Kendi veri ihlallerini önleme rehberimiz de dahil olmak üzere çoğu ihlal önleme tavsiyesi, saldırganları işletme ağınızdan uzak tutmaya odaklanır. Daha güçlü kimlik doğrulama bilgileri kullanmak, kimlik avı girişimlerine karşı direnç, yamalanmış sistemler ve denetlenmiş tedarikçiler bu uygulamanın temel bileşenleridir. Bunların tümü vazgeçilmez uygulamalardır ancak tek veri ihlali koruması taktiğiniz olamaz: Bir saldırgan ağınızı ihlal etmeyi başarırsa size destek olamazlar.
Erişim sağlamak ile veri hırsızlığı farklı şeylerdir. Tek bir gelen kutusunu, tek bir dizüstü bilgisayarı veya tek bir tedarikçi bağlantısını ele geçiren bir saldırgan henüz hiçbir şey çalmamıştır. Yalnızca bir yer edinmiştir; bu yer edinme ile verilerin kuruluştan dışarı çıktığı an arasında yaşananlar ise çoğu KOBİ güvenlik kılavuzunun tamamen atladığı bir aşamadır. Çünkü mesele yalnızca ağınızı korumak değil, aynı zamanda verilerin ağ dışına taşındığını fark etmektir.
Bu aşamaya veri sızdırma (exfiltration) denir ve genellikle fark edilmeden günlerce sürer, hatta aylara yayılabilir. Bu durum, özellikle dikkatle izlemeyen herkese tamamen sıradan görünen araçlar ve kanallar sayesinde gerçekleşir. İhlal bildirimlerinin sıklıkla geç ulaşmasının nedeni kuruluşların ilk güvenlik açığına karşı dikkatsiz olması değil, saldırganın işletme ağı içinde tespit edilememiş olmasıdır.
Veri sızdırma aşaması: Erişim ile hırsızlık arasında ne olur?
Veri sızdırmayı tespit etmek neden zordur?
Erken tespit yasal durumunuzu nasıl değiştirebilir?
Sızdırılan işletme verilerine ne olur?
Saldırganın erişebileceklerini sınırlandırın
Veri sızdırma aşaması: Erişim ile hırsızlık arasında ne olur?
Bir saldırgan ister bir kimlik avı e-postası, ister çalınmış bir kimlik doğrulama bilgisi veya ele geçirilmiş bir tedarikçi bağlantısı aracılığıyla olsun ilk erişimi sağladıktan sonra nadiren doğrudan veri çalmaya geçer. Hemen harekete geçmek, almaya değer bir şey bulamadan önce alarm verilmesi riskini taşır; bu nedenle daha yaygın olan yaklaşım sabırlı olmaktır.
Saldırgan ortamı haritalandırmak için zaman harcar; buna şunlar dahildir:
- Mali kayıtların nerede depolandığı
- Müşteri verilerini hangi SaaS araçlarının içerdiğini değerlendirmek
- En geniş erişime sahip hesapları tespit etmek
- Varsa, etkinlik izlemenin devrede olup olmadığını tespit etmek.
Bu keşif aşaması yavaş olabilir. Özellikle gizlilikten ziyade hızın önemli olduğu fırsatçı fidye yazılımı vakalarında bazı saldırganlar birkaç saat içinde harekete geçer. Diğerleri ise, özellikle uzun vadeli veri hırsızlığı veya casusluk amacıyla hareket eden vakalarda, haftalarca hatta aylarca sistemde gömülü kalarak olağan etkinlik modellerini bunlara karışacak kadar iyi öğrenir.
Her iki durumda da saldırgan verileri dışarı aktarmaya başladığında genellikle tam olarak ne istediğini ve alarmı tetiklemeden bunu hangi hesabın veya sistemin almasına izin vereceğini zaten bilir.
Veri sızdırma nasıl görünür?
Kötü amaçlı veri sızdırmayı tespit etmek zordur çünkü günlük bir etkinlik gibi görünür. BT yöneticileri normalden biraz daha büyük dosya aktarımlarını veya olmaması gereken bir yere senkronize edilen klasörleri genellikle aramaz.
Büyük veya olağandışı veri aktarımları
Bu, veri sızdırmanın en doğrudan biçimidir. Örneğin bir hesap, normalde yalnızca ara sıra eriştiği bir dosya sunucusundan veya veri tabanından aniden gigabaytlarca veri çekebilir ya da bir CRM veya İK platformundan toplu dışa aktarma yapabilir.
