Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Derinlemesine savunma, tek bir kontrole güvenmek yerine birbirini yedekleyen katmanlar kurma yaklaşımıdır.
Derinlemesine savunma, güvenliği tek bir kontrole değil birbirini yedekleyen birden çok katmana dayandırma yaklaşımıdır. Temel varsayımı basittir: her kontrol er ya da geç bir noktada başarısız olur, bu yüzden bir katman aşıldığında saldırganı yavaşlatacak ve görünür kılacak başka katmanlar bulunmalıdır.
Yaklaşım askerî savunma doktrininden ödünç alınmıştır. Tek bir sur yerine hendek, sur, iç kale ve gözcülerden oluşan bir düzen kurulur; amaç saldırıyı tamamen imkânsız kılmak değil, maliyetini ve süresini savunanın fark edip müdahale edebileceği kadar artırmaktır.
Derinlemesine savunma, bir varlığı korumak için farklı türde ve farklı seviyelerde birden çok güvenlik kontrolünü üst üste konumlandırma ilkesidir; tek bir kontrolün başarısızlığı sistemin tamamen ele geçirilmesiyle sonuçlanmaz.
İlkenin özü tekrar değil çeşitliliktir. Aynı türden iki güvenlik duvarını arka arkaya koymak katman sayısını artırır ama aynı zafiyetten ikisi de etkilenebilir. Gerçek derinlik, farklı mekanizmalara dayanan kontrollerin birleşmesiyle oluşur: önleyici, tespit edici ve düzeltici kontroller birlikte çalışmalıdır.
Katmanlar genellikle dıştan içe doğru sıralanır: fiziksel güvenlik, ağ güvenliği, uç nokta güvenliği, uygulama güvenliği ve veri güvenliği. Bunların hepsini kesen iki dikey katman daha vardır: kimlik ve erişim yönetimi ile izleme ve olay müdahalesi.
Tek bir kontrole dayanan mimaride o kontrolün aşılması tüm ortamın açılması anlamına gelir. İnternete bakan bir güvenlik duvarının arkasında düz bir ağ varsa, bir kimlik avı e-postasıyla ele geçirilen tek bir kullanıcı hesabı saldırganı doğrudan iç ağa taşır ve önünde başka engel kalmaz.
Gerçek olayların çoğu tek bir hatayla değil, birkaç küçük eksikliğin arka arkaya gelmesiyle büyür. Katmanlı düzen bu zinciri kırmayı hedefler: kimlik doğrulama aşılsa bile segmentasyon yanal hareketi zorlaştırır, izleme kaydı anormal davranışı görünür kılar, en az yetki ilkesi ele geçirilen hesabın erişebileceği alanı daraltır.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi Alİyi kurulmuş bir savunma düzeninde katmanlar birbirinden bağımsız çalışır. Aynı kimlik sağlayıcısına bağlı, aynı yönetim ağından yönetilen ve aynı yönetici hesabıyla erişilen kontroller, kâğıt üzerinde ayrı görünse de tek bir noktadan devre dışı bırakılabilir.
Bu nedenle mimari tasarımda “bu katman düşerse hangi katmanlar da düşer?” sorusu sorulur. Yönetim düzlemi, kimlik altyapısı ve yedekleme sistemi çoğu kurumda bu ortak nokta hâline gelir; bu üçünün ayrı korunması, derinliğin gerçek olup olmadığını belirler.
Fidye yazılımı olaylarında saldırganların ilk hedefi çoğunlukla yedeklerdir. Yedeklerin üretim kimlik altyapısından bağımsız kimlikle korunması, değiştirilemez biçimde saklanması ve geri yükleme tatbikatının düzenli yapılması, katmanlı savunmanın en somut örneklerinden biridir.
İki yaklaşım rakip değil tamamlayıcıdır. Derinlemesine savunma katman kurmayı, sıfır güven mimarisi ise hiçbir katmanın konumuna göre otomatik güvenilmemesini söyler. Klasik katmanlı modelin zayıf noktası, iç ağa girildikten sonra oluşan geniş güven alanıdır; sıfır güven bu alanı ortadan kaldırır.
Pratikte modern mimari ikisini birleştirir: katmanlar korunur ama her katman geçişinde kimlik ve cihaz durumu yeniden doğrulanır. Böylece hem çeşitlilik hem de sürekli doğrulama sağlanır.
Katman eklemek her zaman güvenliği artırmaz. Yönetilemeyen, uyarısı okunmayan ve birbiriyle çakışan kontroller operasyonu yavaşlatır, yanlış pozitif üretir ve ekibin dikkatini dağıtır. Katman sayısı değil, katmanların ölçülebilir katkısı önemlidir.
