Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Saldırı yüzeyi, bir saldırganın sisteme giriş denemesi yapabileceği tüm noktaların toplamıdır.
Saldırı yüzeyi, bir kuruma ya da sisteme yönelik saldırı girişiminde bulunulabilecek tüm noktaların toplamıdır. İnternete açık bir web uygulaması, uzaktan erişim kapısı, bir çalışanın e-posta adresi ya da fiziksel olarak ulaşılabilen bir ağ prizi bu yüzeyin parçasıdır.
Yüzey büyüdükçe savunma zorlaşır. Kurumların çoğunda asıl sorun bilinen sistemlerin korunması değil, hiç kimsenin haberi olmayan sistemlerin varlığıdır: unutulmuş bir test sunucusu, süresi dolmamış bir alan adı, bir pazarlama kampanyası için açılıp kapatılmayan bir alt alan adı ya da kapatılmadan bırakılmış bir yönetim arayüzü.
Saldırı yüzeyi, yetkisiz bir kişinin sisteme veri gönderebileceği, veri alabileceği ya da bir eylemi tetikleyebileceği tüm giriş noktalarının bütünüdür.
Tanım hem dijital hem fiziksel dünyayı kapsar. Bir kurumun saldırı yüzeyi yalnızca sunucularından ibaret değildir; çalışanları, tedarikçileri, kullandığı bulut hizmetleri ve hatta halka açık paylaşımları da yüzeyin parçasıdır.
Yüzey genellikle üç başlıkta incelenir: dijital, insan ve fiziksel. Dijital yüzey açık portlardan, API uç noktalarından ve bulut kaynaklarından oluşur. İnsan yüzeyi kimlik avı gibi tekniklerin hedefidir. Fiziksel yüzey ise binaya, cihaza ve kablolamaya erişimi kapsar.
Saldırı yüzeyi yönetiminde varlıklar üçe ayrılır. Bilinen varlıklar envanterdedir ve izlenir. Bilinmeyen varlıklar (gölge BT) kurumun haberi olmadan açılmıştır. Sahipsiz varlıklar ise bir zamanlar bilinen ama sorumlusu ayrılmış, bakımı bırakılmış sistemlerdir. İhlallerin önemli bölümü ikinci ve üçüncü gruptan doğar.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlÖlçüm, dışarıdan bakışla başlar: kurum internetten nasıl görünüyor? Alan adı ve alt alan adı keşfi, port taraması, sertifika şeffaflığı kayıtlarının izlenmesi ve açık kaynak istihbaratı bu resmi çıkarır. Ardından içeriden bakış eklenir: iç ağdaki servisler, kimlik altyapısı ve uygulama envanteri.
Ölçümün tek seferlik olmaması önemlidir. Bulut ortamlarında yüzey günlük olarak değişir; bir geliştiricinin test için açtığı kaynak, ertesi gün internete açık bir giriş noktası hâline gelebilir.
Daraltmanın ilk adımı görünürlüktür: envanteri olmayan bir yüzey yönetilemez. Sürekli varlık keşfi, dış yüzey taraması ve alan adı izleme ile kurumun internetten nasıl göründüğü düzenli olarak çıkarılır.
Ardından gereksiz olan her şey kapatılır: kullanılmayan servisler durdurulur, açık portlar kısıtlanır, varsayılan hesaplar kaldırılır, yönetim arayüzleri yalnızca belirli ağlardan erişilebilir hâle getirilir. Ağ segmentasyonu kalan yüzeyin etkisini sınırlar; bir noktadan giren saldırganın ulaşabileceği alan daralır.
Saldırı yüzeyi yönetimi, bu çalışmayı tek seferlik bir temizlik olmaktan çıkarıp sürekli işleyen bir sürece dönüştürür. Yeni açılan bir bulut kaynağı ya da yayına alınan bir alt alan adı, aynı gün envantere düşer ve değerlendirilir. Değişiklikler bir zaman çizelgesinde takip edildiğinde, yüzeyin büyüyüp büyümediği ölçülebilir hâle gelir.
Ölçüm için zafiyet taramaları ve düzenli sızma testleri kullanılır. Tarama neyin açık olduğunu, test ise açık olanın gerçekten sömürülebilir olup olmadığını gösterir. İkisi birlikte yürütüldüğünde önceliklendirme tahmine değil kanıta dayanır.
