Sorun Tanımı
Ernst & Young (EY) şirketi, 2024 yılında ciddi bir veri sızmasına maruz kaldığını resmen duyurdu. Bu saldırının arkasında, ShinyHunters adlı fidye yazılımı ve veri hırsızlığı grubu olduğu iddia edildi. Saldırganlar, EY'nin sistemlerine erişim sağlamak için tedarik zinciri saldırısı (supply-chain attack) yöntemini kullandıklarını belirtti. Bu saldırı tipi, üçüncü taraf bir tedarikçiden veya ortak şirketten başlayarak hedef sisteme sızmayı içerir.
Sızan verilerin içerisinde müşteri bilgileri, finansal kayıtlar ve şirket içi iletişim verileri gibi hassas bilgilerin bulunduğu tahmin edilmektedir. ShinyHunters grubu, saldırıyı çifte fidye (double extortion) stratejisiyle gerçekleştirdi: Öncelikle verileri çaldılar, ardından EY'yi tehdit ederek fidye ödemesi talep ettiler. Bu durum, şirketlerin siber saldırılara karşı daha proaktif önlemler almasını zorunlu kılmaktadır.
Saldırının Etkileri
- Mali kayıplar: Veri sızması nedeniyle EY'nin itibar kaybı ve potansiyel yasal yaptırımlarla karşı karşıya kalması.
- Müşteri güveninin sarsılması: Hassas verilerin çalınması, müşterilerin şirkete olan güvenini zedeleyebilir.
- Yasal ve düzenleyici riskler: GDPR, CCPA gibi veri koruma yasalarına uyulmamasından kaynaklanan cezalar.
- İş sürekliliği riski: Sistemlere yapılan saldırılar nedeniyle iş operasyonlarının geçici olarak durması.
Çözüm Adımları
1. Saldırı Tespiti ve Doğrulanması
Veri sızmasının tespiti, saldırının boyutunun anlaşılması için kritik öneme sahiptir. Aşağıdaki adımlar izlenmelidir:
- Güvenlik Olaylarının İzlenmesi: SIEM (Security Information and Event Management) sistemleri kullanılarak anormal aktivitelerin tespit edilmesi.
# SIEM sistemlerinde kullanılan temel sorgulama komutu index=security sourcetype="wineventlog" EventCode=4625 | stats count by user, host - Üçüncü Taraf Denetimleri: Tedarik zinciri saldırılarında, üçüncü taraf şirketlerin güvenlik açıklarının taranması.
# Nmap ile üçüncü taraf sistemlerin taranması nmap -sV -p 1-65535 - Günlük Analizi: Sistem ve uygulama günlüklerinin incelenmesiyle saldırının kaynağının belirlenmesi.
# Linux sistemlerinde günlük analiz komutu grep "failed" /var/log/auth.log | awk '{print $11}' | sort | uniq -c
⚠️ Uyarı: Saldırı tespiti sırasında kanıtların değiştirilmesini önlemek için sistemlerin write-protected modda incelenmesi gerekmektedir. Ayrıca, kanıtların yasal süreçlerde kullanılabilmesi için chain of custody (kanıtlama zinciri) korunmalıdır.
2. Tedarik Zinciri Güvenliğinin Sağlanması
Tedarik zinciri saldırılarını önlemek için aşağıdaki adımlar uygulanmalıdır:
- Tedarikçi Risk Değerlendirmesi: Üçüncü taraf şirketlerin güvenlik durumu incelenerek risk seviyeleri belirlenmelidir.
# Üçüncü taraf risk değerlendirme checklist'i - Güvenlik sertifikaları (ISO 27001, SOC 2) - Veri koruma politikaları - Geçmişte yaşanan güvenlik olayları - Ağ erişim kontrolleri - Sıfır Güven (Zero Trust) Modeli Uygulaması: Hiçbir kullanıcı veya cihazın varsayılan olarak güvenilir olmadığı bir model benimsenmelidir.
# Zero Trust mimarisi için temel adımlar 1. Kimlik doğrulama: Multi-Factor Authentication (MFA) zorunluluğu 2. Erişim kontrolleri: En az ayrıcalık prensibi (Least Privilege) 3. Sürekli izleme: Anormal aktivitelerin tespiti için sürekli monitoring - Tedarikçi Sözleşmelerinin Gözden Geçirilmesi: Üçüncü taraf şirketlerle yapılan sözleşmelerde güvenlik gereksinimleri ve yaptırımlar açıkça belirtilmelidir.
# Örnek sözleşme maddesi "Tedarikçi, ISO 27001 sertifikasına sahip olmalı ve yıllık güvenlik denetimlerine tabi tutulmalıdır."
3. Kimlik Bilgisi Güvenliğinin Sağlanması
ShinyHunters grubu, tedarik zinciri saldırısı yoluyla ele geçirilen kimlik bilgilerini kullanarak EY'nin sistemlerine erişim sağlamıştır. Bu nedenle, kimlik bilgilerinin güvenliğinin sağlanması kritik önem taşımaktadır:
- Parola Politikalarının Güçlendirilmesi: Karmaşık parola politikaları ve düzenli parola değiştirme zorunluluğu.
