Dijital sistemlere yönelik saldırılar denildiğinde çoğu zaman kurum dışındaki saldırganlar, siber saldırılar, kötü amaçlı yazılımlar veya kimlik avı kampanyaları akla gelir. Ancak kurumların güvenliği yalnızca dışarıdan gelebilecek tehditlere karşı korunmakla sağlanamaz. Kurum içerisinde sistemlere, uygulamalara, ağlara veya hassas verilere erişimi bulunan kişilerin gerçekleştirdiği kasıtlı ya da kasıtsız davranışlar da ciddi güvenlik riskleri oluşturabilir.

Bu riskler genel olarak İç Tehditler olarak değerlendirilir. Bir çalışanın hassas bir dosyayı yanlışlıkla yetkisiz bir kişiye göndermesi, ayrıcalıklı bir hesabın kötüye kullanılması, kurum verilerinin bilinçli olarak dışarı çıkarılması veya ele geçirilmiş bir çalışanın hesabının saldırganlar tarafından kullanılması farklı İç Tehdit Saldırıları örnekleri arasında değerlendirilebilir. CISA'ya göre iç tehdit, bir kişinin sahip olduğu yetkili erişimi veya kurum hakkındaki özel bilgisini kullanarak kuruma zarar verme potansiyelini ifade eder. Bu zarar kasıtlı olabileceği gibi ihmal veya hata sonucunda da ortaya çıkabilir.

İç Tehdit Nedir?

İç Tehdit, bir kurumun çalışanı, yüklenicisi, iş ortağı veya kurum kaynaklarına yetkili erişimi bulunan başka bir kişinin bu erişimi kötüye kullanması ya da istemeden güvenlik riski oluşturması durumudur.

Buradaki en önemli nokta, saldırganın sisteme dışarıdan girmek zorunda olmamasıdır. Kullanıcının zaten sahip olduğu kimlik doğrulama, erişim izinleri, sistem bilgisi veya kurumsal kaynaklara erişim yetkileri saldırının gerçekleşmesini kolaylaştırabilir.

Bu nedenle İç Tehditler, klasik dış kaynaklı saldırılardan farklı bir güvenlik problemi oluşturur. Harici bir saldırganın önce güvenlik kontrollerini aşması gerekirken içeriden kaynaklanan bir tehdit, mevcut erişim yetkilerinden yararlanabilir.

NIST de iç tehdidi, yetkili erişimin bilerek veya farkında olmadan kurumsal güvenliğe zarar verecek şekilde kullanılabilmesi üzerinden tanımlar.

İç Tehditlerin Kaynağı Kimler Olabilir?

İç tehdit denildiğinde yalnızca kurum çalışanlarını düşünmek doğru değildir. Kurumun bilgi sistemlerine veya fiziksel kaynaklarına erişimi bulunan farklı kişi ve gruplar risk oluşturabilir.

Çalışanlar

Çalışanlar, kurumun günlük operasyonları sırasında çok sayıda sisteme ve veriye erişebilir. Bu erişim; e-posta hesaplarından dosya sunucularına, kurumsal uygulamalardan müşteri verilerine kadar geniş bir alanı kapsayabilir.

Bir çalışanın kötü niyetli davranması durumunda sahip olduğu yetkiler veri hırsızlığı, sabotaj veya yetkisiz bilgi paylaşımı gibi sonuçlara yol açabilir. Bununla birlikte çalışanın kötü niyetli olması da gerekmez. Yanlış dosyanın paylaşılması, şüpheli bir e-postadaki bağlantının açılması veya hassas verilerin kişisel bir cihaza aktarılması da güvenlik olayına dönüşebilir.

Ayrıcalıklı Kullanıcılar

Sistem yöneticileri ve yüksek yetkili hesaplara sahip kullanıcılar daha büyük risk oluşturabilir. Çünkü bu hesaplar standart kullanıcılara kıyasla daha fazla sisteme erişebilir.

Örneğin bir sistem yöneticisinin kritik bir sunucuda yaptığı değişiklikler, normal bir kullanıcıya göre çok daha geniş sonuçlar doğurabilir. Bu nedenle ayrıcalıklı erişim yönetimi, iç tehditlere karşı güvenlik yaklaşımının önemli parçalarından biridir.

