Kayıt tutan ama bağırmayan güvenlik, güvenlik değil arşivdir

Bu sabah Perry Johnson'ın dört eyaletle vardığı uzlaşmayı okurken bir cümlede takıldım. Başsavcılıkların iddiasına göre şirketin izleme yazılımı saldırganın faaliyetini kaydetmiş, ama yanlış yapılandırıldığı için hiçbir alarm üretmemiş. Veri iki ay boyunca dışarı akmış; şirket durumu saldırganlar haber verince öğrenmiş.

MFA'nın olmaması bu hikâyenin manşeti. Benim için asıl ders ikinci yarıda: araç oradaydı, lisansı ödenmişti, diskte log birikiyordu. Sadece kimse onun bağırıp bağırmadığını kontrol etmemişti.

"Var" ile "çalışıyor" arasındaki mesafe

Denetim formlarında izleme satırının yanına genellikle bir tik atılır: SIEM var, EDR var, log toplama var. Bu tik, aracın kurulu olduğunu söyler; doğru olayı doğru eşikte yakalayıp birine ulaştırdığını söylemez. Kurulumdan sonra yapılan bir ağ değişikliği, kaynağı değişen bir log formatı, gürültü yüzünden kapatılan bir kural ya da yönlendirilmeyen bir e-posta kuyruğu, aracı sessiz bir arşive çevirmeye yeter.

Perry Johnson tek örnek değil. Chainalysis'te etki alanının sonradan genişlemesi ve Northflank'te kötüye kullanılan API anahtarları da aynı soruyu soruyor: kimlik bilgisi ele geçtiğinde, bunun normalden farklı kullanıldığını ilk kim fark ediyor? Cevap çoğu zaman "biz" olmuyor.

Hardening sadece kapı kilitlemek değil

Hardening dendiğinde akla servis kapatmak, varsayılan parolayı değiştirmek, MFA açmak geliyor. Bunlar şart. Ama hardening'in bir de tespit tarafı var: kilit kırıldığında zilin çalacağından emin olmak. Kapıyı ne kadar sağlam yaparsanız yapın, ele geçirilmiş meşru bir hesapla giren saldırgan kapıyı kırmaz; anahtarla açar. O noktada sizi kurtaracak tek şey, davranışın olağandışı olduğunu söyleyen bir sinyal.

Bu yüzden ağ ekiplerine her zaman aynı şeyi öneriyorum: tespit kurallarını da yapılandırma gibi düşünün. Yapılandırmayı nasıl yedekliyor, değişikliği nasıl takip ediyorsanız, alarm kurallarının da sürümünü tutun ve düzenli olarak sınayın.

Pratikte ne yapılabilir?

Pahalı bir proje gerekmiyor. Üç ayda bir, değişiklik yönetimi içinde planlanan küçük bir tatbikat yeterli: test hesabıyla mesai dışında oturum açın, alışılmadık miktarda dosya listeleyin, bir yönetici grubunu sorgulayın. Sonra bakın: alarm üretildi mi, kime gitti, kaç dakikada okundu? Üretilmediyse sorun aracın değil, aradaki boşluğun.

İkincisi, "sessizlik" metriği tutun. Bir kaynaktan belirli bir süre log gelmiyorsa, bu da bir alarmdır. Saldırganın en sevdiği ortam, kimsenin log kaynağının ölüp ölmediğini fark etmediği ortamdır.

Üçüncüsü, MFA istisna listesini kimsenin hatırlamadığı bir excel'de bırakmayın. Servis hesapları, eski VPN profilleri, "geçici" açılan hesaplar: Perry Johnson hikâyesinin başladığı yer tam da burası.

Son söz

Bir güvenlik aracının değeri, gördüğü şey kadar değil, gördüğünü birine söyleyebildiği kadardır. Kayıt tutan ama bağırmayan bir sistem, olaydan sonra adli inceleme için mükemmel bir arşiv olur; olay sırasında ise hiçbir işe yaramaz. Bu hafta kendinize tek bir soru sorun: en son ne zaman bir alarmınızın gerçekten çaldığını kendi gözünüzle gördünüz?