AD güvenliği için en iyi uygulamalar ve saldırılar
Active Directory güvenliği (AD güvenliği) basit bir nedenden dolayı hayati öneme sahiptir: Active Directory'nin kendisi kritik öneme sahiptir.
Active Directory, iş operasyonlarınızın çoğu için gerekli olan temel kimlik doğrulama ve yetkilendirme hizmetlerini sağlar. AD güvenliğinizdeki zayıflıklar, kötü niyetli bir aktörün hassas verilerinizi şifrelemesine veya sızdırmasına, hatta etki alanı denetleyicilerinizi (DC'ler) silmesine olanak tanıyarak işinizi ciddi bir durma noktasına getirebilir.
AD güvenliği hakkında epeyce konuştuğum bir konu, ancak bugün farklı bir yaklaşım benimseyeceğim ve son birkaç aydaki en önemli Active Directory saldırılarından bazılarını analiz edeceğim ve öğrenilebilecek önemli derslere ilişkin bakış açımı sunacağım. onlardan. Umuyorum ki bu, Active Directory ortamınızın güvenliğini güçlendirmek için uygulayabileceğiniz eyleme geçirilebilir adımlar sağlar. Birkaç hızlı ipucuyla başlayacağım ve daha derinlemesine stratejilere geçeceğim.
AD güvenliği neden her zamankinden daha önemli?
Ayrıntılara dalmadan önce, AD güvenliğinin neden bugün her zamankinden daha önemli olduğuna dair büyük resme bakalım. Son siber saldırıları inceleyerek AD güvenliğiyle son derece alakalı birkaç önemli eğilimi tespit edebildim.
Microsoft, bulut güvenlik kontrollerine yatırım yapmaya devam ediyor; böylece saldırganlar şirket içi ortamları hedeflemeye devam ediyor.
Microsoft, Microsoft 365 ve Azure AD'de (artık Entra ID) sağlam bir temel güvenlik elde etmenin ne kadar önemli olduğunun farkındadır. Kuruluşların bulut ekosistemlerini korumalarına yardımcı olacak teknolojileri ve politikaları istikrarlı bir şekilde kullanıma sunuyorlar. Örneğin, Azure AD Multi-Factor Authentication (MFA), telefon görüşmesi, kısa mesaj, mobil uygulama bildirimi veya OAuth belirteci gibi ikinci bir kimlik doğrulama yöntemi gerektirerek çalınan kimlik bilgilerinin kullanılamaz hale getirilmesine yardımcı olur. Azure rol tabanlı erişim denetimi (RBAC), uygun rollerin atanması yoluyla kullanıcıların erişim düzeyi üzerinde ayrıntılı denetim sağlar.
Ancak bulut ortamına açılan kapıların kilitli olduğunu bulan rakipler öylece pes etmiyor. Bunun yerine ağa girmenin başka bir yolunu arıyorlar. Bu da genellikle şirket içi ortama saldırmak anlamına gelir. Aslında bu yazıda sunabileceğim çok sayıda şirket içi Active Directory saldırısı bulmakta hiç sorun yaşamadım. Bu, AD güvenliğinin kuruluşlar için en önemli odak noktası olmaya devam etmesi gerektiği anlamına gelir.
Fidye yazılımı pazarının küreselleştiğini görüyoruz.
AD güvenliğiyle ilgili bir diğer önemli trend de saldırıların nereden geldiğidir. İnsanlar ticari fidye yazılımı operatörlerinin veya fidye yazılımının bir hizmet olarak Doğu Avrupa fenomeni olduğunu düşünme eğilimindedir. Güvenilir ilişkilendirme yapmak her zaman zor olsa da diğer bölgelerden, özellikle Orta Amerika, Güney Amerika ve Orta Doğu'dan daha fazla siber saldırı geldiğini görmeye başladığımız açık. Bu trend, gördüğümüz siber saldırıların hem hacmine hem de çeşitliliğine katkıda bulunuyor.
Siber suçlar, özellikle de fidye yazılımları artık bir iş kolu haline geldi.
