Yetersiz yönetilen uç noktalar ciddi güvenlik riskleri yaratıyor
18.05.2021
Sosyal Medya

Yetersiz yönetilen uç noktalar ciddi güvenlik riskleri yaratıyor

Kuruluşlar genellikle güvenlik çabalarını veri merkezine odaklar ve üretkenliklerini artıran merkezi sunucuları ve depolamayı güvence altına almak için önemli finansal ve entelektüel sermaye yatırımı yapar. Bu durumda, genellikle uç nokta güvenliği konusunun sona bırakıldığını söylemek yanlış olmaz.

Veri merkezinin kaynakları, bir ağ bağlantısının mevcut olduğu hemen hemen her yerden hayati iş verilerine erişebilen ve bunları değiştirebilen kullanıcı uç noktaları olmadan verimli olamaz. Bu nedenle, BT yöneticilerinin bu uç noktaları uygun şekilde güvenceye alması ve tıpkı herhangi bir veri merkezi altyapısı gibi güvenlik değerlendirmelerine dahil etmesi gerekir.

Ne yazık ki, kuruluşlar kadar BT ve iş liderleri de altyapı, araçlar ve personel hakkında hatalı varsayımlarda bulunabiliyor. Bu gerçekleştiğinde ise, ciddi bir güvenlik ihlali yaratabilecek tüm unsurlar ortaya çıkmış oluyor.

Yetersiz yönetilen uç noktaların yarattığı riskler

Uç nokta cihazlarının yönetilmesiyle ilgili beş büyük güvenlik riskinden bahsedebiliriz:

Basit kimlik bilgileri

Çoğu senaryoda bir uç nokta bağlantısının kurumsal bir veri merkezinde oturum açması için gereken tek şey, geçerli bir kullanıcı adı ve paroladır. Bu durumda, sosyal mühendislik gibi yaygın saldırı yöntemleriyle kimlik bilgilerine erişilen kullanıcılar dolayısıyla sisteme istenmeyen kişiler girebilir. Bir saldırgan erişime sahip olduğunda, kullanıcının yetkilendirildiği önemli dosyaları ve verileri okuyabilir, kopyalayabilir veya silebilir. Tek oturum açma (SSO) gibi gelişmiş kimlik doğrulama teknikleri, her uygulama için farklı kimlik bilgileri gerektirmek yerine, her yetkili uygulamada aynı kimlik bilgileriyle oturum açarak bu riski artırır.

Günümüzde kuruluşlar, periyodik parola değişikliklerini ve çok faktörlü kimlik doğrulamasını zorunlu tutan agresif uç nokta güvenlik politikalarıyla ve kapsamlı kullanıcı etkinliği günlüğü gibi analizlerle kimlik saldırılarına karşı önlem almaya çalışıyor. Bu önlemler, yetkisiz erişimi tespit etmeyi ve engellemeyi kolaylaştırıyor, ancak bu durumda birçok uygulamada kimlik doğrulama adımları artarak kullanıcı deneyimini olumsuz etkiliyor.

Geçersiz güvenlik parametreleri

Güvenlik yazılımları, kuruluşun yerel ağı gibi ortamlarda çalışan uç noktaların uygulamalara ve verilere erişebildiği bir güvenlik sınırı yaklaşımı uygulamaya yarıyor. Öte yandan, bir internet ağ geçidi aracılığıyla bağlanan uç noktalar gibi ortam dışında çalışan uç noktalarda, güvenlik gereklilikleri daha fazladır. Yerel uygulamalara ve verilere erişmek için bilinen bir ağa bağlı, bilinen bir yerel IP adresi kullanmak ve yetkilendirilmiş olmak gibi kısıtlamalar, güvenlik yaklaşımını kuvvetlendirir.

Ancak uç noktaların sayısının özellikle son dönemdeki uzak çalışma yaklaşımı sonrasında artışıyla, bu yaklaşım da geçerliliğini yitiriyor. İnternete bağlı uç nokta cihazlarının çoğalması, kullanıcıların bir ağın olduğu hemen hemen her yerde çalışmasını mümkün kılıyor. Kullanıcılar iş yerindeki masaüstü bilgisayarlardan, evdeki dizüstü bilgisayarlardan, otellerdeki tabletlerden veya yolda akıllı telefonlardan oturum açmaya ihtiyaç duyuyor. Bu değişim sonrasında güvenlik parametrelerini yeniden ele almak gerekiyor. Artık VPN'ler, uç nokta doğrulama ve kullanıcı etkinliği günlük kaydı gibi daha çok yönlü ve akıllı güvenlik yaklaşımları kullanarak uç nokta cihazlarını yönetmek, güvende kalmak için daha mantıklı.

Uç noktaların çeşitliliği

Uç noktalar, özelleştirilebilmeleri nedeniyle de kurumsal BT için güvenlik riski teşkil edebiliyor. Kuruluşlar uç nokta cihazlarını önceden yapılandırmadıkça, kullanıcılar her cihaza kendi ayarlarını ekleyebilir ve hatta kişisel cihazlarından çalışabilir. Bu cihazların her biri, bir kuruluşun güvenlik ihtiyaçlarını desteklemeyen kurulumlara ve yapılandırmalara sahip olabilir. Ayrıca yamalanmamış işletim sistemi sürümleri, eksik veya güncel olmayan kötü amaçlı yazılımdan koruma araçları ve uç noktada zaten mevcut olan kötü amaçlı yazılımlar gibi ek potansiyel tehditler karşımıza çıkabilir.

