Alon Noy, Astelia’nın CEO’su ve Kurucu Ortağı – Röportaj Dizisi

Alon Noy, Astelia’nın CEO’su ve kurucu ortağıdır; saldırı ve savunma güvenliğini kapsayan 15 yılı aşkın deneyime sahip bir siber güvenlik lideridir. Daha önce İsrail’in 8200 Birimi’nde görev yaptı ve ardından İsrail Ulusal Siber Güvenlik Kırmızı Takımı’na liderlik etti. Bu görevde kritik altyapıların dayanıklılığını sınamak ve gerçek dünyadaki saldırı yollarını belirleyip ele almak için güvenlik ekipleriyle iş birliği yapmak da sorumlulukları arasındaydı. Noy ayrıca büyük araştırma ve geliştirme kuruluşlarını yönetti, İsrail’in Talpiot programından mezun oldu ve Tel Aviv University’den Bilgisayar Bilimleri alanında yüksek lisans derecesi aldı. Hem saldırgan hem de savunmacı perspektiflerinden çalışma deneyimi, Astelia’nın yaklaşımını şekillendirmeye yardımcı oldu. Şirket, bir kuruluşun ortamında hangi güvenlik açıklarının gerçekten erişilebilir ve istismar edilebilir olduğunu belirlemeye odaklanıyor.

Astelia, açık ve güvenlik açığı yönetimine odaklanan, yapay zekâ temelli bir siber güvenlik şirketidir. İsrail Ulusal Kırmızı Takımı’nda görev yapmış deneyimli isimler ve eski yöneticiler tarafından kurulan şirket, genel önem derecesi puanlarına öncelik vermek yerine hangi güvenlik açıklarının gerçek saldırı yolları oluşturduğunu belirlemek için yapay zekâdan ve ağa özgü analizlerden yararlanıyor. Platformu, salt okunur entegrasyonlar aracılığıyla kuruluşun ortamının haritasını çıkarıyor, istismar gerekliliklerini ağ topolojisine göre analiz ediyor ve güvenlik ekiplerinin gerçekten erişilebilir olduğu kanıtlanmış güvenlik açıklarına öncelik vermesine yardımcı oluyor. Ayrıca yama uygulama, yapılandırma değişiklikleri, ağ segmentasyonu veya telafi edici kontroller gibi düzeltme seçeneklerini belirliyor. Şirketin daha geniş kapsamlı hedefi, işletmelerin incelemeleri gereken güvenlik açığı uyarılarının sayısını azaltmalarına ve kaynaklarını saldırganların gerçekçi biçimde istismar edebileceği risklere odaklamalarına yardımcı olmak.

Astelia’yı kurmadan önce, 8200 Birimi’nde görev yapmak ve İsrail Ulusal Siber Güvenlik Kırmızı Takımı’na liderlik etmek de dahil olmak üzere, on yılı aşkın süre İsrail’in ulusal güvenlik alanında çalıştınız. Bu görevlerde bir saldırgan gibi düşünmeniz ve hareket etmeniz gerekiyordu. Bu deneyimler, gelişmiş saldırıların gerçekte nasıl gerçekleştiği konusunda size neler öğretti ve siber güvenlik pazarındaki hangi boşluk sizi sonunda Astelia’nın kurucu ortağı olmaya yöneltti?

On yılı aşkın süre boyunca işim, esasen içeri sızmaya çalışan kişi gibi düşünmekti; onları dışarıda tutmaya çalışan kişi gibi değil. Bu deneyimden çıkardığım en net ders, gelişmiş saldırıların neredeyse hiçbir zaman duvardaki tek ve büyük bir gedikten ibaret olmadığı. Genellikle, tek başlarına önemsenmeyen iki ya da üç küçük unsurdan oluşuyorlar: devre dışı bırakılmamış bir hesap, yalıtılması gerekirken yalıtılmamış bir ağ bölümü, gerekenden daha geniş kapsamlı bir izin ve benzeri. Ulusal Kırmızı Takım’a liderlik ettiğim dönemde, hedefin ağının gerçekte nasıl çalıştığını anlamaya, istismarın kendisini geliştirmekten çok daha fazla zaman ayırıyorduk. Saldırı yollarının nerede olduğunu öğrendiğinizde, bunlardan yararlanmak neredeyse işin kolay kısmı oluyor. Savunma tarafına geçtiğimde bir örüntü fark etmeye başladım. Gerçekte hangi güvenlik açıklarına bir saldırganın erişebileceğini anlamanın hiçbir yolu olmadan, uzun bir “kritik” güvenlik açığı listesi vardı. Astelia, saldırganların içeri girmenin yolunu bulmak için kullandığı bir süreç olan erişilebilirlik analizini savunmacıların yararına sunarak bu boşluğu kapatmak için kuruldu.

