Ben Bernstein, Huntress’ta Siber Güvenlik Danışmanları Müdürü – Röportaj Serisi

Ben Bernstein, Huntress’ta Siber Güvenlik Danışmanları Müdürü, teknik destek, sistem yönetimi, müşteri başarısı, teknik hesap yönetimi ve güvenlik danışmanlığı liderliği alanlarında on yılı aşkın deneyime sahip bir siber güvenlik profesyonelidir. Kariyerine uygulamalı BT rollerinde başladı, yardım masası görevlerinden sistem yönetimine ilerledi ve ardından Integris’te hesap yönetimi ve müşteri başarısına geçti. Bernstein daha sonra üç yıl boyunca Red Canary’de çalıştı; burada Kurumsal Müşteri Teknik Hesap Yöneticisi ve Kıdemli Kurumsal Teknik Hesap Yöneticisi olarak kurumsal müşterilerle ilişkileri yönetti. 2024’te kurucu Teknik Hesap Yöneticisi olarak Huntress’e katıldıktan sonra teknik hesap yönetimi liderliğinde ilerledi ve şimdi şirketin Siber Güvenlik Danışmanlarını yönetiyor; teknik uzmanlığı ve müşteri odaklı deneyimini birleştirerek kuruluşların gelişen siber tehditleri daha iyi anlamalarına ve yanıt vermelerine yardımcı oluyor.

Huntress, kuruluşları uç noktalar, kimlikler, günlükler ve kullanıcılar arasında korumak üzere tasarlanmış tam yönetilen bir güvenlik platformu sunan bir siber güvenlik şirketidir. Platformu, Yönetilen Uç Nokta Tespit ve Yanıt (EDR), Kimlik Tehdit Tespit ve Yanıt (ITDR), Güvenlik Bilgisi ve Olay Yönetimi (SIEM) ve güvenlik farkındalığı eğitimi gibi teknolojileri, 24/7 yapay zekâ odaklı bir Güvenlik Operasyon Merkezi (SOC) ile birleştirir; bu merkez insan güvenlik uzmanları tarafından yönetilir. Huntress, teknolojisinin şu anda 5 milyondan fazla uç noktayı ve 15 milyondan fazla kimliği, 277.000’den fazla işletme genelinde koruduğunu ve ekibinin müşteriler adına tehdit tespiti, araştırma, yanıt ve iyileştirme işlemlerini yürüttüğünü belirtiyor.

Kariyerinize yardım masası ve sistem yönetimiyle başladınız, ardından teknik hesap yönetimi yoluyla ilerleyerek sonunda Huntress’ta siber güvenlik danışmanlığı liderliğine ulaştınız. Bu uygulamalı BT geçmişi, özellikle yöneticilerin güvendiği aynı araçların bir saldırganın giriş noktası haline gelebileceği durumlarda, güvenlik konusundaki düşünce şeklinizi nasıl etkiledi?

Artık evin siber tarafında çalıştığım için IT geçmişime her gün sonsuz minnettarım. Bu bana pratik bir bakış açısı kazandırıyor. İşletim sistemlerinin, uygulamaların ve sistem süreçlerinin normal çalıştığında nasıl davrandığını bildiğinizde, anormallikler ve tehditler gerçekten öne çıkıyor. IT’deki zamanım aynı zamanda sorun giderme ve kök neden analizi zihniyetini geliştirdi. Bir sorunu ya da tehdidi tam olarak kapsamlı bir şekilde değerlendirmek için ipliği takip etmeniz gerektiğini çabuk öğrenirsiniz.

Bugün tehdit aktörleri tarafından kötüye kullanılan aynı araçlara, örneğin RMM’lere, büyük ölçüde güvenmeyi hatırlıyorum. Kendim de bunları dağıttığım için, bir BT yöneticisinin ve bir saldırganın elinde ne kadar güçlü olduklarını tam olarak takdir ediyorum. RMM’ler her yerde olduğu için, güvenlik ekipleri bu araçların yürütülmesiyle ilgili tüm etkinlikleri incelemek zorunda kalıyor. Bir makinede RMM’nin çalışıyor olması doğası gereği kötü değildir. Ancak o RMM aniden ek araçlar indirmeye ya da tanıdık olmayan betikler çalıştırmaya başlarsa, savunucuların güvenilir yazılım listelerine güvenmeyi bırakıp tamamen davranışları gözlemlemeye odaklanmalarını zorlar.

Yapay zeka, siber güvenlikte genellikle karmaşık otonom saldırganlar bağlamında tartışılır, ancak yapay zekanın anlık etkisinin ne kadarının sıradan siber suçluları sadece daha hızlı ve daha yetkin hâle getirmek olduğu? Göreceli olarak düşük becerili saldırganların, daha önce çok daha derin teknik uzmanlık gerektiren kampanyaları yürütebileceği bir noktaya ulaşıyor muyuz?

