Hızlı cevap: İçeriden tehdit (insider threat), bir kuruma zarar veren riskin, dışarıdan bir saldırgandan değil, kurumun kendi çalışanı, eski çalışanı ya da tedarikçisi gibi yetkili birinden gelmesidir. Üç türü vardır: kötü niyetli içeriden (kasıtlı veri çalan ya da sabote eden), dikkatsiz içeriden (farkında olmadan hata yapan, oltalamaya düşen) ve ele geçirilmiş içeriden (hesabı bir saldırgan tarafından çalınmış çalışan). En tehlikeli yanı, içeridekilerin zaten meşru erişime sahip olmasıdır; bu yüzden klasik dış-savunma onları görmez. Korunmanın temeli: en az yetki ilkesi, kritik verilere erişimin izlenmesi, anormal davranış tespiti, güçlü işten çıkış (offboarding) süreci ve bir güvenlik farkındalık kültürü. En sık yapılan hata, tehdidi yalnızca dışarıda aramak ve içeriden gelen riski hiç ölçmemektir.

Kurumlar güvenlik bütçelerinin büyük bölümünü dışarıya karşı harcar: güvenlik duvarları, dış saldırı tespiti, sınır savunması. Ama en pahalı ihlallerin önemli bir kısmı dışarıdan değil, içeriden gelir. Bir çalışan ayrılırken müşteri listesini kopyalar, bir başkası bir oltalama e-postasına düşüp farkında olmadan kapıyı açar, ya da bir hesap ele geçirilip içeriden bir saldırganın eline geçer. Bu yazı, içeriden tehdidin ne olduğunu, türlerini ve ona karşı nasıl savunma kurulacağını anlatıyor.

İçeriden tehdidin üç yüzü

İçeriden tehdit tek bir şey değildir; üç farklı biçimde gelir ve her biri farklı bir savunma gerektirir.

Tür Kim Motivasyon Örnek
Kötü niyetli Kasıtlı çalışan/eski çalışan İntikam, para, rekabet Ayrılırken veri çalmak, sabotaj
Dikkatsiz İyi niyetli ama hatalı Yok, sadece dikkatsizlik Oltalamaya düşmek, yanlış paylaşım
Ele geçirilmiş Hesabı çalınmış çalışan Saldırgan kontrolünde Çalınan kimlikle içeriden hareket

Bu ayrım önemlidir çünkü çözümleri farklıdır: kötü niyetliye karşı izleme ve erişim kısıtı, dikkatsize karşı eğitim, ele geçirilmişe karşı güçlü kimlik doğrulama gerekir.

Neden bu kadar tehlikeli

İçeriden tehdidin en zorlu yanı, içeridekilerin zaten meşru erişime sahip olmasıdır. Bir dış saldırgan içeri girmek için bir açık bulmak zorundadır; bir içeriden zaten içeridedir. Klasik dış-savunma araçları (güvenlik duvarı, sınır tespiti) onu görmez çünkü davranışı, en azından başta, meşru bir çalışanınkinden ayırt edilemez. Bu yüzden içeriden tehdit tespiti, sınırı değil, içerideki davranışı ve erişimi izlemeyi gerektirir.

Savunma katmanları

Katman Ne yapar
En az yetki Herkes yalnızca işi için gerekene erişir
Erişim izleme Kritik veriye kim, ne zaman eriştiği kaydedilir
Anormal davranış tespiti Olağan dışı erişim/indirme yakalanır
Güçlü offboarding Ayrılan çalışanın erişimi anında kesilir
Görev ayrılığı Tek kişi kritik bir işlemi tek başına yapamaz
Farkındalık kültürü Dikkatsiz hatayı azaltır, bildirimi teşvik eder

Bu katmanların ortak amacı, hem kötü niyetli bir içeridenin hareket alanını daraltmak hem de bir sorun başladığında onu erken yakalamaktır.

