Həssas Məlumat Təhlükəsizliyində Tək Nəzarət Kifayət Etmir

Nə Baş Verdi

Kibertəhlükəsizlik dünyasında mürəkkəb təhdidlərə qarşı tək bir həllin yetərli olmadığı getdikcə daha çox qəbul edilir. Bu yanaşmaya son və güclü bir dəstək, Broadridge şirkətində Professional Proqram Mühəndisi olaraq çalışan Venkata Pavan Kumar Gummadi'dən gəldi. Help Net Security'də yayımlanan bir video təhlildə Gummadi, həssas məlumatları qorumaq üçün 'dərinləməsinə müdafiə' (defense in depth) olaraq bilinən çoxqatlı bir strategiyanın niyə həyati olduğunu ətraflı izah etdi.

Gummadi'nin əsas arqumenti, disk şifrələməsi və ya məlumat itkisinin qarşısının alınması (DLP) kimi tək təhlükəsizlik nəzarətlərinin, təcavüzkarların asanlıqla sızacağı boşluqlar və zəif nöqtələr buraxdığı istiqamətindədir. Təcavüzkarlar, bu qatlar arasındakı ' tikiş yerlərini' taparaq, zahirən təhlükəsiz olan sistemlərə sızmağı bacarırlar. Bu səbəbdən, proaktiv və bütöv bir təhlükəsizlik arxitekturası yaratmaq, reaktiv tədbirlərdən daha təsirli bir nəticə verir. Gummadi, məlumatın yaradılmasından məhvinə qədər bütün həyat dövrünü əhatə edən və bir-biri ilə inteqrasiya olunmuş şəkildə işləyən dörd əsas qatı təklif edir.

Qorunması Lazım Olan Məlumatlar

Bu strategiyanın mərkəzində, qorunması hədəflənən 'həssas məlumatlar' yer alır. Mənbə məqalədə Gummadi, bu məlumatlara nümunə olaraq Sosial Təminat nömrələri (SSN) və hesab nömrələri kimi şəxsi və maliyyə məlumatlarını göstərir. Bu cür məlumatlar, şəxsiyyət oğurluğu, maliyyə fırıldaqçılığı və digər kiber cinayətlər üçün əsas hədəfdir. Bir kiber təcavüzkarın əlinə keçdikdə, həm fərdlər, həm də qurumlar üçün dağıdıcı nəticələrə səbəb ola bilər.

Ancaq həssas məlumat anlayışı bu iki nümunə ilə məhdudlaşmır. Geniş bir perspektivdən baxdıqda, şirkətlərin qoruması lazım olan məlumat növləri bunlardır:

• Şəxsi Müəyyənləşdirici Məlumatlar (PII): Ad, soyad, ünvan, telefon nömrəsi, doğum tarixi kimi birbaşa bir şəxsi müəyyən edən məlumatlar.
• Maliyyə Məlumatları: Kredit kartı nömrələri, bank hesab məlumatları, əməliyyat tarixçələri və investisiya portfelləri.
• Sağlamlıq Məlumatları (PHI): Tibbi tarixçə, sığorta məlumatları, diaqnoz və müalicə qeydləri kimi son dərəcə məxfi məlumatlar.
• Əqli Mülkiyyət: Şirkət sirləri, patent müraciətləri, məhsul dizaynları, mənbə kodları və strateji iş planları.
• Autentifikasiya Məlumatları: İstifadəçi adları, parollar, API açarları və təhlükəsizlik sertifikatları.

Dərinləməsinə müdafiə strategiyasının ilk addımı, bu məlumatların harada olduğunu, necə istifadə edildiyini və kimlərin daxil ola bildiyini tam olaraq anlamaqdır. Bu məlumatlılıq olmadan, təsirli bir qoruma təmin etmək mümkün deyil.

Hücumlar Niyə Uğurlu Olur

Gummadi'nin təhlilinə görə, kiberhücumların uğurlu olmasının əsas səbəbi, təşkilatların tək qatlı və ya ayrı-ayrı təhlükəsizlik yanaşmalarına etibar etməsidir. Məsələn, bir şirkət bütün verilənlər bazasını saxlayan diski şifrələyərək təhlükəsiz olduğunu düşünə bilər. Ancaq bu, yalnız fiziki oğurluğa və ya icazəsiz disk girişinə qarşı bir qoruma təmin edir. Əgər təcavüzkar qanuni bir istifadəçi kimi görünən bir tətbiq vasitəsilə verilənlər bazasına daxil olarsa, disk şifrələməsinin heç bir mənası qalmaz, çünki məlumatlar tətbiq qatında şifrəsiz olaraq işlənir. Təcavüzkar, qatlar arasındakı bu 'tikiş yerini' istismar etmiş olur.

Eynilə, yalnız e-poçtları izləyən bir DLP həlli, məlumatların bir bulud saxlama xidmətinə yüklənməsinin və ya bir USB sürücüyə kopyalanmasının qarşısını ala bilməz. Təcavüzkarlar həmişə ən az müqavimət göstərən yolu axtarırlar. Təhlükəsizlik arxitekturasındakı hər bir boşluq, onlar üçün potensial bir giriş qapısıdır. Bu səbəbdən, tək bir nəzarətin 'hər dərdə dərman' bir həll olaraq görülməsi, kibertəhlükəsizlikdəki ən təhlükəli yanlış anlamalardan biridir. Uğurlu hücumlar, adətən bu fərziyyəyə əsaslanan arxitekturaları hədəf alır.

Dərinləməsinə Müdafiə Strategiyasının Dörd Qatı

Venkata Pavan Kumar Gummadi, bu zəiflikləri aradan qaldırmaq üçün bir-birinin ardınca işə düşən və hər biri əvvəlkinin qaçırdığını tutmağı hədəfləyən dörd qatlı bir model təklif edir.