Siber suçlular artık multi-milyon dolarlık sendikalar olarak faaliyet gösteriyor. Bu eğilimi gösteren olaylardan biri, Rusya bağlantılı bir siber suç çetesi olan LockBit'in İngiliz posta ve kurye posta şirketi Royal Mail'e yönelik fidye yazılımı saldırısıdır. 80 milyon dolarlık (67 milyon £) yüksek fidye talebi, iki taraf arasında uzun bir görüşme başlattı; bu, görünüşe göre LockBit tarafından yayınlanan sohbet kayıtlarına yansıdı. LockBit temsilcisi “pazarlık” terimini defalarca kullanıyor ve şöyle diyor: “Ben de sizin gibi para kazanmak istiyorum, para konusunda siz ve ben aynı motivasyona sahibiz, sizin göreviniz fiyatı mümkün olduğu kadar düşürmek, benim görevim maksimum miktarı elde etmektir. Hatta Royal Mail'i "karşı teklifte bulunmaya" davet ediyorlar. ”
LockBit çetesi ticari zihniyetini başka bir olayda da gösterdi. Toronto'da çocuklara sağlık hizmeti sağlamaya odaklanan bir eğitim ve araştırma hastanesi olan Hasta Çocuklar Hastanesi'ne (SickKids) yönelik bir fidye yazılımı saldırısı başlattı. Saldırı haberinin duyulmasından kısa bir süre sonra çete, siber saldırı için özür dileyerek hastaneye bir şifre çözme anahtarı sağlayarak benzeri görülmemiş bir adım attı. Açıklama iş diliyle dolu: Saldırıyı başlatan "ortak"tan bahsediyor, "kurallarımızı ihlal ettiğini" söylüyor ve artık "bağlılık programımızda" olmadığını iddia ediyor. Bu eylemlerin bir açıklaması, LockBit çetesinin sonuçta bir kalbi olduğudur. Ancak bir diğeri de stratejik bir karar alıyor olmaları: Sağlık kuruluşlarına saldırmak iş dünyası için kötüdür çünkü hükümetleri ve diğer savunucuları fidye yazılımı sektörüne karşı harekete geçmeye teşvik eder. ”
Siber suç giderek devlet yönetiminin bir aracı haline geliyor.
Kâr amacı güden siber suç örgütleri, AD güvenlik ekiplerinin endişelenmesi gereken tek tehdit değildir. Yıllar boyunca Stuxnet ve NotPetya da dahil olmak üzere çok çeşitli siber saldırılardan ulus devletler sorumlu tutulurken, saldırıların sıklığı, yoğunluğu ve karmaşıklığı artıyor gibi görünüyor.
Üstelik katılan aktörlerin sayısı da artıyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) artık Çin, Rusya, Kuzey Kore ve İran'dan gelen devlet destekli siber tehditlere ilişkin istihbarat içeren web sayfaları bulunduruyor. Ancak saldırıların aralarında Hindistan, Vietnam, Beyaz Rusya, Birleşik Arap Emirlikleri ve Suudi Arabistan'ın da bulunduğu diğer ülkelerle de bağlantılı olduğuna dair kanıtlar mevcut.
Şimdi Active Directory'ye yapılan son saldırılardan hangi AD güvenliği derslerini öğrenebileceğimizi görelim.
LastPass'a siber saldırılar
Şifre yöneticisi sağlayıcısı LastPass, saldırganların ürünün kaynak koduna ve diğer özel teknik bilgilerine erişim sağladığı ve ardından LastPass tarafından kullanılan üçüncü taraf bir bulut depolama hizmetindeki bazı müşteri bilgilerine eriştiği iki ihlali açıkladı.
LastPass'a göre saldırganlar, geliştiricilerinden birinin ev bilgisayarını hedef alarak ve uzaktan kod yürütmek için savunmasız medya yazılımlarından yararlanarak ilk tutunma noktasını elde etti. Tehdit aktörleri, keylogger kötü amaçlı yazılımını dağıtarak, çalışanın ana parolasını girilirken (çalışanın MFA ile kimliği doğrulandıktan sonra) ele geçirebildi ve böylece geliştiricinin LastPass kurumsal kasasına erişim elde etti.
