AI Tehditleri Dikkat Dağıtıcıdır. Gerçek Probleminiz Daha Yakındır

Şeffaf olalım: AI güçlü siber saldırılar korkutucu bir перспектиiftir. Ancak bunlar işiniz için en büyük tehdit değildir.

En büyük tehdit, onlar tarafından oluşturulan dikkat dağıtmadır.

15 yılı aşkın bir süredir, aynı hikayeyi gördüm. Liderlik, son “AI süper tehdidi” tarafından korkutulurken, güvenlik ekibi hala temel soruları cevaplamakta zorluk çekiyor, “En duyarlı müşteri verilerimiz nerede?” veya “O kritik sistemin yamasını kim sahip olacak?” Yeni araçları takip ederken, mühendisler son dakika uyum çalışmaları için çekilir ve kritik açıklar önceliklendirilmez.

Bu, klasik “ekrana fancy kilit” sorunudur. Kuruluşlar, AI ile çalışan savunma sistemlerini dağıtmak için acele ederken, saldırganlar daha az kural ve daha fazla esneklik ile temel süreç, sahip olma ve kültür açıklarından yararlanarak AI ile yürüyebiliyor. Özellikle orta pazar şirketleri için, temel öğeleri ihmal etmek, bir sonraki uyarı öyküsüne dönüşmeye davetiye çıkarmaktır.

Statik Savunmalar Dinamik Dünyada Neden Başarısız Olur

Kariyerime başladığım zaman, güvenlik bir kontrol listesiydi: antivirüs, yamalar ve güçlü güvenlik duvarları. O dünya çoktan gitti. Bugün, polymorfik malware自己lerini imzalardan kaçınmak için yeniden yazar ve botnetler, herhangi bir insanın cevap vereceğinden daha hızlı saldırılar başlatır.

Şifreli trafik, saldırganların favori saklanma noktası haline geldi. Zscaler’in 2024 ThreatLabz raporu, nearly 90% of malware is now delivered over encrypted channels. Bu, dokuzda sekiz tehdidin, şifreli trafiği incelemeyen eski araçlar için görünmez olduğu anlamına geliyor.

Gerçek tıkanma noktası, teknoloji değil; kurumsal sürtünme. Büyük güvenlik ekiplerinin, bilinen bir açığı kapatmak için bile haftalarca sadece onay almak için uğraştığını izledim. Otomatik bir saldırgan, toplantıları planlamak için geçen sürede girip çıkabilir. Statik olmak artık bir seçenek değil. Güvenlik programları, bağlamda farkında olmalı ve işin hızlı hareket eden kısımlarına odaklanmalıdır.

Siber Suçun Endüstrileşmesi

Bu, kimseyi şaşırtmamalı. Saldırganlar, yeni teknolojiyi benimseyerek işlerini endüstrileşmeye çalışan girişimcilerdir. AI, onların operasyonlarını endüstrileşmesine yardımcı oluyor.

• Phishing-as-a-Service, Süper Şarj Edildi: Phishing, hala en önemli giriş yolu. FBI ve IBM, yıllarca boyunca bunu en üst düzeyde initial access vektörü olarak rapor ediyor. Şimdi, “FraudGPT” gibi AI tabanlı araçlar, suçluların mükemmel şekilde uyarlanmış, gramer hatalı phishing kampanyaları oluşturmasına olanak tanıyor.
• Ses Yalan: Ses phishing (“vishing”) patlıyor. CrowdStrike, AI klonlanmış sesleri kullanarak suçluların yöneticileri taklit ettiğini ve çalışanları fonları havale etmeye ikna ettiğini görüyor. Bir UK enerji şirketi, bu şekilde tek bir çağrıdan 243.000 dolar kaybetti.
• Otomatik Düşmanların Yükselişi: CrowdStrike’in tehdit avcıları, artık AI tarafından oluşturulan özgeçmişlerle birlikte derin sahte video görüşmeleri ve bulutda tamamen yaşayan malware-free saldırılar görüyor.

Savunucular, insan gözetiminden bağımsız olarak adapte olan ve devam eden tehditlerle karşı karşıya.
Bunlarla başa çıkmak için, eskimiş, kontrol listesine dayalı yaklaşım ve güvenlikten vazgeçmek gerekiyor. Piyasadaki en son araçları aramak da cevap değil. Ancak, bu, temel öğelere geri dönmek için benzersiz bir fırsat.

“Uyumlu muyuz?” Diye Sormayı Bırakın, “Esnek miyiz?” Diye Sormaya Başlayın

AI, manzarayı yeniden şekillendirmesine rağmen, çoğu ihlal hala temel öğelerin ihmal edilmesi nedeniyle meydana geliyor. Evet, CEO’nun sesi klonlandı, ancak gerçek başarısızlık, muhtemelen kırık bir mali onay süreciydi. AI, sadece temel öğelerin eksikliği zincirinin son adımdı.

AI, zero-day exploit bulmak zorunda değil; beş yıllık yamalı bir sunucu veya her şeye admin hakları olan bir geliştirici bulabilir. Bir başka AI güçlü güvenlik aracı satın almak, kırık bir kültürü düzeltmez. AI, güçlü süreçleri güçlendirmelidir, onların yerine geçmemelidir.

Burada liderlik genellikle yanlış yapıyor. “Uyumlu muyuz?” sorusunun sorulduğu boardroom’larda bulundum. Daha iyi soru, “Güvenlik programımız işimizi daha güçlü yapıyor mu?”

Uyum, bir onay kutusu egzersizi haline geliyor. Ürün ekipleri, mühendislerin güvenlik görevleri için kaynak olmadan ilerlemesine izin veriyor ve liderler, temiz bir denetimın işin güvenli olduğu anlamına geldiğini varsayıyor. Ancak öyle değil. Çözüm, daha fazla araç değil; daha güçlü bir üst yapıdır. Güvenlik, doğrudan iş büyümesi ve ürün bütünlüğü ile bağlantılı olmalıdır.

AI Çağı için Pragmatik Bir Rehber

Fortune 500’ler bu soruna para harcayabilir. Orta pazar şirketleri daha akıllı olmalıdır. Vậy, ne yaparsınız?

1. Temelini İlk Önce Düzeltin. Bir başka aracı satın almadan önce, veri envanterinizin, erişimi kontrolünün ve yama sürecinizin gerçekten çalıştığından emin olun.
2. AI’yi Gündemine Alın. AI güdümlü saldırılar için masa üstü egzersizleri çalıştırın. Bunu düzenli olarak board raporlarına dahil edin, böylece bir iş riski olarak değil, bir IT sorunu olarak ele alınır.
3. Davranışa Odaklanın, Sadece Statik Sinyallere Değil. Bilinen malware avcılarından ziyade, garip aktiviteyi tespit eden araçlara öncelik verin – örneğin, bir kullanıcı hesabının nunca dokunmadığı bir veritabanına突然 erişmesi gibi.

AI Düşman Değil, Tembellik

AI, çift taraflı bir kılıç değil; bir büyüteç. İyi süreçleri daha verimli, kötü süreçleri ise felaket haline getirir.

Saldırganlar her zaman yeni araçlara sahip olacak. Gerçek soru, güvenlik stratejinizin esneklik temelinde inşa edilmiş olup olmadığı, yoksa sadece bir sonraki parlak nesneyi mi takip ettiğinizdir. Set-et-and-forget güvenlik çağı sona erdi. Güvenlik kültürünü oluşturan ve temel öğeleri çivileyen kuruluşlar, otonom tehditlerin yaşadığı dönemde bile kazanacaktır.