Maliyet de gerçekçi değerlendirilmelidir. Her ek kontrolün lisans, kurulum, işletme ve eğitim bedeli vardır. Kontrolün önlediği kayıp bu bedeli aşmıyorsa katman eklemek yerine mevcut katmanların etkinliğini artırmak daha doğru olabilir.
Katmanların gerçekten üst üste bindiğini görmenin yolu, tek bir katmanı bilerek atlayıp geri kalanın devreye girip girmediğini denemektir. Mor takım çalışmaları bu sınama için uygundur: kırmızı takım belirli bir tekniği uygular, mavi takım hangi katmanın tespit ettiğini kayıtla gösterir.
Sınama sonuçları bir kapsama tablosuna işlenir. Hangi saldırı tekniğinin hangi katmanda önlendiği ya da tespit edildiği görünür hâle gelince, yatırımın nereye yapılacağı tahmine değil ölçüme dayanır.
Katmanlı savunmanın gücü yalnızca sayıdan değil, kontrol türlerinin dengesinden gelir. Önleyici kontroller olayın gerçekleşmesini engeller, tespit edici kontroller gerçekleştiğinde görünür kılar, düzeltici kontroller ise sonrasında normale dönüşü sağlar.
Çoğu kurumda önleyici kontroller güçlü, tespit edici kontroller ortalama, düzeltici kontroller ise zayıftır. Bu dengesizlik olay anında görünür hâle gelir: saldırı fark edilir ama geri dönüş planı olmadığı için kesinti uzar. Yatırım dağılımı bu üç türe göre gözden geçirilmelidir.
Caydırıcı ve telafi edici kontroller de tabloya eklenir. Kamera ve uyarı levhaları caydırıcıdır; ayrımın sağlanamadığı yerde uygulanan ek izleme ise telafi edicidir. Her kontrolün hangi türe girdiğini bilmek, kapsama boşluklarını görmeyi kolaylaştırır.
Katmanlar yalnızca mekânsal değil zamansal olarak da düşünülür. Bir saldırı zinciri keşiften veri sızdırmaya kadar birden çok adımdan oluşur; her adım savunan için bir müdahale fırsatıdır. Amaç, saldırganın zincirinin herhangi bir halkasında yakalanmasıdır.
Bu bakış, savunma yatırımını saldırı zinciri aşamalarına dağıtmayı önerir. Yalnızca ilk erişimi engellemeye odaklanan bir program, ilk erişim sağlandığı anda kör kalır; yanal hareket, komuta kontrol ve sızdırma aşamalarında da kontrol bulunmalıdır.
Zaman boyutu müdahale hızıyla da ilgilidir. Saldırganın hedefe ulaşması için gereken süre, savunanın fark edip müdahale etmesi için gereken süreden uzun olduğu sürece katmanlı düzen işlevini yerine getirir.
Sınırlı bütçeyle çalışan kurumlarda tüm katmanları aynı olgunlukta kurmak gerçekçi değildir. Bu durumda önce en yüksek getiriyi veren temel kontroller seçilir: çok faktörlü doğrulama, yama yönetimi, ayrılmış ve sınanmış yedekler, uç nokta koruması ve temel kayıt toplama.
Bu beş kontrol, yaygın olayların büyük bölümünü ya engeller ya da etkisini belirgin biçimde azaltır. Üzerlerine eklenecek katmanlar, kurumun risk profiline göre sırayla devreye alınır; hepsini aynı anda kurmaya çalışmak çoğunlukla hiçbirinin düzgün işletilememesiyle sonuçlanır.
Dış kaynak kullanımı da bir katman stratejisidir. İzleme ve müdahale kabiliyetini içeride kurmak yerine hizmet olarak almak, küçük ekiplerin gece ve hafta sonu boşluklarını kapatmasını sağlar.
İlk hata, katmanları birbirinden bağımsız projeler olarak yürütmektir. Her katman ayrı ekip tarafından ayrı araçlarla kurulduğunda aralarındaki boşluklar kimsenin sorumluluğunda kalmaz; saldırganlar tam olarak bu boşluklarda ilerler.
İkinci hata, uyarı üretmeyen katmanları çalışıyor saymaktır. Bir kontrolün hiç uyarı üretmemesi, ortamın temiz olduğu anlamına gelebileceği gibi kontrolün yanlış yapılandırıldığı anlamına da gelebilir. Bu ayrım ancak bilinçli test üretimiyle yapılabilir.
Privia Security olarak katmanların kâğıt üzerinde değil sahada çalıştığını altyapı ve mimari gözden geçirme çalışmalarıyla doğruluyor, eksik kalan katmanları önceliklendirilmiş bir yol haritasıyla raporluyoruz.
Bunlar İlginizi Çekebilir