Hızlı AD güvenlik ipucu: Ayrıcalıklı erişim iş istasyonlarını (PAW'ler) kullanın.
Ayrıcalıklı erişim için çok faktörlü kimlik doğrulamanın gerekli kılınması herhangi bir AD güvenliğinin önemli bir parçası olsa da yeterli değildir. Saldırganlar, sağladıkları yüksek erişim nedeniyle yüksek ayrıcalıklı hesapları acımasızca hedef alıyor. Bu nedenle, diğer bir önemli en iyi uygulama, ayrıcalıklı erişim iş istasyonlarını (kullanıcıların ayrıcalıklı kimlik bilgilerini kullanarak oturum açabilecekleri tek yer olan güçlendirilmiş makineler) kullanmaktır. Bir PAW'nin ev medya yazılımı gibi savunmasız uygulamaları çalıştırmasına izin verilmediğinden, rakiplerin bunları ihlal etmek için çok daha dik bir tırmanışı vardır.
PAW'ları kullanmak aynı zamanda ayrıcalıklı kimlik bilgilerinin diğer makinelerde kullanılmasına izin verilmemesi anlamına da gelir; yöneticilerin e-postaları kontrol etmek veya web sitelerini ziyaret etmek için normal kullanıcı hesaplarını kullanması gerekir. Bu uygulama, AD güvenliğini ihlal etmek için sıklıkla kullanılan bir taktik olan, ayrıcalıklı hesaplara ait parola karmalarının, sıradan bir kullanıcının makinesinin Yerel Güvenlik Otoritesi Alt Sistemi (LSASS) işleminin belleğinde, bir saldırganın toplaması ve kötüye kullanması riskini ortadan kaldırır.
Tedarik zinciri saldırıları
Ayrıca saldırganların, istismar etmek istedikleri kurbana (veya kurbanlara!) ulaşana kadar kuruluşlar arasında geçiş yapmak için kullanabilecekleri tedarik zincirindeki bağlantıların peşine düşme eğiliminde olduklarını da görüyoruz. Kurumsal tedarik zincirleri en önemli hedeftir. Bunlardan en ünlülerinden biri, şüpheli ulus devlet korsanlarının şirketin BT izleme ve yönetim yazılımına kötü amaçlı kod yerleştirdiği ve binlerce SolarWinds müşterisinin ve potansiyel olarak müşterilerinin ve müşterilerinin verilerini, ağlarını ve sistemlerini tehlikeye atmalarına olanak tanıyan SolarWinds ihlalidir. aynı zamanda ortaklar. Başka bir örnek, Java kullanan hemen hemen her kuruluş tarafından kullanılan bir kütüphane olan Log4j'deki bir güvenlik açığından yararlanılmasıdır. 2023'te şimdiye kadar gerçekleşen en büyük saldırılardan birinde, tehdit aktörleri MOVEit Transfer'deki sıfır gün güvenlik açığından yararlanarak dosya aktarım hizmetini kullanan 1.000'den fazla kuruluştan veri çaldı ve etkilenen 60 milyondan fazla kişiyi etkiledi.
Ancak saldırılar gıda ve enerji de dahil olmak üzere kişisel tedarik zincirlerini de etkiledi. Dole Foods'a yapılan bir fidye yazılımı saldırısı, bakkal raflarında taze ürün kıtlığına yol açarken, Brezilyalı et tedarikçisi JBS'ye yapılan koordineli bir siber saldırı, onun sığır ve domuz eti kesimhanelerini devre dışı bırakarak ABD, Kanada ve Avustralya'daki tesisleri etkiledi. Ve Colonial Pipeline'a yapılan oldukça duyurulan bir saldırı, benzin istasyonlarında yakıt kıtlığına yol açtı, panik alımlarına ve yüksek fiyat artışlarına yol açtı.
