Muhendis
New member
Günümüzde şirketler fidye yazılımları ve berbat niyetli yazılımlar üzere yıkıcı biroldukca tehditle karşı karşıya. Siber savunma teknolojilerinin yanı sıra alınacak stratejik kararlar da şirketlerin ve bireylerin bu ataklara karşı korunmasında değerli rol oynuyor. Platformunda 1350’den çok bağımsız siber güvenlik uzmanı bulunan BugBounter, şirketlerin siber akınlara karşı müdahale planı oluşturabilmesi için kıymetli ipuçlarını paylaşıyor ve müdahale süreci tamamlandıktan daha sonra da sistemleri sistemli denetletmenin değerine dikkat çekiyor.
Araştırmalara göre şirketlerin neredeyse tamamı (yüzde 98) geçen 18 ayda bulutta yer alan bilgilerinin en az bir sefer ihlal edilme tehlikesiyle karşı karşıya kaldı. Birebir rapora bakılırsa 200 CISO ve güvenlikle ilgili karar vericilerin yüzde 60’ı, bulut altyapılarında en büyük risk yaratan etmenleri aşağıdaki biçimde sıralıyor:
Şirketlerin güvenlik açıklarını denetleme, bulma ve doğrulama gereksinimini bünyesindeki 1350’nin üzerinde bağımsız araştırmacıyla süratli ve muteber bir biçimde karşılayan BugBounter.com, şirketlerin bir taarruzun maksadı olduğu vakit alacağı hasarı en aza indiren müdahale planı hazırlamanın ve bu planla bir arada sistemlerini daima denetletmenin altını çiziyor. Birfazlaca şirket senede bir defa sızma testi yaptırıyor fakat daima yenilenen yazılımlar ve ortaya çıkan yeni hücum tekniklerinden ötürü kontrolün 7/24 yapılması gerekiyor.
Akınlara karşı oluşturulacak müdahale planının birinci etabı, şirket ortasında bu planın hakikat uygulanmasından sorumlu olacak rollerin belirlenmesinden geçiyor. Bir akının gerçekleşmesi durumunda şirketin tüm dahili departmanları ve harici üniteleri etkilenebiliyor ve etkilenenler içinde üst seviye yöneticiler, pazarlama, satış, lojistik, operasyon, insan kaynakları üzere alanlar da yer alıyor. Bu yüzden her insanın siber taarruz gerçekleştiğinde ne yapması yahut kiminle irtibata geçmesi gerektiğini bilmesi koşul.
Öte yandan hücum olduğunda büyük olasılıkla e-posta üzere alışılmış haberleşme halleri kullanılamaz durumda olabiliyor. O yüzden bu durumda güvenlik ve BT gruplarının hangi alternatif bağlantı araçlarını kullanacağına karar vermesi epeyce kıymetli. Olayın gerçekleştiği kademelerin belgelenmesi de savunmanın güzelleştirilmesinde kritik rol oynayabiliyor. Bu dokümanda güvenlik ve BT gruplarının müdahale ettiği evre, keşfeden kişi, atılan adımlar ve taarruzun bilgileri üzere ayrıntıların yer alması gerekiyor. Son evrede ise sistemlerin ve yazılımların asıl haline getirilmesi yer alıyor.
