Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
DREAD, bir tehdidi beş boyutta puanlayarak önceliklendirmeye yarayan basit bir risk puanlama modelidir.
DREAD, tehdit modelleme çalışmalarında bulunan senaryoları önceliklendirmek için kullanılan basit bir puanlama modelidir. Her tehdit beş boyutta puanlanır, puanlar toplanır ve elde edilen değer senaryoların sıralanmasında kullanılır.
Model, tehdit çıkarma aşamasından sonra devreye girer. STRIDE gibi bir çerçeveyle listelenen senaryolar çoğunlukla kalabalıktır; hepsine aynı anda kaynak ayrılamayacağı için bir sıralama yöntemine ihtiyaç duyulur.
DREAD; hasar, tekrarlanabilirlik, sömürülebilirlik, etkilenen kullanıcı sayısı ve keşfedilebilirlik boyutlarında puanlama yaparak bir tehdidin önceliğini belirlemeye yarayan modeldir.
Puanlama genellikle her boyut için 1 ile 10 ya da 1 ile 3 arasında bir değer verilerek yapılır. Ölçek seçimi kurumun tercihine bağlıdır; önemli olan aynı ölçeğin tüm senaryolarda tutarlı biçimde kullanılmasıdır.
Bileşenler, bir tehdidin hem etkisini hem de gerçekleşme kolaylığını birlikte ölçmeyi amaçlar. İlk bileşen etkiye, kalan dördü büyük ölçüde olabilirliğe bakar.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlPuanlama, senaryo başına birkaç dakika sürecek biçimde tasarlanır. Her boyut için kısa bir gerekçe yazılır; gerekçesiz puanlar sonraki dönemde tartışılamaz ve modelin değeri kaybolur.
Toplam puan, boyut puanlarının toplamı ya da ortalaması olarak hesaplanır. Bazı kurumlar boyutlara ağırlık verir; örneğin hasar boyutunu iki katına çıkararak etkiyi öne alır. Ağırlıklandırma kararı yazılı olmalı ve tüm senaryolarda aynı uygulanmalıdır.
Elde edilen puanlar mutlak bir gerçeklik değil, karşılaştırma aracıdır. Puanın 27 olması tek başına bir anlam taşımaz; aynı ölçekle puanlanmış diğer senaryolarla karşılaştırıldığında anlam kazanır.
En sık dile getirilen eleştiri, puanlamanın öznel olmasıdır. Aynı senaryoya iki farklı uzman farklı puanlar verebilir; özellikle sömürülebilirlik ve keşfedilebilirlik boyutlarında bu fark belirginleşir.
İkinci eleştiri, keşfedilebilirlik boyutunun güvenliği belirsizliğe dayandırmayı teşvik etmesidir. Bir zafiyetin zor bulunması onu daha az tehlikeli yapmaz; bu nedenle birçok kurum bu boyutu ya kaldırır ya da ağırlığını düşürür.
Üçüncü eleştiri, toplama işleminin farklı türde büyüklükleri aynı ölçekte birleştirmesidir. Yüksek hasarlı ama zor sömürülen bir senaryo ile düşük hasarlı ama kolay sömürülen bir senaryo aynı toplamı verebilir; oysa ele alınma biçimleri farklı olmalıdır.
Öznelliği azaltmanın en etkili yolu, her boyut için yazılı puanlama kılavuzu hazırlamaktır. Hangi durumda hangi puanın verileceği örneklerle tanımlandığında, farklı kişilerin puanları birbirine yaklaşır.
İkinci yöntem, puanlamayı tek kişiyle değil küçük bir grupla yapmaktır. Farklı puan veren kişilerin gerekçelerini açıklaması, çoğu zaman senaryonun yanlış anlaşıldığını ortaya çıkarır ve bu tartışmanın kendisi değerlidir.
Üçüncü yöntem, puanları dönemsel olarak sonuçlarla karşılaştırmaktır. Yüksek puan verilen senaryolar gerçekten mi öne çıktı, düşük puanlananlar sorun çıkardı mı? Bu geri bildirim, kılavuzun zamanla iyileşmesini sağlar.
Zafiyet puanlaması için sektörde yaygın olarak kullanılan standart ölçekler bulunur; bunlar teknik zafiyetlerin ciddiyetini tanımlı formüllerle hesaplar. DREAD ise tasarım aşamasındaki tehdit senaryoları için daha uygundur çünkü henüz somut bir zafiyet yoktur.