Hızlı AD güvenlik ipucu: Güçlü tedarik zinciri yönetimi uygulayın.
Bu ihlaller manşetlere çıkmaya devam ettikçe müşterileriniz tedarik zinciriniz hakkında giderek daha fazla soru soracak. Güvenliği ihlal edilen ürünü veya teknolojiyi kullanıp kullanmadığınızı bilmek isteyeceklerdir. Bu sorulara cevap verebilmeniz gerekiyor. Üstelik cevabınızın “Evet” olma riskini de azaltmak istiyorsunuz. ”
Bu, AD güvenliği anlayışınızı tüm tedarik zincirinizi kapsayacak şekilde genişletmeyi gerektirir. Kullandığınız üçüncü taraf ürün ve hizmetlerin envanterini çıkarmak hayati önem taşır. Ayrıca, tedarik zincirinizdeki kuruluşların güvenlik uygulamalarını inceleyin ve bu bilgileri, hangi kuruluşlarla iş yapmayı seçeceğiniz konusunda bilinçli kararlar vermek için kullanın.
Barakuda
Haziran 2023'te, BIOS'u değiştirebilecek imzalama anahtarlarının etkilendiği Barracuda Email Security Gateway (ESG) cihazlarının güvenliğinin ihlal edildiği görüldü. Barracuda, bu makineleri tekrar temiz ve güvenli hale getirebileceğini garanti edemeyeceğini söyledi, bu nedenle şirket, etkilenen müşterilerin güvenliği ihlal edilen tüm cihazları değiştirmelerini tavsiye ediyor; Barracuda yeni cihazları ücretsiz olarak sağlıyor.
Hızlı AD güvenlik ipucu: Esnek kurtarma seçeneklerinizin olduğundan emin olun.
Bu revizyon kesinlikle zahmetli olsa da en azından oldukça basitti: Veri merkezinizdeki hangi kutuların Barracuda ESG cihazları olduğunu tam olarak söylemek kolaydır. Ancak bir saldırganın belirli bir anakart markasına benzer bir saldırı gerçekleştirebildiğini varsayalım. Tam olarak hangi makinelerinizin belirli bir satıcıya ait anakartlara sahip olduğunu söyleyebilir misiniz? Çoğumuz bu seviyede bir görünürlüğe sahip değiliz.
Bu tür saldırılara hazırlıklı olmak için AD güvenlik stratejinizin size esnek kurtarma seçenekleri sağlayan sağlam bir felaket kurtarma planı içermesi hayati önem taşımaktadır. Özellikle fiziksel altyapınız risk altındaysa ve donanımınıza güvenemiyorsanız buluta geri yükleme yapabilmeniz gerekir.
Hızlı Dilimleyici
Ocak 2023'te Ukrayna'nın ulusal haber ajansı, dosyaları yok etmek ve hatta Windows etki alanlarının tamamını çökertmek için tasarlanmış veri silme kötü amaçlı yazılımı SwiftSlicer'ın saldırısına uğradı. Saldırının Rusya destekli Sandworm adlı örgüte atfedildiği belirtildi.
Hızlı AD güvenlik ipucu: Grup İlkesini koruyun.
SandWorm, Active Directory Grup İlkesini kötüye kullanarak kötü amaçlı yazılımı ağdaki bilgisayarlara dağıttı. Daha önceki saldırılarda grup, HermeticWiper ve CaddyWiper gibi diğer temizleme amaçlı kötü amaçlı yazılımları planlamak için aynı stratejiyi kullanmıştı.
AD güvenliğini geliştirmenin önemli bir yolu, Grup İlkesini uygunsuz değişikliklerden korumaktır. Bazı değişiklik yönetimi çözümleri, Grup İlkesi nesnelerinde (GPO'lar) yapılan değişikliklerin yanı sıra yüksek ayrıcalıklı güvenlik grupları gibi diğer hassas nesnelerde yapılan değişiklikleri proaktif olarak engellemenize olanak tanır.
