Gerçek Hayattan Siber Saldırı Vakaları: Kurumların Çıkarması Gereken Dersler

Dijital Dünyanın En Pahalı Dersleri

Siber güvenlik dünyasında yaşanan büyük olaylar yalnızca teknik başarısızlıklar değildir. Aynı zamanda yönetim kararlarını, risk yönetimi yaklaşımlarını, kurumsal kültürü ve iş sürekliliği planlarını doğrudan etkileyen stratejik olaylardır.

Birçok kurum, siber saldırıları yalnızca teknoloji departmanının sorumluluğu olarak değerlendirme eğilimindedir. Ancak gerçek vakalar incelendiğinde saldırıların büyük bölümünün; eksik güvenlik politikaları, geciken güncellemeler, zayıf erişim yönetimi, yetersiz kullanıcı farkındalığı ve kurumsal risk yönetimindeki boşluklar nedeniyle başarılı olduğu görülmektedir.

 

Bu rehberde yer alan örnekler, yalnızca geçmişte yaşanmış olayları kronolojik olarak sıralamayı amaçlamamaktadır. Her vaka; saldırının nasıl gerçekleştiğini, neden başarılı olduğunu, hangi güvenlik açıklarının kullanıldığını ve günümüz kurumlarının bu olaylardan hangi dersleri çıkarabileceğini analiz etmektedir.

Siber güvenlik, geçmişte yaşanan olaylardan öğrenildiğinde daha güçlü hâle gelir.

Ortak Bir Gerçek

İncelenen büyük siber olayların önemli bir bölümü tamamen yeni saldırı tekniklerinden kaynaklanmamaktadır.

Çoğu zaman saldırganlar;

• Güncellenmemiş sistemleri,
• Zayıf parola politikalarını,
• Çok faktörlü kimlik doğrulamanın bulunmamasını,
• Yanlış yapılandırılmış bulut servislerini,
• Sosyal mühendislik yöntemlerini,
• Ayrıcalıklı hesapların kötü yönetilmesini

kullanmaktadır.

Bu nedenle siber güvenlikte başarı, yalnızca yeni teknolojilere yatırım yapmakla değil; temel güvenlik kontrollerini disiplinli biçimde uygulamakla mümkündür.

Vaka 1 – WannaCry (2017)

Olayın Özeti

Mayıs 2017’de ortaya çıkan WannaCry, tarihin en hızlı yayılan fidye yazılımı saldırılarından biri olarak kabul edilmektedir.

Sadece birkaç gün içinde dünyanın 150’den fazla ülkesinde yüz binlerce bilgisayar etkilenmiştir.

Saldırı;

• hastaneleri,
• kamu kurumlarını,
• üretim tesislerini,
• telekom şirketlerini,
• lojistik firmalarını

çalışamaz hâle getirmiştir.

Özellikle İngiltere Ulusal Sağlık Sistemi’nin (NHS) yaşadığı kesintiler nedeniyle binlerce ameliyat ve randevu ertelenmiştir.

Saldırı Nasıl Gerçekleşti?

Saldırganlar Microsoft Windows işletim sistemindeki SMBv1 protokolünde bulunan EternalBlue isimli güvenlik açığını kullandı.

Bu açık sayesinde;

1. Ağa erişim sağlandı.
2. Zararlı yazılım tek bir bilgisayara bulaştı.
3. İnsan müdahalesine gerek kalmadan ağ içerisinde yayıldı.
4. Dosyalar şifrelendi.
5. Kullanıcılardan fidye talep edildi.

En dikkat çekici nokta, saldırının kullanıcıların herhangi bir işlem yapmasına gerek kalmadan yayılabilmesiydi.

Neden Bu Kadar Büyük Etki Yarattı?

Aslında Microsoft, saldırıdan yaklaşık iki ay önce ilgili güvenlik güncellemesini yayımlamıştı.

Ancak birçok kurum;

• Güncellemeleri uygulamamıştı.
• Eski işletim sistemlerini kullanmaya devam ediyordu.
• Ağ segmentasyonu bulunmuyordu.
• SMBv1 servisi hâlâ aktifti.

Teknik zafiyet kadar süreç eksiklikleri de saldırının etkisini büyüttü.

Kurumlar İçin Çıkarılacak Dersler

Bu olay, güvenliğin yalnızca güvenlik yazılımı satın almakla sağlanamayacağını açık biçimde gösterdi.

Her kurumun;

• Düzenli yama yönetimi uygulaması,
• Eski sistemleri envanterden kaldırması,
• Ağ segmentasyonu yapması,
• Güvenli yedekleme stratejileri oluşturması,
• Olay müdahale planlarını test etmesi

gerekmektedir.