BugBounter.com Kurucu Ortağı Murat Lostar, mevzuyla ilgili şunları söylüyor: “Siber taarruzlar günümüzün en büyük tehlikeleri içinde üst sıralarda bulunmaya devam ediyor ve uzun bir süre de yer alacak. Bu yüzden siber atakla karşı karşıya kalan şirketlerin kendilerini savunduktan ve saldırıyı atlattıktan daha sonra kesinlikle durum değerlendirmesi yapması gerekiyor. Sistemlerini ataktan evvelki haline getirdikten daha sonra siber saldırganların bir taarruz daha gerçekleştirememesi için kullandıkları açığın nitekim kapatılmış olduğundan emin olması kural. Öte yandan sistemlere eklenen her yeni bir uygulama, bir yama yahut güncelleme, farklı ve çoklukla de bilinmeyen zafiyetlerle bir arada gelebiliyor. Bu yüzden şirketlerin sistemlerini yalnızca bir atak durumunda değil, her vakit ve orta vermeden denetlemesi gerekiyor. Bunu da daima tıpkı şahıslarla değil, farklı marifetlere, bakış açılarına ve niteliklere sahip fazlaca sayıda uzmana yaptırmaları hayli değerli fark yaratıyor. Seçenekler içinde en uygun usul olan ödül avcılığı (bug bounty) programlarıyla şirketler, sistemlerini güvenilirliği ispatlanmış yüzlerce siber güvenlik uzmanına uygun maliyetle denetletebiliyor.
Güvenliğin en üst seviyede olduğundan emin olmak için gerçekleştirilebilecek sistemli bir bug bounty programıyla yüzlerce araştırmacıdan oluşan en yetenekli uzman ordusu, farkında olunmayan açıkların keşfedilmesini sağlıyor. BugBounter.com olarak ülkemizde öncülük ettiğimiz bu usul yardımıyla şirketler çalışılan vakte göre değil, varlığı tecrübeli uzmanlar tarafınca doğrulanmış güvenlik açıklarına nazaran fiyat ödüyor ve bu sayede ayırdıkları bütçeleri verimli bir biçimde yönetebiliyor. Ayrıyeten siber güvenlik uzmanlarına vereceği mükafatı, programın müddetini, kapsamını kendi belirleyebildiği ve bunları her an düzenleyebildiği için sistemlerinin güvenliğini o anki imkanlarına ve evvelarine göre denetim ettirebiliyor. Platformun güvenlik araştırmacıları, buldukları zafiyetleri raporladıktan daha sonra yetkili gruplarımız kısa müddet ortasında doğrulama süreçlerini tamamlıyor, milletlerarası kriterlere nazaran derecelendiriyor ve şirketin belirlediği güvenlik takımlarına iletiyor. Kapatılan açıkların denetimi de bir daha açığı keşfeden uzmanlar tarafınca fiyatsız olarak yapılıyor.”
Araştırmalara göre şirketlerin neredeyse tamamı (yüzde 98) geçen 18 ayda bulutta yer alan bilgilerinin en az bir sefer ihlal edilme tehlikesiyle karşı karşıya kaldı. Birebir rapora bakılırsa 200 CISO ve güvenlikle ilgili karar vericilerin yüzde 60’ı, bulut altyapılarında en büyük risk yaratan etmenleri aşağıdaki biçimde sıralıyor:
- Görünürlüğün az olması
- Yetersiz kimlik doğrulama
- Erişim idaresi
Şirketlerin güvenlik açıklarını denetleme, bulma ve doğrulama gereksinimini bünyesindeki 1350’nin üzerinde bağımsız araştırmacıyla süratli ve muteber bir biçimde karşılayan BugBounter.com, şirketlerin bir taarruzun maksadı olduğu vakit alacağı hasarı en aza indiren müdahale planı hazırlamanın ve bu planla bir arada sistemlerini daima denetletmenin altını çiziyor. Birfazlaca şirket senede bir defa sızma testi yaptırıyor fakat daima yenilenen yazılımlar ve ortaya çıkan yeni hücum tekniklerinden ötürü kontrolün 7/24 yapılması gerekiyor.
Akınlara karşı oluşturulacak müdahale planının birinci etabı, şirket ortasında bu planın hakikat uygulanmasından sorumlu olacak rollerin belirlenmesinden geçiyor. Bir akının gerçekleşmesi durumunda şirketin tüm dahili departmanları ve harici üniteleri etkilenebiliyor ve etkilenenler içinde üst seviye yöneticiler, pazarlama, satış, lojistik, operasyon, insan kaynakları üzere alanlar da yer alıyor. Bu yüzden her insanın siber taarruz gerçekleştiğinde ne yapması yahut kiminle irtibata geçmesi gerektiğini bilmesi koşul.