Volt Tayfunu
Şimdi son saldırılara dalalım ve bunların AD güvenliği açısından ne anlama geldiğini görelim. Mayıs 2023'te Microsoft, Çin merkezli devlet destekli bir aktör olan Volt Typhoon'un kötü niyetli faaliyetlerine dikkat çekerek, bunun "gelecekteki krizler sırasında ABD ile Asya bölgesi arasındaki kritik iletişim altyapısını bozabilecek yetenekler" geliştirmeyi amaçladığını belirtti. ” Kampanya, iletişim, imalat, kamu hizmeti, ulaşım, inşaat, hükümet, bilgi teknolojisi ve eğitim dahil olmak üzere çok çeşitli sektörlerdeki kuruluşları etkiledi.
Önemli çıkarım: Düşmanlar tespit edilmekten kaçınmaya çalışır.
Bir siber saldırıyı, ekranda görünen fidye talebi veya hizmetlerin başarısız olması gibi nihai sonucu açısından düşünme eğilimindeyiz. Ancak gerçek şu ki, birçok siber saldırı, düşmanların görevlerini gerçekleştirmek için ihtiyaç duydukları erişimi elde etmeye çalıştıkları günler, haftalar ve hatta aylar boyunca ortaya çıkıyor. Bu süre zarfında herhangi bir alarmın tetiklenmesini önlemek için çaba gösterirler.
Volt Typhoon harika bir örnek. Microsoft'un analizine göre Volt Typhoon, büyük ölçüde arazide yaşama (LOTL) tekniklerine, yani kendi kodlarını veya komut dosyalarını yüklemek yerine ortamda zaten mevcut olan araçları kullanmaya dayanıyordu. Örneğin, kimlik bilgilerini boşaltmak için Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti'ni (LSASS) kötüye kullandılar ve etki alanı denetleyicilerinden (DC'ler) yükleme medyası oluşturmak için Ntdsutil.exe komut satırı aracını kullandılar.
AD güvenlik ipucu: Şüpheli etkinlikleri denetleyin.
Buna göre, herhangi bir AD güvenliğinin büyük bir direği, devam eden saldırı işaretlerini ve güvenlik ihlali göstergelerini (IOC'ler) aramak için etkili Active Directory denetimi olmalıdır. Örneğin olağandışı etki alanı çoğaltma etkinliği, birisinin şifre karmalarını çalmak için DCSync veya başka teknikler kullandığının bir işareti olabilir; bu da yaklaşmakta olan bir Altın Bilet saldırısının işareti olabilir.
Volt Typhoon'da kullanılan taktiklerden biri, Active Directory veritabanının (NTDS.dit) bir kopyasını çıkarmaktı. Bu dosya, AD hesap parolalarının karmaları da dahil olmak üzere, AD etki alanı ve içindeki nesneler hakkında bilgiler içerir. Dit dosyasının bir kopyasını çalan bir düşman, karmaları çıkarabilir ve hesapları tehlikeye atmak için bunları çevrimdışı olarak yavaşça kırabilir. Veya Hash'i Geç (PtH) gibi tekniklerle olduğu gibi kullanabilirler. Bunun gibi şüpheli etkinlikleri erken aşamalarında tespit ederek ve derhal yanıt vererek, bir düşmanın saldırısını tamamlamasını engelleyebilirsiniz.
Fırtına-0558
Temmuz 2023'te Microsoft, Çinli bilgisayar korsanlığı grubu Storm-0558'in ABD devlet kurumlarının e-posta sistemlerine eriştiğini ortaya çıkardı. Saldırı, ABD'nin Çin büyükelçisinin, Doğu Asya'dan sorumlu dışişleri bakan yardımcısının, Ticaret Bakanlığı sekreterinin ve diğer üst düzey yetkililerin e-postaları da dahil olmak üzere yüz binlerce mesajı tehlikeye atmış olabilir. ABD'li yetkililer saldırıyı casusluk olarak tanımladı; aslında zamanlama, bilgisayar korsanlarının ABD Dışişleri Bakanı'nın Pekin'e yapmayı planladığı gezi öncesinde bilgi aradıklarını gösteriyor.
