2021 yılı birçok kurum için siber
saldırılarla dolu bir yıldı. Belirsizliklerle geçen bir yılın ardından ise yeni
yılda neler olacağı birçok kişinin aklını karıştırıyor. Uzmanlar, uzayda
gerçekleşecek siber saldırılardan siber sigortalara kadar uzanan 2022 yılı
siber güvenlik öngörülerini paylaşıyor.
1. Devlet destekli mobil
tehditler siber suçların yeraltı dünyasına sızacak. Mobil
kötü amaçlı yazılımlar özellikle Android platformunda bulunsa da henüz aynı
geleneksel masaüstü kötü amaçlı yazılım ölçeğine yükselmediği görülüyor. Bu
durum kısmen mobil cihazların en baştan güvenli bir mekanizma ile
tasarlandığından ve kurban etkileşimi gerektirmeyen sıfır dokunuş tehditleri
oluşturmayı çok daha zor hale getirmesinden kaynaklanıyor ancak bu cihazlara
karşı bulunması zor olsa da ciddi uzaktan güvenlik açıkları mevcut bulunuyor.
Bununla birlikte, mobil cihazlar hem cihazların yetenekleri hem de içerdikleri
bilgiler nedeniyle devlet destekli siber ekipler için çok cazip bir hedef
sunuyor. Önümüzdeki yıl, gün yüzüne çıkmaya başlayan devlet destekli mobil
saldırılar nedeniyle sofistike siber suçlu mobil saldırılarında bir artış
bekleniyor.
2. Uzayı hedefleyen
hackerlerin haberleri manşetlere çıkacak. Hükümetler
ve özel sektör, uzay yarışına odaklanıyor ve son siber güvenlik
araştırmalarının uydu güvenlik açıkları üzerine yoğunlaşmasıyla birlikte,
2022'de uzayda hacklemenin manşetlere çıkacağı tahmin ediliyor. Son zamanlarda
uydu korsanlığı, araştırmacılar arasında ve DEF CON gibi konferanslarda siber
güvenlik camiasının ilgisini çekti. Uydular çoğu tehdidin ulaşamayacağı
cihazlar gibi görünse de araştırmacılar, yaklaşık 300 dolarlık donanım
kullanarak onlarla iletişim kurabileceklerini keşfettiler. Bununla birlikte,
birçok özel şirket yörüngedeki saldırı yüzeyini büyük ölçüde artıracak uzay yarışına
başladı. Starlink gibi şirketler binlerce uydu fırlatıyor. Bu iki eğilimin yanı
sıra yörünge sistemlerinin ulus devletler, ekonomiler ve toplum için
hükümetlerin siber savunma kampanyalarına şimdiden uzayda sessizce başladıkları
düşünülüyor.
3. Mesajlaşma
platformlarında kimlik avı saldırıları artacak. SMS avı
olarak bilinen metin tabanlı kimlik avı, yıllar içinde istikrarlı bir şekilde
arttı. E-posta sosyal mühendisliği gibi hedeflenmemiş cazibeli mesajların büyük
kullanıcı gruplarına spam olarak gönderilmesiyle başladı. Ancak son zamanlarda
belki de patronlar da dahil olmak üzere tanıdık birinden gelen mesajlar gibi
görünen daha hedefli metinlere dönüştü. Buna paralel olarak kısa mesajlar için
tercih edilen platformlar da gelişti. Kullanıcılar ve özellikle profesyoneller
NIST, çeşitli operatör ihlalleri ve Signaling System 7 (SS7) gibi operatör
standartlarındaki zayıflıklar sayesinde açık metin SMS mesajlarının
güvensizliğini fark etti. Bu durum, birçok kişinin iş metin mesajlarını
WhatsApp, Facebook Messenger ve hatta Teams, Slack gibi alternatif uygulamalara
taşımasına neden oldu. WhatsApp ve benzeri birçok mesajlaşma platformunda
hedeflenen kimlik avı mesajlarının 2022'de ikiye katlanmasını bekleniyor.