Şu anda otonom yapay zeka hackleme sistemleri hakkında çok fazla panik var, ancak sahadaki gerçek, bunun yeni bir ticaret yöntemi olmamasıdır. Bu modeller, çok sofistike teknikler kullanarak ağları ele geçirmiyor. Yıllardır insan script kiddielerin yaptığı şeyi yapıyorlar; yani internete açık, yamalanmamış ve hatalı yapılandırılmış varlıkları tarıyorlar. “Otonom AI” ifadesi korkutucu ya da çekici gelmesi nedeniyle manşetlerde yer alıyor, ancak bu saldırıların gerçek mekanikleri temeldir.

Asıl sorun, yapay zekanın siber suçlular için giriş engelini düşürmesidir. Saldırganlar bir istismarın zahmetli bölümlerini otomatikleştirerek operasyonlarını derin teknik uzmanlık gerektirmeden ölçeklendirebilirler. Bu, düşük becerili saldırganların kampanyaları çok daha hızlı yürütmesini sağlar ve işletmeler üzerinde büyük bir baskı oluşturur. Artık bir güvenlik aracını kurup unutamazsınız. Organizasyonların ağlarının sürekli olarak tarandığını varsaymaları gerekir.

Huntress, saldırganların RMM ihlalleri sırasında LLM tarafından üretilen bilgi çalma betikleri kullandığını gözlemledi. Bu, üretken yapay zekanın siber suçun ekonomi ve erişilebilirliğini nasıl değiştirdiği konusunda bize ne anlatıyor?

Bu, üretken yapay zekanın siber suçun operasyonel maliyetini sadeleştirdiğini gösteriyor. Bir bilgi çalma betiği yazmak yeni bir teknik iş değildir, ancak geleneksel olarak çok fazla geliştirici zamanı ya da yeraltı forumlarından özel araçlar satın almayı gerektiriyordu. Bir LLM’yi kurbanın ağında kullanarak, saldırganlar önceden hazırlanmış kötü amaçlı yazılımlara güvenmek yerine talep üzerine işlevsel, özelleştirilmiş betikler oluşturabilir.

Bu modellere erişim hâlâ bir maliyet taşısa da, giriş engeli her zamankinden daha düşük. Ortalama saldırganların bu araçları daha hızlı çalışmak ve manuel kodlama görevlerini ortadan kaldırmak için kullandığını sık sık görüyoruz. Bu, saldırının ekonomisini temelden değiştirerek yürütme aşamasını son derece erişilebilir hâle getiriyor ve düşük becerili aktörlerin derin teknik uzmanlık gerektirmeden operasyonlarını ölçeklendirmesine olanak tanıyor.

Huntress, uzaktan izleme ve yönetim aracı kötüye kullanımında yıllık %277 artış bildirdi. Neden yasal RMM platformları özel kötü amaçlı yazılımlara göre bu kadar çekici bir alternatif haline geldi ve saldırganlara erişim sağladıktan sonra ne gibi avantajlar sunuyor?

RMM araçlarında doğası gereği kötü bir şey yoktur. IT yöneticilerine ve MSP’lere verimli çalışmaları ve kullanıcıları desteklemeleri için hayati bir amaç hizmet ederler. Sorun, özel kötü amaçlı yazılımların geleneksel antivirüs yazılımları tarafından işaretlenirken, RMM’lerin imzalı, güvenilir olması ve standart güvenlik kontrollerini atlatmasıdır. Saldırgan için daha da iyisi, RMM ajanlarının doğal olarak yükseltilmiş yönetici ayrıcalıklarıyla çalışması ve yerleşik kalıcılık sağlamasıdır; bu da erişimi sürdürmek için ekstra çaba harcamadan sistem yeniden başlatmalarında aktif kalmaları anlamına gelir.

Saldırgan, hedef makinede kendi RMM ajanını çalıştırdığında, temelde bir uzaktan kontrol konsoluna sahip olur. Dosyaları sorunsuz bir şekilde karşılıklı aktarabilir ve genellikle RMM örneklerini önceden kötü amaçlı betikler ve araçlarla kurar, böylece uç noktalarda tek bir tıklama ile çalıştırılabilir. Uygulama kendisi meşru olduğu için savunucular aracı basitçe engelleyemez. Bu durum, güvenlik ekiplerini güvenilir yazılım listelerine güvenmekten vazgeçip davranışı gözlemlemeye odaklanmaya zorlar; bu da bir saldırganın yönetim yazılımını kötüye kullandığını yakalamak istiyorsanız 24/7 izlemeyi zorunlu kılar.