Astelia, kuruluşların gerçek ağ topolojilerinin haritasını çıkarıp hangi güvenlik açıklarına gerçekten erişilebildiğini ve bunların hangilerinin istismar edilebileceğini belirlemek için ajan tabanlı yapay zekâ kullanarak güvenlik açığı yönetimine farklı bir yaklaşım getiriyor. Bu, uygulamada nasıl işliyor ve geleneksel güvenlik açığı puanlamasının savunma ekiplerini neden çoğu zaman yanlış önceliklere yönelttiğini düşünüyorsunuz?

Salt okunur entegrasyonlar kullanarak kuruluşların gerçek ağlarını, sistemlerin gerçekte birbirine nasıl bağlandığını ve mevcut ağ kontrollerinin saldırganların önüne nerelerde engel çıkardığını haritalandırıyoruz. Bu tabloyu oluşturduktan sonra yapay zekâ, her bir güvenlik açığını ele alarak istismar için gerçekte nelerin gerekeceğini belirliyor; örneğin hangi erişimin gerektiğini, ağda nasıl bir yol izlenmesi gerektiğini ve hangi koşulların sağlanmasının zorunlu olduğunu. Ardından bunların tümünü gerçek ağ topolojisi ve mevcut kontrollerle karşılaştırıyor. Tarayıcıların işaretlediği bulguların genellikle %1’inden azının gerçekten erişilebilir olduğu ortaya çıkıyor. CVSS ve EPSS aynı temel sorunla karşı karşıya: Her ağ birbirinin aynısıymış, sistem internete açıkta duruyormuş ya da sektör genelindeki istismar eğilimleri sizin özel ortamınız hakkında bir şey söylüyormuş gibi güvenlik açıklarına puan veriyorlar. Çoğu ortamda bu varsayımların ikisi de geçerli değil. Segmentlere ayrılmış bir ağın birkaç sıçrama noktası gerisindeki, kritik olarak derecelendirilmiş bir hata; internete açık bir sunucudaki hatayla aynı riski taşımaz. Benzer şekilde, sektör genelinde EPSS puanı yüksek olan bir güvenlik açığına kendi ağınızdan hiç erişilemiyor olabilir. Bu puanlar belirli bir andaki durumu yansıtır ve ağınızı hesaba katmaz. Ağlar ve onları koruyan kontroller sürekli değiştiğinden erişilebilirlik de sürekli değişir.

Savunma ekiplerinin kaygılarının çoğunun, gerçek saldırganların çalışma biçimiyle ilgisiz olduğunu ileri sürdünüz. Güvenliği son derece yüksek ortamlara karşı izinli saldırılar gerçekleştirme deneyiminize dayanarak, güvenlik ekipleri saldırganların zayıflıkları belirleyip bunları birbirine bağlama biçimi konusunda en sık hangi noktaları yanlış anlıyor?

Saldırganların en yüksek ciddiyet derecesiyle sınıflandırılan açıkların peşine düştüğüne dair yaygın bir varsayım var. Gerçekte bunu nadiren yaparız. Amaca bizi en hızlı şekilde yaklaştıracak şeyin peşine düşeriz; bu da çoğu zaman tarayıcının orta veya düşük riskli olarak sınıflandırdığı bir unsurdur: izinleri yanlış ayarlanmış bir dosya paylaşımı, sözde kapatılmış bir projeden geriye kalan kimlik bilgileri ya da başka bir unsurla birleştirilene kadar tehlike arz etmeyen ve kimsenin bağlantılı olduğunu düşünmediği küçük bir erişim noktası. Tarayıcılar bulguları tek tek değerlendirir. Saldırılar böyle işlemez; saldırgan her zaman unsurların nasıl birbiriyle bağlantı kurduğuna bakar. Tek başına zararsız görünen bir şey, düşük ayrıcalıklı bir hesaptan tam denetime geçmek için saldırganın tam da ihtiyaç duyduğu unsur olabilir. Savunma ekiplerinin çoğu hâlâ riski her bulgu için ayrı ayrı değerlendirecek şekilde çalışıyor; bu yüzden gerçekten önemli olan saldırı yollarını gözden kaçırıyorlar.