Yükleniciler ve İş Ortakları

Kurumların dış hizmet sağlayıcılarla çalışması, üçüncü taraf erişimlerini de beraberinde getirir. Bakım, danışmanlık, yazılım geliştirme veya teknik destek amacıyla verilen hesaplar belirli sistemlere erişim sağlayabilir.

Bu hesapların gereğinden uzun süre aktif kalması veya gereğinden fazla yetkiye sahip olması, saldırı yüzeyi üzerinde önemli bir risk oluşturabilir.

Eski Çalışanlar

Çalışanın kurumdan ayrılmasıyla birlikte erişim yetkilerinin zamanında kapatılmaması da önemli bir güvenlik problemidir.

Kullanılmayan hesapların aktif bırakılması, eski çalışanların kurum sistemlerine erişmeye devam etmesine neden olabilir. Bu nedenle çalışanların işe başlaması, görev değişikliği ve kurumdan ayrılması gibi süreçlerin erişim yönetimiyle birlikte ele alınması gerekir.

İç Tehdit Türleri Nelerdir?

İç Tehditler yalnızca kötü niyetli çalışanlardan oluşmaz. Tehdidin ortaya çıkış biçimine göre farklı kategorilerden söz edilebilir.

Kötü Niyetli İç Tehdit

Kötü niyetli iç tehdit, kişinin kurumun kaynaklarına zarar vermeyi veya bunları kendi çıkarı için kullanmayı bilinçli şekilde tercih etmesidir.

Bu tür bir tehditte çalışan veya yetkili kullanıcı;

• Hassas verileri dışarı çıkarabilir.
• Kurumsal bilgileri üçüncü taraflarla paylaşabilir.
• Kritik sistemlerde yetkisiz değişiklikler yapabilir.
• Kuruma ait fikri mülkiyeti çalabilir.
• Hesap veya erişim yetkilerini kötüye kullanabilir.
• Sistemlerin çalışmasını engelleyebilir.
• Kurumsal kaynakları kişisel amaçlarla kullanabilir.

Bu nedenle kötü niyetli kullanıcıların tespit edilmesi yalnızca antivirüs veya uç nokta güvenliği çözümleriyle sınırlı değildir. Kullanıcı davranışlarının ve erişim hareketlerinin de değerlendirilmesi gerekir.

İhmalkâr İç Tehdit

İhmalkâr kullanıcılar doğrudan zarar verme amacı taşımayabilir. Ancak güvenlik politikalarının ihlal edilmesi veya dikkatsiz davranılması ciddi sonuçlar doğurabilir.

Örneğin bir çalışanın kurumsal hesabına ait parolayı başka biriyle paylaşması, bilinmeyen bir dosyayı açması, hassas bir belgeyi yanlış kişiye göndermesi veya güvenli olmayan bir cihaz üzerinden kurumsal verilere erişmesi bu kategoriye girebilir.

CISA'nın iç tehdit yaklaşımı da kasıtsız ve ihmalkâr davranışların iç tehdit kapsamında değerlendirilebileceğini özellikle vurgulamaktadır.

Ele Geçirilmiş Hesaplar

Her iç tehdit doğrudan gerçek bir çalışan tarafından oluşturulmak zorunda değildir.

Bir çalışanın hesabı kimlik avı, parola hırsızlığı veya başka bir siber saldırı sonucunda ele geçirildiğinde saldırgan, kurum ağı içerisinde gerçek kullanıcının kimliğiyle hareket edebilir.

Bu durum özellikle tehlikelidir çünkü saldırgan dışarıdan gelen bilinmeyen bir hesap yerine, kurum tarafından daha önce yetkilendirilmiş bir hesabı kullanmaktadır.

Bu nedenle kimlik doğrulama, çok faktörlü kimlik doğrulama ve kullanıcı davranışlarının izlenmesi iç tehditlerin tespitinde önemli rol oynar.

İç Tehditler Neden Tehlikelidir?

