Saldırganlar, bir savunmayı kırmak için her zaman zincirdeki en zayıf halkayı aradılar. Günümüzün yüksek oranda dijitalleşen iş dünyasında bu durum değişmedi ve yan sanayinin tedarik zincirini de kapsıyor. Tedarikçiler genellikle müşterilerinin dahili sistemlerine erişebilir ve görünüşte önemsiz tedarikçilere yapılan bir saldırı, bilgisayar korsanı gruplarının küresel bir şirketin ağına girmesi anlamına gelebilir.
Yazılım tedarik zinciri yoluyla yapılan saldırılar çok daha yaygındır ve çok daha dramatik etkilere sahiptir. Siber suçlular, hedeflenen şirkete doğrudan saldırmak yerine yazılım dağıtımcılarını hedef alır. Güvenilir bir yazılım bileşenine kötü amaçlı kod enjekte etmek için yetersiz güvenlik uygulamalarına sahip operatörleri tespit ederler. Bir sonraki güncelleme ile hedeflerine ulaştılar: büyük şirketin ağında.
2023'te patlayıcı tedarik zinciri saldırıları
Son olaylar şunu açıkça ortaya koydu: Dijitalleşmedeki küresel ilerlemeler sırasında, tedarik zinciri saldırıları yeni boyutlar kazandı ve siber güvenlikte tamamen yeni bir başlangıç noktası yaratıyor. Şirketler için tatsız bir farkındalık anlamına geliyorlar: Zincirdeki en zayıf halka genellikle güvenlik yapılarının dışında ve dolayısıyla kontrollerinin dışında. Saldırganlar, tek bir sağlayıcıyı tehlikeye atarak satılan her uygulamayı veya yazılım güncellemesini Truva atlarına dönüştürebilir. Büyük bir servis sağlayıcı, farkında olmadan tek bir güncellemeyle binlerce şirkete bulaşabilir. Bu yüksek verimlilik düzeyi, tedarik zinciri saldırılarını siber suçlular arasında son derece popüler hale getirdi. Tedarik zinciri saldırı tehdidi, günümüzün modern işletmeleri için önemli bir risk teşkil ediyor ve üretim kaybından güvenlik olayını araştırmak için gereken çabaya, itibar zedelenmesinden kaynaklanan kayıplara ve düzenleyici para cezalarına kadar mali zarar çok büyük olabilir.
Çekici hedefler
En yıkıcı örneklerden biri, ABD hükümeti de dahil olmak üzere çeşitli kuruluşları etkileyen yazılım şirketi SolarWinds'e yönelik 2020 tedarik zinciri saldırısıdır. Sunulan BT izleme sistemi yaygın olarak kullanıldığından ve ayrıca günlük ve sistem performans verilerini elde etmek için BT sistemlerine ayrıcalıklı erişime sahip olduğundan, bu durum SolarWinds'i saldırganlar için çekici bir hedef haline getirdi.
Bir başka ciddi vaka da, Temmuz 2021'de BT hizmet sağlayıcısı Kaseya'ya yönelik tedarik zinciri saldırısıydı. Bu saldırıda fidye yazılımı nihayet manipüle edilmiş bir yazılım güncellemesi aracılığıyla dağıtıldı ve dünya çapında yaklaşık 1.500 şirketi etkiledi. Avrupa'daki en bilinen kurbanlardan biri, bir ödeme hizmeti sağlayıcısının ödeme sistemlerinde başarısız olması nedeniyle 800 mağazasını geçici olarak kapatmak zorunda kalan süpermarket zinciri Coop-Sweden'dı.
Mart 2022'de Toyota'nın tedarik zincirine yönelik ve şirketin küresel üretiminin üçte birini felç eden son siber saldırı, günümüzün endüstriyel şirketlerinin tedarik zincirinin ne kadar savunmasız olduğunu gösterdi. Örneğin, Japon otomobil üreticisi, kilit bir tedarikçinin bir siber saldırının neden olduğu bir BT sistemi arızasından etkilenmesinin ardından, yerli 28 tesisindeki 14 üretim hattının tamamını durdurmak zorunda kaldı.