Saldırganlar, hesaplar için Azure AD erişim belirteçlerini oluşturmak amacıyla edindikleri bir Microsoft imzalama anahtarını kullandı. Güvenliği ihlal edilen anahtar, OneDrive, SharePoint, Teams ve müşteriler tarafından oluşturulan üçüncü taraf uygulamaları da dahil olmak üzere diğer Microsoft hizmetleri için erişim belirteçleri oluşturmak için de kullanılmış olabilir.
Önemli sonuç: Microsoft çok daha fazla sinyal yayınlayacak ve bu da AD güvenlik denetimini daha da zorlaştıracak.
CISA, Storm-0558 kampanyasını, bir müşteri denetim günlüğünde anormal MailItemsAccessed olaylarını ortaya çıkardığında keşfettiğini söyledi; bu olaylar yalnızca Microsoft'un üst düzey (ve en pahalı) lisanslarına sahip müşterilerin kullanımına açıktır. Şans eseri organizasyon E5 lisansı için harekete geçmişti.
Doğal olarak Microsoft bu haberden büyük tepki gördü. Şirket, müşterilere hiçbir ek ücret ödemeden daha geniş bulut güvenlik günlüklerine erişim sağlayacağını duyurdu.
AD güvenlik ipucu: Denetiminizi önemli olana odaklayarak uyarı yorgunluğunu önleyin.
AD güvenlik ekiplerinin tehditleri aramak için zaten işlemesi gereken çok sayıda veri var ve artık daha da fazla sinyal olacak. Bunalmaktan kaçınmak için neye dikkat etmeniz gerektiğini bilmek çok önemlidir.
Önemli olan, siber saldırıların hedefinin, genellikle ortamınızdaki en güçlü hesapların güvenliğini tehlikeye atarak kritik sistemlerinize ve verilerinize ulaşmak olduğunu anlamaktır. Bunlara Kademe 0 varlıklarınız veya kontrol düzleminiz denir. Bunlar, etki alanı denetleyicilerinizi (DC'ler) ve diğer güçlü sunucuların yanı sıra orman, etki alanları veya DC'ler üzerinde doğrudan veya dolaylı yönetim kontrolüne sahip tüm hesapları içerir. Muhtemelen akla ilk gelen hesaplar BT uzmanlarınıza ait hesaplardır. Ancak diğer bir yaygın örnek, yükseltilmiş haklara sahip hizmet hesaplarıdır.
Ayrıca dikkat edin “doğrudan veya dolaylı kontrol” dedim. ” Domain Admins üyeliği gibi yükseltilmiş ayrıcalıklara sahip olabilecek hesapları ortaya çıkarmak da hayati önem taşıyor. Bu süreçte yer alan eylemler zincirine saldırı yolu adı verilir ve genellikle gizli izinler, iç içe geçmiş grup üyeliği ve AD mimarisindeki doğal güvenlik açıkları gibi şeylerin kötüye kullanılması gerekir. Kuruluşlarda genellikle yüzlerce, hatta binlerce bu saldırı yolu bulunur ve bunların çoğu yalnızca birkaç adım içerebilir. Düşmanlar da BloodHound adlı açık kaynaklı bir aracı kullanarak onları detaylı bir şekilde haritalandırabiliyor.
