Veri sızdırma, kurumsal verilerin yetkisiz biçimde kurum dışına çıkarılmasıdır. Saldırının bu aşaması, çoğu operasyonun asıl hedefidir; önceki tüm adımlar buna hizmet eder. Sızdırma gerçekleştiğinde etki geri alınamaz hâle gelir. Bu nedenle savunma, sızdırmanın gerçekleşmesinden önceki aşamalara odaklanmalıdır. Yine de sızdırma katmanındaki kontroller son savunma hattını oluşturur.

Sızdırma yalnızca dış saldırganlar tarafından yapılmaz. İçeriden kaynaklanan olaylarda çalışanlar da veri çıkarabilir. Bu iki senaryo farklı tespit yaklaşımları gerektirir. Dış saldırganlar gizlenmeye çalışırken, içeriden yapılan çıkarmalar meşru araçlarla gerçekleşir. Kapsam her iki senaryoyu da içermelidir.

Veri Sızdırma Nedir?

Veri sızdırma, kurumsal verilerin yetkisiz kişiler tarafından, izin verilmeyen kanallar üzerinden kurum dışına aktarılmasıdır.

Sızdırma tek bir olay olmak zorunda değildir. Bazı operasyonlarda veriler uzun süre boyunca küçük parçalar hâlinde çıkarılır. Bu yavaş yaklaşım, hacim tabanlı tespitleri atlatmayı hedefler. Buna karşılık uzun süre izlenen ortamlarda örüntü ortaya çıkar. Tespit, zaman boyutunu da hesaba katmalıdır.

Hangi Kanallar Kullanılır?

En yaygın kanal, şifreli web bağlantılarıdır. Veriler bir bulut depolama servisine ya da saldırganın sunucusuna yüklenir. Trafik şifreli olduğu için içerik denetlenemez. Bu nedenle tespit, hedef adrese ve hacme odaklanır. Meşru servisler kullanıldığında adres kontrolü de yetersiz kalır.

İkinci kanal, e-posta ve iş birliği platformlarıdır. Verilerin kişisel adreslere gönderilmesi ya da dış paylaşım bağlantıları oluşturulması yaygın yöntemlerdir. Bu kanallar meşru iş akışının parçası olduğu için engellenmesi zordur. Denetim, içerik ve alıcı analizine dayanır. Sınıflandırma etiketleri bu denetimi kolaylaştırır.

Üçüncü kanal, taşınabilir medya ve fiziksel yollardır. Harici disklere kopyalama, yazdırma ve fotoğraf çekme bu kategoridedir. Teknik kontrollerle tamamen engellenmesi güçtür. Cihaz denetimi ve fiziksel politikalar birlikte uygulanır. Bu kanal özellikle içeriden kaynaklı olaylarda öne çıkar.

• Şifreli web bağlantılarıyla bulut depolamaya yükleme
• E-posta ve iş birliği platformları üzerinden paylaşım
• Taşınabilir medya ve yazıcı üzerinden fiziksel çıkarma
• Ad çözümleme sorgularına gömülü yavaş veri taşıma
• Veri tabanı sorgularıyla toplu dışa aktarım
• Yedek dosyalarının kopyalanması

Gizleme Teknikleri

Saldırganlar sızdırmayı gizlemek için çeşitli teknikler kullanır. Verilerin sıkıştırılması ve şifrelenmesi, içerik denetimini etkisiz kılar. Ayrıca dosya adları ve uzantılar değiştirilerek dikkat çekmemesi sağlanır. Bazı durumlarda veriler görsel dosyaların içine gömülür. Bu teknikler, imza tabanlı kontrolleri atlatır.

Zamanlama da bir gizleme aracıdır. Aktarımın mesai saatlerinde ve normal trafiğe karışık yapılması, hacim analizini zorlaştırır. Bazı operasyonlarda aktarım haftalara yayılır. Bu yavaşlık, eşik tabanlı uyarıları atlatır. Tespit, kümülatif hacme bakmalıdır.