SaaS ağırlıklı ortamlarda veri sızdırma genellikle platformun kendi dışa aktarma özellikleri aracılığıyla gerçekleşir: toplu CSV indirmeleri, müşteri kayıtlarının PDF olarak dışa aktarılması veya hiçbir dışa aktarma düğmesi bulunmayan bir panodan peş peşe alınan ekran görüntüleri.
Tipik bir vaka şöyle görünebilir: Ele geçirilmiş bir İK hesabı, göze çarpan tek bir toplu indirme yerine birkaç hafta boyunca çalışan kayıtlarını küçük ve kademeli olarak dışa aktarmak için kullanılır. Her bir dışa aktarma tek başına sıradan görünür ve bir İK platformunun o roldeki birinden beklediği sınırlar içindedir.
Neler olup bittiğini yalnızca haftalara yayılan bu örüntü, yani aynı hesabın tuhaf aralıklarla benzer verileri dışa aktarması ortaya çıkarabilir ve bu örüntü ancak onu arayan bir işletme tarafından fark edilebilir.
Gelen kutusunun ele geçirilmesi
Bir kurumsal e-posta kutusunu ele geçiren bir saldırgan; tüm iletileri veya belirli anahtar sözcüklerle eşleşen tüm iletileri sessizce harici bir adrese kopyalayan bir kural ayarlayabilir ve asıl kimlik avı e-postası unutulduktan çok sonra bile hassas yazışmaların sürekli olarak kendisine akmasını sağlayabilir.
Bulut depolama alanının ele geçirilmesi
Kişisel bulut depolama alanı da yaygın bir diğer yoldur. Bir çalışanın ele geçirilmiş dizüstü bilgisayarı veya şirket dosyalarına erişimi olan ele geçirilmiş bir hesap, belgeleri kişisel bir Dropbox, Google Drive veya benzeri bir hizmete kopyalamak için kullanılabilir. Biri verilerin nereye gittiğini kontrol etmediği sürece bu aktarım genellikle meşru bir dosya yedeğiyle aynı görünür.
Veri sızdırmayı tespit etmek neden zordur?
Veri sızdırmayla ilgili can sıkıcı gerçek, bunun genellikle hiçbir kötü amaçlı yazılım(yeni pencere) gerektirmemesidir. Bir raporu dışa aktarmak, bazı e-postaları iletmek veya bir bulut sürücüsüne dosya yüklemek için ele geçirilmiş bir hesabı kullanan saldırgan, meşru bir çalışanın her gün kullandığı araçların ve izinlerin aynısını kullanır.
Virüsten koruma yazılımının işaretleyeceği şüpheli bir yürütülebilir dosya veya uç nokta tespitinin yakalayacağı olağandışı işlemler yoktur; çünkü etkinlik teknik olarak hiçbir anormallik taşımaz. Yalnızca bağlam içinde bakıldığında yanlış görünür ve bağlam, tam da çoğu KOBİ güvenlik aracının değerlendirmek üzere geliştirilmediği şeydir.
Çevre odaklı savunmaların ne kadar iyi uygulanırsa uygulansın tek başlarına yeterli olmamasının nedeni budur. Bir işletme giriş noktasında her şeyi doğru yapabilir; güçlü kimlik doğrulama bilgilerini zorunlu kılabilir, çalışanları kimlik avına karşı eğitebilir, her sistemi yamalayabilir ve yine de ele geçirilmiş bir hesabın dosyaları düzenli olarak harici bir hedefe taşıdığını bilmesinin hiçbir yolu olmayabilir. Çünkü bu etkinlik en başından beri şüpheli görünecek şekilde tasarlanmamıştır.
Güvenlik araştırmacıları bazen buna “sistemdeki yerleşik araçları kullanma” (living off the land) adını verir: Virüsten koruma ürününün meşru olmadığını anlayacağı araçlar yerine, hedefin kendi meşru yazılımlarını, bulut entegrasyonlarını ve yönetimsel araçlarını kullanmak.
Bir dosya senkronizasyon istemcisi, yerleşik bir dışa aktarma özelliği veya standart bir e-posta kuralı tek başına kötü amaçlı araçlar değildir. Bu araçlara güvenen bir saldırganın, kötü amaçlı yazılımları yakalamak için tasarlanmış hiçbir mekanizmayı tetiklemeden bu kadar uzun süre faaliyet gösterebilmesinin nedeni budur.
İşletmeler neleri izlemeli?
Veri sızdırmayı erken yakalamak, şüpheli etkinlikleri genel olarak taramaktan ziyade az sayıda belirli sinyali izlemeye dayanır.
