Kurumsal yardım masası, uzun zamandan beri arayanlar için favori bir hedef olmuştur. sosyal mühendislik şemalarını kullanın bir organizasyonun siber savunmasına nüfuz etmenin bir yolu olarak. Bununla birlikte, bu tür tehditler her zaman mevcut olabileceği gibi, yardım masası genellikle göz ardı edilen çok daha ciddi başka bir tehdit oluşturmaktadır. Bu tehdit, yardım masası personelinin sık sık kuruluşun en hassas verilerine erişmelerini sağlayabilecek bilgilere maruz kalmalarından kaynaklanmaktadır.
Her kuruluş, yardım masası çalışanlarının güvenilir olduğunu varsaymak ister ve çoğu durumda yardım masası personelinin kötü bir niyeti yoktur. Ancak, dolandırıcı bir çalışanın bir kuruluşun verilerini kişisel kazanç için kullandığı olaylar olmuştur. Birkaç yıl önce Trend Micro ihlali. Hileli bir destek teknisyeninin makul bir şekilde neden olabileceği hasar miktarı göz önüne alındığında, zarar potansiyelini sınırlamak için adımlar atmak mantıklıdır.
Sıfır Güvene Geçiş
Son birkaç yıldaki en büyük siber güvenlik girişimlerinden biri, sıfır güven güvenliğine geçiş olmuştur. Yardım masası personelinin son derece hassas bilgilere maruz kalmasını sınırlamak, mevcut sıfır güven girişimleriyle mükemmel bir uyum içindedir. Ancak bu tür kontrolleri uygulamak çok daha zor olabilir. Sonuçta, bir kuruluş onların işlerini yapma yeteneklerini etkilemeden destek personeline gerçekçi bir şekilde nasıl sınır koyabilir?
Yardım masasına sıfır güven getirmenin iyi bir ilk adımı, yardım masası çalışanlarını hassas veya potansiyel olarak zarar verici bilgilere sahip olabilecek durumları belirlemektir. Bu durumlar belirlendikten sonra, bir kuruluş, haydut bir yardım masası çalışanının zarar vermesini zorlaştıracak alternatif destek yöntemleri bulmaya çalışabilir.
Güvenlik ve Maliyet Kontrolü için Self Servis Parola Sıfırlama
Birçok kuruluş, aşağıdaki gibi bir araç kullanarak self servis parola sıfırlama yetenekleri uygulamıştır: Specops uReset Veya benzeri; bu genellikle öncelikle maliyet düşürücü bir önlem olarak yapılır. A 2Gartner tarafından 020 çalışması “Parola biletlerinin yardım masasının zamanının %31 ila %40’ını tükettiğini” tahmin ediyor ve bu da artabilir. Bununla birlikte, self servis parola sıfırlama mekanizması, yardım masası çalışanlarının aldığı parola sıfırlama isteklerinin sayısını büyük ölçüde azalttığı için güvenliği artırmaya da yardımcı olabilir. Bu, yardım masasına ulaşan isteklerin, yardım masasının her gün çok sayıda parola sıfırlama isteğine yanıt vermesi durumunda olabileceğinden daha fazla inceleme alacağı anlamına gelir.
Kullanıcılara kendi parolalarını sıfırlama olanağı vermek harika bir ilk adımdır, ancak yardım masası çalışanlarının kullanıcı parolalarını sıfırlama ihtiyacını ortadan kaldırmaz. Ara sıra, bir kullanıcının biraz ihtiyaç duyduğu durumlar olabilir. parola sıfırlamayla ilgili ek yardım. Yardım masası personelinin parolaları hala sıfırlayabiliyor olması, sahte bir yardım masası çalışanının, bu hesaba erişim sağlamanın bir yolu olarak hassas bir hesapla ilişkili parolayı makul bir şekilde sıfırlayabileceği anlamına gelir.