SymPRO Uzman Görüşü

WannaCry, “bilinen bir açığın zamanında kapatılmaması” nedeniyle yaşanan en büyük siber olaylardan biridir. Düzenli yama yönetimi, varlık envanteri ve segmentasyon politikaları uygulanmış olsaydı birçok kurum bu saldırının etkisini önemli ölçüde azaltabilirdi.

Vaka 2 – NotPetya (2017)

Olayın Özeti

İlk bakışta bir fidye yazılımı gibi görünen NotPetya, aslında veri kurtarmayı amaçlamayan yıkıcı bir zararlı yazılımdı.

Saldırı özellikle Ukrayna’da başladı ancak kısa sürede küresel şirketleri etkiledi.

Etkilenen kuruluşlar arasında lojistik, üretim, enerji ve ilaç sektöründe faaliyet gösteren birçok uluslararası şirket bulunuyordu.

Saldırı Nasıl Gerçekleşti?

Saldırganlar, yaygın kullanılan bir muhasebe yazılımının güncelleme mekanizmasını ele geçirerek zararlı kodu yazılım güncellemesi gibi dağıttılar.

Bu nedenle NotPetya, tarihin en bilinen tedarik zinciri (Supply Chain) saldırılarından biri olarak kabul edilmektedir.

Sistemlere girdikten sonra;

• Kimlik bilgilerini topladı.
• Ağ içerisinde yatay hareket gerçekleştirdi.
• Diskleri kullanılmaz hâle getirdi.

Neden Fidye Yazılımı Değildi?

Her ne kadar ekranda fidye talebi görüntülense de dosyaları geri getirecek bir mekanizma bulunmuyordu.

Gerçek amaç veri kurtarmak değil, sistemleri çalışamaz hâle getirmekti.

Bu nedenle birçok güvenlik uzmanı NotPetya’yı bir Wiper saldırısı olarak değerlendirmektedir.

Kurumlar İçin Çıkarılacak Dersler

NotPetya, yalnızca kendi altyapınızı korumanın yeterli olmadığını gösterdi.

Kurumların;

• Yazılım tedarikçilerini değerlendirmesi,
• Üçüncü taraf risklerini yönetmesi,
• Yazılım güncellemelerini doğrulaması,
• Ayrıcalıklı hesapları sınırlandırması,
• Ağ segmentasyonu uygulaması

gerekmektedir.

SymPRO Uzman Görüşü

Modern kurumlar yalnızca kendi güvenlik seviyeleri kadar güçlü değildir. Ekosistemlerinde bulunan iş ortakları ve yazılım sağlayıcılarının güvenlik seviyesi de kurumsal risk profilinin önemli bir parçasıdır.

Vaka 3 – Colonial Pipeline (2021)

Olayın Özeti

ABD’nin en büyük yakıt boru hattı işletmecilerinden Colonial Pipeline, 2021 yılında gerçekleşen fidye yazılımı saldırısı nedeniyle faaliyetlerini durdurmak zorunda kaldı.

Bu olay;

• akaryakıt dağıtımını etkiledi,
• tedarik zincirinde aksamalara yol açtı,
• birçok bölgede yakıt sıkıntısı yaşanmasına neden oldu.

Siber saldırının fiziksel dünyada nasıl ciddi sonuçlar doğurabileceğini gösteren en önemli örneklerden biri olarak kabul edilmektedir.

Saldırı Nasıl Başladı?

Yapılan incelemelerde saldırganların kullanılmayan ancak aktif durumda bulunan bir VPN hesabına ait ele geçirilmiş kullanıcı bilgilerini kullandıkları belirlendi.

Bu hesapta Çok Faktörlü Kimlik Doğrulama (MFA) etkin değildi.

Tek bir kullanıcı hesabı üzerinden başlayan ihlal, kritik operasyonları etkileyen büyük bir krize dönüştü.

Kurumlar İçin Çıkarılacak Dersler

• Kullanılmayan hesaplar düzenli olarak kapatılmalıdır.
• VPN erişimleri sürekli denetlenmelidir.
• Tüm uzaktan erişimlerde MFA zorunlu olmalıdır.
• Ayrıcalıklı hesaplar sürekli izlenmelidir.
• Kimlik yönetimi süreçleri düzenli olarak gözden geçirilmelidir.

SymPRO Uzman Görüşü

Modern saldırıların önemli bölümü güvenlik duvarlarını aşmaktan çok, geçerli kullanıcı kimliklerini kullanmayı hedeflemektedir. Bu nedenle kimlik güvenliği, günümüz siber güvenlik mimarisinin merkezinde yer almaktadır.

Vaka 4 – SolarWinds (2020)

Olayın Özeti

2020 yılında ortaya çıkan SolarWinds saldırısı, siber güvenlik tarihinin en karmaşık ve en geniş kapsamlı tedarik zinciri saldırılarından biri olarak kabul edilmektedir.

Saldırganlar, doğrudan hedef kurumlara saldırmak yerine, dünya genelinde binlerce kurum tarafından kullanılan SolarWinds Orion BT yönetim platformunun yazılım güncelleme sürecini hedef aldı.

