvenlik

PRO32 antivirüs ürününün sahibi Andrey Golubev, Positive Technologies sızma testlerinin sonuçlarına göre bir dizi faktörün bu kadar yüksek düzeyde güvenlik açığına yol açtığını açıklıyor. İlk olarak, birçok işletmenin yönetimi bilgi güvenliği konularına yeterince dikkat etmiyor ve siber güvenliğe yapılan yatırımları stratejik yatırımlar olarak değil zorunlu harcamalar olarak görüyor. Bu yaklaşım temelde yanlıştır ve bilinen güvenlik açıklarını içeren güncelliğini kaybetmiş veya çıkmaz çözümlerin satın alınmasına ve kullanılmasına yol açmaktadır. Bu, acemi bir bilgisayar korsanının bile bir kuruluşun sistemini hacklemesine olanak tanır.

Fotoğraf: IZVESTIA/Anna Selina

— İkincisi, çalışanların veri koruma konusunda eğitilmesine ve siber güvenlik kültürünün geliştirilmesine yeterince önem verilmiyor. – muhatap diyor. — Bunların, örneğin yangın güvenliği talimatları gibi bir tür aşırı önlem olduğuna inanılıyor. Sonuç olarak, birçok sıradan şirket kullanıcısı temel şeyleri bilmiyor – kırılması zor bir şifrenin nasıl oluşturulacağı, kullanıcıların raporlarının ve kişisel verilerinin nerede saklanamayacağı vb.

Ayrıca, örneğin dosyaların harici ortama kopyalanmasına ilişkin yasakların bulunmaması, kişisel verilerin vicdansız çalışanlar tarafından sızdırılması olasılığını yaratmaktadır.Andrey Golubev’i itiraf ediyor.

Step Logic bilgi güvenliği departmanı müdür yardımcısı Denis Pashchenko, “Altyapısı bilgisayar korsanlarına karşı “dayanıklı” olan, tamamen güvenli hiçbir kuruluşun olmadığı, bilgi güvenliği uzmanları için bir sır değil, bu nedenle sunulan istatistiklere şaşırmamalısınız,” yorumunu yapıyor. ABISS derneğinin temsilcisi. — İhlal edenlerin yalnızca bir boşluk bulup onu kullanması gerekir. Örneğin, henüz yama bulunmayan yeni bir güvenlik açığı ve büyük bir şirketin altyapısının, bu güvenlik açığından yararlanılmasını önlemek için herhangi bir alternatif önlem üzerinde anlaşmaya ve uygulamaya zaman bulamamış olması.

Zecurion CEO Yardımcısı Alexander Kovalev, veri sızıntılarının tesadüfi veya özel olabileceğini belirtiyor. İç tehditlerin %100’ünün önceden çalışılmış bir senaryoya göre gerçekleştiği söylenemez ve her iki çalışandan biri hassas bilgileri çalmak ister.

Fotoğraf: IZVESTIA/Artem Korotaev

— İnsanların yanlışlıkla e-posta adreslerinde hata yapmaları, iş bilgilerini kötü niyet olmadan çıkarılabilir medyaya taşımaları, USB sürücülerini aktarım sırasında kaybetmeleri vb. sıklıkla görülür. Elbette bu küçük bir yüzde ama yine de mevcut” dedi Alexander Kovalev.

Kendilerini ellerinden geldiğince koruyun

Artık herkesin kullandığı ilk nesil dijital sistemler, öncelikle maliyetleri azaltmak ve işlemleri hızlandırmak, pazar nişlerini işgal etmek ve hizmet ofislerinden tasarruf etmek için oluşturuldu.Garda şirketler grubunun Genel Müdür Yardımcısı Rustem Khairetdinov’a dikkat çekiyor.

— Güvenlik onlar için sadece bir engeldi, dolayısıyla önceliğinin düşük olması şaşırtıcı değil. Bu yaklaşım, Rus dijital sistemlerinin büyük ölçüde üzerine inşa edildiği Batılı ürünlerin iki yıldır güncelleme konusunda sorun yaşaması nedeniyle daha da kötüleşti,” diye paylaştı uzman.

Unlim şirketler grubunun kurucusu Maxim Ovsyannikov, bugün Rus kuruluşlarının bilgi güvenliği sistemlerinin uygulanması için oldukça yüksek bütçelere sahip olduğunu belirtiyor. Başka bir şey de, uzmanların niteliklerinin her zaman gerekli organizasyonel önlemlerin bir listesini doğru bir şekilde oluşturmamıza izin vermemesidir. Ovsyannikov, bilgi güvenliğini küçük bütçelerle sağlamanın bir beceri olduğunu vurguluyor.

Maxim Ovsyannikov, “En az korunan sektörler arasında tıp ve kalkınmayı öne çıkaracağım” diyor. – Bunun yukarıdan aşağıya “tedavi edilmesi” gerekiyor. Üst yönetim, ister ticari ister devlet yapısını yönetsin, varlıkların değerini ve belirli tehditlerin uygulanmasının sonuçlarının boyutunu anlamalıdır.

Fotoğraf: IZVESTIA/Alexey Mayshev

Angara Güvenlik’in güvenlik analizi departmanı başkanı Mikhail Sukhov, organizasyon içindeki en “ilginç” şeyin elbette muhasebe, organizasyondaki gelişmeler ve üstlerin bilgisayarlarına erişim olduğunu ekliyor.

“Gerçek saldırılarda saldırganların şirket kaynaklarına erişmesine bile gerek yok, bunun yerine kurumun üst düzey yöneticilerinin veya finans departmanındaki bir çalışanın posta kutusuna erişim sağlamak yeterli. Bu tür tehditlere BEC saldırıları adı veriliyor ve bunlar arasında yer alıyor. mali kayıplar açısından en yıkıcı olanı” diye belirtiyor Sukhov.

SEO Güvenliği Vizyonu Ruslan Rakhmetov bundan şikayet ediyor Çoğu zaman, gerekli siber güvenlik bütçesi ancak büyük bir siber saldırının veri ihlali veya iş kesintisi gibi ciddi hasara yol açmasından sonra gerçek anlamda tahsis edilir. Olgun ve gelişmiş şirketler bu tür olayları beklemezler ve penetrasyon testleri, güvenlik analizleri, Kırmızı Takım kontrolleri yaparlar, Bug Bounty programını başlatırlar – tüm bunlar onların gerçek güvenlik düzeyini değerlendirmelerine ve bilgi güvenliği departmanlarının finansmanını iyileştirmelerine olanak tanır.

“Ancak mali kısıtlamalara ek olarak personel zorlukları da mevcut; bilgi güvenliği sektöründeki uzman eksikliğinin halihazırda kronik hale geldiği ve son 2-3 yılda siber saldırılar ve acil ithal ikamesi telaşının yaşandığı bir sır değil. Yıllar yalnızca siber güvenlik uzmanlarına olan talebi artırdı” diye sözlerini tamamladı Rakhmetov.