Kurumsal BT yöneticileri, oturum açmaya çalışan bir uç noktanın minimum kurulum, yapılandırma ve diğer sistem sağlığı kriterlerini karşıladığından emin olmak için bazı kontroller kullanır. Bunların başında VPN'ler ve uç nokta doğrulama kontrolleri gelir. Bunlar, uç noktanın bağlanmasına izin vermeden önce uç noktanın güncel bir işletim sistemi ve kötü amaçlı yazılımdan koruma kullandığının doğrulanmasına olanak tanır.

Katılımsız otomasyon

Otomasyon, veri merkezleri için paha biçilmezdir, tutarlılık sağlar ve birçok rutin görevde hataları azaltır. Bununla birlikte, otomasyonun yapabileceklerinin sınırları vardır ve uç nokta tehditlerini tahmin etmek de güç olabilir.

Otomasyonla ilgili başlıca iki sorun, kural eskimesi ve hata işlemedir. Örneğin, uç noktaların yapılandırmasını kontrol eden ve bir işletim sistemi yükseltmesini veya yamasını zorlayan bir otomasyon aracı düşünün. Amaç, uç noktanın kurumsal ağa erişmesine izin vermeden önce minimum yapılandırma standardının karşılandığından emin olmaktır. Ancak otomasyonda kullanılan hazır kurallar ve politikalar, ortam değişikliklerine göre düzenli güncellemeler gerektirir ve bu da BT uzmanları için zorlu bir iş olabilir.

İkinci bir sorun ise otomasyon kurallarının doğru şekilde yüklenemeyen bir yama veya güncelleme gibi bir hata döndürebilmesidir. BT ekipleri, bir hata oluştuğunda otomasyonun uç nokta kullanıcısını ve bir BT yöneticisini bilgilendirdiğinden emin olmalıdır. Kullanıcıya hatayı düzeltmek için gereken ayrıntıları sunacak raporlama bileşeni, bu süreç için çok önemlidir. Raporlamayla ilgili herhangi bir sorun, kullanıcıların kafasının karışmasına ve sürecin aksamasına neden olabilir. Bu yüzden çalışanların olası senaryolarla ilgili bilgilendirilmesinde fayda vardır.

Kullanıcı davranışları

Uç nokta cihazlarının oluşturduğu riskleri artıran bir diğer etken de kullanıcı davranışlarıdır. İşletmeler genellikle çalışanların iş kaynaklarına erişim için gereksinimleri açıklayan yazılı politikalara ve kurallara güvenirler. Uç noktaları yapılandırmak, yamalamak ve uygun şekilde güncel tutmak için çalışanlara, müşterilere, ortaklara ve diğer kullanıcılara güvenmek, kullanıcıların gerekli yönergeleri izlememesi halinde bazı ek güvenlik açıklarına yol açabilir.

Çalışanların kullanım koşullarını anlaması ve güvenlik için en iyi pratiklerden haberdar olması her zaman değerli olsa da, kuruluşların uç nokta yönetiminde aktif bir rol almak için BT geçmişi çok az olan veya hiç olmayan kullanıcılara güvenmesi risklidir. Kurumlar, oturum açma onayından önce her sistemin yapılandırmasını doğrulamak ve kullanıcı bağlıyken olası güvenlik riski yaratabilecek davranışlar için kullanıcı etkinliklerini izleyebilen araçlarla uç noktaları daha etkili bir şekilde yönetebilirler.

Öne Çıkan Yazılar
İki faktörlü kimlik doğrulama (2FA) internette güvende kalın
İki faktörlü kimlik doğrulama (2FA) ile internette güvende kalın
İki faktörlü kimlik doğrulama ya da kısaca 2FA olarak bilinen güvenlik önlemi, internetteki giriş işlemlerinde hızlı ve pratik...
28.09.2020
Güvenlik
Dijital Dönüşümde Siber Güvenlik neden önemli?
Dijital Dönüşümde Siber Güvenlik neden önemli?
Dijital dönüşümde, sürecin ilerleyen adımlarına bırakılan siber güvenlik, planlama aşamasında ele alınarak dijitalleşmeye...
18.09.2020
Güvenlik
Güvenli işlemler için Blockchain alternatifi: Akıllı Kontratlar
Güvenli işlemler için Blockchain alternatifi: Akıllı Kontratlar
Akıllı Kontratlar, bilgisayar protokollerine bağlı çalışan sözleşmelerdir ve Blockchain (blok zinciri) üzerinde çalışan dijital...
18.11.2020
Güvenlik
KVKK Hakkında Bilinmesi Gerekenler  
KVKK Hakkında Bilinmesi Gerekenler
Bilgi teknolojilerinin yaygınlaşması, bazı güvenlik risklerini de beraberinde getiriyor. Bireylerin yanı sıra, kurumların...
20.08.2020
Güvenlik
ISO 27001 standardının 2013 revizyonunda neler değişiyor?
ISO 27001 standardının 2013 revizyonunda neler değişiyor?
ISO27001 2013 revizyonu ile neler değişti? Belgelendirme ve belge yenilemesi sürecinde şirketleri neler bekliyor?
11.11.2013
Güvenlik
İş Sağlığı Güvenliğinde Ziyaretçi Karşılama Teknolojileri
İş Sağlığı Güvenliğinde Ziyaretçi Karşılama Teknolojileri
İş Sağlığı ve Güvenliği Yasası (Kanun No.6331), TBMM tarafından kabulünden sonra, 30 Haziran 2012 tarih ve 28339 sayılı Resmi...
8.08.2016
Güvenlik