Bu yöntem sayesinde zararlı kod, güvenilir bir yazılım güncellemesi gibi dağıtıldı ve çok sayıda kamu kurumu ile özel sektör kuruluşunun ağına fark edilmeden ulaştı.

Olay; devlet kurumları, teknoloji şirketleri ve kritik altyapılar açısından yazılım tedarik zincirinin güvenliğinin ne kadar önemli olduğunu gösteren dönüm noktalarından biri olarak değerlendirilmektedir.

Saldırı Nasıl Gerçekleşti?

Saldırganlar öncelikle SolarWinds’in yazılım geliştirme ortamına erişim sağladı.

Daha sonra Orion yazılımının belirli sürümlerine zararlı kod eklendi.

Müşteriler rutin güncelleme yaptıklarında;

• zararlı kod sisteme yüklendi,
• saldırganlarla iletişim kuruldu,
• sistem hakkında bilgi toplandı,
• uygun görülen hedeflerde ikinci aşama saldırılar başlatıldı.

İlk zararlı kod oldukça sessiz çalıştığı için birçok kurum aylar boyunca herhangi bir olağan dışı durum fark etmedi.

Neden Bu Kadar Önemliydi?

SolarWinds saldırısı klasik güvenlik anlayışını değiştirdi.

Çünkü saldırılan sistem güvenilmeyen bir yazılım değildi.

Tam tersine;

• kurumsal olarak satın alınmış,
• dijital imzalı,
• güvenilir kabul edilen,
• düzenli güncellenen

bir BT yönetim platformuydu.

Bu olay, “güvenilir görünen her yazılım gerçekten güvenlidir” varsayımının artık yeterli olmadığını gösterdi.

Teknik Analiz

Saldırının öne çıkan özellikleri şunlardı:

• Yazılım tedarik zinciri hedef alındı.
• Dijital imzalı güncelleme kullanıldı.
• Uzun süre fark edilmedi.
• Son derece hedef odaklı ilerledi.
• Gelişmiş kalıcılık mekanizmaları kullanıldı.
• Normal ağ trafiğine benzeyen iletişim gerçekleştirildi.

Kurumlar İçin Çıkarılacak Dersler

SolarWinds olayı birçok güvenlik yaklaşımının yeniden değerlendirilmesine neden oldu.

Kurumların;

• üçüncü taraf yazılımları düzenli değerlendirmesi,
• yazılım tedarikçilerini risk bazlı sınıflandırması,
• Zero Trust yaklaşımını benimsemesi,
• davranış analizi yapan güvenlik çözümleri kullanması,
• tedarikçi risk yönetimi programı oluşturması

giderek daha önemli hâle gelmiştir.

SymPRO Uzman Görüşü

Artık güvenlik yalnızca kurumun kendi ağıyla sınırlı değildir. Yazılım sağlayıcıları, bulut servisleri, danışman firmalar ve entegratörler de kurumsal güvenlik ekosisteminin bir parçasıdır. Bu nedenle üçüncü taraf risk yönetimi, modern güvenlik mimarisinin temel bileşenlerinden biri hâline gelmiştir.

Vaka 5 – Log4Shell (2021)

Olayın Özeti

Aralık 2021’de duyurulan Log4Shell güvenlik açığı, son yılların en kritik yazılım güvenliği olaylarından biri olarak kabul edilmektedir.

Açık, Java tabanlı uygulamalarda yaygın olarak kullanılan Log4j isimli kayıt (logging) kütüphanesinde keşfedildi.

Sorunun en kritik yönü, Log4j’nin dünya genelinde milyonlarca uygulama ve sistem tarafından kullanılıyor olmasıydı.

Bu nedenle açık yalnızca tek bir yazılımı değil, çok geniş bir teknoloji ekosistemini etkiledi.

Açık Nasıl Çalışıyordu?

Belirli koşullar altında saldırganlar, uygulamaya özel hazırlanmış bir veri göndererek uzaktan kod çalıştırabiliyordu.

Başka bir ifadeyle;

• sisteme zararlı yazılım yüklenebiliyor,
• yetkisiz komutlar çalıştırılabiliyor,
• sistem ele geçirilebiliyordu.

Üstelik saldırının gerçekleşmesi için çoğu zaman kullanıcı etkileşimine dahi ihtiyaç duyulmuyordu.

Neden Bu Kadar Kritikti?

Log4Shell;

• açık kaynak yazılım bağımlılıklarını,
• yazılım envanterinin önemini,
• güvenlik açıklarının hızla yönetilmesi gerekliliğini

bir kez daha ortaya koydu.

Birçok kurum, Log4j kullandığını dahi ilk günlerde bilmiyordu.

Bu durum yazılım bileşenlerinin görünürlüğünün ne kadar önemli olduğunu gösterdi.