İç tehditlerin en önemli özelliklerinden biri, saldırganın veya risk oluşturan kişinin kurum hakkında bilgi sahibi olmasıdır.

Bir çalışan hangi sistemlerin kritik olduğunu, hangi verilerin değerli olduğunu, hangi kullanıcıların yüksek yetkiye sahip olduğunu veya belirli süreçlerin nasıl çalıştığını biliyor olabilir. Bu bilgi, saldırının daha hedefli gerçekleştirilmesine yardımcı olabilir.

Ayrıca kurumun güvenlik sistemleri çoğunlukla dışarıdan gelen şüpheli hareketleri tespit etmeye odaklanırken, yetkili bir kullanıcının normal görünen hareketleri daha zor ayırt edilebilir.

Örneğin bir çalışanın dosya sunucusundan dosya indirmesi normal bir faaliyet olabilir. Ancak aynı kullanıcı kısa süre içerisinde normal iş akışıyla ilgisi olmayan binlerce hassas dosyayı indirmeye başlarsa bu davranış farklı şekilde değerlendirilmelidir.

Burada önemli olan yalnızca yapılan işlemin kendisi değil, işlemin kullanıcının normal davranışından ne kadar farklı olduğudur.

İç Tehditler Nasıl Gerçekleşebilir?

Bir iç tehdit saldırısı birçok farklı yöntemle ortaya çıkabilir.

Veri Hırsızlığı

Çalışan veya yetkili kullanıcı, kurumun hassas bilgilerini kişisel cihazına, harici depolama alanına veya başka bir sisteme aktarabilir.

Özellikle müşteri bilgileri, finansal kayıtlar, kaynak kodları, ticari sırlar ve fikri mülkiyet gibi veriler yüksek değer taşıyabilir.

Bu nedenle veri kaybı önleme (DLP) mekanizmaları, hassas verilerin kurum dışına çıkarılmasını kontrol etmek açısından önemlidir.

Yetki Kötüye Kullanımı

Kullanıcının sahip olduğu yetkinin amacı dışında kullanılması da önemli bir iç tehdit örneğidir.

Örneğin bir kullanıcının yalnızca belirli bir uygulamayı yönetmesi gerekirken başka departmanların hassas verilerine erişebilmesi, gereksiz yetkilendirmelerin oluşturduğu riski gösterir.

Bu nedenle en az ayrıcalık ilkesi (Least Privilege) uygulanmalıdır. CISA da kullanıcıların yalnızca ihtiyaç duydukları bilgi, ağ, donanım ve uygulamalara erişebilmesini önererek bu yaklaşımın iç tehdit riskini azaltmadaki önemine dikkat çekmektedir.

Hesap Paylaşımı

Bir hesabın birden fazla kişi tarafından kullanılması, yapılan işlemlerin gerçek sorumlusunun belirlenmesini zorlaştırır.

Özellikle yönetici hesaplarında hesap paylaşımı, log yönetimi, olay analizi ve olay müdahalesi süreçlerini ciddi şekilde zorlaştırabilir.

Bu nedenle kullanıcı hesaplarının kişiye özel olması ve kritik işlemlerin izlenebilir şekilde gerçekleştirilmesi gerekir.

Sistem Sabotajı

Kötü niyetli bir çalışan kritik sistemleri değiştirebilir, dosyaları silebilir veya servislerin çalışmasını engelleyebilir.

Özellikle yüksek yetkili kullanıcıların kritik sistemlere erişebilmesi nedeniyle bu tür tehditlerde erişim kontrolü, kayıt tutma ve değişiklik yönetimi büyük önem taşır.

İç Tehditlerin Belirtileri Nelerdir?

İç tehditleri tespit etmek her zaman kolay değildir. Tek bir davranış doğrudan saldırı anlamına gelmeyebilir. Bu nedenle güvenlik ekiplerinin tekil olaylardan ziyade davranış örüntülerini değerlendirmesi gerekir.

