Hizmet olarak yazılım uygulamalarının güvenlik ayarları söz konusu olduğunda büyük bir yanlış anlama var. SaaS uygulamaları, sağlam bir yerel güvenlik özellikleri seti ile birlikte gelir – ancak her birinin doğru şekilde yapılandırıldığından emin olmak kuruluşun güvenlik ekiplerine düşer ve manuel olarak yapıldığında üstesinden gelinmesi imkansız olan günlük bir yük oluşturur.
SaaS güvenliği için en önemli sorunlar şunlardan kaynaklanır:
- Kontrol eksikliği büyüyen SaaS uygulama mülkü üzerinde
- Yaşam döngüsünde yönetişim eksikliği SaaS uygulamalarının satın alınmasından dağıtıma, işletime ve bakıma kadar
- Görünürlük eksikliği SaaS uygulama mülkündeki tüm yapılandırmaların
- Beceri boşluğu her SaaS uygulamasının yapısını, terminolojisini ve teknolojisini bilerek
- zahmetli ve ezici iş yükü yüzlerce ila binlerce (on binlerce) ayar ve izin üzerinde kalmak için.
Gartner, güvenlik risklerini sürekli olarak değerlendirerek ve güvenlik ekiplerinin SaaS uygulamalarının güvenlik duruşu üzerinde görünürlük ve kontrol kazanmalarına yardımcı olarak bu sorunları çözen çözümlere atıfta bulunmak için SaaS güvenlik duruşu yönetimi (SSPM) kategorisini oluşturdu. Bir SSPM çözümü, bir işletmenin SaaS ortamının ne kadar geniş ve karmaşık hale geldiğine bakılmaksızın, SaaS yanlış yapılandırmalarının tanımlanmasını ve düzeltilmesini otomatik hale getirir. Daha da iyisi, bu, güvenlik ekibinin işin diğer kritik alanlarındaki çabalarını boşa harcamadan gerçekleştirilebilir.
Doğru SSPM çözümünü aramaya başlayanlar için, işte gerekli olan işlevlerin bir listesi eksiksiz rehber):
Entegrasyonların genişliği: Düşündüğünüz SSPM teklifinin, halihazırda kullanmakta olduğunuz ve ileride satın almayı planladığınız uygulamaların tamamı veya çoğu ile entegre edilebildiğinden emin olun. Temel bir kural olarak, kullanıma hazır en az 60 entegrasyonu barındırabilen ve ekiplerin yanlış yapılandırmaları hemen tespit edip azaltabilmesi için tüm veri türlerini kontrol edebilen sistemlerle başlamanızı öneririm.
Güvenlik alanları için kapsama derinliği: Entegrasyondan sonra sıradaki soru şudur: Kaç tane güvenlik etki alanı kontrolü değerlendirebilir? Güvenlik ekibinizin tüm SaaS uygulamalarına aşinalığı veya zamanı olmadığını ve günlük olarak binlerce ila on binlerce yapılandırmayı ve kullanıcı izinlerini takip edemediğini unutmayın. Bir SSPM’nin kontrol etmesi gereken en yaygın güvenlik etki alanlarından bazıları şunlardır:
- Kimlik ve erişim yönetimi: Şu anda istismar edilmekte olan en yaygın saldırı vektörlerine ilişkin görünürlük elde edin. Bunlara çok faktörlü kimlik doğrulama (MFA), tek oturum açma SSO’su, üçüncü taraf kullanıcı erişimi, etki alanı kimlik doğrulaması ve eski kimlik doğrulama protokolleri dahildir.
- Harici kullanıcılar için erişim kontrolü: Dış kullanıcıların doğrulanması ve güvenilmesi için yapılandırmaların doğru şekilde ayarlandığından emin olun. Bunun ötesinde, herkesin işini yapmasına izin verirken sınırlı erişim ve izinleri zorunlu kılın.
- Uyumluluk politikaları, güvenlik çerçeveleri ve karşılaştırma ölçütleri: Endüstri standartlarına ve en iyi uygulamalara karşı kıyaslama yapın. Ayrıca, kendi özel standardınızı oluşturabildiğinizden emin olun.