Yapay zekâ, yeni açıklanan güvenlik açıklarını işe yarar istismar araçlarına dönüştürmek için gereken süreyi ve uzmanlığı büyük ölçüde azaltıyor. Bu, siber saldırıların ekonomik boyutunu nasıl değiştiriyor ve giderek daha yetenekli yapay zekâ modellerinden en çok hangi tür saldırganlar yararlanacak?

Bir istismar aracı geliştirmenin maliyetli kısmı eskiden uzmanlıktı: hatayı bulmak, onu tam olarak nasıl tetikleyeceğini çözmek ve güvenilir biçimde çalışmasını sağlamak. Uzmanlardan oluşan bir ekibin aylarca uğraşmasını gerektiren işler, artık en gelişmiş modellere erişimi olan sıradan bir saldırgan tarafından birkaç saatte yapılabiliyor. Bu, ekonomide gerçek bir değişim yaratıyor. Yeni bir CVE’yi saldırı aracına dönüştürmek eskiden ciddi bir yatırım gerektirirdi; artık neredeyse hiç gerektirmiyor ve bir güvenlik açığının duyurulmasıyla çalışan bir istismar aracının ortaya çıkması arasındaki süre giderek kısalıyor. Yama döngülerinin çoğu bu hızda ilerleyecek şekilde tasarlanmamıştı. Bu gelişmeden en çok yararlanan saldırganlar, saldırı konusunda zaten güçlü yeteneklere sahip olan en üst düzey devlet aktörleri değil. Bu, bünyelerinde daha önce böyle bir uzmanlığa sahip olmayan küçük gruplar ve fırsatçı suçlular; yapay zekâ da bu uzmanlığı fiilen onların eline veriyor.

Beyaz Saray’ın GOLD EAGLE girişimi, hükümet, teknoloji şirketleri ve kritik altyapı işletmecileri arasında daha yakın iş birliğini temel alıyor; güvenlik açıklarını daha hızlı tespit edip gidermek için en gelişmiş yapay zekâdan yararlanılıyor. Bir saldırganın bakış açısından bu model neleri doğru yapıyor, hangi noktalarda yetersiz kalabilir?

GOLD EAGLE, farklı kuruluşların aynı açıklanmış güvenlik açığını birbirinden bağımsız olarak tarayıp önceliklendirmesi ve kimse harekete geçmeden önce aynı işleri tekrarlaması nedeniyle ne kadar zaman kaybedildiğini doğru biçimde ortaya koyuyor. Bu süreci merkezileştirmek ve hükümet ile altyapı işletmecileri arasındaki koordinasyonu hızlandırmak için yapay zekâdan yararlanmak, saldırganların kullanabileceği süreyi gerçekten kısaltıyor; saldırgan açısından en önemli nokta da bu. Bu oyunda hız her şeydir. Bence girişimin yetersiz kaldığı nokta, sektör genelindeki koordinasyonun tek bir şirkete belirli bir güvenlik açığının kendi ağı içinde erişilebilir olup olmadığını söylememesidir. Bir kuruluş, öncelikleri iyi belirlenmiş bir tehdit akışına erişse bile bunun kendisi için geçerli olup olmadığını yine de bilemeyebilir. Son adım olan bu bilgiyi kuruluşun kendi ağ topolojisiyle karşılaştırma sorumluluğu her kuruluşun kendisine aittir.

100’den fazla teknoloji, siber güvenlik, finans ve altyapı kuruluşu, yapay zekâ destekli saldırılar önemli ölçüde yaygınlaşmadan önce savunmaları güçlendirmek için yalnızca sınırlı bir süre kalmış olabileceği konusunda uyarıda bulundu. Bu aciliyet duygusuna katılıyor musunuz ve kuruluşlar “savunucuların fırsat penceresi” sırasında gerçekçi olarak neleri başarmalı?