Teknik Analiz

Log4Shell olayında öne çıkan noktalar:

• Kritik uzaktan kod çalıştırma (Remote Code Execution) açığı.
• Açık kaynak bağımlılığı.
• Çok geniş kullanım alanı.
• Hızlı exploit geliştirilmesi.
• Küresel ölçekte taramalar.
• Acil yama ihtiyacı.

Kurumlar İçin Çıkarılacak Dersler

Bu olayın ardından kurumların;

• yazılım bileşen envanteri oluşturması,
• açık kaynak bileşenlerini takip etmesi,
• güvenlik açığı yönetimini otomatikleştirmesi,
• sürekli zafiyet taramaları yapması,
• kritik yamaları önceliklendirmesi

gerektiği açık biçimde görülmüştür.

SymPRO Uzman Görüşü

Birçok kurum fiziksel sunucularını ve uygulamalarını bilir; ancak uygulamaların içinde çalışan açık kaynak bileşenlerini aynı seviyede takip etmez. Oysa modern yazılım güvenliğinde görünmeyen bileşenler de görünür altyapılar kadar kritik risk oluşturabilir.

Vaka 6 – MOVEit (2023)

Olayın Özeti

2023 yılında dünya genelinde büyük ses getiren MOVEit saldırıları, dosya aktarım sistemlerinin de kritik saldırı yüzeylerinden biri olduğunu gösterdi.

MOVEit Transfer ürününde bulunan güvenlik açığı, saldırganlar tarafından çok kısa süre içinde istismar edildi.

Binlerce kurum ve milyonlarca kişiye ait veriler bu olaydan etkilendi.

Saldırı Nasıl Gerçekleşti?

Saldırganlar, internet üzerinden erişilebilen MOVEit sunucularındaki kritik güvenlik açığını kullanarak sisteme yetkisiz erişim sağladı.

Ardından;

• dosyaları listeledi,
• hassas verileri dışarı aktardı,
• veri sızdırma yöntemiyle kurumlara baskı uyguladı.

Bu olay klasik fidye yazılımlarından farklı olarak “çifte şantaj” (Double Extortion) modelinin yaygınlaşmasını hızlandırdı.

Teknik Analiz

MOVEit vakasında dikkat çeken noktalar:

• Dosya aktarım sistemi hedef alındı.
• Zero-Day açığı kullanıldı.
• Veri şifrelemek yerine veri çalındı.
• Veri sızıntısı baskı unsuru olarak kullanıldı.
• Çok sayıda kurum aynı anda etkilendi.

Kurumlar İçin Çıkarılacak Dersler

Kurumların;

• internete açık servislerini düzenli taraması,
• kritik uygulamaları sürekli izlemesi,
• DLP çözümleri kullanması,
• hassas verileri sınıflandırması,
• olağan dışı veri hareketlerini analiz etmesi

gerekmektedir.

SymPRO Uzman Görüşü

Günümüzde saldırganların temel amacı her zaman sistemleri kilitlemek değildir. Birçok olayda asıl hedef, kurumun en değerli varlığı olan veriyi ele geçirmek ve bunu baskı aracı olarak kullanmaktır. Bu nedenle veri görünürlüğü ve veri hareketlerinin izlenmesi, modern güvenlik stratejisinin vazgeçilmez parçalarıdır.

Vaka 7 – MGM Resorts (2023)

Olayın Özeti

Eylül 2023’te dünyanın en büyük otel ve eğlence işletmelerinden biri olan MGM Resorts, geniş çaplı bir siber saldırıya maruz kaldı. Saldırı sonucunda otel rezervasyon sistemleri, dijital oda anahtarları, kumarhane operasyonları, ödeme sistemleri ve müşteri hizmetleri önemli ölçüde etkilendi.

Binlerce misafir manuel işlemlerle karşılanmak zorunda kaldı. Dijital oda kartlarının çalışmaması, ATM ve POS sistemlerindeki kesintiler ile çevrim içi rezervasyon altyapısının durması, olayın yalnızca bilgi teknolojilerini değil, doğrudan fiziksel operasyonları da etkilediğini gösterdi.

Bu olay, dijital sistemlere bağımlılığın arttığı günümüzde siber saldırıların yalnızca veri kaybına değil, operasyonel duruşa da neden olabileceğinin en önemli örneklerinden biridir.

Saldırı Nasıl Gerçekleşti?

Kamuoyuna yansıyan bilgiler doğrultusunda saldırganlar, öncelikle şirket çalışanları hakkında açık kaynaklardan bilgi topladı.

Ardından yardım masası (Help Desk) çalışanları sosyal mühendislik yöntemleriyle kandırılarak ayrıcalıklı hesaplara erişim sağlandı.

Saldırının ilk aşamalarında gelişmiş zararlı yazılımlardan çok, insan faktörü hedef alındı.