- Veri sızıntısı koruması: Herhangi bir kullanıcı hesabından veri sızıntısına karşı koruma sağlamak için doğru yapılandırmayı sağlayın.
- Denetim: Dijital adli tıp sağlar, özgüllük düzeyini kontrol eder ve düzenlenmiş endüstriler söz konusu olduğunda, belirli süreçler için günlükleri uygun şekilde yapılandırabilir.
- Gizlilik kontrolü: Ekiplerin, iş arkadaşları ve hizmet sağlayıcılar arasındaki görünürlüğü kontrol eden yapılandırmaları kontrol etmesine izin verin.
- Malware koruması: Sosyal mühendislik saldırılarına (örneğin, kimlik sahtekarlığı, kimlik avı ve spam) karşı koruma sağlayan ve istemci tarafı saldırılarını önleyen yapılandırmaları uygulayıp uygulayamadığını kontrol edin.
Sürekli izleme: Sorunların anında uyarılması ve hızlı bir şekilde giderilebilmesi hayati önem taşır.
- uyarılar: Herhangi bir yapılandırma kaymasını veya olası riskleri hemen tespit etmek için uyarılar ayarlayabildiğinizden emin olun.
- Etkinlik monitörü: SaaS mülkünüz genelinde ayrıcalıklı kullanıcıların ve ilgili kişilerin etkinliklerini izleme ve platformlar arası (örn. kullanıcı oluşturma) ve platforma özel etkinlikler için adli ve geriye dönük araştırmaları basitleştirme yeteneği.
- Zamanla duruş: Statik anlık görüntüler, ağ değişikliklerini görüntülemek için yeterli değildir. SaaS ortamınızın zaman çizelgesi görünümünü sağlayan bir sistem arayın, böylece değişiklikleri algılayabilir ve sisteminizin nasıl geliştiğini görebilirsiniz.
Hızlı ve kolay düzeltme: Tehditlerle mücadele etmek için, herhangi bir yanlış yapılandırmanın hızlı bir şekilde düzeltilmesi çok önemlidir ve bunu destekleyecek birkaç olağanüstü yetenek vardır.
- Bağlam: Güvenlik ekipleri için bağlam hayati önem taşır. Güvenlik ekibinin yüksek riskli yanlış yapılandırmalara öncelik verebilmesi için, maruziyetin kapsamını ve ciddiyetini ve etkilenenlerle ilgili ayrıntıları paylaşabilecek sistemler bulmak yardımcı olabilir.
- Biletlendirme: İlgili ekibe (BT/güvenlik/uygulama sahibi) çağrı açıp gönderebilme, güvenlik açığını detaylandırabilme ve sorunu sorunsuz bir iş akışı içinde düzeltmek için gereken adımları açıklayabilme.
- Otomatik düzeltme: SSPM yazılımının içinden otomatik düzeltme ve güvenlik ilkelerini uygulama seçeneğine sahip olun.
Son düşünceler
Tespit ve müdahale yerine önleme çağına giriyoruz. SaaS güvenlik duruşu yönetiminin amacı budur. Nispeten yeni bir kategori; ancak, SaaS yığını için önleyici bir koruma durumu oluşturmak için gerekli olan temel bir gereksinimdir. Doğru SSPM, en yüksek SaaS güvenlik hijyenini sağlamak için yerleşik bir bilgi tabanının yanı sıra kuruluşlara tüm SaaS uygulamalarının sürekli, otomatik gözetimini sağlar.
yazar hakkında
IDF’de eski bir siber güvenlik istihbarat subayı, Maor Kutusu Siber güvenlik liderliğinde 16 yılı aşkın süredir. Kariyerinde Proofpoint’te SaaS Tehdit Tespit Araştırmasına liderlik etti ve IDI hizmeti sırasında operasyonel mükemmellik ödülünü kazandı. Maor, Bilgisayar Bilimleri alanında lisans derecesi almıştır ve güvenlik ekiplerinin SaaS uygulama güvenliği üzerinde kontrol sahibi olmalarına ve bir sızıntıya veya ihlale yol açabilecek güvenlik açıklarını önlemelerine yardımcı olmak için oluşturulmuş SaaS Güvenlik Duruş Yönetimi çözümü olan Adaptive Shield’in CEO’su ve kurucu ortağıdır.