Seviye 0 varlıklarınızın doğru bir resmini elde ederek denetiminizi önemli olana odaklayabilirsiniz. Üstelik sahip olduğunuz bu varlıkların sayısını azaltmak için adımlar atabilirsiniz. Örneğin, saldırı yolu yönetimiyle, yükseltilmiş ayrıcalıklar elde etmek isteyen saldırganları engelleyebilirsiniz. Ayrıca, uygulamalarına ait hizmet hesaplarının Etki Alanı Yöneticileri gibi güçlü güvenlik gruplarına üye olması gerektiğini iddia eden satıcıları geri çekmeyi de düşünün. Unutmayın, izlemeniz gereken Seviye 0 varlık sayısı ne kadar az olursa, onları yakından takip etmeniz ve gerçek tehditleri tespit etmeniz o kadar kolay olur.
kimlik doğrulaması yok
Nisan 2023'te Microsoft, Açık Yetkilendirme (OAuth) sürecinde müşterileri hesap ele geçirme ve veri kaybı riskine maruz bırakan bir sorun olan nOAuth hakkında bilgilendirildi. Bir saldırgan, kusurdan yararlanmak için bir Azure AD yönetici hesabı oluşturur ve e-posta adresini bir hedefin e-posta adresiyle değiştirir. Daha sonra savunmasız bir uygulama veya web sitesinde tek oturum açmanın (SSO) avantajından yararlanabilirler; eğer uygulama kullanıcı hesaplarını doğrulama olmadan birleştirirse, düşman artık kurbanın hesabı üzerinde tam kontrole sahip olur.
Önemli çıkarım: Saldırganlar ağınıza girecek. Aslında zaten içerideler.
AD güvenlik uzmanları, ihlali varsayma zihniyetini benimsemenizi önerir. nOAuth saldırısının işe yaraması için kuruluşun e-posta talebini erişim belirtecinde benzersiz bir tanımlayıcı olarak kullanmış olması gerekir. Bu yapılandırma en iyi uygulamaları ve Microsoft belgelerini ihlal etse de araştırmacılar, saldırıya karşı savunmasız birden fazla kuruluşu hızlı bir şekilde tespit edebildi.
Kuruluşunuz bu yapılandırma hatasını yapmadıysa, kendinizin sırtını sıvazlamakta acele etmeyin. Başka hangi en iyi uygulamaları ihlal ediyorsunuz? Hangi güvenlik açıklarını tespit edip azaltmada başarısız oldunuz? En azından kullandığınız satıcılar, tanım gereği daha önce keşfedilmemiş olan sıfır gün güvenlik açıklarından yararlanacaktır.
Gerçek şu ki hiçbir kuruluş, hiçbir dış saldırganın kendi ağlarında yer edinemeyeceğini garanti edemez. Üstelik kötü niyetten, ihmalden veya eğitim eksikliğinden kaynaklanabilecek içeriden tehdit riski her zaman vardır. Örneğin, Haziran 2023'te bir Ulusal Hava Muhafızı, gizli ulusal savunma bilgilerini sosyal medyada yayınlamakla suçlandı. İncelenmiş ve kendisine çok gizli izin verilmişti, ancak bu güvenin yersiz olduğu ortaya çıktı. Motivasyonları kötü niyetli olsa da olmasa da belgeler sızdırıldı.
AD güvenlik ipucu: En az ayrıcalığı zorunlu kılın.
En az ayrıcalık ilkesi, iyi bir nedenden dolayı temel bir AD güvenliği en iyi uygulamasıdır. Her hesaba yalnızca gerçekleştirmesi gereken görevler için ihtiyaç duyduğu erişimi vererek, ister meşru hesap sahibi olsun ister hesabın kontrolünü ele geçiren bir düşman olsun, o hesabı kullanan herkesin verebileceği zararı en aza indirirsiniz.
En az ayrıcalığın, bir hesabın erişebileceği verilerle sınırlı olmadığını unutmayın. Bir hesabın yapabileceği her şeyle ilgilidir. Örneğin, PowerShell'i çalıştırma yeteneğini, işlerini yapmak için ona ihtiyaç duyan (birkaç!) kişiyle kesinlikle sınırlamanız gerekir. Sıradan kullanıcıların Azure AD uygulamalarına izin verme olanağının kısıtlanması da önemlidir; Microsoft'un sağladığı otomatik yönetici onayı iş akışını kullanarak bunu kolayca yapabilirsiniz.