Yetkili hesaplara erişim sağlandıktan sonra saldırganlar;

• ağ içerisinde ilerledi,
• kritik sistemlere ulaştı,
• bazı sistemleri şifreledi,
• operasyonların durmasına neden oldu.

Teknik Analiz

MGM Resorts vakasında öne çıkan noktalar şunlardır:

• Sosyal mühendislik kullanıldı.
• Yardım masası süreçleri hedef alındı.
• Ayrıcalıklı hesaplar ele geçirildi.
• Kimlik doğrulama süreçleri istismar edildi.
• Operasyonel sistemler doğrudan etkilendi.

Kurumlar İçin Çıkarılacak Dersler

Bu olay, teknoloji kadar insan süreçlerinin de korunması gerektiğini göstermektedir.

Kurumların;

• Help Desk doğrulama prosedürlerini güçlendirmesi,
• kimlik doğrulama süreçlerini standartlaştırması,
• ayrıcalıklı hesapları PAM çözümleriyle yönetmesi,
• çalışanlara düzenli sosyal mühendislik eğitimleri vermesi,
• kritik sistemler için ek doğrulama mekanizmaları oluşturması

gerekmektedir.

SymPRO Uzman Görüşü

Saldırganların en gelişmiş aracı çoğu zaman zararlı yazılımlar değil, insan psikolojisidir. Güçlü güvenlik mimarileri bile yanlış kimlik doğrulama süreçleri nedeniyle aşılabilir. Bu nedenle kullanıcı farkındalığı ve süreç güvenliği, teknik kontroller kadar önemlidir.

Vaka 8 – Change Healthcare (2024)

Olayın Özeti

2024 yılında ABD sağlık sektörünün en büyük teknoloji sağlayıcılarından biri olan Change Healthcare’e gerçekleştirilen fidye yazılımı saldırısı, sağlık hizmetlerinin ne kadar dijital bağımlı hâle geldiğini gösteren önemli örneklerden biri oldu.

Saldırı sonrasında;

• reçete sistemleri,
• ödeme altyapıları,
• sigorta doğrulama süreçleri,
• sağlık kuruluşlarının finansal işlemleri

uzun süre kesintiye uğradı.

Milyonlarca hasta ve binlerce sağlık kuruluşu doğrudan etkilendi.

Saldırı Nasıl Gerçekleşti?

Kamuya açıklanan bilgiler doğrultusunda saldırganlar, uzaktan erişim sağlayan bir kullanıcı hesabı üzerinden sisteme giriş yaptı.

İlk değerlendirmelere göre ilgili erişimde Çok Faktörlü Kimlik Doğrulama (MFA) bulunmuyordu.

Saldırganlar;

• ağ içerisinde ilerledi,
• kritik sistemlere ulaştı,
• hassas verileri dışarı aktardı,
• ardından sistemleri şifreledi.

Bu saldırıda veri sızıntısı ile fidye yazılımı birlikte kullanıldı.

Teknik Analiz

Bu olayda dikkat çeken başlıklar şunlardır:

• MFA eksikliği
• Kimlik güvenliği
• Veri sızıntısı
• Çifte şantaj yöntemi
• Kritik altyapı etkisi
• Sağlık sektörüne yönelik hedefli saldırılar

Kurumlar İçin Çıkarılacak Dersler

Sağlık sektörü başta olmak üzere kritik hizmet sunan kurumların;

• tüm uzaktan erişimlerde MFA kullanması,
• ağ segmentasyonu uygulaması,
• veri hareketlerini izlemesi,
• düzenli güvenlik tatbikatları gerçekleştirmesi,
• kriz iletişim planlarını hazırlaması

gerekmektedir.

SymPRO Uzman Görüşü

Kritik sektörlerde siber güvenlik yalnızca veri koruma konusu değildir. Hizmet sürekliliği, insan sağlığı, operasyonel güvenilirlik ve kurumsal itibar aynı güvenlik zincirinin parçalarıdır.

Vaka 9 – CDK Global (2024)

Olayın Özeti

2024 yılında otomotiv sektörüne hizmet veren yazılım sağlayıcısı CDK Global’e yönelik fidye yazılımı saldırısı, binlerce otomotiv bayisinin faaliyetlerini doğrudan etkiledi.

Servis kayıtları oluşturulamadı.

Araç teslim süreçleri aksadı.

Yedek parça siparişleri gecikti.

Satış operasyonları manuel yöntemlerle yürütülmek zorunda kaldı.

Bu olay, tek bir teknoloji sağlayıcısına bağımlılığın oluşturabileceği operasyonel riskleri gözler önüne serdi.

Saldırı Nasıl Gerçekleşti?

Saldırı sonrasında birçok sistem çevrim dışı bırakıldı.

Şirket, zararın büyümesini önlemek amacıyla bazı altyapıları kontrollü şekilde kapattı.