Huntress’in belgelediği bir teknik, saldırganların birden fazla RMM aracını “zincirleme” yaparak telemetrileri bölmek ve yedek erişim yaratmaktır. Bu tür bir ihlalin tipik olarak nasıl geliştiğini ve savunucuların neyin olduğunu tanımasının neden bu kadar zor olabileceğini bize anlatabilir misiniz?

İşte yakaladığımız ve hakkında bir blog yazdığımız özellikle ilginç bir örnek. Saldırı, sahte bir iş belgesi tuzağı (örneğin “Network Solutions Agreement”) kullanan bir kimlik avı e-postasıyla başladı. Kurban, e-postadaki bağlantıya tıkladı, sahte bir CAPTCHA ile korunan bir sayfaya yönlendirildi ve standart bir PDF ya da hizmet belgesi olduğunu düşündükleri dosyayı indirdi. Aslında indirme, çalıştırılabilir bir kurulum dosyasıydı. Kullanıcı, anlaşmayı açmak için dosyaya çift tıkladığında, sessizce Tiflux RMM adlı yetkili olmayan ama meşru bir uzaktan erişim aracını kurdu.

Tehdit aktörü ilk Tiflux ajanını çalıştırdıktan sonra, yerleşik yeteneklerini hemen kullanarak aynı makineye Splashtop, ScreenConnect ve UltraVNC gibi ek araçları iterek ve yan yükleyerek kurdu. Bunun, hepsinin ek meşru RMM araçları olduğunu belirtmek önemlidir.

Saldırganlar bunu süper kalıcılık sağlamak için yaparlar. Bir IT yöneticisi yetkisiz bir uzaktan aracı fark edip kaldırırsa, saldırganın hâlâ iki ya da üç başka aktif arka kapısı olduğunu bilirler. Bu taktik telemetrileri bölerek parçalar. Güvenlik platformları sadece aynı anda çalışan, imzalı yönetim uygulamalarını ve bunların meşru satıcı altyapısına geri bildirim gönderdiğini görür. Bir savunucu bu etkinliği aktif olarak izleyip, tek bir uç noktanın aynı öğleden sonra neden birden fazla ayrı uzaktan yönetim ajanı kurduğunu sormazsa, bu durum rutin IT bakımının gürültüsü içinde kaybolur.

24/7 davranış izleme ötesinde, burada bir diğer etkili kontrol Uç Nokta Güvenlik Durumu Yönetimi ve uygulama kontrolüdür. Bir kuruluş, makinelerinde çalışmasına izin verilen belirli RMM çeşitlerini açıkça tanımlarsa, onaylanmamış araçların çalışmasını tamamen engelleyebilir ve zincirleme saldırıyı başlamadan durdurabilir.

Geleneksel güvenlik modelleri genellikle güvenilir ve güvenilmez yazılımları ayırır, ancak RMM saldırıları meşru, imzalı ve IT tarafından zaten onaylanmış olabilecek araçları suistimal eder. Bu, savunucuların bir uygulamanın güvenilir olup olmadığını sormaktan vazgeçip davranışının güvenilir olup olduğuna odaklanmaları gerektiği anlamına mı geliyor?

Evet, kesinlikle. Geleneksel ikili güven modeli bozulmuş durumda. İkili imzalama, bir uygulamanın meşru bir satıcıdan geldiğini doğrulamak için tasarlanmıştır, eylemlerinin güvenli olduğunu garanti etmek için değil.

Bir saldırgan imzalı bir RMM ikili dosyası ya da yerleşik bir yardımcı program kullanıyorsa, çalıştırılabilir dosya kendisi temizdir, ancak arkasındaki etkinlik kötücül olur. Savunucular “Bu dosya güvenilir mi?” sorusunu aşmalı ve davranışının bağlam içinde mantıklı olup olmadığına odaklanmalıdır. Bir RMM’nin bir makinede çalışması doğası gereği kötü değildir. Ancak bu araç aniden ek yardımcı programlar bırakmaya, tanıdık olmayan betikler üretmeye ya da hizmet hesabı altında sabah 2’de çalışmaya başlarsa, bu bir ihlal göstergesidir. Bağlam ve davranış her zaman önemli olmuştur, ancak saldırganların güvenilir yazılımlara bu kadar yoğun güvenmesiyle birlikte, şimdi her zamankinden daha fazla önem kazanmıştır.

AI, bir güvenlik açığı ya da yapılandırma boşluğunu keşfetmek ile bunu istismar etmek arasındaki süreyi kısalttıkça, güvenlik durumu yönetiminin rolü nasıl değişiyor? Kuruluşlar, saldırganların bunları istismar etme fırsatı bulmadan önce hangi kimlik, uç nokta ve uzaktan erişim zayıflıklarını önceliklendirmeli?

