Siber güvenlik dünyası, okyanusun sakin yüzeyinin altında gizlenen tehlikeleri andırıyor. Varonis Threat Labs araştırmacıları Doron Kapah ve Mark Vaitsman, bulut tabanlı ortamlarda hassas verilerin nasıl sızdırıldığını araştırarak bu gerçeği yakından biliyor. Yapay zekanın kimlik yönetimini ve saldırı yöntemlerini nasıl dönüştürdüğünü göz önünde bulunduran ikili, güvenlik uzmanlarına Entra ID'de veri sızıntısının ön saflarda nasıl göründüğünü öğretecek bir eğitim deneyimi yaratmaya karar verdi. Böylece Breach at the Beach doğdu.
Breach at the Beach, Varonis'in tehdit algılama kedisi Pixel'in sahilde tatil yaparken Entra ID'de bir ihlal olduğunu öğrenmesi ve araştırmacı moduna geçmesiyle başlıyor. Oyuncular, Pixel aracılığıyla tehdit aktörünün adımlarını takip ederek saldırganın peşinde olduğu hassas verileri ortaya çıkarıyor ve onları durdurmaya çalışıyor. Bu CTF, gerçek dünyadaki vakalardan ilham alarak tasarlandı ve oyunculara modern saldırıların nasıl işlediğini uygulamalı olarak gösteriyor.
Entra ID, yalnızca bir kimlik sağlayıcısı değil; tüm kurumsal yapının kontrol düzlemi. Kullanıcıları, uygulamaları, izinleri, otomasyonu ve giderek artan yapay zeka destekli iş akışlarını birbirine bağlıyor. Yapay zeka ajanları, hizmet sorumluları ve otomatik iş akışları gibi insan olmayan kimliklerin yükselişi, Entra ID'deki bir ihlalin neye benzeyebileceğini değiştirdi. Varonis Güvenlik Araştırma Ekibi Lideri Mark Vaitsman, "Günümüzün yapay zeka çağında, birçok kimlik insan olmayan kimliklerdir. Entra'da bir ihlal olursa, tehdit aktörü kendini insan olmayan bir kimliğe dönüştürebilir ve bu, gizli ve ölçeklenebilir bir veri sızıntısı girişimine hızla dönüşebilir" diyor.
Nasıl Önlem Alınmalı?
Breach at the Beach'te işlenen teknikler varsayımsal değil. Doron ve Mark'ın gerçek müşteri ortamlarında karşılaştığı vakaları yansıtıyor. Her zorluk, savunmacıların bugün karşı karşıya olduğu tehditlere dayalı bir ders niteliğinde. Doron, "İnsan olmayan kimlikler, insan kimliklerini hızla geride bırakıyor ve saldırı yüzeyini genişletiyor. Tehdit aktörleri, izleme ve tespit için büyük zorluklar yaratırken erişim kazanıp ölçeklendirebiliyor" diye ekliyor. Ayrıca kuruluşların, yapay zekayı hızla benimseme baskısı ile bu teknolojiye ayak uyduramayan güvenlik altyapısı arasında sıkıştığını vurguluyor.
Önemli Gelişmeler
Breach at the Beach, ister kırmızı takım ister mavi takım olsun, ister CPE kredisi kazanmaya ihtiyacınız olsun, yaparak öğrenme fırsatı sunuyor. CTF, oyunculara şunları öğretiyor: Tehditlerin yanlış yapılandırmaları değil, özellikleri nasıl kötüye kullandığını; meşru işlevselliğin silah haline getirildiğini tanımayı. Ayrıca, yapay zeka olmadan tehditleri tespit etme becerisi kazandırıyor; araştırmacılar, LLM'lerin zorlukları çözmesini engellemek için CTF'yi özel olarak tasarladı. Son olarak, oyuncular ham Entra günlükleriyle çalışarak gürültüyü ortadan kaldırmayı ve karmaşık bir ortamda netlik yaratmayı öğreniyor.
Mark, uygulamalı öğrenmenin önemini vurguluyor: "Klavyenin başında olup tıklamazsanız ve nasıl çalıştığını görmezseniz hiçbir şey anlamazsınız. Okumak yeterli değil." CTF deneyimleri, oyuncuların etkiyi kavramsal olarak değil, hissederek öğrenmelerini sağlıyor. Ayrıca CTF, kırmızı takımcılar, mavi takımcılar, CISO'lar ve tehdit istihbaratı rollerindekiler dahil tüm siber güvenlik profesyonelleri için faydalı olacak şekilde tasarlandı. Mark, "İyi veya mükemmel bir kırmızı takımcı olmanın yolu mavi takım tarafını bilmekten geçer; muhtemelen iyi bir CISO olmak için de saldırgan tarafını bilmeniz gerekir" diyor.
Doron, yapay zeka ve denetim görünürlük boşlukları konusunda her güvenlik uzmanının günlük işlerinde bu konulara maruz kalmadığını belirtiyor. CTF, Dataverse, Copilot gibi sistemlerden denetim günlüklerine ve bu yapay zeka sistemlerinin altında yatan mekanizmalara maruz kalma fırsatı sunuyor. "Bu CTF, onlara bu sistemlerle çalışırken savunma amaçlı bir yaklaşım oluşturmanın ne kadar zor olduğunu görme şansı veriyor" diyor. Breach at the Beach ücretsiz ve online olarak oynanabiliyor: https://breachatthebeach.com.
Kaynak: bleepingcomputer.com