Ayrılan çalışan: en kritik an

İçeriden tehdidin en yoğun olduğu an, bir çalışanın ayrılışıdır; özellikle anlaşmazlıkla ayrılan biri. Bu anda erişimlerin hızlı ve eksiksiz kesilmesi kritiktir; unutulan tek bir hesap, aylarca açık bir kapı olarak kalabilir. Bu süreci ve en sık atlanan noktaları (bulut hesapları, ortak parolalar) ayrılan çalışan ve offboarding güvenliği yazısında ayrıntılandırdık. Ayrıca en az yetki ve rol tabanlı erişim, bir hesap ele geçse bile hasarı sınırlar; bu, sıfır güven mimarisinin da temel ilkesidir.

Dikkatsiz içeriden: eğitimle azalır

İçeriden kaynaklı olayların büyük bölümü kötü niyetten değil, dikkatsizlikten kaynaklanır: bir çalışanın tıkladığı oltalama bağlantısı, yanlış kişiye gönderilen bir dosya, bir yapay zekâ botuna yapıştırılan gizli veri. Bu tür olaylar, düzenli bir güvenlik farkındalık eğitimiyle belirgin biçimde azalır. Ele geçirilmiş içeriden riski ise güçlü kimlik doğrulamayla düşer; bir hesap çalınsa bile iki adımlı doğrulama saldırganı durdurur. Bu bağlantıyı hesap ele geçirme ve kurtarma yazısında ele aldık.

KAOS ve DSET yaklaşımı

DSET, kurumların içeriden tehdide karşı hem teknik hem süreç tarafında savunma kurmasına yardım eder. Yerel yapay zekâ motorumuz KAOS, bir kurumun erişim yapısını ve dış yüzeyini değerlendirerek aşırı geniş yetkileri, sahipsiz hesapları ve sızmış kimlik bilgilerini tespit eder ve her bulguyu çalışan bir kanıtla raporlar. Bir olay yaşandığında ise adli bilişim ekibimiz, içeriden kaynaklı veri sızıntısını ya da sabotajı delil zinciriyle belgeler. Amaç, içeriden gelen riski görünür ve yönetilebilir kılmaktır.

Sık sorulan sorular

İçeriden tehdit her zaman kötü niyetli midir? Hayır, çoğu zaman değildir. İçeriden kaynaklı olayların büyük bölümü kötü niyetten değil, dikkatsizlikten kaynaklanır: oltalamaya düşmek, yanlış paylaşım, gizli veriyi yanlış yere koymak. Ayrıca hesabı ele geçirilmiş bir çalışan da, kendi iradesi dışında bir içeriden tehdit haline gelir. Bu yüzden savunma yalnızca kötü niyeti değil, dikkatsizliği ve hesap ele geçirmeyi de kapsamalıdır.

İçeriden tehdidi nasıl tespit ederim? Sınırı değil, içerideki davranışı ve erişimi izleyerek. Kritik verilere kimin, ne zaman eriştiğini kaydeden ve olağan dışı erişim ya da indirmeyi yakalayan bir izleme, içeriden tehdidin temel tespit yoludur. En az yetki ilkesi de erken uyarı sağlar: bir hesap erişmemesi gereken bir yere erişmeye çalışıyorsa, bu bir sinyaldir. Klasik dış-savunma araçları bunu göremez.

En etkili tek önlem nedir? Tek bir sihirli önlem yoktur ama en az yetki ilkesi en yüksek etkiyi verir. Herkesin yalnızca işi için gerekene erişmesi, hem kötü niyetli bir içeridenin hareket alanını daraltır hem de bir hesap ele geçse ya da bir çalışan hata yapsa bile hasarı sınırlar. Bunu güçlü offboarding ve farkındalık eğitimiyle tamamlamak, savunmayı bütünler.

Kaynaklar

Kurumunuzun içeriden tehdide karşı savunmasını değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik danışmanlığı sağlıyoruz.