Bu aciliyet duygusuna katılıyorum, ancak nedenini biraz farklı ifade ederdim. Yapay zekâ destekli saldırılar gelecekte ortaya çıkabilecek bir tehdit değil; bir güvenlik açığının duyurulmasıyla çalışan bir istismar aracının ortaya çıkması arasındaki süre, çoğu kuruluşun yama uygulayabileceğinden daha hızlı kısalıyor. Yalnızca daha hızlı yama uygulayarak bu yarışı kazanmayı beklemek gerçekçi değil. Gerçekçi olan, bu dönemi kuruluşun kendi ortamını anlamak için kullanmak. Bu da gerçek ağ topolojisini ve hangi güvenlik açıklarına gerçekten erişilebildiğini bilmeyi, çabayı binlerce kuramsal bulguya dağıtmak yerine daha küçük bir kümeye yoğunlaştırmayı gerektiriyor. Ayrıca bu süreden, ağ bölümlendirme veya yapılandırma değişiklikleri gibi yama uygulamanın ötesindeki giderim seçeneklerini geliştirmek için de yararlanmakta fayda var; çünkü yalnızca yama uygulama hızı, yapay zekânın hızlandırdığı istismar geliştirme sürecine yetişemeyecek.

Ortak siber savunma, kuruluşların güvenlik açığı ve tehdit istihbaratını paylaşmasına büyük ölçüde bağlıdır. Hükümetlerin ve özel şirketlerin, bu süreçte yeni güvenlik riskleri yaratmadan işe yarar bilgileri yeterince hızlı paylaşabilmesi için teknik veya kültürel açıdan nelerin değişmesi gerekiyor?

Teknik zorluk, çözülmesi daha kolay olanı. Daha zor olan, güven sorunu. Hiçbir kuruluş kendi ortamındaki bir zayıflığı açıklayıp bunun kendisine bağlanması riskini almak istemez; özellikle de bu bilgi daha sonra bir veri ihlali raporunda ortaya çıkarsa. İşe yarayan yöntem, kimliği belirlenemeyecek biçimde faydalı bilgiler paylaşmak; yani belirli bir şirketi işaret edecek kadar ayrıntılı bir açıklama yerine, bir şeyin nasıl istismar edilebileceğine dair örüntüyü paylaşmak. Bunun için PDF’ler ve e-posta listeleri yerine otomatik kanallar üzerinden aktarılan, makinelerce okunabilir tehdit verileri gibi daha iyi bir altyapı gerekiyor; ancak altyapı hiçbir zaman asıl engel olmadı. Asıl engel, çoğu kuruluşun paylaşımı kendilerini koruyan bir yöntem olarak değil, hâlâ hukuki bir sorumluluk riski olarak görmesi. Tarafsız ve güvenilir bir aracı, GOLD EAGLE’ın sağlamayı amaçladığı unsurlardan biri; bu da bu algıyı değiştirmeye önemli ölçüde katkıda bulunabilir.

Astelia, yalnızca önem derecesine ya da bilinen bir istismarın varlığına değil, “erişilebilirliğe” vurgu yapıyor. Yapay zekâ istismar kodu üretimini hızlandırıp bunu potansiyel olarak daha yaygın hale getirirken erişilebilirlik daha önemli bir risk ölçütü haline mi geliyor? CISO’lar bu kavramı göz önünde bulundurarak güvenlik açıklarını nasıl önceliklendirmeli?

Erişilebilirlik yalnızca daha önemli hale gelmiyor; riski gerçekten belirleyen ölçüt haline geliyor. Önem derecesi, bir şeyin ne kadar zarar verebileceğine ilişkin her zaman yaklaşık bir göstergeydi; erişilebilirlik ise şu anda sizin ortamınızda istismar edilip edilemeyeceğini gösteriyor. Savunma ekipleri, düşük önem dereceli bulguların çoğunun aylarca yamalanmadan kalabileceğini, çünkü kimsenin bunları gerçekçi biçimde silah haline getirmeyeceğini varsayardı. İstismar kodu üretimi hızlı ve ucuz hale geldiğinde bu varsayım artık geçerliliğini yitiriyor. Önceliklendirme, önem derecesine göre sıralanmış bir iş listesinden, gerçekten erişilebilir riskleri ortadan kaldırmaya yönelmeli. Önem taşıyan az sayıdaki güvenlik açığını diğerlerinden ayıran şey, saldırganların gerçek ağınız göz önüne alındığında bunlara erişip erişememesidir. CISO’lar, CVSS puanına bir yenisini eklemek yerine erişilebilirlik kanıtı talep etmeli.

