Attack Surface Management (ASM) Nedir? Kurumların Saldırı Yüzeyi Nasıl Yönetilir?

Bir kurumun siber güvenliğini değerlendirmek için yalnızca içerideki sistemlere bakmak artık yeterli değil. Çünkü saldırganlar kurumun network diyagramını, varlık envanterini veya güvenlik politikalarını görerek hareket etmiyor.

Onlar internette ne varsa onu görüyor.

• Bir domain.

• Bir subdomain.

• Açık bir port.

• Eski bir sunucu.

• Yanlış yapılandırılmış bir servis.

• Bulutta unutulmuş bir kaynak.

• Çalışanlara ait sızmış bir kullanıcı hesabı.

  Ve bazen kurumun güvenlik ekibinin bile farkında olmadığı bir dijital varlık.

İşte Attack Surface Management (ASM) yaklaşımı tam olarak bu problemi çözmeye odaklanıyor.

Attack Surface Management nedir?

Attack Surface Management, bir kurumun internet üzerinden erişilebilir olan dijital varlıklarını sürekli olarak keşfetme, analiz etme, risklerini belirleme ve yönetme yaklaşımıdır. Klasik güvenlik yaklaşımında kurum önce kendi varlıklarını tanımlar.

ASM yaklaşımında ise soru biraz farklıdır: “Saldırgan bizi dışarıdan nasıl görüyor?”

Bu fark oldukça önemlidir.

Çünkü kurumun bildiği varlıklarla internet üzerinde gerçekten görünen varlıklar her zaman aynı olmayabilir.

Saldırı yüzeyi neden sürekli değişiyor?

Eskiden bir kurumun dijital altyapısını anlamak daha kolaydı.

• Veri merkezi vardı.

• Sunucular vardı.

• Firewall vardı.

• Kurum ağı vardı. Bugün ise tablo çok daha karmaşık.

Bulut servisleri, SaaS uygulamaları, uzaktan çalışma, API'ler, üçüncü taraf servisler, yeni domainler, test ortamları ve çalışanların kullandığı farklı servisler sürekli yeni varlıklar oluşturuyor. Üstelik bunların bir kısmı güvenlik ekiplerinin merkezi envanterinde hiç bulunmayabiliyor.

Bu nedenle saldırı yüzeyi statik bir liste değil. Sürekli değişen bir ekosistem.

Saldırgan bir şirketi nasıl keşfeder?

Bir saldırgan açısından ilk aşama çoğu zaman saldırmak değildir.

Önce keşfetmektir.

• Hangi domainler var?

• Hangi IP adresleri kullanılıyor?

• Hangi servisler dışarıya açık?

• Hangi teknolojiler kullanılıyor?

• Hangi sistemlerde zafiyet bulunuyor?

• Hangi çalışan veya kullanıcı bilgilerinin internette izi var?

Bu bilgiler bir araya geldiğinde saldırganın gözünde kurumun dijital haritası oluşmaya başlar.

Dolayısıyla güvenlik ekiplerinin de aynı perspektife sahip olması gerekir.

Kendi kurumunuzu saldırganın gözünden görebilmek.

ASM ile Vulnerability Management aynı şey midir?

Hayır. İkisi birbirini tamamlayan ancak farklı problemleri çözen yaklaşımlardır.

Vulnerability Management daha çok bilinen varlıklar üzerindeki güvenlik açıklarının tespiti ve giderilmesine odaklanır.

ASM ise öncelikle şu soruya cevap arar: “Hangi varlıklarımız var ve bunların hangileri dışarıdan erişilebilir?”

Basitleştirirsek:

ASM → Neyi koruduğumuzu keşfeder.

Vulnerability Management → Bu varlıkların ne kadar riskli olduğunu anlamamıza yardımcı olur.

Bu nedenle güçlü bir güvenlik programında iki yaklaşımın birlikte çalışması gerekir.

ASM neden sadece bir tarama aracı değildir?

ASM'yi yalnızca belirli aralıklarla port taraması yapan bir araç olarak değerlendirmek eksik olur.

Modern ASM yaklaşımında amaç;

• Dijital varlıkları keşfetmek

• Yeni ortaya çıkan varlıkları belirlemek

• Dışarıdan erişilebilir servisleri görmek

• Teknoloji ve yapılandırmaları analiz etmek

• Zafiyetleri ilişkilendirmek

• Riskleri önceliklendirmek

• Değişimleri sürekli takip etmek

ve güvenlik ekiplerinin bunları aksiyona dönüştürmesini sağlamaktır. Çünkü sorun yalnızca bir zafiyetin bulunması değildir.

Asıl sorun, güvenlik ekibinin bilmediği bir varlık üzerinde risk oluşmasıdır.

Peki kurumlar nereden başlamalı?

İlk adım oldukça basit:

Kendinize saldırganın gözünden bakın.

İnternette kurumunuzla ilişkili hangi varlıklar bulunuyor?

• Hangi portlar açık?

• Hangi servisler erişilebilir?

• Hangi sistemler eski?

• Hangi zafiyetler dışarıdan görülebiliyor?

• Hangi bilgiler çalışanlarınız veya sistemleriniz hakkında saldırgana yardımcı olabilir?

Bu soruların cevapları, kurumun gerçek dış saldırı yüzeyini ortaya çıkarmaya başlar.

Sonuç -> Siber güvenlikte yıllardır önemli bir soru soruyoruz: “Sistemlerimizi nasıl koruyabiliriz?”

Buna artık bir soru daha eklemek gerekiyor:“Saldırgan bizi nasıl görüyor?”

Çünkü görünmeyen bir varlık güvenlik politikalarının dışında kalabilir.

Güvenlik politikalarının dışında kalan bir varlık ise saldırgan için fırsata dönüşebilir.

Bu nedenle Attack Surface Management yalnızca yeni bir güvenlik teknolojisi değil;

kurumun dijital olarak nerede durduğunu sürekli görebilme yeteneğidir.

Ve güvenlikte ilk kural hâlâ değişmedi: Göremediğiniz şeyi koruyamazsınız.

Kurumunuzun internette nasıl göründüğünü merak ediyorsanız, birlikte dışarıdan bakalım. info@buteksoft.com.tr