Teknik yüzey daraltıldıkça saldırganlar insana yönelir. Kurum çalışanlarının kurumsal e-posta adresleri, sosyal medyada paylaştıkları görev bilgileri ve iş ilanlarında açıkça yazılan teknoloji listeleri, hedefli saldırı hazırlığının ham maddesidir. Bu bilgiler tek başına zafiyet değildir ama saldırganın hazırlık süresini kısaltır.
Tedarik zinciri de yüzeyin görünmeyen parçasıdır. Kuruma uzaktan bağlanan bir bakım firması, kullanılan bir yazılım kütüphanesi ya da bir bulut entegrasyonu, kendi güvenlik seviyesini kuruma taşır. Üçüncü tarafın yüzeyi, sözleşmeyle sınırlandırılmadığı sürece fiilen kurumun yüzeyidir.
Bu nedenle olgun programlar tedarikçi envanterini varlık envanteriyle birlikte tutar: hangi tedarikçi hangi sisteme, hangi yetkiyle ve hangi süreyle erişiyor? Süresi dolmuş erişimlerin kapatılması, en hızlı sonuç veren yüzey daraltma adımlarından biridir.
Yüzey daraltma yalnızca teknik bir temizlik değildir; operasyonu da etkiler. Kapatılan bir servisin hangi ekibi etkileyeceği önceden konuşulmazsa iş kesintisi doğar ve güvenlik ekibi engel olarak görülmeye başlar. Bu yüzden kapatma kararları sahipleriyle birlikte alınır ve bir geri dönüş planıyla uygulanır.
Doğru kurgulandığında daraltma iş tarafına da kazanç sağlar: azalan sistem sayısı daha az lisans, daha az yama yükü ve daha basit bir mimari demektir. Güvenlik gerekçesiyle başlayan çalışma, çoğu kurumda maliyet ve sadeleşme kazanımıyla sonuçlanır.
Klasik ağ modelinde saldırı yüzeyi büyük ölçüde kurumun kendi veri merkeziyle sınırlıydı ve çevre güvenliğiyle savunuluyordu. Bulut hizmetleri ve uzaktan çalışma bu sınırı ortadan kaldırdı: kurum verisi artık üçüncü taraf platformlarda, çalışanların ev ağlarındaki cihazlarda ve mobil uygulamalarda bulunuyor.
Bu değişim yüzeyi yalnızca büyütmedi, aynı zamanda hızlandırdı. Bir bulut ortamında yeni bir kaynak dakikalar içinde açılabilir ve yanlış bir izin ayarıyla internete açık hâle gelebilir. Bu nedenle envanterin elle tutulması artık mümkün değildir; keşfin otomatik ve sürekli olması gerekir.
Kimlik, yeni çevre hâline gelmiştir. Ağ konumu tek başına güven sebebi olmaktan çıktığı için saldırı yüzeyinin en kritik parçası kullanıcı hesapları ve bunlara tanımlı yetkilerdir. Bu yüzden yüzey daraltma çalışmalarında kimlik envanteri, ağ envanteri kadar önemlidir.
Bu hataların ortak sonucu, envanterin gerçeği yansıtmamasıdır. Gerçeği yansıtmayan bir envanter üzerinden yapılan risk değerlendirmesi de yanıltıcı olur; kurum kendini korunuyor sanır.
Saldırı yüzeyi çalışmasının bir hedefi olmalıdır. İnternete açık servis sayısı, destek dışı bileşen sayısı, sahipsiz varlık oranı ve yeni açılan bir kaynağın envantere düşme süresi gibi göstergeler dönemsel olarak ölçülür. Bu göstergeler iyileşmiyorsa çalışma rapor üretiyor ama risk azaltmıyor demektir.
Privia Security, kurumların dış saldırı yüzeyini çıkarıp önceliklendirilmiş bir daraltma planına dönüştürmesine destek verir; düzenli zafiyet tarama ve sızma testi hizmetleri bu planın doğrulama adımını oluşturur.
Bunlar İlginizi Çekebilir
Siber Güvenlik Terimleri
24 Nisan 2021
Ters Kabuk ve Bağlanan Kabuk (Reverse & Bind Shell) Nedir?
Devamını Oku