Astelia, yeni riskleri belirlemekten iyileştirme çalışmalarını koordine etmeye kadar güvenlik açığı yönetimi sürecinin çeşitli aşamalarında yapay zekâ ajanlarından da yararlanıyor. Siber güvenlik ajanları üretim ortamlarında değişiklik yapabilecek kapasiteye ulaştıklarında, ne ölçüde özerk olmalılar ve insanlar sürece hangi noktalarda mutlaka dahil olmalı?

Ajanlar analiz konusunda gerçek bir özerkliğe sahip olmalı: ağı haritalandırmalı, istismar için gerekenleri belirlemeli, yeni açıklamaları ilişkilendirmeli ve hangi unsurlara erişilebildiğini ortaya çıkarmalı. Hızın en çok önem taşıdığı yer burasıdır; bir hata da yalnızca insanın fark edeceği kötü bir öneriyle sonuçlanır. Üretim ortamlarında denetimsiz değişiklikler yapılmasına kesinlikle karşıyım. Ağdaki erişilebilirlik verileri olmadan bir düzeltmeyi uygulayan ajan tahminde bulunuyor demektir; hatalı bir güvenlik duvarı kuralı ya da ağ bölümlendirmesi değişikliği, gidermeyi amaçladığı güvenlik açığından daha fazla zarara yol açabilir. Bugün “otonom iyileştirme” adı altında pazarlanan çözümlerin çoğunun aslında otomatik olarak kayıt oluşturmasından kaynaklanan nedenlerden biri de bu. Özellikle de bir yama her zaman mevcut olmadığından, işletmeler bu tür değişiklikleri bir insanın onaylamasını istiyor. Doğru model, kanıtlarla desteklenen düzeltmeler öneren ve üretim ortamına herhangi bir müdahaleden önce bir kişinin onayını alan ajanlardır. Erişilebilirlik verileri geliştikçe ve daha dar kapsamlı, iyi test edilmiş değişiklik kategorilerine duyulan güven arttıkça bu yaklaşım esneyecektir; ancak üretimde denetimsiz eyleme izin vermek benim başlangıç noktam olmaz.

İleriye baktığımızda, hem saldırganlar hem de savunma ekipleri giderek daha yetenekli özerk yapay zekâ sistemlerine eriştikçe, siber güvenlikte saldırı ve savunma arasındaki dengenin nasıl değişmesini bekliyorsunuz? Bu yeni döneme hazırlıklı kuruluşları hazırlıksız olanlardan ne ayıracak?

Saldırganlar yapay zekâ sayesinde başlangıçta üstünlüğü koruyor; çünkü tek bir işe yarar yol bulmaları yeterli ve yapay zekâ bu yolu hızla bulmaya çok uygun: keşif hızlanıyor, istismar geliştirme süreci hızlanıyor, oltalama içerikleri daha ikna edici hale geliyor. Savunma ekipleri bu farkı, aynı işleri yapay zekâyla daha hızlı gerçekleştirerek kapatamaz. Farkı, genel ve sektör çapında tehdit verilerine göre risk yönetmek yerine kendi bağlamlarını temel alarak kendi ağlarında gerçekten erişilebilir olan güvenlik açıklarını yapay zekâyla keşfedip ortadan kaldırarak kapatabilirler. Hazırlıklı kuruluşları ayıran, bu değişimi mecbur kalmadan önce yapıp yapmadıkları ve yama takvimlerinin yetişmesini ummak yerine, hangi güvenlik açıklarının kendi ortamlarında gerçekten istismar edilebileceğini kanıtlarıyla ortaya koyup koyamadıkları olacak. Riski hâlâ genel bir bağlamda yöneten kuruluşlar, kendi tarayıcılarının bir yıl önce düşük öncelikli olarak değerlendirdiği bir açık yüzünden hazırlıksız yakalanmaya devam edecek.

Harika röportaj için teşekkürler. Daha fazla bilgi edinmek isteyen okuyucular Astelia’yı ziyaret edebilir.