Güvenlik duruşunuzu sürdürme ve geliştirme
 Saldırı stratejilerini sürekli geliştiren saldırganların önüne geçmek için sürekli iyileştirmeyi dahil edin ve tetikte olun |
|---|
Güvenlik duruşunuz zaman içinde azalmamalıdır. Yeni kesintilerin daha verimli bir şekilde ele alınabilmesi için güvenlik operasyonlarını sürekli geliştirmeniz gerekir. İyileştirmeleri endüstri standartları tarafından tanımlanan aşamalarla uyumlu hale getirmek için çabalayın. Bunu yapmak daha iyi hazırlık, olay algılama süresini kısaltma ve etkili kapsama ve azaltmaya yol açar. Sürekli iyileştirme, geçmiş olaylardan alınan dersleri temel almalıdır.
Gelişen tehditler karşısında güvenlik duruşunuzu sürekli iyileştirmek için güvenlik duruşunuzu ölçmeniz, bu duruşu korumak için ilkeleri zorunlu tutmanız ve güvenlik azaltmalarınızı ve telafi denetimlerinizi düzenli olarak doğrulamanız önemlidir.
Örnek senaryo
Contoso Yarış Günü Performansı, profesyonel ralli otomobili yarış takımları için veri yakalama sistemleri oluşturur. Sistemin çoğu arabalara yerleştirilmiştir ve sürüş ekibine yerel geri bildirim sağlar, ancak yarışın sonunda tüm telemetri analiz işlemleri için buluta yüklenir. İşleme, pist ve ortam koşulları ile araç telemetri verilerini yarış ekibi tarafından koşularını değerlendirmek ve stratejilerinde ince ayarlamalar yapmak için kullanılabilecek raporlar halinde birleştirir. Bulut sistemi, Azure Synapse Analytics'te Azure Spark kullanır. İş yükündeki yardımcı sistemlerin tümü PaaS tekliflerini kullanır. Sistem zaten dünyanın en iyi beş yarış ekibinden üçü tarafından kullanılıyor.
Yarış takımları, verilerini son derece koruma altına alır ve Contoso Yarış Günü Performansı'nın verilerini tehlikeye atabilecek gelişen güvenlik tehditleriyle güncel kalmak için neler yaptığını bilmek ister.
Olası tehditleri tanımlamak ve azaltmak için tehdit modellemesi gerçekleştirme
İş akışınızın her bileşenini analiz edin ve her bileşenin maruz kalabileceği olası tehditleri değerlendirin. Sektör standardı bir metodoloji kullanarak tanımlanan tehditleri sınıflandırın.
Bu yaklaşımı benimseyerek, önem derecelerine göre önceliklendirilmiş saldırı vektörlerinin bir raporunu oluşturabilirsiniz. Ayrıca tehditleri ve güvenlik açıklarını hızla belirleyebilir ve karşı önlemler ayarlayabilirsiniz.
Contoso'nun sınaması
- Henüz bir güvenlik olayı yaşanmamış olsa da, iş yükü ekibinin mevcut güvenlik denetimlerinde yeterli düzeyde ele alınmayan tehdit vektörleri olup olmadığını değerlendirmek için standartlaştırılmış bir yolu yoktur.
- Ekip, iş yüklerinin güvenliği konusunda kör bir noktaya sahip olduğunu fark eder ve bir güvenlik olayı olduğunda korumasız yakalanma riski altındadır.
Yaklaşımı ve sonuçları uygulama
- Ekip, tehdit modellemesi gerçekleştirmeyi öğrenmek için bir güvenlik danışmanlığı uzmanıyla etkileşime girer.
- İlk tehdit modelleme alıştırmasını gerçekleştirdikten sonra çoğu tehdit vektörleri için iyi tasarlanmış denetimlere sahip olduklarını ancak Azure Spark işleri tamamlandıktan sonra gerçekleşen veri temizleme görevlerinden birinde boşluk bulduklarını ve veri sızdırma için iki iç tehdit vektörleri bulduklarını fark ederler.
- Bu boşluklar bir sonraki geliştirme döngüsünde düzeltilmesi için zamanlanır.
- Ekip ayrıca yarış telemetrisine önemli erişime sahip olan bir yarış takımı tarafından artık hizmeti kullanmayan eski bir sistem de bulur. Düzeltmenin bir kısmı bu sistemin yetkisini almak olacaktır.
Denetimlerinizi bağımsız olarak doğrulama
Sistemi etik olarak ele geçiren iş yükü ekibinin dışındaki uzmanlar tarafından gerçekleştirilen düzenli güvenlik testleri çalıştırın. Altyapı, bağımlılıklar ve uygulama kodundaki açıkları algılamak için rutin ve tümleşik güvenlik açığı taraması gerçekleştirin.
