Siber saldırılar ikiye katlanırken, firmalar güvenliği neden önceliklendirmiyor?

Son 12 ayda hızla artan siber saldırı girişimlerine rağmen, dünya genelinde pek çok işletme artan siber güvenlik tehditlerini kabullenmekte başarısız oluyor. Öyle ki saldırı girişimleri 2023 yılı boyunca iki kattan fazla arttı. Uzmanlar, özellikle üretim, eğitim ve kamu hizmetleri şirketlerine yönelik artan siber saldırıların temel nedeninin zayıf yamalardan kaynaklandığını iddia ediyor. Bir araştırmaya göre, kamu hizmetlerine yönelik saldırılar üç katına çıkarken, üretime yönelik saldırılar ise %165 oranında arttı.

Saldırı girişimleri 2023'ün Temmuz ayında zirve yaptı ve bu dönemde özellikle iletişim cihazları, görüntüleme cihazları ve üretim cihazları hedef alındı. Ancak uzmanlar, artan tehditlere rağmen birçok şirketin tehlikeyi yeterince ciddiye almayabileceği uyarısında bulunuyor. Kuruluşların dijital altyapılarındaki "kör noktaları" sıklıkla gözden kaçırdıklarını ve bunun da kritik güvenlik açıkları ve ihlallerde artışa neden olduğunu özellikle belirtiyorlar. Bu noktada güvenlik ekiplerinin benzer istihbaratları savunmaya yönelik olarak kullanmaları, böylece çabalarını nerede önceliklendireceklerini bilmeleri ve riski azaltmak için bu boşlukları doldurmaları kritik önem taşıyor.

Eski sistemler tehdit aktörleri için önemli bir hedef olmaya devam ediyor

Güvenlik uzmanları, eski teknolojilerle daha zorlu bir mücadele içerisinde. Eski Windows sunucu işletim sistemi sürümlerinin (2012 ve öncesi) yeni sürümlere kıyasla saldırı girişimlerine maruz kalma olasılığı %77 daha fazla. Sunucu ortamlarındaki güvenlik açıkları da önemli bir odak noktası. Sunucu sürümlerinin yaklaşık dörtte biri, destek süresinin sonuna ulaştı ve bu nedenle tehdit aktörlerinin hedefinde olma olasılığı daha yüksek.

Eğitim hizmetleri, %18'lik bir oranla destek sonu ya da kullanım ömrü sonu sorunlarıyla karşı karşıya olan kuruluşlar arasında en savunmasız olan endüstri. Bu sektördeki kuruluşların yamalanmamış güvenlik açıklarına sahip sunucu yüzdesi (%41), genel ortalama olan %10'a kıyasla önemli ölçüde daha yüksek. Halen üretici tarafından aktif olarak desteklenmeyen kullanım ömrü sonu veya hizmet sonu işletim sistemlerini kullanan diğer sektörler ise %14 ile perakende ticaret, %12 ile sağlık, %11 ile imalat ve %10 ile kamu yönetimi.

Kuruluşların yama yönetimi krizi

2023 yılı boyunca 65.000'den fazla benzersiz CVE keşfedildi. Yamalanmamış CVE'lerin en yüksek yüzdesine ise %93 ile giyilebilir cihazlar oluşturuyor. Tüm cihazların üçte biri, Log4Shell için hala yamalanmadı ve diğer birçok CVE de ihmal ediliyor. Düşük önem derecesine sahip CVE'ler için yama oranı %11, orta önem derecesine sahip CVE'ler için %58 ve yüksek önem derecesine sahip CVE'ler için %64 iken kritik önem derecesine sahip CVE'ler için bu oran sadece %55.

Genel olarak, bir CVE'nin silahlanma durumuna bakılmaksızın, kuruluşlar sürekli olarak silahlanmamış güvenlik açıkları için %62 ve silahlanmış güvenlik açıkları için %61'lik yama oranlarıyla boğuşuyor. Kötü yama yönetimi ile firmalar kendilerini riske atıyor.

Tüm bu bilgiler ışığında uzmanlar, geriye dönük öngörü ve analiz edilmiş verilerin kullanılmasının, CISO'ların 2024 çabalarını eski teknolojileri tanımlamaya ve en büyük öneme sahip risklere öncelik vermeye odaklamalarını sağlayabileceğini belirtiyor.