Kanarya hesapları, bir sistemde gerçekmiş gibi duran ama hiçbir meşru amaca hizmet etmeyen tuzak kullanıcı hesaplarıdır. Adını, madencilerin zehirli gaza karşı erken uyarı için kullandığı kuştan alır: hesabın kendisi bir işe yaramaz, değeri yalnızca ona dokunulduğunda verdiği alarmdadır. Meşru hiç kimse bu hesabı kullanmadığı için ona yapılan her giriş denemesi tanım gereği şüphelidir.

Kanarya hesabının tek görevi vardır: birileri ona uzandığında bunu duyurmak.

Nasıl Çalışır?

Bir kanarya hesabı, saldırganın ilgisini çekecek biçimde tasarlanır ama tuzak olduğu belli olmayacak kadar sıradan görünür. Yönetici benzeri bir isim, cazip bir grup üyeliği veya eski bir servis hesabı görünümü, saldırganın keşif sırasında bu hesabı fark etmesini sağlar. Kritik nokta, hesabın izlemeyle donatılmış olmasıdır: kimlik dizinine bir kural yerleştirilir ve hesap adına yapılan her kimlik doğrulama girişimi anında bir olaya dönüşür.

Kanarya hesapları, savunmayı beklemek yerine saldırgana bir tuzak sunan Aldatma teknolojisi yaklaşımının kimlik katmanındaki uygulamasıdır. Aynı mantık farklı biçimlerde de kullanılabilir; örneğin bir belgenin veya bağlantının içine gömülen bir Kanarya token, o kaynağa erişildiği anda sessizce sinyal gönderir. Hesap versiyonu ise özellikle kimlik odaklı saldırıları, yani parola tahmini ve dizin keşfini yakalamada güçlüdür.

Neden Değerli Bir Sinyal?

Klasik tespit yöntemlerinin en büyük yükü yanlış pozitiflerdir: meşru etkinliğin içinden zararlı olanı ayıklamak sürekli bir eleme işidir. Kanarya hesabı bu denklemi tersine çevirir. Hesabın hiçbir meşru kullanımı olmadığı için üreteceği alarmın gürültü olma ihtimali neredeyse sıfırdır. Bu netlik, kanarya hesabından gelen bir uyarıyı Saldırı göstergeleri arasında en güvenilir olanlardan biri yapar; alarm çaldıysa, gerçekten birileri olmaması gereken bir yere bakıyor demektir.

Sinyalin işe yaraması, onun doğru bir yere akmasına bağlıdır. Kanarya hesabı olayları genellikle bir SIEM platformuna gönderilir, orada en yüksek önceliğe atanır ve doğrudan analiste iletilir. Böylece tuzak sadece bir kayıt bırakmaz, aynı zamanda ele alınabilir bir müdahaleyi tetikler.

Kurulumda Dikkat Edilecekler

Etkili bir kanarya hesabı ne fazla göze batmalı ne de tamamen gizli kalmalıdır. Çok bariz bir tuzak, deneyimli saldırgan tarafından tanınıp atlanır; hiç keşfedilmeyen bir hesap ise asla tetiklenmez. Bu dengeyi kurmak için hesabın gerçekçi bir isimlendirme ve mantıklı bir dizin konumuna yerleştirilmesi, ama gerçek erişim yetkilerinden yoksun bırakılması gerekir. Ayrıca kanarya hesaplarının kayıtlarının, meşru bir çalışanın yanlışlıkla dokunmasını engelleyecek biçimde belgelenmesi de önemlidir.

Kanarya hesapları düşük maliyetli, yüksek güvenilirlikli bir erken uyarı katmanı sunduğundan olgun bir tespit programının pratik kazanımlarından biridir. Privia Security bu tuzakları, mevcut tespit boşluklarını kapatan tamamlayıcı bir sensör olarak SOC olgunlaştırma çalışmalarına dahil eder ve hangi hesap türlerinin kuruma özgü olarak en etkili tuzağı oluşturacağını belirler.