Birçok kurum ikisini birlikte kullanır: tasarım aşamasında DREAD ile önceliklendirme yapar, üretimde bulunan zafiyetler için ise standart puanlama ölçeklerine geçer. Önemli olan, aynı listede iki farklı ölçeğin karıştırılmamasıdır.
Puanlama sonuçları kurumun artık risk kaydına da beslenir. Ele alınmayan yüksek puanlı senaryolar, kabul edilmiş risk olarak yazılır ve gözden geçirme takvimine bağlanır.
Kılavuz, her boyut için puan aralıklarını somut ifadelerle tanımlar. Örneğin hasar boyutunda düşük puan “tek kullanıcıyı etkileyen geçici bir rahatsızlık”, yüksek puan ise “tüm müşteri verisinin ifşası ya da uzun süreli hizmet kesintisi” olarak açıklanır. Bu tür somut tanımlar, farklı kişilerin aynı senaryoya yakın puanlar vermesini sağlar. Soyut ifadeler ise puan farklarını büyütür.
Sömürülebilirlik boyutunda kılavuz, gereken erişim düzeyini ve teknik yetkinliği tanımlar. Kimlik doğrulaması gerektirmeden internet üzerinden çalıştırılabilen bir senaryo en yüksek puanı alırken, fiziksel erişim ve özel donanım gerektiren bir senaryo en düşük puanı alır. Ara seviyeler için de örnekler verilir. Örnekler kurumun kendi sistemlerinden seçildiğinde kılavuz çok daha anlaşılır olur.
Kılavuz kısa tutulur; tek sayfayı aşan bir puanlama rehberi kullanılmaz. Ekipler puanlama sırasında rehbere bakabilmelidir, onu okumak için ayrı bir zaman ayırmak zorunda kalmamalıdır. Bu nedenle her boyut için üç ya da beş seviye yeterlidir. Daha ince ayrımlar, öznelliği azaltmak yerine artırır.
Puanlamanın tek başına bir değeri yoktur; bir eşik sistemine bağlandığında anlam kazanır. Belirli bir toplam puanın üzerindeki senaryoların üretime çıkmadan önce çözülmesi, orta aralıktakilerin planlı biçimde ele alınması ve düşük olanların izlenmesi gibi kurallar önceden yazılır. Bu kurallar olmadığında puanlar bir tablo süsü olarak kalır. Eşikler, kurumun risk iştahına göre belirlenir.
Eşiklerin gerçekçi olması önemlidir. Çok katı eşikler geliştirme sürecini kilitler ve zamanla göz ardı edilir; çok gevşek eşikler ise hiçbir senaryonun ele alınmamasına yol açar. Doğru ayar, ilk birkaç dönemin verisine bakılarak yapılır. Eşiklerin değiştirilmesi ise gerekçesiyle birlikte kayda geçirilir.
Karar süreci ayrıca istisna yolunu da tanımlamalıdır. Eşiği aşan bir senaryonun çözülmeden üretime çıkması gerekiyorsa, bu kararı kimin verebileceği ve ne kadar süreyle geçerli olacağı yazılır. İstisnalar artık risk kaydına işlenir ve süre sonunda yeniden değerlendirilir.
DREAD, çok sayıda benzer senaryonun hızlıca sıralanması gerektiğinde işe yarar. Ancak az sayıda ve birbirinden çok farklı senaryonun bulunduğu durumlarda, puanlama yerine doğrudan tartışma daha isabetli sonuç verir. Beş senaryo için puanlama tablosu hazırlamak, kararı hızlandırmak yerine geciktirir. Yöntem, kendi maliyetini karşıladığı ölçekte kullanılmalıdır.
İkinci sınır, düzenleyici gereklilikle ilgili senaryolardır. Mevzuatın kapatılmasını zorunlu kıldığı bir açık, puanı düşük çıksa bile ele alınmak zorundadır. Bu tür senaryolar puanlama dışına alınır ve ayrı bir listede takip edilir. Aksi hâlde model, uyulması zorunlu bir gerekliliği önceliksiz gösterebilir.
Üçüncü sınır, güvenlik dışı etkilerin göz ardı edilmesidir. Bir senaryonun itibar ya da müşteri güveni üzerindeki etkisi, teknik hasar boyutuyla tam olarak ifade edilemeyebilir. Bu durumlarda puan, iş birimleriyle birlikte gözden geçirilir. Nihai önceliklendirme her zaman bir iş kararıdır.
Privia Security olarak tehdit modelleme çıktılarının önceliklendirilmesinde kuruma uyarlanmış puanlama kılavuzları hazırlıyor, sonuçları siber risk analizi tablosuyla birleştiriyoruz.
Bunlar İlginizi Çekebilir
