Elektronik ortamda hacker tehlikesi

Çin büfesindeki menüden girdiler. Büyük bir petrol şirketinin bilgisayar ağına sızamayan bilgisayar korsanları, şirket çal şanlarının gittiği Çin lokantasına sızdı ve çevrimiçi menüye kötü amaçlı yazılım bulaştırdılar.

Çin büfesindeki menüden girdiler. Büyük bir petrol şirketinin bilgisayar ağına sızamayan bilgisayar korsanları, şirket çal şanlarının gittiği Çin lokantasına sızdı ve çevrimiçi menüye kötü amaçlı yazılım bulaştırdılar.

Çalışanlar menüye bakmakla ister istemez saldırganların kodlarını indirmiş ve şirketlerinin bilgisayar ağını onlara açmış oldular. Alınacak ders belliydi: Sistemlerini bilgisayar korsanları ve devletin gizli gözetiminden korumaya çalışan şirketler artık açıklar için en olmadık yerlere bakmak zorunda. Korsanlar son olarak Target isimli perakendecinin ısıtma ve soğutma sisteminden firmanın ödeme kartı kayıtlarına girmişlerdi. Başka örneklerde de yazıcı, termostat ve video konferans cihazlarını kullandıkları biliniyor. Şirketlerin korsanlardan bir adım ileride olmaları hep gerekmiştir; fakat üçüncü tarafların kurumsal sistemlere uzaktan erişebilmesi işleri giderek zorlaştırıyor. Bu erişim imkanı, şirketlerin ihtiyaç duyduğu türlü hizmetleri denetleyen yazılımların bir gereği olarak sağlanıyor ve ısıtmadan havalandırmaya ve klimaya, faturalandırma ve insan kaynakları yönetim sistemlerine, grafik ve veri anal it iği fonksiyonlarına, hatta satış otomatlarına kadar değişiyor. Onlardan birine girdiniz mi hepsine sızma şansını yakalayabiliyorsunuz. Ağ güvenlik firması FlowTraq'ten Vincent Berk'in sözleriyle, "Birçok durumda görüyoruz ki kalenin anahtarı, uzaktan erişim imkânı olan harici hizmet sağlayıcılarının elinde." Üçüncü tarafların açıklarıyla ilişkili siber saldırıların oranını belirlemek kolay değil, ancak güvenlik araştırma firması Ponemon Institute'un geçen yıl 3500'den fazla küresel BT ve siber güvenlik uygulamacısı arasında yaptığı bir ankete göre, ihlallerin yüzde 23'ü, üçüncü tarafların ihmalkârlığıyla bağlantılı. Güvenlik uzmanları bu oranı düşük buluyor. Ağ güvenliği firması Arbor Networks'ten Arabella Hal lawell , kendi inceledikleri ihlallerin yüzde 70'inde üçüncü tarafların ilgisi olduğunu hesaplıyor. Çin lokantasındaki sızıntı uç bir örnek. Fakat güvenlik araştırmacıları, cihazlardaki yönetim yazılımlarının kurumsal ağlara doğrudan bağlandığı yerlerde bu kadar uzağa gitmeye gerek olmadığına dikkat çekiyor. Isıtma ve soğutma hizmeti verenler artık ofis sıcaklıklarını uzaktan izleyip ayarlayabiliyor; satış otomatı tedarikçileri müşterilerinin yiyecek ve içeceğe ihtiyacı olup olmadığını görebiliyor. Bu hizmetleri sunan şirketlerin güvenlik standartları müşterilerininkiyle eşleşmese de, ağları koruyan güvenlik duvarını geçmelerine genelde izin veriliyor. Güvenlik uzmanlarına göre eski sistemlerle iş gören hizmet sağlayıcıları, bilgisayar korsanlarının gözde hedeflerini oluşturuyor. Ayrıca, zararsız görünen cihazlar (video-konferans makineleri, termostatlar, satış otomatları ve yazıcılar) çoğu zaman güvenlik ayarları kapalı olarak teslim ediliyor. Ve korsanlar içeriye bir kere yol buldular mı o cihazlarda rahatça gizlenebiliyor. Güvenlik firması Crowdstrike'un İcra Başkanı George Kurtz, "Güzelliği kimsenin oraya bakmamasında" diyor. Güvenlik araştırmacıları geçen yıl Google'ın Avustralya'daki genel merkezine ve yine Sydney'deki North Shore özel hastanesine (ve oradaki havalandırma, asansör ve güvenlik kameralarına), bina yönetim hizmetleri sağlayıcısı üstünden girmenin bir yolunu bulmuşlardı. Aynı araştırmacılar daha yakın bir zamandaki bir testte de, Soçi Olimpiyatları tesislerinden birinin devre kesicilerine, ısıtma ve soğutma hizmet sağlayıcısı üstünden, sızabileceklerini gördüler. O araştırmacılardan biri, güvenlik firması Qualys'ten Billy Rios'tu. Rios, ağlarını gelişigüzel kuran şirketlere giderek daha sık rastlandığını; bu şirketlerde, örneğin, müşteri kredi kartları gibi hassas bilgileri içeren veri tabanlarıyla klima sistemlerinin aynı ağı paylaşabildiğini aktarıyor ve ekliyor, "Klima sistemleriniz insan kaynakları veri tabanınızla asla irtibatta olmamalı." Geçen yılki Ponemon anketine göre kötü niyetli saldırıların yüzde 28'inde katılımcılar, ihlalin kaynağını bulamamışlar. Güvenlik uzmanları, kurumların ağlarını kurarken hassas verileri üçüncü tarafların erişebildiği sistemlerden tecrit etmeleri gerektiğini; bu verilerin anormal bir trafiği (örneğin, klima izleme sistemine erişim izni olan birinin personel veri tabanına girmeye çalışmasını) belirleyebilecek ileri parola ve teknolojilerle uzaktan izlenmesi gerektiğini aktarıyor. Güvenlik uzmanları bunun bir öncelik meselesi olduğunu da belirtiyor. Arbor Networks'ün bir araştırmasına göre perakendeciler bütçelerinin ortalama yüzde 5'ten azını güvenliğe ayırıyor. BT harcamalarının çoğu da müşteri pazarlaması ve veri analitiğine gidiyor. Hallawell, "Hedef olduğunuzu bildiğiniz, ama saldırının ne zaman, nerede veya nasıl olacağını kestiremediğinizde sürekli bir savaş hali var demektir. Oysa kurumların çoğu böyle bir savaşa hazır değil" diyor. THE NEW YORK TIMES