Bir kurumun siber güvenlik seviyesini ölçmenin en etkili yollarından biri, sızma testi (penetrasyon testi) uzmanlarının bakış açısını anlamaktır. Bu uzmanlar, sistemlerdeki zafiyetleri bulmak ve sömürmek için eğitilir. Peki bir kurum, bu uzmanların işini zorlaştırmak için ne yapmalı? İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), birlikte çalıştığı sızma testi uzmanlarına tam da bu soruyu yöneltti. Aldığı yanıtlar, savunma stratejilerini güçlendirmek isteyen her kurum için altın değerinde.
Sızma testi uzmanlarının üzerinde hemfikir olduğu ilk nokta, sistemlerin 'güvenli tasarım' (secure by design) prensibiyle geliştirilmesi. Bu yaklaşım, saldırganların işini en başından zorlaştırırken, keşfedilen zafiyetlerin giderilmesini de kolaylaştırıyor. NCSC'ye göre güvenli tasarım; geliştirme sürecinde tehdit modellemesi yapmayı, ayrıcalıklı kullanıcılar için kimlik avına dayanıklı çok faktörlü kimlik doğrulama (MFA) zorunluluğu getirmeyi, varsayılan şifreleri değiştirmeyi, girdi verilerini mümkün olan en erken aşamada doğrulamayı ve hataları güvenli bir şekilde ele almayı içeriyor. Ayrıca kimlik bilgilerinin güvenli saklanması, yazılımda sabit kodlanmış şifrelerden kaçınılması ve hassas verilerin hem depolama hem de aktarım sırasında şifrelenmesi de bu prensibin parçası.
Sızma testi uzmanlarının en sevmediği şeylerden biri de ağ segmentasyonu. Yani ağın mantıksal veya fiziksel olarak bölümlere ayrılması. Bu, üst düzey ağ tasarımı, VLAN'lar, güvenlik duvarları veya farklı ağ alanları için ayrı hesaplar kullanılarak sağlanabilir. Özellikle Operasyonel Teknoloji (OT) sistemlerinin, Bilgi Teknolojisi (IT) ağlarından ayrıştırılması kritik önem taşıyor. Bu sayede yanal hareket (lateral movement) engelleniyor ve sistem kesintilerinin önüne geçiliyor. NCSC, segmentasyonun sadece IT ile OT'yi ayırmak olmadığını, bu sınırlardan geçen trafiğin de sıkı bir şekilde kontrol edilmesi gerektiğini vurguluyor. Güvenli OT bağlantıları, açık bağlantı noktalarını en aza indirmeli, erişim yollarını standartlaştırmalı ve sınırları güçlendirmelidir. Ayrıcalıklı erişim iş istasyonları (PAW) ise yönetici işlemleri için güvenilir cihazlar sağlayarak kestirme yolları azaltıyor ve yanal hareketi zorlaştırıyor.
Üçüncü kritik savunma katmanı ise kaliteli loglama, izleme ve olay müdahale süreçleri. NCSC, en iyi loglama altyapısının bile doğru veriler toplanmadığı ve bu verilere doğru şekilde yanıt verilmediği sürece işe yaramayacağını belirtiyor. Uyarıların (alert) düzgün bir şekilde incelenmesi ve olay müdahale planlarının oluşturulması, düzenli olarak paylaşılması ve ekiplerle tatbik edilmesi gerekiyor. Bu sayede bir sızma testi uzmanı veya kötü niyetli bir saldırgan, izlerini gizlemekte zorlanacak ve sistemde daha uzun süre fark edilmeden kalamayacaktır.
Nasıl Önlem Alınmalı?
Peki bu üç prensibi hayata geçirmek bir kurum için ne anlama geliyor? Öncelikle, yazılım geliştirme yaşam döngüsünün en başından itibaren güvenlik düşünülmeli. 'Önce ürünü çıkaralım, sonra güvenliğini ekleriz' yaklaşımı artık geçerli değil. Ayrıca, ağ mimarisi tasarlanırken segmentasyon bir öncelik olmalı; özellikle OT ve IT ağları arasındaki sınırlar sıkılaştırılmalı. Loglama ve izleme ise sadece bir uyumluluk gereği değil, aktif bir savunma mekanizması olarak görülmeli. Bu üç alana yatırım yapan kurumlar, sızma testi uzmanlarının işini zorlaştırmanın yanı sıra gerçek saldırılara karşı da çok daha dirençli hale gelecektir.
Sonuç olarak, NCSC'nin sızma testi uzmanlarından aldığı yanıtlar, siber güvenliğin temel taşlarını bir kez daha hatırlatıyor. Güvenli tasarım, ağ segmentasyonu ve etkin loglama-izleme, bir kurumun siber dayanıklılığını artırmak için atabileceği en önemli adımlar. Bu önlemler, sadece sızma testi uzmanlarının değil, aynı zamanda kötü niyetli saldırganların da işini zorlaştırarak veri ihlali ve sistem kesintisi riskini önemli ölçüde azaltıyor. Her kurum, bu üç prensibi kendi bağlamına uyarlayarak uygulamalı ve sürekli iyileştirmelidir.
Kaynak: infosecurity-magazine.com