Bu süreçte binlerce bayi operasyonlarını manuel yöntemlerle sürdürmeye çalıştı.

Siber olayın etkisi yalnızca CDK Global ile sınırlı kalmadı; otomotiv ekosisteminin tamamına yayıldı.

Teknik Analiz

Bu vakada öne çıkan noktalar:

• Merkezi hizmet sağlayıcı riski
• Tedarik zinciri bağımlılığı
• İş sürekliliği planlarının önemi
• Kriz yönetimi
• Hizmet sürekliliği

Kurumlar İçin Çıkarılacak Dersler

Kurumların;

• kritik hizmet sağlayıcılarını risk bazlı değerlendirmesi,
• alternatif operasyon planları oluşturması,
• felaket kurtarma senaryolarını test etmesi,
• üçüncü taraf güvenlik denetimleri gerçekleştirmesi,
• hizmet sürekliliği planlarını düzenli güncellemesi

önem taşımaktadır.

SymPRO Uzman Görüşü

Bulut hizmetleri ve SaaS platformları operasyonel verimlilik sağlarken, tek noktaya bağımlılık riskini de beraberinde getirir. İş sürekliliği planları yalnızca kurum içi sistemleri değil, hizmet alınan platformları da kapsamalıdır.

Vaka 10 – CrowdStrike Güncelleme Krizi (2024)

Olayın Özeti

Temmuz 2024’te dünya genelinde milyonlarca Windows sistemi etkileyen CrowdStrike kaynaklı olay, bir siber saldırı değildi.

Buna rağmen son yılların en büyük küresel BT kesintilerinden biri olarak tarihe geçti.

Havalimanları, bankalar, sağlık kuruluşları, medya şirketleri ve kamu kurumları dâhil birçok organizasyon hizmet kesintileri yaşadı.

Bu olay, güvenlik ürünlerinin de operasyonel risk oluşturabileceğini gösterdi.

Olay Nasıl Gelişti?

CrowdStrike Falcon platformuna ait hatalı bir içerik güncellemesi bazı Windows sistemlerinde mavi ekran (Blue Screen) hatasına neden oldu.

Sistemler yeniden başlatılamadı.

Binlerce BT ekibi fiziksel müdahaleyle cihazları tek tek kurtarmak zorunda kaldı.

Olayın nedeni saldırı değil, kalite kontrol süreçlerinde ortaya çıkan kritik bir yazılım hatasıydı.

Teknik Analiz

Olaydan çıkarılan temel başlıklar:

• Değişiklik yönetimi
• Güncelleme test süreçleri
• Kademeli dağıtım stratejileri
• Operasyonel dayanıklılık
• Kriz yönetimi
• İş sürekliliği

Kurumlar İçin Çıkarılacak Dersler

Her güncelleme doğrudan üretim ortamına aktarılmamalıdır.

Kurumların;

• test ortamları oluşturması,
• pilot kullanıcı grupları belirlemesi,
• kritik sistemlerde aşamalı dağıtım uygulaması,
• geri alma (rollback) planları hazırlaması,
• kriz iletişim süreçlerini tanımlaması

operasyonel riskleri önemli ölçüde azaltacaktır.

SymPRO Uzman Görüşü

Siber dayanıklılık yalnızca saldırılara karşı hazırlıklı olmak anlamına gelmez. Yazılım hataları, yanlış yapılandırmalar ve beklenmeyen operasyonel sorunlar da aynı ciddiyetle ele alınmalıdır. Güçlü kurumlar yalnızca saldırıları engelleyen değil, beklenmeyen teknik olaylar karşısında da hizmet vermeye devam edebilen kurumlardır.

Vaka 11 – LastPass (2022)

Olayın Özeti

2022 yılında dünyanın en yaygın parola yöneticilerinden biri olan LastPass, güvenlik ihlali yaşandığını açıkladı. İlk açıklamalarda olayın sınırlı olduğu ifade edilse de sonraki incelemelerde saldırganların hem geliştirme ortamına hem de müşteri verilerinin bulunduğu yedekleme altyapısına erişim sağladığı ortaya çıktı.

Olay, parola yöneticilerinin güvenliği kadar geliştirici hesaplarının, bulut depolama altyapılarının ve yedekleme süreçlerinin de ne kadar kritik olduğunu gösterdi.

Milyonlarca kullanıcı doğrudan etkilenirken, birçok kurum parola politikalarını ve kimlik yönetimi süreçlerini yeniden gözden geçirmek zorunda kaldı.

Saldırı Nasıl Gerçekleşti?

Kamuoyuna açıklanan teknik bilgiler doğrultusunda saldırganlar ilk aşamada bir geliştirici hesabını hedef aldı.

Daha sonra elde edilen bilgiler kullanılarak ikinci aşama saldırılar gerçekleştirildi.

