Giriş
Kredensyal hırsızlığı, 2025 yılında %160 oranında bir artış göstererek veri ihlallerinin beşte birine neden oldu. Bu durum, güvenlik ekipleri için kimlik doğrulamanın güvenli bir şekilde sağlanmasının önemli bir zorluk haline geldiğini göstermektedir.
Saldırı Nasıl Çalışıyor?
Siber saldırganlar, kimlik doğrulama süreçlerini geçmek için çeşitli yöntemler kullanmaktadır. Güçsüz onboarding süreçleri, statik kimlik bilgilerine aşırı güven ve tutarsız kimlik doğrulama politikaları, saldırganların suistimal edebileceği fırsatlar sunmaktadır.
1. Güçlü, Yorgunluk Dirençli Çok Faktörlü Kimlik Doğrulama Kullanın
Çok faktörlü kimlik doğrulama (MFA), kimlik doğrulamayı güçlendirmek ve hesap ele geçirilme riskini azaltmak için en etkili yöntemlerden biridir. MFA, kullanıcıların kimliğini doğrulamak için aşağıdaki faktörlerden ikisini veya daha fazlasını kullanmasını gerektirir:
- Bildiğiniz bir şey, örneğin bir şifre veya PIN.
- Sahip olduğunuz bir şey, örneğin bir akıllı telefon, doğrulayıcı uygulama veya donanım güvenlik anahtarı.
- Olduğunuz bir şey, örneğin bir parmak izi veya yüz taraması.
NIST rehberine göre, MFA, farklı kategorilerden gelen faktörlerin birleştirilmesiyle daha güçlü hale gelmektedir. Ancak, zayıf uygulamalar, prompt bombing ve SIM swapping gibi saldırılara karşı savunmasız olabilir. Organizasyonlar, aşağıdaki önlemleri alarak dayanıklılıklarını artırabilir:
- SMS veya e-posta tabanlı geçen bir kez kullanılan şifrelerden (OTP) uzaklaşmak.
- Phishing’e dayanıklı MFA yöntemlerini önceliklendirmek.
- Yerel OTP’ler oluşturan doğrulayıcı uygulamalar kullanmak.
Etkilenen Sistemler
Verizon’un Veri İhlali İnceleme Raporu, çalınan kimlik bilgileri ile gerçekleşen ihlallerin %44.7’sinin bu yöntemle olduğunu göstermektedir. Güvenli Active Directory uygulamaları ile uyumlu şifre politikaları oluşturarak önlem almak mümkündür.
2. Hizmet Masasını Sosyal Mühendislikten Koruma
Yardım masaları, sosyal mühendislik saldırılarının sık hedefi haline gelmiştir. Saldırganlar, çalışanları taklit ederek destek ekiplerini kandırıp hesaplara erişim sağlamaktadır.
Bu tür saldırılar giderek daha karmaşık hale gelmekte; yapay zeka destekli derin sahte ses kayıtları veya kamusal bilgilere dayanarak iniş yapıları oluşturulmaktadır. Bu tür durumları önlemek için, güvenilir doğrulama yöntemleri ile kullanıcıların kimliğini doğrulamak son derece önemlidir.
3. Cihaz Güvenini Kimlik Doğrulama Kararlarına Dahil Etme
Modern kimlik doğrulamaları, sadece kimlik bilgilerine dayanamaz. Saldırganlar, oturum çerezlerini ve MFA token’larını çalarak kimlik doğrulama süreçlerini kırabilir. Bu nedenle, cihaz güvenliği kimlik doğrulama ve erişim kararlarında önemlidir.
Cihaz güvenini değerlendirirken dikkate alınması gereken faktörler şunlardır:
- Cihazın kurumsal olarak yönetilip yönetilmediği
- İşletim sistemi versiyonu ve güncelleme durumu
- Uç nokta koruma veya EDR araçlarının varlığı
- Cihaz sertifikaları veya kriptografik tanımlayıcılar
- Tarayıcı itibarı ve oturum bütünlüğü
- Kompramat ya da zararlı yazılım belirtileri
Bu sinyaller, kimlik doğrulama iş akışlarında önemli bir bağlam sağlar.
4. Şifre Anahtarlarını Düşünün
MFA, çalınan kimlik bilgileri riskini önemli ölçüde azaltırken, birçok organizasyon artık şifresiz seçeneklere yönelmektedir. En yaygın benimsenen seçeneklerden biri şifre anahtarlarıdır.
FIDO2 ve WebAuthn standartlarına dayanan şifre anahtarları, kullanıcıları şifre göndermeden doğrulayarak kullanıcıların güvenliğini artırmaktadır.
5. Biyometrik Verilerinizi Koruyun
Biyometrik doğrulama, kimlik doğrulamayı güçlendirirken önemli bir rol oynamaktadır. Ancak, biyometrik verilerin kötüye kullanılması durumunda sıfırlanamadığı için korunması bir o kadar önemlidir.
Kuruluşlar, biyometrik verileri mümkün olduğunca ham halinde saklamamalı; bunun yerine şifrelenmiş biyometrik şablonlar kullanılmalıdır.
Sonuç ve Aksiyon
Saldırganlar, kimlik bilgilerini hedef alırken ve kimlik doğrulama iş akışlarındaki zayıflıkları istismar ederken, kimlik doğrulama kontrollerinin gözden geçirilmesi ve modernleştirilmesi güvenlik ekipleri için bir öncelik olmalıdır.
Organizasyonlar, güvenliklerini artırmak ve kimlik doğrulama iş akışlarını güçlendirmek için kimlik bilgilerini korumalı, güncellemeler yapmalı ve potansiyel zafiyetleri en aza indirmelidir.