Sıfır Güven
Yazılım tedarik zincirine yönelik saldırılar daha karmaşık hale gelirken kontrol altına alınabilir. Güncellemelerden vazgeçmek bir seçenek değildir, ancak kuruluşların en güvenilir tedarikçilerin bile izinsiz girişlere ve ihlallere karşı bağışık olmadığını anlamaları gerekir. Sonuç olarak, güvenlik liderlerinin geleneksel satıcı risk değerlendirmelerinin ötesine geçmesi gerekir. "Sıfır güven" ilkesi, büyük üreticilerin standart yazılımları için bile geçerlidir. Her cihazdaki her uygulama, hem uç nokta düzeyinde hem de ağ düzeyinde sürekli olarak izlenmelidir. Yalnızca bir uygulama olağan davranışını değiştirdiğinde ve örneğin diğer uygulamalara erişim istediğinde, ağ sınırından veri gönderdiğinde veya daha önce bilinmeyen kaynaklardan dosyaları yeniden yüklediğinde görünür hale gelir.
Sıfır güven modelini uygulamak için şirketler, erişim haklarının yeterince atandığından ve yönetildiğinden emin olmalıdır. Birçok kuruluşta çalışanlar, iş ortakları ve yazılım uygulamaları, tedarik zinciri saldırılarını başlatmayı kolaylaştıran gereksiz derecede yüksek ayrıcalıklara sahiptir. Bu nedenle, burada çalışanlara ve yazılım programlarına yalnızca görevlerini yerine getirmeleri için gerçekten ihtiyaç duydukları yetkilerin atandığı en az ayrıcalık ilkesi izlenmelidir. Artık açık çek yok: Daha fazla kaynağa her erişim kontrol ediliyor.
Kanıtlanmış Önlemler
Kanıtlanmış erişim kontrolü önlemleri arasında çok faktörlü kimlik doğrulama (MFA) ve ağ segmentasyonu yer alır. Bu, üçüncü taraf yazılımların ağın her köşesine engelsiz erişimini engeller, saldırılara karşı savunma duvarları oluşturur ve böylece saldırıların başarısını sınırlar. Bir tedarik zinciri saldırısı ağın bir bölümünü etkilerse, geri kalan kısım korunmaya devam eder.
Şirketler, kullandıkları yazılım sağlayıcıların uyumunu ve süreçlerini değerlendirmek için düzenli olarak güvenlik anketleri de göndermelidir. Bu, kodda herhangi bir değişiklik yapılmasını önlemek için en iyi uygulamaları takip etmelerini sağlamakla ilgilidir.
Şirketler, yasal yazılımların manipüle edilmiş bir güncellemesine karşı kendilerini savunmak için yalnızca sınırlı araçlara sahiptir. Siber Savunma Merkezi hizmetleri (CDC-as-a-Service) veya Radar Solutions gibi CDC teknoloji çözümleri şeklinde güvenlik analistleri tarafından sıfır güven yaklaşımı ve yakın kontrol ile bir saldırı hızla fark edilir ve saldırının sonuçları saldırı yerel sınırlı hale gelir. Unutmayın: Siber suç, yalnızca siz izin verdiğiniz sürece kazançlı ve başarılıdır.
RadarCyberSecurity.com'da daha fazlası
Radar Siber Güvenlik Hakkında Radar Cyber Security, tescilli Siber Tespit Platformu teknolojisine dayalı olarak Viyana'nın kalbinde Avrupa'nın en büyük siber savunma merkezlerinden birini işletmektedir. On yıllık araştırma ve geliştirme çalışmalarından elde edilen en son teknolojik gelişmelerle eşleştirilen insan uzmanlığı ve deneyiminin güçlü birleşiminden güç alan şirket, RADAR Hizmetleri ve RADAR Çözümleri ürünlerinde BT ve OT güvenliği ile ilgili zorluklara yönelik kapsamlı çözümleri bir araya getiriyor.