Meşru servislerin kullanılması en etkili gizleme yöntemidir. Kurumun zaten kullandığı bir bulut depolama servisine yapılan yükleme, tamamen normal görünür. Bu durumda tespit, kullanıcı davranışına ve hacme dayanır. Servisin kurumsal hesabı dışına yapılan yüklemeler ayırt edilebilir. Bu ayrım için denetim gerekir.

Nasıl Tespit Edilir?

Tespitin temel göstergesi, olağandışı hacimli giden trafiktir. Bir kullanıcı ya da sunucunun normalde ürettiği trafiğin çok üzerinde veri göndermesi incelenmelidir. Bu tespit için temel çizgi profillerinin çıkarılması gerekir. Profil olmadan eşik belirlenemez. Çalışma bir kereye mahsus değil süreklidir.

İkinci gösterge, olağandışı erişim örüntüleridir. Bir kullanıcının normalde erişmediği veri kümelerine ya da alışılmadık miktarda kayda erişmesi dikkat çekicidir. Davranış analitiği bu sapmaları görünür kılar. Bu yöntem, içeriden kaynaklı olaylarda özellikle etkilidir. Yanlış pozitif yönetimi gerektirir.

Üçüncü gösterge, veri sınıflandırma etiketlerine dayalı kontrollerdir. Hassas olarak etiketlenmiş içeriğin kurum dışına çıkma girişimleri engellenebilir ya da uyarı üretebilir. Bu yaklaşım, sınıflandırma çalışmasının yapılmış olmasını gerektirir. Etiketsiz ortamlarda uygulanamaz. Sınıflandırma bu nedenle ön koşuldur.

Önleyici Kontroller

İlk kontrol, erişimin daraltılmasıdır. Bir hesabın erişebildiği veri miktarı ne kadar az ise, sızdırılabilecek veri de o kadar azdır. Bilmesi gereken ilkesi burada doğrudan koruma sağlar. Geniş paylaşımların gözden geçirilmesi öncelikli adımdır. Bu çalışma çoğu kurumda ertelenir.

İkinci kontrol, çıkış kanallarının yönetilmesidir. Onaylı bulut servisleri dışındaki yüklemelerin engellenmesi, kanal sayısını azaltır. Bu kısıtlama iş akışını etkileyebileceği için iş birimleriyle birlikte planlanmalıdır. Onaylı servis listesi net olmalıdır. Liste dışı kullanım gerekçeli istisnayla yönetilir.

Üçüncü kontrol, veri minimizasyonudur. Gereksiz yere saklanan veriler, olası bir sızıntının etkisini büyütür. Saklama sürelerinin uygulanması ve eski verilerin imha edilmesi riski doğrudan azaltır. Bu çalışma aynı zamanda depolama maliyetini de düşürür. İki fayda birlikte sunulduğunda destek bulmak kolaylaşır.

Olay Sonrası Kapsam Belirleme

Sızdırma şüphesi olduğunda ilk soru, hangi verinin çıktığıdır. Bu sorunun yanıtı, bildirim yükümlülüklerini ve müşteri iletişimini belirler. Yanıt verilemediğinde en kötü senaryo varsayılır ve gereksiz geniş bildirim yapılır. Bu durum, hem maliyet hem itibar açısından olumsuzdur. Kayıt kalitesi bu nedenle kritik önemdedir.

Kapsam belirleme için dosya erişim kayıtları, veri tabanı sorgu kayıtları ve ağ trafiği kayıtları birlikte incelenir. Bu kayıtların yeterli süre saklanması gerekir. Kısa saklama süreleri, geriye dönük inceleme imkânını ortadan kaldırır. Saklama kararı bu ihtiyaç dikkate alınarak verilmelidir. Uyum gereklilikleri tek ölçüt olmamalıdır.

İnceleme sonucunda çıkan verinin niteliği değerlendirilir. Kişisel veri içeren sızıntılarda bildirim yükümlülüğü doğar. Veri ihlali bildirimi süresi ve kapsamı mevzuatla belirlenir. Bu süreç hukuk birimiyle birlikte yürütülür. Hazırlık aşamasında roller tanımlanmalıdır.

