2012 Veri İhlali Araştırmaları Raporu

“Verizon 2012 Veri İhlali Araştırmaları Raporu” (DBIR), politik ve toplumsal amaçlara ulaşmak için bilişim korsanlığının kullanılması anlamına gelen hacktivizmin çarpıcı yükselişini ortaya koyuyor. Rapordan belli başlı bölümleri burada paylaşmak istiyorum.

Verizon’un açıkladığı yıllık rapora göre 2011 yılında çalınan verilerin %58’i hacktivizm eylemleri sonucunda çalındı. Bu yeni eğilim, geçtiğimiz yıllarda gözlemlenen veri ihlallerinden farklılık gösteriyor:

Geçtiğimiz yıllarda saldırıların çoğu öncelikli amacı finansal çıkar sağlamak olan bilişim suçlularınca işleniyordu.

Raporda yer verilen saldırıların %79’u fırsatçı saldırılar. Tüm saldırıların %96’sı “çok zor” değil yani gelişmiş beceri ya da geniş kaynaklar kullanılmasını gerektirmiyor. Ayrıca saldırıların %97’si, kurumların uygulanması zor ya da masraflı önlemler almasını gerektirmeyecek şekilde önlenebilecek nitelikte. Raporda büyük ve küçük kuruluşların kendilerini korumak için alabilecekleri önlemlere de yer verilmiş.

Raporda öne çıkanlar:

·         Endüstriyel casusluğun varlığı göstermektedir ki suçlular, ticari sırların çalınması ve fikri mülkiyetin ele geçirilmesi konularına ilgi göstermektedirler. Her ne kadar seyrek görülse de bu eğilimin varlığı, (özellikle de güç kazanması durumunda) kurumsal verilerin tehlikede olduğunu göstermektedir.

·         Dış kaynaklı saldırılarda artış görülmüştür. İhlallerin yarıdan fazlasından hacktivizm eylemlerinin sorumlu olduğunu düşünürsek saldırılar ağırlıklı olarak kurum dışından kişilerce gerçekleştirilmektedir. Saldırıların sadece %4’üne kurum çalışanları karışmıştır.

·         Saldırıların çoğunda sızma ve kötü amaçlı yazılım kullanılmıştır. 2011 yılında sızma ve kötü amaçlı yazılım kullanımı, dışarıdan saldırılarla birlikte artmıştır. İhlallerin %81’inde sızmaya (2010 yılında oran %50’ydi), %69’undaysa kötü amaçlı yazılıma rastlanmıştır (2010 yılında oran %49’du). Sızma ve kötü amaçlı yazılımlar, kurum dışı saldırganlara güvenlik açıklarını istismar etme ve gizli bilgilere ulaşma olanağı sunmaktadır.

·         Kişisel kimlik bilgileri (Personally identifiable information, PII), suçlular için büyük vurgun haline gelmiştir. İsim, iletişim bilgileri ve sosyal güvenlik numarası gibi kişisel kimlik bilgileri tercih edilen hedefler haline gelmektedir. 2011 yılında kaybedilen kayıtların %95’i kişisel kimlik bilgisi içermekteydi. Bu oran 2010 yılında sadece %1’di.

·         Uyumluluk, güvenlik anlamına gelmemektedir. Ödeme Kartı Endüstri Veri Güvenlik Standartı (Payment Card Industry Data Security Standard, PCI DSS) gibi uyumluluk programları güvenliği arttırmak için akla uygun adımların atılmasını sağlamaktadır. Ama PCI uyumlu olmak bir kurumu saldırılara karşı bağışık kılmamaktadır

Büyük Girişimler için Öneriler:

1.     Gereksiz verileri ortadan kaldırın. Veriyi depolamak ya da aktarmak için çok önemli bir neden yoksa, imha edin. Elde tutulması gereken tüm veriyi takip edin.

2.     Köklü güvenlik kontrolleri yerleştirin. Veri ihlallerine karşı etkili bir savunma oluşturabilmek için, yerleşmiş ve sağ duyuya dayanan karşı önlemlerin alınması ve düzgün bir şekilde işletilmesi gerekir. Güvenlik kontrollerini düzenli olarak gözlemleyin.

3.     Olay günlüklerine önem verin. Şüpheli eylemleri tespit etmek için olay günlüklerini takip edin. İhlaller genellikle olay günlüklerinin analiziyle tespit edilmektedir.

4.     Güvenlik stratejisine öncelik tanıyın. Büyük girişimlerin tehditleri iyi tartması ve elde ettikleri bilgileri kendine özgü ve öncelik verilmiş bir güvenlik stratejisi oluşturmak için kullanması gerekir.

Küçük İşyerleri için Öneriler:

1.     Güvenlik duvarı kullanın. Verilerinizi korumak için internet erişimli servislere güvenlik duvarı yükleyin ve bakımını yapın. Korsanlar, ulaşamadıkları şeyi çalamazlar.

2.     Varsayılan kimlik/güvenlik bilgilerini yenileyin. Satış noktası (POS) sistemleri ve diğer sistemler, önceden yüklenmiş kimlik/güvenlik bilgileri taşırlar. İzinsiz girişleri engellemek için bu bilgileri yenileyin.

3.     Üçüncü kişileri sürekli gözlemleyin. Güvenlik duvarları ve satış noktalarını genellikle üçüncü şahıslar idare ederler. Kurumların bu tedarikçileri izlemesi ve geçerli noktalarda güvenlik önerilerine uygun hareket etmelerini sağlaması gerekir.

DBIR’nin tamamı şu adresten indirilebilir.