Şüpheli olabilecek bazı göstergeler şunlardır:

• Kullanıcının normalden çok daha fazla veri indirmesi.
• Çalışma alanıyla ilgisi olmayan sistemlere erişmeye başlaması.
• Çok sayıda başarısız kimlik doğrulama girişimi.
• Normal çalışma saatleri dışında olağandışı erişimler.
• Yetki yükseltme girişimleri.
• Hassas dosyaların toplu şekilde kopyalanması.
• Harici depolama cihazlarının olağandışı kullanımı.
• Normalden farklı ülkelerden veya konumlardan giriş yapılması.
• Güvenlik politikalarının tekrar tekrar ihlal edilmesi.
• Kullanıcının hesabında daha önce görülmeyen uygulama veya servis aktiviteleri.

Ancak bu göstergelerin tek başına kişinin kötü niyetli olduğunu kanıtlamadığı unutulmamalıdır. Güvenlik ekiplerinin teknik verileri bağlam içerisinde değerlendirmesi gerekir.

İç Tehditler Nasıl Önlenir?

İç tehditlerin tamamen ortadan kaldırılması gerçekçi bir hedef değildir. Bunun yerine kurumlar; erişimi sınırlandırmalı, şüpheli davranışları tespit etmeli ve olay gerçekleştiğinde etkisini azaltabilecek güvenlik kontrolleri oluşturmalıdır.

En Az Ayrıcalık İlkesini Uygulamak

Kullanıcılara yalnızca görevlerini gerçekleştirmek için ihtiyaç duydukları yetkiler verilmelidir.

Bir kullanıcının yönetici yetkisine ihtiyacı yoksa bu yetki verilmemelidir. Aynı şekilde bir departmanın erişmesi gerekmeyen hassas verilere erişim izni bulunmamalıdır.

Bu yaklaşım, bir hesabın ele geçirilmesi durumunda saldırganın hareket alanını da sınırlar.

Çok Faktörlü Kimlik Doğrulama

Çok faktörlü kimlik doğrulama (MFA), yalnızca parola ile gerçekleştirilen girişlerin güvenlik seviyesini artırır.

Bir çalışanın parolası ele geçirilse bile saldırganın ikinci doğrulama faktörüne sahip olmaması, hesabın doğrudan kullanılmasını zorlaştırabilir.

MFA tek başına iç tehdit problemini çözmez ancak özellikle hesap ele geçirme kaynaklı riskleri azaltan önemli bir güvenlik katmanıdır.

Kullanıcı Aktivitelerini İzlemek

Kurumların kritik sistemlerde gerçekleştirilen işlemleri kayıt altına alması gerekir.

Log yönetimi sayesinde kullanıcı girişleri, dosya erişimleri, yetki değişiklikleri ve sistem aktiviteleri incelenebilir. Bu kayıtlar gerektiğinde SIEM gibi merkezi güvenlik platformlarında ilişkilendirilerek şüpheli davranışların tespit edilmesine yardımcı olabilir.

Örneğin normalde yalnızca birkaç dosyaya erişen bir kullanıcının kısa süre içinde binlerce hassas dosyaya erişmesi, diğer olaylarla birlikte değerlendirildiğinde önemli bir uyarı oluşturabilir.

Çalışan Farkındalığını Artırmak

İç tehditlerin önemli bir bölümü kötü niyetten değil, hatalardan kaynaklanabilir. Bu nedenle teknik güvenlik kontrollerinin yanında çalışanların güvenlik farkındalığının artırılması gerekir.

Çalışanlara kimlik avı, parola güvenliği, hassas veri yönetimi, cihaz güvenliği ve şüpheli olayların bildirilmesi gibi konularda düzenli eğitim verilmesi kurumun genel güvenlik seviyesini yükseltebilir.

Hesapların Düzenli Olarak Gözden Geçirilmesi

Kullanıcıların sahip olduğu yetkiler belirli aralıklarla kontrol edilmelidir.

Görev değişikliği, departman değişimi veya işten ayrılma gibi durumlarda erişim hakları yeniden değerlendirilmelidir. Kullanılmayan hesapların devre dışı bırakılması ve gereksiz ayrıcalıkların kaldırılması saldırı yüzeyinin küçültülmesine yardımcı olur.

Veri Erişimini Sınırlamak

Her çalışanın bütün kurumsal verilere erişmesi gerekmemektedir.