Parola Sıfırlama İsteklerinin Doğrulanmasıyla İlgili Sorun
Başka bir sorun, yardım masası personelinin parola sıfırlama isteklerini doğrulama biçiminde yatmaktadır. Daha önce belirtildiği gibi, yardım masası, bir kuruluşa erişim sağlamanın bir yolu olarak sosyal mühendislik planlarını kullanmak isteyenler için uzun zamandır favori bir hedef olmuştur. Bu nedenle, çoğu kuruluş, bir parola sıfırlama isteği vermeden önce, bir yardım masası teknisyeninin arayanın kimliğini doğrulamak için bir şeyler yapmasını gerektiren ilkeleri uygulamaya koymuştur. Ancak, kuruluşu korumak için tasarlanan kimlik doğrulama süreci, son derece hassas bilgileri sahtekar bir yardım masası teknisyeninin eline verebilir.
Bir an için üst düzey bir kullanıcının hesabının kilidini açmak ve şifresini sıfırlamak için yardım masasına başvurduğunu hayal edin. Teknisyen, arayanın yanıtladığı bir güvenlik sorusu sorarak arayanın kimliğini doğrulayabilir. Arayanın güvenlik sorusuna!
Sıfır Güven Parola Sıfırlama
Bunu akılda tutarak, parola sıfırlama ve hesap kilit açma işlemlerine sıfır güven yaklaşımının nasıl görünebileceğini düşünün. Süreç, bir kullanıcı yardım almak için yardım masasıyla iletişime geçtiğinde başlar. Daha önce olduğu gibi, yardım masası personeli arayanın kimliğini doğrulamak için bir şeyler yapmalıdır. Ancak teknisyen, arayan kişiye güvenlik sorusunun yanıtını sormak yerine, arayandan sorunun yanıtının son üç harfini vermesini isteyebilir. Bu şekilde, teknisyene hiçbir zaman tam cevap verilmez. Alternatif olarak, kullanıcıdan akıllı telefonuna gönderilen bir kod aracılığıyla veya başka bir kimlik sağlayıcısında oturum açarak kimliğini doğrulaması istenebilir.
Bu iyi bir başlangıç olsa da, yapbozun çok önemli bir parçası daha var. Kullanıcı kimliği doğrulama sürecinin, yardım masası teknisyeninin, kimliği doğrulanana kadar kullanıcının parolasını fiziksel olarak sıfırlayamayacağı şekilde yapılandırılması gerekir. Bu yalnızca sosyal mühendislik saldırılarına karşı koruma sağlamakla kalmaz, aynı zamanda sahte bir teknisyenin bir kullanıcının hesabına erişim sağlamak amacıyla yetkisiz parola sıfırlamaları yapmasını da önler.
Active Directory’ye ve yaygın olarak kullanılan diğer kimlik doğrulama hizmetlerine entegre edilen parola sıfırlama yetenekleri, sıfır güven ortamında kullanılmalarına izin verecek özelliklerden yoksundur, bu nedenle üçüncü taraf yazılımı kullanmak tek geçerli seçenektir. gibi bir araç Specops Güvenli Hizmet Masası kuruluşlara kullanıcı kimlik doğrulamasını zorunlu kılarak kullanıcının kimliğini olumlu bir şekilde doğrulamak için ihtiyaç duydukları araçları sağlayarak yardım masasına sıfır güven getirir. Kullandığınız herhangi bir yazılım çözümü, teknisyenlerin yetkisiz parola sıfırlamaları gerçekleştirmesini veya kullanıcıların güvenlik sorularının yanıtlarına erişmesini de engellemelidir.
yazar hakkında
Brien Posey, 20 kez Microsoft MVP’si ve uluslararası alanda en çok satan teknoloji yazarı ve konuşmacısıdır. 30 yıllık BT deneyimine ek olarak, Posey son birkaç yılını uzaydan kutupsal mezosferik bulutları inceleme görevine hazırlanmak için ticari bir astronot adayı olarak eğitimle geçirdi. Posey’in web sitesini şu adresten ziyaret edebilirsiniz: http://www.brienposey.com.