Trafik ve dışa aktarmalar
Olağandışı veri aktarım hacimleri veya hedefleri en çok dikkati hak eden konulardır. Kuruluşunuz giden trafikteki ani artışları, normalde bu tür işlemlerin görülmediği bir sistemden yapılan toplu dışa aktarmaları veya tanımadığınız bir hedefe yönelen herhangi bir aktarımı izlemelidir.
NCSC’nin veri güvenliği kılavuzu(yeni pencere); tam da bu örüntünün olağan kullanımın ötesine geçildiğinin bir işareti olması nedeniyle hassas verilere erişimin günlüğe kaydedilmesini, olağandışı sorguların veya toplu dışa aktarma girişimlerinin izlenmesini özellikle önermektedir.
E-posta iletme kuralları
E-posta iletme kuralları, özellikle şüpheli bir kimlik avı olayına karışmış herhangi bir hesap için doğrudan denetlenmeye değerdir. İletileri bilmediğiniz bir adrese sessizce ileten bir kural aylarca fark edilmeden kalabilir ve nereye bakacağınızı bildiğinizde kontrol etmesi en basit şeylerden biridir.
Olağandışı oturum açma işlemleri
Beklenmeyen konumlardan veya zamanlarda gerçekleşen oturum açma etkinliği, ciddiye alınması gereken bir sinyaldir. İşletmenin hiçbir varlığının bulunmadığı bir ülkeden gece 03.00’te oturum açılması tek başına hiçbir şeyin kanıtı değildir; ancak aynı saatlerdeki bir veri aktarımıyla çapraz karşılaştırma yapıldığında bir olayı doğrulayabilecek bir ayrıntıdır.
Yönetici hesaplarının genellikle bir sistemde en geniş erişim alanına sahip olması ve tam da bu erişim alanı nedeniyle tercih edilen bir hedef olması sebebiyle, mesai saatleri dışındaki yönetici hesabı etkinliği özellikle incelenmeyi hak eder.
Bu hesaplardaki gece geç saatlerde, hafta sonlarında veya asıl yöneticinin ofis dışında olduğunun bilindiği bir dönemdeki etkinlik; yalnızca bir aygıtın değil, bir hesabın ele geçirildiğine dair en güvenilir göstergelerden biridir.
Erken tespit yasal durumunuzu nasıl değiştirebilir?
Hem AB GDPR hem de Birleşik Krallık GDPR kapsamında, 33. Madde(yeni pencere), kişisel verileri etkileyen bir ihlalin meydana geldiğini öğrendikten sonra kuruluşlara ilgili denetim makamına bildirimde bulunmaları için 72 saat süre tanır; bu makam Birleşik Krallık’ta ICO(yeni pencere) veya her bir AB üye ülkesindeki ulusal veri koruma otoritesidir.
Gereksinim tüm yargı alanları için esasen aynıdır: Süreniz ihlalin fiilen gerçekleştiği andan itibaren değil, kuruluşunuzun durumdan haberdar olduğu andan itibaren işlemeye başlar. Kapsamlı veri sızdırma izlemesinin yalnızca güvenlik için değil, uyumluluk için de bu kadar önemli olmasının nedeni budur.
Veri sızdırmayı iletme kuralı denetimleri, aktarım izleme veya olağan dışı oturum açma uyarıları sayesinde erken tespit eden bir işletme; proaktif şekilde, kendi zaman çizelgesine uygun olarak ve neyin ele geçirildiğine dair oldukça net bir tabloyla bildirimde bulunabilir.
Bir ihlali ancak haftalar veya aylar sonra, genellikle bir müşterinin şikayetiyle ya da çalınan verilerin yasa dışı bir forumda ortaya çıkmasıyla fark eden bir işletme ise; baskı altında, genellikle kapsamı tam olarak belirleyemeden ve denetleyici kurumun durumun neden bu kadar geç fark edildiğini sorduğu reaktif bir bildirim sürecine girer.
Aralarındaki fark, yalnızca itibarınızın nasıl etkilendiğiyle sınırlı değildir. Tüm olayın nasıl değerlendirileceğini ve bir denetleyici kurumun ne kadar esneklik tanıma eğiliminde olacağını da belirler.
Sızdırılan işletme verilerine ne olur?
Proton’un Data Breach Observatory gözlem merkezi, bir ihlal gerçekleştikten sonra karanlık web’de nelerin ortaya çıktığını izler ve bu model, veri sızdırmanın gerçekte neyi hedeflediğine dair faydalı bir gerçeklik kontrolü sunar.