Bu testler, sızma testi gibi teknikler kullanarak gerçek dünya saldırılarının simülasyonunu yaparak güvenlik savunmalarını doğrulamanızı sağlar.
Tehditler, değişiklik yönetiminizin bir parçası olarak kullanıma sunulur. Tarayıcıları dağıtım işlem hatlarıyla tümleştirmek, güvenlik açıklarını otomatik olarak algılamanızı ve hatta güvenlik açıkları kaldırılana kadar kullanımı karantinaya almanızı sağlar.
Contoso'nun sınaması
- Tehdit modelleme alıştırması, ekibin güvenlik açıklarını ortaya çıkarmasına yardımcı oldu ve özellikle düzeltmelerini uyguladıktan sonra artık denetimlerini doğrulamak istiyor.
- Ekip geçmişte güvenliklerini test etmek için açık kaynak araçlarıyla denemeler yaptı ve alıştırmayı eğlenceli ve eğitici buldu. Ancak, onlar ve paydaşlar düzenli olarak kapsamlı ve sıkı testler yapmak için güvenlik uzmanları getirmek istiyor.
Yaklaşımı ve sonuçları uygulama
- Ekip, sızma testini tartışmak için bulut güvenliği konusunda uzmanlaşmış tanınmış bir Microsoft iş ortağıyla etkileşim kurar.
- İş yükü ekibi, üç aylık sızma testi hizmeti için bir Çalışma Bildirimi imzalar ve daha yüksek güvenilirlik sağlamak için yılda bir beyaz kutu testini karıştırır.
- Danışmanlık ekibi, geliştirme ekibinin geliştirme kutularına ve şirket içinde barındırılan derleme aracılarına kötü amaçlı yazılımdan koruma yazılımı yüklemesine de yardımcı olur.
- Bu önlemler, iş yükü ekibine ve paydaşlara, ilerleyen tehditlere karşı hazırlıklı olacaklarına dair yüksek düzeyde güven sağlar.
Güncel olun ve güncel kalın
Güncelleştirmeler, düzeltme eki uygulama ve güvenlik düzeltmeleri hakkında güncel kalın. Sistemi sürekli olarak değerlendirin ve denetim raporlarına, karşılaştırmalara ve test etkinliklerinden alınan derslere göre geliştirin. Uygun şekilde otomasyonu göz önünde bulundurun. Tehditlerin dinamik olarak algılanması için güvenlik analizi tarafından desteklenen tehdit zekasını kullanın. Düzenli aralıklarla iş yükünün Güvenlik Geliştirme Yaşam Döngüsü (SDL) en iyi yöntemlerine uyumluluğunu gözden geçirin.
Bu yaklaşımı benimseyerek, güvenlik duruşunuzun zaman içinde azalmadığından emin olabilirsiniz. Gerçek dünyadaki saldırılardan ve test etkinliklerinden elde edilen bulguları tümleştirerek, yeni güvenlik açığı kategorilerini sürekli geliştiren ve bu kategorilerden yararlanan saldırganlarla mücadele edebileceksiniz. Yinelenen görevlerin otomasyonu, risk oluşturabilecek insan hatası olasılığını azaltır.
SDL incelemeleri, güvenlik özellikleriyle ilgili netlik getirir. SDL, kaynak, kullanım, operasyonel zayıflıklar ve diğer faktörleri kapsayan iş yükü varlıklarının ve bunların güvenlik raporlarının envanterini tutmanıza yardımcı olabilir.
Contoso'nun sınaması
- Apache Spark işlerini yazmaktan sorumlu geliştiriciler değişiklikleri tanıtmakta tereddüt eder ve genellikle işlere "bozuk değilse, düzeltmeyin" yaklaşımını benimsemektedir. Bu, çözüme getirdikleri Python ve R paketlerinin zaman içinde eskime olasılığı olduğu anlamına gelir.
Yaklaşımı ve sonuçları uygulama
- İş yükü ekibi iç süreçleri gözden geçirdikten sonra, Spark işlerinin bakımını yapma işlemine değinilmemesi durumunda iş yükünde eşleşmeyen bileşenlerin bulunma riskinin olduğunu görür.
- Ekipler, Apache işleri için, kullanımdaki tüm teknolojilerin düzenli olarak yinelenen güncelleştirme ve düzeltme eki zamanlamalarıyla birlikte güncelleştirilebilmesini gerektiren yeni bir standart benimser.
- Güvenlik denetimlerindeki bu boşluğu gidererek, bir bütün olarak iş yükünün eşleşmeyen bileşenlere karşı daha az risk altında olma olasılığı daha düşüktür. PaaS ve SaaS hizmetlerini kullanmaları, temel altyapıya yama uygulamak zorunda kalmadıkları için bu riske maruz kalmalarını sınırlamaya da yardımcı olur.