Hassas veriler sınıflandırılmalı ve erişim izinleri iş gereksinimine göre belirlenmelidir. Böylece bir kullanıcının hesabı ele geçirilse dahi saldırganın ulaşabileceği veri miktarı sınırlandırılabilir.

İç Tehditlerde SIEM'in Rolü

SIEM, farklı sistemlerden gelen güvenlik kayıtlarını merkezi bir noktada toplayarak olayların analiz edilmesine yardımcı olur.

İç tehdit açısından SIEM'in önemli avantajlarından biri, kullanıcı davranışlarının farklı sistemlerdeki olaylarla birlikte değerlendirilebilmesidir.

Örneğin bir kullanıcı önce olağandışı bir şekilde giriş yapabilir, ardından yetkili olmadığı bir kaynağa erişmeye çalışabilir ve kısa süre içerisinde büyük miktarda veri indirebilir. Bu olayların ayrı ayrı değerlendirilmesi normal görünebilirken birlikte incelendiğinde daha anlamlı bir güvenlik göstergesi ortaya çıkabilir.

Bu nedenle SIEM, iç tehditlerin tespitinde tek başına çözüm olmamakla birlikte merkezi görünürlük ve korelasyon açısından önemli bir güvenlik katmanı oluşturur.

İç Tehditlerde EDR ve Kullanıcı Davranışı Analizi

EDR, uç noktalarda gerçekleşen işlemleri izleyerek şüpheli aktivitelerin belirlenmesine yardımcı olabilir.

Bir kullanıcının hangi işlemleri çalıştırdığı, hangi dosyalara eriştiği, hangi süreçleri başlattığı veya hangi bağlantıları kurduğu gibi bilgiler olay incelemelerinde kullanılabilir.

Bunun yanında kullanıcı davranışlarının analiz edilmesi de önemlidir. Kullanıcının normal davranışından belirgin şekilde uzaklaşması, güvenlik ekipleri için inceleme başlatılabilecek bir sinyal oluşturabilir.

Burada amaç çalışanları sürekli olarak şüpheli görmek değil, teknik verileri kullanarak olağandışı davranışları objektif biçimde tespit etmektir.

İç Tehditlerde Olay Müdahalesi

Bir iç tehdit tespit edildiğinde kurumun hızlı ve kontrollü şekilde hareket etmesi gerekir.

İlk aşamada olayın gerçekten güvenlik riski oluşturup oluşturmadığı değerlendirilmelidir. Daha sonra ilgili hesabın erişimleri sınırlandırılabilir, gerekli sistem kayıtları korunabilir ve olayın kapsamı araştırılabilir.

Özellikle yüksek yetkili bir hesabın şüpheli davranış göstermesi durumunda müdahalenin plansız yapılması yeni problemlere neden olabilir. Bu nedenle kurumların önceden hazırlanmış bir olay müdahalesi prosedürüne sahip olması önemlidir.

İnceleme sırasında kullanıcı aktiviteleri, sistem kayıtları, erişim geçmişi, dosya hareketleri ve diğer güvenlik olayları birlikte değerlendirilmelidir.

İç Tehditler ile Dış Tehditler Arasındaki Fark

Dış tehditlerde saldırgan genellikle kurumun dışında bulunur ve sistemlere erişebilmek için çeşitli saldırı yöntemleri kullanır. İç Tehditler ise çoğunlukla kurumun güven ilişkisini ve mevcut erişim yetkilerini kullanır.

Bu nedenle iki tehdit türünün güvenlik göstergeleri farklı olabilir.

Dış saldırılarda olağandışı IP adresleri, tarama faaliyetleri veya saldırı girişimleri önemli göstergeler olabilirken iç tehditlerde yetkili hesapların olağandışı kullanımı, veri erişimi ve kullanıcı davranışındaki değişiklikler daha önemli hale gelebilir.

Bu durum kurumların yalnızca dış tehditlere odaklanan bir güvenlik mimarisi yerine, kullanıcıları ve erişimleri de güvenlik modelinin bir parçası olarak değerlendirmesini gerekli kılar.

Sıkça Sorulan Sorular

İç Tehdit nedir?