Bu süreç sonunda;

• geliştirme ortamları analiz edildi,
• bulut depolama sistemlerine erişim sağlandı,
• şifrelenmiş parola kasaları ile çeşitli müşteri verileri ele geçirildi.

Her ne kadar parola kasaları güçlü algoritmalarla şifrelenmiş olsa da olay, kimlik bilgilerinin korunmasının tek başına yeterli olmadığını gösterdi.

Teknik Analiz

LastPass olayında dikkat çeken başlıklar şunlardır:

• Geliştirici hesaplarının hedef alınması
• Bulut depolama güvenliği
• Kimlik bilgilerinin korunması
• Çok katmanlı saldırı yaklaşımı
• Uzun süreli saldırgan kalıcılığı

Kurumlar İçin Çıkarılacak Dersler

Kurumların;

• geliştirici hesaplarını ayrıcalıklı hesap olarak değerlendirmesi,
• geliştirici erişimlerinde MFA zorunlu tutması,
• kritik sistemlerde PAM kullanması,
• yedekleme sistemlerini ayrıca koruması,
• kimlik bilgilerini düzenli olarak döndürmesi (Credential Rotation)

gerekmektedir.

SymPRO Uzman Görüşü

Kimlik bilgileri günümüz saldırılarının en değerli hedeflerinden biridir. Parola yöneticileri güçlü güvenlik sağlar; ancak bu sistemleri yöneten altyapının güvenliği de aynı derecede önemlidir.

Vaka 12 – Okta (2023)

Olayın Özeti

Kimlik yönetimi hizmetleri sunan Okta, 2023 yılında destek sistemlerini etkileyen bir güvenlik olayı yaşadı.

Olay, doğrudan müşteri sistemlerinden ziyade destek süreçlerini hedef almasına rağmen, kimlik yönetimi sağlayıcılarının güvenlik zincirindeki kritik rolünü bir kez daha ortaya koydu.

Kimlik yönetimi platformları, modern BT altyapılarının merkezinde yer aldığı için bu tür olaylar geniş etki oluşturabilmektedir.

Saldırı Nasıl Gerçekleşti?

Saldırganlar müşteri destek süreçlerinde kullanılan dosyalara erişim sağladı.

Elde edilen bilgiler sayesinde bazı müşteri ortamlarına yönelik ek saldırı girişimleri gerçekleştirildi.

Bu olay teknik açıklardan çok süreç güvenliği ve üçüncü taraf erişimlerinin önemini gündeme taşıdı.

Teknik Analiz

Öne çıkan başlıklar:

• Kimlik sağlayıcılarının kritik rolü
• Destek süreçlerinin güvenliği
• Üçüncü taraf erişimleri
• Kimlik yaşam döngüsü yönetimi
• Olay bildiriminin önemi

Kurumlar İçin Çıkarılacak Dersler

Kimlik yönetimi sağlayıcıları düzenli olarak güvenlik açısından değerlendirilmelidir.

Kurumların;

• kimlik sağlayıcılarına yönelik risk analizleri yapması,
• destek erişimlerini sınırlandırması,
• olağan dışı oturum açma girişimlerini izlemesi,
• düzenli erişim denetimleri gerçekleştirmesi

güvenlik seviyesini önemli ölçüde artıracaktır.

SymPRO Uzman Görüşü

Kimlik yönetimi platformları artık ağ güvenlik cihazları kadar kritik altyapılar hâline gelmiştir. Bu sistemlerin güvenliği doğrudan kurumun genel güvenlik seviyesini etkilemektedir.

Vaka 13 – Equifax (2017)

Olayın Özeti

2017 yılında kredi derecelendirme kuruluşu Equifax’ta yaşanan veri ihlali, tarihin en büyük kişisel veri sızıntılarından biri olarak kabul edilmektedir.

Saldırı sonucunda yaklaşık 147 milyon kişinin kişisel bilgileri ele geçirildi.

Etkilenen veriler arasında;

• isimler,
• doğum tarihleri,
• adres bilgileri,
• sosyal güvenlik numaraları,
• çeşitli finansal bilgiler

bulunuyordu.

Bu olay yalnızca teknik açıdan değil, veri yönetişimi ve kurumsal risk yönetimi açısından da önemli sonuçlar doğurdu.

Saldırı Nasıl Gerçekleşti?

Saldırganlar Apache Struts platformunda bulunan ve daha önce duyurulmuş kritik bir güvenlik açığını kullandı.

İlgili güvenlik yaması yayımlanmış olmasına rağmen sistem zamanında güncellenmemişti.

Bu nedenle saldırganlar uzun süre sistem içerisinde fark edilmeden hareket edebildi.

