Parola sayısı arttıkça, kimlik avı saldırıları cazibesini koruyor

Kimlik doğrulama sistemlerin idaresi yalnızca genel kullanıcılar için değil tıpkı vakitte şirketlerinde zahmetli alanı.  Bu husus çok sayıda uygulama ve aygıtla çalışan yüzlerce hatta binlerce çalışanın inançlı kimlik doğrulama gereksinimlerini karşılayan BT yöneticileri için de baş ağrısına neden oluyor. Kimlik doğrulama sistemleri siber güvenliğin hayati bir tarafı  olmasına rağmen  artan karmaşıklık onları daha kolay bir amaç haline getiriyor. 2024 yılında yapılan memleketler arası bir araştırma ortalama bir kişinin parola sayısının son üç yılda yüzde 70 artarak 168’e ulaştığını ortaya koydu. Ankette birinci sefer işle ilgili hesaplar için kullanılan ortalama parola sayısı da 87 olarak kaydedildi.   Dijital güvenlik şirketi ESET kimlik doğrulama idarenin nasıl yapılabileceği üzerine tekliflerini paylaştı.  

Kimlik doğrulama ihlalleri

Kimlik bilgileri, siber hatalıların en sevdiği atak alanları ortasında yer alıyor. Verizon 2024 Data İhlali Araştırmaları Raporu‘na nazaran, temel web uygulama taarruzlarının yüzde 77’si çalınan kimlik bilgilerini içeriyor, yüzde 21’i kaba kuvvet taarruzları sonucu gerçekleşiyor ve bu hücumların yüzde 13’ünde güvenlik açıklarından yararlanılıyor.  Raporun muharrirleri ayrıyeten son 10 yılda, çalınan kimlik bilgilerinin tahlil edilen tüm ihlallerin neredeyse üçte birinde (%31) ortaya çıktığını ve kimlik bilgilerini kurumları tehlikeye atmanın temel bir bileşeni haline getirdiğini vurguluyor. 

Kimlik doğrulama bir akın alanına dönüşüyor

Ancak parola güvenliğinin öteki bir istikameti de var. Çok faktörlü kimlik doğrulama (MFA) dahil olmak üzere sağlam bir siber güvenlik tahliline sahip olmak kusursuz lakin hem kullanıcılar hem de BT yöneticileri için yeni zorluklar yaratır. Kullanıcılar ortasındaki sorun, tekrarlanan MFA kimlik doğrulama taleplerinden o kadar rahatsız olabilirler ki dikkatlerini kaybedebilirler. Bir MFA yorgunluk saldırısının yahut bir MFA bombardımanının başlangıcında, saldırganların amaçlarının kimlik bilgilerini kimlik avı, kaba kuvvet, parola püskürtme vb. yollarla elde etmesi gerekir. Gayelerin kimlik bilgileri çalındıktan sonra saldırganlar, “kabul et” seçeneğine tıklamaları ve böylelikle saldırganların oturum açma teşebbüslerine en az bir sefer müsaade vermeleri umuduyla onları 2FA push bildirimleri ile bombalamaya başlar.  Öte yandan, esasen portal ve ikaz yorgunluğu ile uğraş eden BT yöneticileri, güncelleme yahut ikaz idaresi üzere MFA sistem idaresi ile ilgili yeni sorumluluklar kazanmıştır.  Bu nedenle , güvenliği en üst seviyeye çıkarmak ve kesintileri en aza indirmek için genel kullanıcı tecrübesi ile güvenlik müdafaasının dengelenmesini tavsiye edilmektedir. 

Kullanıcı tecrübesini güzelleştirme ve BT kaynakları üzerindeki yükü azaltmaya yönelik tavsiyeler:

• Kullanıcıları eğitmek için hem bir farkındalık kampanyası hem de eğitim düzenleyin. 
• Kullanıcılara mümkün olan yerlerde güvenlik anahtarları, biyometri yahut PIN üzere farklı faktör çeşitlerini kullanma esnekliği tanıyın. 
• Kullanıcılara MFA tecrübeleri hakkında geri bildirim sağlama imkânı verin.
• Yetkili kullanıcıların bağlı hesaplarında otomatik olarak oturum açmaları için tek oturum açma (SSO) uygulamasıyla MFA uygulayın. 
• Kullanıcılara yedek bir MFA faktörü sağlayın ve birincil faktörlerinin kaybolması, kullanılamaması yahut tehlikeye girmesi durumunda bunları kendi başlarına sıfırlamanın kolay bir yolunu ayarlayın. 
• Anormal oturum açma etkinliklerini tespit etmek için MFA olaylarını izleyin ve kimlik doğrulama raporlarını denetim edin.
• Kullanıcılara kayıp yahut çalıntı bir cihazın/güvenlik anahtarının hesaplarıyla ilgisini kesme imkanı tanıyın. 

Zor vakitlere karşı çözüm 

Kullanıcılar ekseriyetle dağıtılmış kimlik doğrulama, hizmetler ortasında bölünme ve uç nokta ile çaba ettiğinden BT yöneticileri bu çeşit altyapıyı sürdürmek ve yükseltmek için sıkıntı vakitler geçirir. ESET Secure Authentication, bu sorumlulukları kullanıcıların elinden alıyor. Rastgele bir mahallî donanıma gereksinim duymadan rastgele bir işletme çeşidi için çok faktörlü kimlik doğrulamanın uygulanmasını çok daha kolay hale getiren yeni bir bulut tabanlı sürümü olarak sunuyor. ESET Secure Authentication ile işletmeler otomasyonu artırabilir ve BT yöneticilerinin bakım misyonlarını azaltabilir, böylelikle kimlik bilgisi tabanlı taarruzlara karşı dayanıklılıklarını artırabilirler.      

Kaynak: (BYZHA) Beyaz Haber Ajansı