İç Tehdit, bir kurum içerisinde yetkili erişime veya kurumsal kaynaklar hakkında bilgiye sahip bir kişinin bu erişimi kötüye kullanması ya da istemeden güvenlik riski oluşturmasıdır. Tehdit çalışanlardan, yüklenicilerden, iş ortaklarından veya ele geçirilmiş kullanıcı hesaplarından kaynaklanabilir.

İç tehditlerin tamamı kötü niyetli midir?

Hayır. İç tehditler kasıtlı veya kasıtsız olabilir. Bir çalışanın bilinçli şekilde veri çalması kötü niyetli iç tehdide örnek olurken, hassas bir dosyanın yanlış kişiye gönderilmesi veya kimlik avı saldırısına karşı gerekli dikkatin gösterilmemesi kasıtsız bir iç tehdit oluşturabilir. CISA da iç tehditlerin önemli bir bölümünün kasıtsız veya ihmalkâr davranışlarla ortaya çıkabileceğini belirtmektedir.

İç tehditler nasıl tespit edilir?

İç tehditlerin tespitinde kullanıcı aktiviteleri, loglar, erişim kayıtları, kimlik doğrulama olayları, dosya hareketleri ve sistem aktiviteleri birlikte incelenebilir. SIEM, EDR ve davranış analizi gibi teknolojiler bu süreçte güvenlik ekiplerine görünürlük sağlayabilir.

En büyük iç tehdit kaynağı çalışanlar mıdır?

Çalışanlar önemli bir kaynak olsa da risk yalnızca çalışanlarla sınırlı değildir. Yükleniciler, hizmet sağlayıcılar, iş ortakları, eski çalışanların açık bırakılmış hesapları ve ele geçirilmiş kullanıcı hesapları da iç tehdit kapsamında değerlendirilebilir.

İç tehditlere karşı hangi güvenlik önlemleri alınmalıdır?

En az ayrıcalık, güçlü kimlik doğrulama, MFA, düzenli erişim incelemeleri, kullanıcı farkındalık eğitimleri, merkezi log yönetimi, SIEM, EDR, veri erişim kontrolleri ve etkili olay müdahalesi süreçleri birlikte uygulanmalıdır.

İç tehditleri tamamen ortadan kaldırmak mümkün müdür?

Hiçbir güvenlik yaklaşımı iç tehdit riskini tamamen ortadan kaldıramaz. Bunun yerine kurumların riski azaltması, erken tespit mekanizmaları oluşturması ve olası bir olayın etkisini sınırlandırması gerekir. NIST'in yaklaşımında da iç tehdit programları; yetkisiz bilgi açıklamalarını caydırmak, tespit etmek ve azaltmak üzere koordineli yeteneklerden oluşmaktadır.

İç Tehditlere Karşı Güvenlik Yaklaşımı

İç Tehditler, kurumların yalnızca dışarıdan gelebilecek siber saldırılara odaklanarak göz ardı edemeyeceği bir güvenlik problemidir. Kurumun kendi çalışanları veya iş ortakları tarafından kullanılan meşru erişimlerin kötüye kullanılması, dış saldırılardan farklı bir risk modeli ortaya çıkarırken; ihmal ve insan hataları da aynı şekilde ciddi güvenlik sonuçlarına yol açabilir.

Etkili bir yaklaşım yalnızca çalışanları izlemekten ibaret olmamalıdır. En az ayrıcalık, güçlü kimlik doğrulama, düzenli erişim kontrolleri, çalışan farkındalığı, merkezi log yönetimi, SIEM, EDR, veri güvenliği ve kapsamlı olay müdahalesisüreçleri birlikte değerlendirilmelidir.

İç tehditlerin yönetimindeki temel amaç çalışanları potansiyel saldırganlar olarak görmek değil, kurumun sahip olduğu güven ilişkisini güvenlik kontrolleriyle desteklemektir. Doğru erişim politikaları ve yeterli görünürlük sağlandığında hem kasıtlı tehditlerin hem de insan hatalarından kaynaklanan güvenlik olaylarının etkisi önemli ölçüde azaltılabilir.