1. Təsnifat (Classification)

Hər şey məlumatı tanımaqla başlayır. Təsnifat, məlumatları həssaslıq səviyyələrinə görə etiketləmə prosesidir. Məsələn, Sosial Təminat nömrəsi kimi bir sahə 'Çox Məxfi', şirkətdaxili bir elan isə 'Daxili' olaraq etiketlənə bilər. Bu etiketləmə, sonrakı bütün təhlükəsizlik nəzarətlərinin hansı məlumata hansı siyasəti tətbiq edəcəyini müəyyən etməsinə imkan verir. Bir məlumat parçasının nə qədər dəyərli olduğunu bilmədən, onu düzgün şəkildə qoruya bilməzsiniz. Bu qat, təhlükəsizlik strategiyasının təməlini təşkil edir və digər qatların effektivliyi birbaşa təsnifatın doğruluğundan asılıdır.

2. Tokenizasiya (Tokenization)

İkinci qat, yüksək dəyərli məlumatları sistemlərdə saxlanmazdan əvvəl 'token' adlanan mənasız, təsadüfi simvol ardıcıllıqları ilə əvəz etməkdir. Məsələn, bir kredit kartı nömrəsi, eyni formatda, lakin real olmayan bir token ilə dəyişdirilir. Həqiqi məlumat, təhlükəsiz bir 'seyfdə' (token vault) saxlanılır. Bu sayədə, bir təcavüzkar sisteminizə sızaraq verilənlər bazasını ələ keçirsə belə, əlinə keçən tək şey bu mənasız tokenlər olar. Tokenizasiya, məlumatın öz dəyərini aradan qaldıraraq onu təcavüzkarlar üçün cəlbedici olmaqdan çıxarır. Xüsusilə ödəniş sistemləri və şəxsi məlumatları saxlayan tətbiqlər üçün kritik bir müdafiə xəttidir.

3. Məlumat İtkisinin Qarşısının Alınması (DLP) Siyasətlərinin Təkmilləşdirilməsi

DLP sistemləri, həssas məlumatların təşkilat xaricinə çıxmasının qarşısını almaq üçün nəzərdə tutulmuşdur. Bu sistemlər, məlumatın izlədiyi yolları (e-poçt, fayl əlavələri, bulud xidmətləri, USB cihazları, çap əməliyyatları) davamlı olaraq izləyir. Ancaq Gummadi'nin vurğuladığı əsas məqam, bu siyasətlərin 'təkmilləşdirilməsi' (tuning) zərurətidir. Pis konfiqurasiya edilmiş bir DLP, ya çox sayda yanlış həyəcan siqnalı yaradaraq təhlükəsizlik komandalarını yorar (xəbərdarlıq yorğunluğu) ya da qanuni iş axınlarını əngəlləyərək məhsuldarlığı azaldar. Effektiv bir DLP, məlumat təsnifatı etiketlərinə əsaslanaraq işləməli və yalnız həqiqi risk daşıyan məlumat hərəkətlərini ağıllı şəkildə bloklamalıdır.

4. Giriş Nəzarətləri (Access Controls)

Son müdafiə qatı, məlumata kimin, nə vaxt və necə daxil ola biləcəyini idarə etməkdir. Müasir giriş nəzarəti, şəxsiyyətə əsaslanır və statik parollardan kənara çıxır. Bu qatda, autentifikasiya üçün qısa ömürlü tokenlər, sertifikatlar və Çox Faktorlu Autentifikasiya (MFA) kimi dinamik üsullardan istifadə olunur. Qısa ömürlü tokenlər, bir təcavüzkar tərəfindən ələ keçirildikdə belə, etibarlılıq müddəti bitdikdə işə yaramaz hala gəlir. MFA, parol oğurlansa belə, ikinci bir doğrulama addımı tələb edərək icazəsiz girişi əngəlləyir. Bu qat, 'ən az imtiyaz' (least privilege) prinsipi ilə birləşdikdə, bir təcavüzkarın şəbəkə daxilində yanlara doğru hərəkət etmə qabiliyyətini böyük ölçüdə məhdudlaşdırır.

Mütəxəssis Nə Deyir

Gummadi, bu qatların praktikada necə işlədiyini bir fidyə proqramı hücumu keys-stadi üzərindən izah edir. Bu ssenaridə, hər bir qat əvvəlkinin nəzərdən qaçırdığı təhdidi dayandırmaqda bir rol oynayır. Məsələn, bir təcavüzkar sistemə sızmağı bacarsa belə, tokenizasiya sayəsində oğurladığı məlumatlar mənasızdır. DLP, bu məlumatları çölə sızdırmağa çalışdıqda həyəcan siqnalı verə bilər. Giriş nəzarətləri, təcavüzkarın digər sistemlərə yayılmasının qarşısını ala bilər. Ən pis ssenaridə, yəni sistemlər şifrələndikdə belə, təsnifat sayəsində hansı məlumatların ən kritik olduğu bilinir və bu məlumatların bərpasına üstünlük verilir.

Bu keys-stadidən çıxarılacaq dərs aydın və konkretdir: "Tək bir nəzarət heç vaxt qalib gəlmir, buna görə dərinliyi şüurlu şəkildə qurun və bərpa prosesini müstəqil saxlayın." Bu, yalnız hücumun qarşısını almağa fokuslanmaq əvəzinə, hücumun uğurlu olması halında belə, iş davamlılığını təmin edəcək və məlumatları geri qaytaracaq müstəqil və etibarlı bir bərpa planına sahib olmağın vacibliyini vurğulayır.

Mənbə

https://www.helpnetsecurity.com/2026/07/23/defense-in-depth-strategy-video/