Teknik Analiz

Equifax vakasının temel başlıkları:

• Kritik güvenlik açığı
• Geciken yama yönetimi
• Veri sınıflandırma eksiklikleri
• Zayıf görünürlük
• Yetersiz güvenlik izleme

Kurumlar İçin Çıkarılacak Dersler

Kurumların;

• kritik güvenlik yamalarını önceliklendirmesi,
• güvenlik açığı yönetimini otomatikleştirmesi,
• hassas verileri sınıflandırması,
• log analizlerini güçlendirmesi,
• veri erişimlerini sürekli izlemesi

gerekmektedir.

SymPRO Uzman Görüşü

Teknik olarak çözülebilecek bir güvenlik açısının zamanında kapatılmaması, milyonlarca kişinin kişisel verisinin etkilenmesine neden olmuştur. Güvenlik açıklarını bilmek kadar, bunları zamanında gidermek de kritik öneme sahiptir.

Büyük Siber Olayların Ortak Noktaları

İncelediğimiz vakalar farklı sektörlerde, farklı yıllarda ve farklı yöntemlerle gerçekleşmiş olsa da dikkat çekici ortak özellikler bulunmaktadır.

En sık karşılaşılan nedenler şunlardır:

Güvenlik Zafiyeti	Görüldüğü Vakalar
Geciken güvenlik güncellemeleri	5
Çok Faktörlü Kimlik Doğrulama eksikliği	4
Sosyal mühendislik	4
Tedarik zinciri riski	3
Güvenlik açığı yönetimi eksikliği	5
Ayrıcalıklı hesap yönetimi yetersizliği	4
Ağ segmentasyonu eksikliği	3
Üçüncü taraf risk yönetimi eksikliği	4
İş sürekliliği planlarının yetersizliği	4
Güvenlik farkındalığı eksikliği	5

Bu tablo önemli bir gerçeği ortaya koymaktadır.

Saldırıların büyük bölümü, sıfırıncı gün (Zero-Day) açıklarından veya çok gelişmiş tekniklerden değil; uzun süredir bilinen güvenlik eksikliklerinden yararlanılarak gerçekleştirilmektedir.

Kurumlar İçin 10 Temel Ders

İncelenen tüm vakalar birlikte değerlendirildiğinde aşağıdaki güvenlik uygulamalarının kurumlar için temel öncelik olduğu görülmektedir.

1. Kritik güvenlik güncellemelerini geciktirmeyin.
2. Tüm uzaktan erişimlerde MFA kullanın.
3. Ayrıcalıklı hesapları PAM çözümleriyle yönetin.
4. Düzenli güvenlik açığı taramaları gerçekleştirin.
5. Güvenli ve değiştirilemez (Immutable) yedekleme stratejileri oluşturun.
6. Ağ segmentasyonu uygulayın.
7. Tedarikçi ve üçüncü taraf risklerini düzenli olarak değerlendirin.
8. Çalışanlara sürekli siber güvenlik farkındalık eğitimi verin.
9. Olay müdahale ve iş sürekliliği planlarını düzenli olarak test edin.
10. Güvenliği yalnızca BT’nin değil, tüm kurumun sorumluluğu olarak yönetin.

Sonuç

Siber güvenlik tarihi incelendiğinde, büyük olayların çoğunun aynı temel zafiyetler etrafında şekillendiği görülmektedir. Teknolojiler değişse de saldırganların hedefleri değişmemektedir: Kimlik bilgilerini ele geçirmek, sistemlere erişmek, verileri çalmak veya operasyonları durdurmak.

Bu nedenle başarılı kurumlar, yalnızca yeni güvenlik ürünlerine yatırım yapan kurumlar değildir. Aynı zamanda güvenliği kurumsal yönetişimin ayrılmaz bir parçası hâline getiren, risklerini düzenli olarak değerlendiren ve güvenlik kültürünü tüm organizasyona yayan kurumlardır.

Gerçek hayattan alınan bu vakalar, her kurum için önemli bir hatırlatma niteliğindedir: Siber güvenlikte en pahalı ders, başkalarının yaşadığı olaylardan öğrenmemektir.

SymPRO Uzman Görüşü

Her büyük siber olay, teknoloji kadar süreçlerin, yönetişimin ve insan faktörünün de güvenliğin ayrılmaz parçaları olduğunu göstermektedir. Kurumlar; kimlik güvenliği, veri koruma, ağ güvenliği, yedekleme, iş sürekliliği ve kullanıcı farkındalığını birlikte ele alan bütünsel bir yaklaşım benimsediğinde, hem günümüz tehditlerine hem de gelecekte ortaya çıkacak risklere karşı daha dirençli bir yapı oluşturabilir.

İlgili Rehberler

• Fidye Yazılımı (Ransomware) Rehberi
• Zero Trust Mimarisi
• Kimlik ve Erişim Yönetimi (IAM)
• Güvenlik Açığı Yönetimi
• İş Sürekliliği ve Felaket Kurtarma
• Tedarik Zinciri Güvenliği
• Siber Olay Müdahale Planı
• Bulut Güvenliği Rehberi

I am text block. Click edit button to change this text. Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.