İçeriden Kaynaklı Sızdırma

Sızdırma olaylarının önemli bir bölümü içeriden kaynaklanır. İşten ayrılan bir çalışanın müşteri listesini kopyalaması ya da bir çalışanın hassas belgeleri kişisel hesabına göndermesi bu kategoridedir. Bu olaylarda kullanılan araçlar tamamen meşrudur ve teknik bir zafiyet bulunmaz. Bu nedenle tespit, davranış analizine dayanır. Klasik güvenlik kontrolleri bu senaryoyu görmez.

İşten ayrılış süreci bu riskin en yoğun olduğu dönemdir. Ayrılık kararı verildikten sonraki dönemde veri erişimlerinin izlenmesi önerilir. Ayrıca erişimlerin son gün değil, süreç boyunca kademeli daraltılması gerekir. İnsan kaynakları ile güvenlik ekibinin bu konuda iş birliği yapması gerekir. Süreç yazılı olmalıdır.

İçeriden kaynaklı olaylarda niyet her zaman kötü değildir. Bir çalışan evden çalışabilmek için dosyaları kişisel hesabına gönderebilir. Bu davranış kötü niyetli olmasa da aynı riski üretir. Bu nedenle politika ve alternatif çözüm birlikte sunulmalıdır. İçeriden tehdit programı bu ayrımı gözetir.

Veri Kaybı Önleme Çözümleri

Veri kaybı önleme çözümleri, hassas içeriğin belirli kanallardan çıkmasını engelleyebilir. Bu çözümler içerik desenlerini ve sınıflandırma etiketlerini tanıyarak karar verir. Etkinlikleri, sınıflandırma çalışmasının kalitesine doğrudan bağlıdır. Etiketsiz ortamlarda yalnızca desen tabanlı kurallar çalışır. Bu kurallar yüksek yanlış pozitif üretebilir.

Uygulama genellikle izleme modunda başlar. Bu dönemde hangi verilerin hangi kanallardan çıktığı gözlenir ve kurallar rafine edilir. Doğrudan engelleme moduna geçilmesi, iş süreçlerini aksatabilir. Kademeli geçiş önerilir. Geçiş planı iş birimleriyle birlikte hazırlanır.

Çözümlerin kapsamı da değerlendirilmelidir. Uç nokta, ağ, e-posta ve bulut kanallarının hepsinin kapsanması gerekir. Tek bir kanalı kapsayan çözüm, diğer kanalları açık bırakır. Kapsam eksikliği, yatırımın etkisini sınırlar. Bütünsel planlama gereklidir.

Bulut Ortamlarında Sızdırma

Bulut ortamlarında sızdırma, depolama birimlerinin yanlış yapılandırılmasıyla da gerçekleşebilir. Herkese açık bırakılan bir depolama alanı, saldırgan müdahalesi olmadan veri sızdırır. Bu tür olaylar teknik bir saldırı içermez; yalnızca bir yapılandırma hatasıdır. Bulut güvenlik duruşu yönetimi bu hataları tespit eder. Sürekli izleme gerekir.

Bir diğer senaryo, veri tabanı anlık görüntülerinin ve yedeklerin paylaşılmasıdır. Bu nesnelerin yanlışlıkla genel erişime açılması, tüm veri kümesinin sızmasına yol açar. Bu tür paylaşımların engellenmesi hesap düzeyinde politikayla yapılabilir. Koruyucu politikalar bu hataları baştan önler. Uygulama önceliklidir.

Bulut denetim kayıtları da izlenmelidir. Büyük hacimli indirme işlemleri ve olağandışı bölgelerden yapılan erişimler uyarı üretmelidir. Bu kayıtların ayrı bir hesapta korunması gerekir. Saldırgan izleri temizlemeye çalışır. Koruma, incelemenin dayanağıdır.

Privia Security olarak veri sızdırma tespit kabiliyetini ve kayıt kapsamınıSOC olgunlaştırma çalışmaları kapsamında değerlendiriyoruz.