4. Parolasız kimlik
doğrulama, MFA olmadan uzun sürede başarısız kalacak. Windows
parolasız hale geldi. Dijital doğrulama için yalnızca parolalardan uzaklaşmayı
kutlarken, tüm tek faktörlü kimlik doğrulama mekanizmalarının yanlış seçim
olduğu ve eski parola hatalarını tekrarladığı düşünülüyor. Windows 10 ve 11
artık Hello (Microsoft'un biyometrisi), bir Fido donanım belirteci veya bir
kerelik şifreli (OTP) bir e-posta gibi seçenekleri kullanarak tamamen şifresiz
kimlik doğrulaması ayarlamanıza izin verecek. Ancak dijital kimlik doğrulaması
için çok faktörlü kimlik doğrulama çözümleri kullanılmalıdır. Hello'yu yine de
kolay bir kimlik doğrulama faktörü olarak kullanabilsek de kuruluşlar,
kullanıcıları cep telefonunuza şifreli bir kanal üzerinden gönderilen anında
iletme onayı gibi başka bir öğeyle eşleştirmeye teşvik etmelidir. Kısaca 2022
yılında Windows parolasız kimlik doğrulamanın başlayacağı ancak hackerlerin ve
araştırmacıların bu çözümü kolayca atlayarak geçmişteki vakaların
tekrarlanabileceği öngörülüyor.
5. Şirketler artan
maliyetlere rağmen siber sigortayı artıracak. 2013'te
başlayan fidye yazılımlarının astronomik başarısından bu yana siber güvenlik
sigortacıları, müşterileri bu tehditlere karşı korumak için ödeme
maliyetlerinin önemli ölçüde arttığını fark etti. S&P Global'in bir
raporuna göre, siber sigortacıların zarar oranı 2020'de art arda üçüncü yılda
25 puan kısacası %72'den fazla arttı. Bu durum, bağımsız siber sigorta poliçe
primlerinin 2020'de %28,6 artarak 1,62 milyar ABD dolarına ulaşmasıyla
sonuçlandı. Sonuç olarak, müşteriler için siber güvenlik gereksinimlerini büyük
ölçüde artırdılar. Sadece sigorta fiyatı artmakla kalmadı, aynı zamanda
sigortacılar artık siber güvenlikle ilgili kapsama alanı sağlamadan önce
müşterilerin güvenliğini aktif olarak taramaya ve denetlemeye başladı. Kurumlar
2022'de, uzaktan erişimde çok faktörlü kimlik doğrulama (MFA) dahil olmak üzere
uygun korumalara sahip değilse siber sigortayı istedikleri fiyattan veya hiç
alamayabilirler. Diğer düzenlemeler ve uyumluluk standartları gibi güvenlik ve
denetime odaklanan bu yeni sigorta işlemleri, şirketlerin 2022'de savunmayı
iyileştirmeye yönelik yeni bir odak noktası oluşturacak.
6. Sıfır Güven yaklaşımı
benimsenecek. Geçtiğimiz yıllar boyunca saldırganların
temel güvenlik ilkelerini takip etmeyen kuruluşları sömürürken yanal olarak
hareket edebilecekleri ve erişim düzeylerini yükseltebilecekleri görüldü. Son
zamanlarda ise Zero Trust adı altında “modern” bir bilgi güvenliği mimarisi
popülerlik kazandı. Sıfır Güven yaklaşımı temel olarak “ihlalin varsayılması”
anlamına gelir. Başka bir bakışla, bir saldırganın varlıklarınızdan veya
kullanıcılarınızdan birinin güvenliğini zaten ihlal ettiğini varsaymak ve ağ
güvenlik korumalarınızı, daha kritik sistemlere yanal olarak hareket etme
yeteneklerini sınırlayacak şekilde tasarlamaktır. Sıfır güven yaklaşımı
hakkındaki tartışmalarda "mikro segmentasyon" ve "iddia edilen
kimlik" gibi terimlerin kullanıldığı görülecek. Ancak çoğu kişi bu trend
mimarinin, güçlü kimlik doğrulama fikrinin mevcut, uzun süredir devam eden güvenlik
ilkeleri üzerine inşa edildiğini fark edecektir. 2022'de kurumların çoğunun
sonunda tüm ağlarında en eski güvenlik kavramlarından bazılarını hayata
geçirecek ve buna Sıfır Güven diyeceklerini tahmin ediliyor.
YORUMLAR