Kimlik Karanlığı: Tanım ve Önemi
Günümüzde kimlik yönetimi, yalnızca LDAP dizinlerinde veya kurumsal sistemlerde sınırlı kalmıyor. SaaS, IaaS, PaaS ve gölge uygulamalar gibi birçok farklı platformda dağıtılmış olan bu kimliklerin yönetimi, siber güvenlik açısından ciddi bir tehdit oluşturuyor.
Saldırı Nasıl Çalışıyor?
Geleneksel Kimlik Yönetimi (IAM) ve Kimlik Yönetimi ve Erişim (IGA) araçları, yalnızca tamamen entegre olan kullanıcılar ve uygulamalar üzerinde etkilidir. Ancak, diğer tüm yönetilmeyen kimlikler, yani kimlik karanlığı, görünmez kalmakta ve bu durum ciddi güvenlik açıklarına yol açmaktadır.
Uygulamaların modernizasyonu, ek süreçler gerektirse de, her yeni uygulama için bağlantı noktaları ve yapılandırmalar gereklidir. Birçok uygulama bu aşamalara geçemediği için, işletmelerde yönetilmeyen kimlikler ve izinler ortaya çıkar.
Etkilenen Sistemler
- Yönetilmeyen Gölge Uygulamaları: Geleneksel onboarding sürecinin yüksek maliyeti nedeniyle kurumsal yönetim dışında çalışan uygulamalar.
- İnsan Dışı Kimlikler (NHI): APIs, botlar ve hizmet hesapları gibi denetimsiz şekilde hareket eden bir katman.
- Sahipsiz ve Eski Hesaplar: Kuruluşların %44’ü 1,000’den fazla sahipsiz hesap bildirmekte ve tüm hesapların %26’sı son 90 günde kullanılmayan hesaplar olarak değerlendiriliyor.
- Ajan-AI Varlıkları: Bağımsız olarak görevleri yerine getiren ve erişim izni veren özerk sistemler.
Kimlik Karanlığı Neden Bir Güvenlik Krizidir?
Yönetilmeyen kimliklerin büyümesi, siber risklerin yoğunlaştığı ciddi “gözden kaçma noktaları” yaratıyor. 2024 yılı itibarıyla, bulut ihlallerinin %27’si pasif kimlik bilgilerin kötüye kullanılması ile gerçekleşmiştir.
- Kredi Bilgisi Kötüye Kullanımı: Tüm ihlallerin %22’si kimlik bilgilerinin kötüye kullanılmasından kaynaklanmaktadır.
- Görünürlük Açıkları: İşletmelerin göremediği şeyleri değerlendirememesi, kontrol illüzyonuna yol açmakta ve riskleri artırmaktadır.
- Uyum ve Yanıt Hataları: Yönetilmeyen kimlikler, denetim kapsamının dışında kalmakta ve olay yanıt sürelerini yavaşlatmaktadır.
- Gizli Tehditler: Karanlık madde, yan hareketleri, dahili tehditleri ve ayrıcalık yükselmesini gizlemektedir.
Çözüm ve Korunma
Kimlik karanlığını ortadan kaldırmak için kuruluşlar, yapılandırma temelli IAM’den kanıta dayalı yönetime geçmelidir. Kimlik Görünürlüğü, her kimlik için sürekli görünürlük sunarak bu süreci kolaylaştırmaktadır.
Orchid Perspektifi’ne göre, siber dayanıklılığın geleceği için üç aşamalı bir yaklaşım gerekmektedir:
- Her Şeyi Görmek: Sadece standart IAM bağlantıları değil, her uygulamadan doğrudan veri toplamak.
- Her Şeyi Kanıtlamak: Kimlerin, ne zaman ve neden eriştiğini gösteren birleşik denetim izleri oluşturmak.
- Her Yerde Yönetmek: Yönetilen, yönetilmeyen ve ajan-AI kimlikleri üzerinde kontrolleri genişletmek.
Bu yöntemle, işletmeler kimlik karanlığını somut, ölçülebilir bir gerçeğe dönüştürebilir.
Sonuç
Organizasyonların, kimlik güvenliğini sağlamak için derhal güncellemeler yapması, sahipsiz ya da kullanılmayan hesapları temizlemesi ve gerekli güvenlik protokollerini uygulaması kritik önem taşımaktadır. Dolayısıyla, mevcut kimlik yönetim sistemlerinizi gözden geçirip gerekli tedbirleri almanız şarttır.
