Sızma testi uzmanları, şirketleri saldırılara karşı savunmasız bırakan yaygın güvenlik açıklarını paylaştı.
Bilgisayar korsanları, iki güvenlik açığını kullanarak ve 30 dakika gibi kısa bir sürede şirketlerin iç ağlarına erişebilirler.
Positive Technologies’deki etik bilgisayar korsanları ve siber güvenlik araştırmacıları, çeşitli sektörlerdeki kuruluşlara karşı sızma testi yapıyor, ancak sektörler farklı olsa da bulunan açıklar büyük oranda benzerlik gösterebiliyor. Şirketin yaptığı çalışmaların sonuçları, Kurumsal Bilgi Sistemlerinin Sızma Testi adlı yeni bir raporda detaylıca anlatıldı.
Ağlarını test ettiren gerçek kuruluşlardan alınan anonim verilere dayanan rapora göre, şirketlerin yüzde 71’i için kötü niyetli yabancıların ağa girmesini sağlayabilecek en az bir bariz açık var.
En yaygın güvenlik sorunlarından biri, bilgisayar korsanlarının kaba kuvvet saldırıları kullanarak hesaplara erişim sağlamasına izin veren zayıf parolalar. Bir hesabın şifresini kırmak, dahili bir ağa tam erişim sağlamak için yeterli olmayabiliyor, çoğu durumda, sistemlere daha fazla erişim sağlamak için bu ve bilinen güvenlik açıklarından yararlanma becerisini gerektiriyor.
Positive Technologies’de bilgi güvenliği analitiği başkanı Ekaterina Kilyusheva, rapor hakkında şu açıklamayı yaptı: “Sorun, büyük kuruluşlarda bile düşük koruma seviyelerinde yatıyor. Saldırıların gerçekleştirilmesinde esas olarak bilinen güvenlik açıklarından yararlanmaya dayanıyor. Bu açıkların olması, şirketlerin temel bilgi güvenliği kurallarına uymadığı anlamına geliyor.”
Özellikle web uygulamalarının güncellemelerinin düzenli olarak yapılması çok önemli
Zayıf parolalara ek olarak, kuruluşların üçte ikisinden fazlası, gerekli güvenlik güncellemelerini almayan yazılımların savunmasız sürümlerini kullanıyor ve bu da yazılımları istismara açık hale getiriyor.
Kilyusheva, açıklamasında eski sürümleri kullanılan programlara da değindi: “Bir web uygulaması, herkes tarafından bilinen, açıklanmış bir güvenlik açığı içeriyorsa, bir saldırgan dahili ağa hızlı bir şekilde erişebilir.”
Örneğin, bir durumda, etik bilgisayar korsanları uzak masaüstü uygulamasına erişmek için kaba kuvvet saldırısı kullanmak üzereydiler – bu, 2020’de evden çalışmanın artması nedeniyle daha yaygın hale gelen bir şey.
Kullanıcının pek çok uygulamaya erişimi yoktu, ancak bir haritalama uygulamasını açarak, güvenlik testçileri için Windows Gezgini işlemlerine ve komut satırlarına erişim sağlayarak işletim sistemi üzerinde komutları yürütme ve daha fazla erişim elde etme olanağı sağladı.
Sızma testlerinin üçte birinde, araştırmacılar, kaba kuvvet saldırılarını ve yazılım açıklarını birleştirerek kurumsal ağın iç bileşenlerine erişebildiler. Böyle durumlarda, güçlü parolaların ve güvenlik yamaları uygulanmış uygulamaların kullanılması sağlanarak saldırılara karşı korunma sağlanabilirdi.
Bu örneklerde, ağlara tabiki güvenlik testinin bir parçası olarak etik bilgisayar korsanları tarafından erişiliyordu, ancak siber suçlular bu güvenlik açıklarından her zaman yararlanmaya çalışıyor ve bu açıkları çok çeşitli kurumsal ağlara erişim sağlamak için kullanabilirler.
Rapora göre etik bilgisayar korsanlarının iç ağa ulaşması için geçen ortalama süre dört gün, ancak bir test sırasında sadece otuz dakikada ağa erişim sağladılar.
Kilyusheva saldırılara örnek vererek: “Bir saldırgan, finansal sistemler gibi kritik iş sistemlerine bir saldırı geliştirebilir, üst düzey yöneticilerin bilgisayarlarına erişim sağlayabilir veya bir şirketin müşterilerine veya ortaklarına saldırı gerçekleştirebilir. Buna ek olarak, bilgisayar korsanları elde edilen erişimi darknet üzerinden satabilir.” açıklamasını yaptı.
Tüm bunların yanında, zayıf parolalar kullanmama, ağın yazılım güncellemeleriyle yamalanmasını sağlayan çok faktörlü kimlik doğrulama gibi bazı yaygın güvenlik prosedürlerini takip ederek, kuruluşların kendilerini birçok siber saldırı girişimine karşı korumaları mümkün.