Insider Threat: İçeriden Gelen Tehdit
En güçlü firewallı kullanabilirsin, en iyi EDR satın alabilirsin ama ya saldırgan şirket çalışanlarından birisi ise?
Insider Threat Nedir?
Insider Threat, bir kurum içindeki yetkili kişinin:
- Bilerek (malicious)
- Ya da bilmeyerek (negligent)
sisteme zarar vermesi veya veri sızdırmasıdır.
Veri Sızdırma
Senaryo
Bir çalışan:
- Finans departmanında
- CRM ve müşteri verilerine erişimi var
- Şirketten ayrılmaya karar veriyor
Olay Akışı
Veri Toplama
- Müşteri listeleri export edilir
- Excel / CSV hazırlanır
Exfiltration
- USB
- Google Drive
- Kişisel mail
İz Gizleme
- Log silme
- Dosya adlarını değiştirme
Çıkış
- Çalışan şirketten ayrılır
- Veri artık dışarıda
Breakdown (Analiz)
1. Normal Davranış Gibi Görünür
- Export almak işinin parçası
- Şüpheli görünmez
2. Yetki Fazlalığı
- Gereğinden fazla erişim
- Least privilege yok
3. Log Takibi Yok
- Kim neyi ne zaman çekti bilinmez
4. DLP Yok
- USB / cloud transfer kontrolsüz
5. HR – IT Kopukluğu
- Çalışan ayrılmadan önce risk analiz yok
Insider Threat Türleri
1. Malicious Insider
- Bilerek veri çalar
2. Negligent Insider
- Hata ile sızdırır
- (yanlış mail, yanlış paylaşım)
3. Compromised Insider
- Hesabı ele geçirilmiş kullanıcı
Gerçek Vaka
Edward Snowden (NSA)
- NSA çalışanı
- Gizli verileri dışarı çıkardı
Nasıl Korunulur?
1. Least Privilege
- Herkes her şeye erişemez
2. DLP (Data Loss Prevention)
- USB / cloud kontrolü
3. Log & SIEM
- Her hareket kayıt altında
4. UEBA (User Behavior Analytics)
- Anormal davranışı yakala
5. Offboarding Security
- İşten çıkış süreci kontrol edilmeli
6. MFA + Access Control
- Hesap ele geçirilmesine karşı
Özet Tablo
|
Risk |
Açıklama |
|---|---|
|
Yetkili erişim |
En büyük açık |
|
Görünmezlik |
Tespit zor |
|
İnsan faktörü |
Kritik |
Teknik olarak, erişim kontrol sistemleri, loglama mekanizmaları ve veri güvenliği çözümleri insider threat riskini azaltabilir. Ancak uygulamada:
- Kullanıcılara gereğinden fazla yetki verilmesi;
- Veri erişimlerinin yeterince izlenmemesi;
- DLP ve davranış analizi sistemlerinin eksik olması;
- İnsan faktörünün göz ardı edilmesi;
- İşten ayrılan personel süreçlerinin kontrol edilmemesi
gibi zaafiyetler olduğu sürece insider threat saldırıları en kritik risklerden biri olmaya devam etmektedir. Ayrıca günümüzde insider saldırılar yalnızca veri sızdırma değil, sabotaj, veri manipülasyonu ve sistem bozma gibi çok daha geniş etkiler yaratabilmektedir.
Sonraki makalemde : “Zero Trust Security Model”
- ” Trust Nothing” yaklaşımı
- Network access kontrol
- Modern güvenlik mimarisi
gibi konular üzerinden devam edeceğiz. Bir sonraki makalede görüşmek üzere.
