İhlal ana kapıdan değil, kimsenin envanterinde olmayan yan kapıdan giriyor

Bu hafta art arda gelen ihlal açıklamalarını yan yana koyunca dikkat çekici bir tablo çıkıyor. Hiçbirinde saldırgan, şirketin vitrindeki ana ürününü doğrudan delmiş değil. Giriş noktası her seferinde "yan" bir sistem.

DreamHost'ta saldırganlar, web tabanlı File Manager sunucusundaki üçüncü taraf bir yazılım açığını şirketin açıklamasına göre yaklaşık Ağustos'tan 23 Ekim'e kadar kullandı; bu sürede giriş yapan kullanıcıların FTP/SFTP kimlik bilgileri ve sınırlı sayıda webmail hesabı ele geçirildi. Donanım cüzdan üreticisi FOUNDATION'da kapı, şirketin kendi sunucusunda barındırdığı Cal.com randevu sistemiydi; buradan servis kimlik bilgileri alındı ve 21 bini aşkın adrese oltalama e-postası gönderildi. WorkOS ise saldırganın dahili bir satış uygulaması üzerinden CRM verilerine ulaştığını açıkladı. Abrigo cephesinde bankaların kullandığı Sageworks hizmetleri şüpheli etkinlik nedeniyle kapatıldı; araştırmacılar önlem olarak API anahtarlarının yenilenmesini öneriyor.

Ortak payda: sahipsiz sistemler

Randevu aracı, dosya yöneticisi, satış ekibinin uygulaması… Bunlar genellikle bir iş biriminin "hızlıca kuralım" dediği, patch takvimine ve değişiklik yönetimine tam olarak girmeyen sistemlerdir. Güvenlik ekibi ana platformu sıkı izlerken bu araçlar envanterde ya hiç yer almaz ya da "düşük kritiklik" etiketiyle unutulur.

Oysa saldırgan için kritiklik, sistemin iş değeriyle değil, eriştiği kimlik bilgileri ve verilerle ölçülür. Bir randevu sistemi e-posta gönderme yetkisine sahip servis hesaplarını taşıyorsa, oltalama için mükemmel bir rampadır. Bir dosya yöneticisi müşterilerin FTP parolalarını görüyorsa, ana ürün kadar değerlidir.

Yapay zekâ bu açığı büyütüyor

WorkOS vakasında saldırganın açık kaynak ARTEX çerçevesini kullandığı bildiriliyor. Otomasyon araçları, saldırganın geniş bir yüzeyi tarayıp en zayıf yan kapıyı bulma maliyetini düşürüyor. Yani "kimse bu küçük aracı bulmaz" varsayımı artık geçerli değil. Envanterde olmayan her sistem, birinin listesinde mutlaka var.

Yönetim kurulunun soracağı üç soru

Teknik ayrıntıya girmeden, yönetimin güvenlik ekibinden şu üç sorunun cevabını istemesi yeterli bir başlangıç olur:

• Ana ürünümüzün çevresinde hangi self-hosted ve SaaS araçlar çalışıyor ve her birinin bir sahibi var mı? Sahibi olmayan sistem, patch'i de olmayan sistemdir.
• Bu araçlar hangi servis hesaplarını, API anahtarlarını ve müşteri kimlik bilgilerini taşıyor? Risk, aracın kendisinden çok taşıdığı anahtarlarda.
• Bir tedarikçi ihlal açıkladığında anahtarları kaç saatte yenileyebiliyoruz? Abrigo örneğinde önerilen ilk adım buydu; bunun bir runbook'u yoksa her olayda sıfırdan başlanır.

Son söz

Bu haftanın ihlalleri teknik açıdan birbirinden farklı, ama yönetişim açısından aynı hikâyeyi anlatıyor: güvenlik bütçesinin büyük kısmı ana kapıya harcanırken saldırgan yan kapıdan giriyor. Çözüm daha pahalı bir kilit değil; hangi kapıların var olduğunu bilmek ve her birine bir sahip atamak. Envanter sıkıcıdır, ama bu haftanın dört açıklaması onun ne kadar pahalı bir ihmal olabileceğini gösteriyor.