# Linux sistemlerinde parola karmaşıklığı zorunluluğu # /etc/pam.d/common-password dosyasında aşağıdaki satır eklenmeli password requisite pam_cracklib.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1 - Multi-Factor Authentication (MFA) Uygulaması: Tek başına parola yerine ikinci bir doğrulama faktörü (örneğin, SMS, uygulama tabanlı OTP) zorunlu hale getirilmelidir.
# Google Authenticator ile MFA uygulaması sudo apt install libpam-google-authenticator sudo google-authenticator - Kimlik Bilgisi Döndürme (Credential Rotation): Düzenli olarak kimlik bilgilerinin değiştirilmesi ve eski kimlik bilgilerinin geçersiz kılınması.
# AWS CLI ile kimlik bilgilerinin değiştirilmesi aws sts get-session-token --serial-number --token-code
4. Veri Sızmasının Kapatılması ve Sistemlerin Güçlendirilmesi
Saldırı sonrasında sistemlerin kapatılması ve gelecekteki saldırılara karşı güçlendirilmesi gerekmektedir:
- Sistemlerin İzole Edilmesi: Saldırının yayılmasını önlemek için etkilenen sistemlerin ağdan izole edilmesi.
# Linux sistemlerinde ağ izolasyonu sudo iptables -A INPUT -s -j DROP sudo iptables -A OUTPUT -d -j DROP - Güvenlik Yamalarının Uygulanması: Tüm sistemlere en son güvenlik yamalarının uygulanması.
# Ubuntu sistemlerinde güvenlik yamalarının güncellenmesi sudo apt update && sudo apt upgrade -y - Yedekleme ve Kurtarma Planlarının Test Edilmesi: Veri kaybını önlemek için düzenli yedeklemelerin yapılması ve kurtarma planlarının test edilmesi.
# Linux sistemlerinde otomatik yedekleme script'i #!/bin/bash BACKUP_DIR="/backup" date=$(date +%Y-%m-%d) tar -czvf $BACKUP_DIR/backup_$date.tar.gz /important_data - Saldırı Sonrası Analiz (Post-Incident Review): Saldırının nasıl gerçekleştiğinin analiz edilmesi ve gelecekteki saldırıları önlemek için gerekli iyileştirmelerin yapılması.
# Saldırı sonrası analiz için sorular - Saldırı nasıl tespit edildi? - Hangi sistemler etkilendi? - Güvenlik açıkları nelerdi? - Gelecekte benzer saldırıları nasıl önleyebiliriz?
Önleyici Tedbirler
1. Sürekli İzleme ve Tehdit İstihbaratı
Siber tehditlerin sürekli izlenmesi ve tehdit istihbaratı kaynaklarından gelen bilgilerin değerlendirilmesi gerekmektedir:
- Threat Intelligence Platformları: Tehdit istihbaratı platformlarından gelen uyarıların izlenmesi.
# MISP (Malware Information Sharing Platform) kullanımı sudo apt install misp misp update - Anomaly Detection: Makine öğrenmesi tabanlı anomali tespit sistemlerinin kullanılması.
# Wazuh ile anomali tespiti sudo systemctl start wazuh-manager
2. Çalışanların Farkındalık Eğitimleri
Çalışanların siber saldırılara karşı farkındalığının artırılması, tedarik zinciri saldırılarını önlemede kritik rol oynar:
- Phishing Eğitimleri: Çalışanlara phishing saldırılarına karşı nasıl tepki vermeleri gerektiği konusunda eğitim verilmesi.
# Phishing simülasyon aracı: GoPhish sudo docker run -d -p 8080:8080 -p 443:443 gophish/gophish - Güvenlik Politikaları: Şirket içinde güvenlik politikalarının oluşturulması ve çalışanlara duyurulması.
# Örnek güvenlik politikası - Parolalar en az 12 karakterden oluşmalıdır. - MFA zorunlu hale getirilmelidir. - Üçüncü taraf sistemlere erişimde ekstra doğrulama yapılmalıdır.
Sonuç
Ernst & Young veri sızması, tedarik zinciri saldırılarının ciddiyetini ve bu tür saldırılara karşı alınması gereken önlemleri gözler önüne sermiştir. Kuruluşların, siber tehditlere karşı proaktif bir yaklaşım benimseyerek, sistemlerini sürekli olarak izlemeleri, güvenlik açıklarını kapatmaları ve çalışanların farkındalığını artırmaları gerekmektedir. ShinyHunters gibi saldırgan gruplarının hedefinde olmak istemeyen şirketler, Zero Trust modelini benimsemeli, MFA uygulamalı ve düzenli güvenlik denetimleri gerçekleştirmelidir. Bu şekilde, hem veri sızıntılarını önleyebilir hem de müşteri güvenini koruyabilirler.