Mango Kum Fırtınası (diğer adıyla Merkür veya Çamurlu Su)
Nisan 2023'te Microsoft Tehdit İstihbaratı, İran İstihbarat ve Güvenlik Bakanlığına bağlı bir tehdit aktörü olan Mango Sandstorm tarafından gerçekleştirilen bir dizi yıkıcı saldırıyı tespit etti. Saldırı muhtemelen başka bir grup olan DEV-1084 (şu anda Storm-1084 olarak biliniyor) ile ortaklaşa gerçekleştirildi. Tehdit aktörleri, faaliyetlerini standart bir fidye yazılımı kampanyası olarak gizlemeye çalışırken, nihai hedefleri aslında yıkım ve kesintiydi: Sunucu çiftliklerini, depolama hesaplarını, sanal makineleri ve sanal ağları yok ettiler. Önceki Mango Sandstorm saldırıları şirket içi ortamları hedef alırken bu saldırıda bulut kaynaklarının yok edilmesi de vardı.
Önemli sonuç: Fidye yazılımı manşetlerde yer alıyor ancak yıkıcı saldırılar açık ve mevcut bir tehlike olmaya devam ediyor.
2023'te şu ana kadar yapılan fidye yazılımı ödemelerinin toplamı, son birkaç yıldır görülen seviyenin altında görünüyor. Bu iyi bir haber gibi görünebilir ancak daha derin bir analiz aslında öyle olmadığını ortaya koyuyor. Fidye ödemeleri, siber suçluların gasp taleplerini hafiflettiği için değil, odak noktalarını değiştirdikleri için azaldı: Verileri fidye için tutmak yerine ya çalmaya ya da yok etmeye yönelik daha fazla saldırı başlatıyorlar.
Temel AD güvenlik stratejisi: Siber dayanıklılığa odaklanın.
Bu, AD güvenliği açısından en önemli derstir: Siber dayanıklılığa odaklanın. Siber dayanıklılığın iki hedefi vardır: BT ortamını mümkün olduğu kadar çalışır durumda tutun ve bir kesinti meydana geldiğinde hızlı bir şekilde tekrar çalışır duruma getirin.
Bu, çoğu yukarıda bahsettiğim birden fazla bileşeni içeren derinlemesine savunma yaklaşımını gerektirir. Onlar içerir:
- Saldırı yüzeyinizi azaltmak için siber güvenlik risk yönetimi
- Güçlü ayrıcalıklı erişim yönetimi de dahil olmak üzere en az ayrıcalığı uygulamak için kimlik yönetişimi ve yönetimi
- Etkili Active Directory denetimi, değişiklik yönetimi ve saldırı yolu yönetimini içeren hibrit AD güvenliği ve yönetimi
- Yıkıcı saldırılara hazırlanmayı da içeren kapsamlı bir yedekleme ve felaket kurtarma stratejisi
Çözüm
Sadece 15 yıl önce, son derece karmaşık saldırılar düzenleyebilecek kuruluşların sayısı muhtemelen bir yanda sayılabilirdi: ABD, Rusya, İsrail ve Çin gibi güçlü ulusların ulusal güvenlik teşkilatları. Artık bu saldırılar yalnızca ulus devletler tarafından değil, gelişmiş fidye yazılımı örgütleri ve diğer "işletmeler" tarafından da gerçekleştiriliyor. ”
Dahası, hizmet olarak fidye yazılımı gibi seçenekler ve yapay zeka (AI) gibi teknolojideki ilerlemeler neredeyse herkesin siber suç saflarına katılmasına olanak tanıyor. Aslında, Microsoft'un "vatandaş geliştiriciler" hakkında konuştuğunu her duyduğunuzda, zihinsel olarak "vatandaş bilgisayar korsanları" ifadesini değiştirmenizi istiyorum. ”
Bu trendler AD güvenliğini her zamankinden daha önemli hale getiriyor. Günümüzde kuruluşları etkileyen siber saldırıları analiz ederek, gerçekten etkili bir AD güvenlik stratejisi oluşturmaya yönelik en önemli stratejileri keşfedebiliriz.