Öte yandan hücum olduğunda büyük olasılıkla e-posta üzere alışılmış haberleşme halleri kullanılamaz durumda olabiliyor. O yüzden bu durumda güvenlik ve BT gruplarının hangi alternatif bağlantı araçlarını kullanacağına karar vermesi epeyce kıymetli. Olayın gerçekleştiği kademelerin belgelenmesi de savunmanın güzelleştirilmesinde kritik rol oynayabiliyor. Bu dokümanda güvenlik ve BT gruplarının müdahale ettiği evre, keşfeden kişi, atılan adımlar ve taarruzun bilgileri üzere ayrıntıların yer alması gerekiyor. Son evrede ise sistemlerin ve yazılımların asıl haline getirilmesi yer alıyor.
BugBounter.com Kurucu Ortağı Murat Lostar, mevzuyla ilgili şunları söylüyor: “Siber taarruzlar günümüzün en büyük tehlikeleri içinde üst sıralarda bulunmaya devam ediyor ve uzun bir süre de yer alacak. Bu yüzden siber atakla karşı karşıya kalan şirketlerin kendilerini savunduktan ve saldırıyı atlattıktan daha sonra kesinlikle durum değerlendirmesi yapması gerekiyor. Sistemlerini ataktan evvelki haline getirdikten daha sonra siber saldırganların bir taarruz daha gerçekleştirememesi için kullandıkları açığın nitekim kapatılmış olduğundan emin olması kural. Öte yandan sistemlere eklenen her yeni bir uygulama, bir yama yahut güncelleme, farklı ve çoklukla de bilinmeyen zafiyetlerle bir arada gelebiliyor. Bu yüzden şirketlerin sistemlerini yalnızca bir atak durumunda değil, her vakit ve orta vermeden denetlemesi gerekiyor. Bunu da daima tıpkı şahıslarla değil, farklı marifetlere, bakış açılarına ve niteliklere sahip fazlaca sayıda uzmana yaptırmaları hayli değerli fark yaratıyor. Seçenekler içinde en uygun usul olan ödül avcılığı (bug bounty) programlarıyla şirketler, sistemlerini güvenilirliği ispatlanmış yüzlerce siber güvenlik uzmanına uygun maliyetle denetletebiliyor.
Güvenliğin en üst seviyede olduğundan emin olmak için gerçekleştirilebilecek sistemli bir bug bounty programıyla yüzlerce araştırmacıdan oluşan en yetenekli uzman ordusu, farkında olunmayan açıkların keşfedilmesini sağlıyor. BugBounter.com olarak ülkemizde öncülük ettiğimiz bu usul yardımıyla şirketler çalışılan vakte göre değil, varlığı tecrübeli uzmanlar tarafınca doğrulanmış güvenlik açıklarına nazaran fiyat ödüyor ve bu sayede ayırdıkları bütçeleri verimli bir biçimde yönetebiliyor. Ayrıyeten siber güvenlik uzmanlarına vereceği mükafatı, programın müddetini, kapsamını kendi belirleyebildiği ve bunları her an düzenleyebildiği için sistemlerinin güvenliğini o anki imkanlarına ve evvelarine göre denetim ettirebiliyor. Platformun güvenlik araştırmacıları, buldukları zafiyetleri raporladıktan daha sonra yetkili gruplarımız kısa müddet ortasında doğrulama süreçlerini tamamlıyor, milletlerarası kriterlere nazaran derecelendiriyor ve şirketin belirlediği güvenlik takımlarına iletiyor. Kapatılan açıkların denetimi de bir daha açığı keşfeden uzmanlar tarafınca fiyatsız olarak yapılıyor.”