2026 Data Breach Observatory güncellemesine göre, izlenen ihlallerin neredeyse onda dokuzunda adlar ve e-posta adresleri yer alırken, yaklaşık dörtte üçünde telefon numaraları ve açık adresler gibi kişi bilgileri, neredeyse yarısında ise parolalar açığa çıkıyor.
Resmi kimlik belgeleri, sağlık kayıtları ve diğer kişisel olarak tanımlanabilir bilgiler gibi daha hassas kategoriler ihlallerin üçte birinden biraz fazlasında görülürken, doğrudan finansal bilgiler yaklaşık yirmide bir gibi daha küçük bir oranda ortaya çıkıyor.
Observatory’nin izlediği ihlallerin çoğunluğunu KOBİ’ler oluşturuyor ve en hassas veri kategorilerini içeren olaylar arasında orantısız bir şekilde daha fazla yer alıyorlar.
Sık hedef alınma ve hassas verilerin yüksek oranda açığa çıkmasından oluşan bu bileşim, bu makalede açıklanan veri sızdırma türüyle tutarlıdır: Daha küçük bir kuruluşun sistemlerinde uzun bir zaman dilimine yayılan saldırılar genellikle saldırganlar için daha kazançlı olur; çünkü verilerin sızdırıldığından kimsenin haberi olmaz ve saldırganlar her şeyi ele geçirebilir.
Bir saldırganın erişebileceği alanı sınırlayın
Veri sızdırma izlemesi, verileri dışarı aktarılırken yakalar ancak sorunun boyutu daha önce, güvenliği ihlal edilmiş bir hesabın ilk etapta nelere erişebildiğiyle belirlenir. Geniş ve kısıtlamasız izinlere sahip bir hesaba erişim sağlayan bir saldırgan, yalnızca belirli bir rolün gereksinimleriyle sınırlandırılmış bir hesabı ele geçiren saldırgana kıyasla çok daha fazla sistemden veri çekebilir.
Her hesapta benzersiz kimlik doğrulama bilgileri kullanılması ve erişimin yalnızca bir rolün gerçekten gerektirdiği şeylerle sınırlandırılması, veri sızdırma yüzeyini doğrudan daraltır. Güvenliği ihlal edilmiş bir pazarlama hesabı yalnızca pazarlama sistemlerine erişebiliyorsa en kötü durum senaryosu, bir saldırganın insafına veya bir izleme sisteminin onları zamanında yakalamasına bağlı kalmak yerine tasarımsal olarak sınırlandırılmış olur.
Bu, kimlik doğrulama bilgilerine dayalı bir ihlalde etki alanını sınırlayan kapsama mantığıyla aynıdır: Güvenliği ihlal edilen hesap, yalnızca meşru olarak erişmesine izin verilen verileri sızdırabilmelidir.
Proton Pass for Business gibi bir kurumsal parola yöneticisi, benzersiz bilgileri manuel olarak yönetmenin ölçeklenememesi nedeniyle araçlar genelinde pratik ve geniş yetkili kimlik doğrulama bilgilerini yeniden kullanma eğilimini ortadan kaldırarak bu kapsam belirleme sürecini sürdürülebilir kılar.
Her hesabın kendi kimlik doğrulama bilgisi olduğunda ve erişim yetkileri bir rolün gerçekte neye ihtiyaç duyduğuna göre gözden geçirildiğinde, güvenliği ihlal edilmiş tek bir hesap tüm kuruluşun verilerine giden bir yol olmaktan çıkar ve en kötü ihtimalle sınırlandırılmış bir olay haline gelir.
Proton Pass for Business işletmenizi şunlarla destekleyebilir:
- Parola gereksinimleri, zorunlu iki adımlı doğrulama (2FA) ve iptal edilmiş veri paylaşım kurallarıyla parola ilkenizi uygulamanıza yardımcı olan özelleştirilebilir ekip ilkeleri
- Gelişmiş yüksek güvenlik programımız Proton Sentinel desteğiyle ağınızdaki etkinlikleri görmenizi sağlayan kullanım günlükleri
- Erişim yönetimini basitleştiren ve her ekip üyesinin yalnızca ihtiyaç duyduğu bilgilere erişebilmesini sağlayan; role, projeye veya erişim düzeyine göre düzenlenmiş gruplar.
Bir kurumsal parola yöneticisi ile kimlik doğrulama bilgilerine dayalı veri sızdırmayı durdurun.