Güvenlik duruşu yönetimi, saldırganların her gün istismar ettiği yaygın güvenlik açıklarını kuruluşların proaktif olarak kapatmasına yardımcı olduğu için her zamankinden daha önemli. Bu, yanlış yapılandırmalar, aşırı izinler, yetkisiz uygulamalar ve uç noktalar ile kimlikler üzerindeki diğer zayıflıklar gibi sorunları sürekli tespit edip ele alarak tespit ve yanıtı tamamlar. Açıklık duyurusu ile otomatik tarama arasındaki pencere saatlere kadar daraldığında, bu açıkların istismar edilmeden önce azaltılması hayati önem taşır. Kuruluşlar, ortamlar arasında tutarlı, güçlendirilmiş bir duruş sürdürerek karşılaştıkları olay sayısını azaltmalı ve bir saldırgan kapıyı aştığında neler ulaşabileceğini sınırlamalıdır.

Her ne kadar neredeyse tüm siber satıcılar, sattıkları çözümlere uygun tehdit ya da güvenlik alanı hakkında halka “eğitmek” (veya korkutmak) konusunda istekli olsa da, gerçek öncelik listesi yalnızca her bir kuruluşun kendisi belirleyebilir. Her işletme CIA üçlüsünün farklı bileşenlerine değer verir ve her şirket hassas verileri farklı yerlerde depolar ya da erişir. Çoğu işletmenin duyması gereken gerçek tavsiye, hangi veri, varlık veya üretim sistemlerinin operasyonları için en kritik olduğunu değerlendirmek ve ardından oradan geriye doğru hareket ederek en önemli olanı korumaktır.

AI ajanlarının sonunda saldırı yaşam döngüsünün önemli bölümlerini otonom olarak yürütmesi konusunda artan bir endişe var. Otonom siber saldırıların bugünkü AI‑destekli saldırılardan anlamlı derecede daha tehlikeli hâle gelmesi için hangi yeteneklerin geliştirilmesi gerekir ve savunucular yeterince hızlı hazırlanıyor mu?

Otonom ajanlar konusundaki endişe bunun gelecekte bir sorun olduğunu ima ediyor, ancak bugün zaten saldırı gerçekleştirdiklerini görüyoruz. Ancak bu otonom saldırılar mükemmel değil. Son JadePuffer fidye yazılımı kampanyasına bir göz atın. Tamamen bir AI ajanı tarafından yürütüldü, ancak bariz hatalar yaptı. Model, fidye notu için sahte bir Bitcoin cüzdan adresi uydurmak da dahil olmak üzere operasyonun bazı bölümlerini hayal etti. Daha da absürt bir şekilde, AI şifreleme anahtarını kaydetmeyi ya da iletmeyi unuttu. Rastgele oluşturulan anahtarı geçici bir konsol çıktısına yazdırdı ve oturumu kapattı, bu da kurbanın ödeyse bile verilerini kurtarmasını matematiksel olarak imkânsız hâle getirdi.

Gerçek durum, taktik, teknik ve prosedür bakış açısından otonom AI, otomatik betikler ve insan saldırganların hepsinin aynı şeyi yaptığıdır. Hâlâ internet‑açık, savunmasız ve yanlış yapılandırılmış varlıkların aynı tiplerini istismar ediyorlar. AI, standart öldürme zincirinden geçmek zorundadır. İlk erişimi elde etmeli, izinleri yükseltmeli, yatay hareket etmeli ve yükünü çalıştırmalıdır. JadePuffer örneğinde, sadece bilinen, yamalanmamış bir açıklığı kullanarak kapıyı araladı ve ardından ağda sürüklenerek ilerledi.

Saldırının temel mekanikleri değişmediği için savunucular mevcut oyun kitaplarını atmak zorunda değiller. Katmanlı güvenlik, temel BT hijyeni ve güçlü davranışsal tespit hâlâ gereklidir. Değişen şey, savunucuların olayları işleme ve uyarıları önceliklendirme üzerindeki baskı ve hızdır. Bir AI ajanı bir hata yaptığında, hata günlüğünü okuyup saniyeler içinde kendini düzeltip ilerlemeye devam ettiğinde, savunucular sadece siber saldırıların şu anki yüksek hızına uyum sağlamak zorundadır.

Saldırganlar AI’ı benimserken, savunucular da aynı teknolojilere erişebiliyor. AI’ın en büyük savunma avantajını nerede sağladığını görüyorsunuz: olağandışı davranışı tespit etmek, telemetrileri analiz etmek, açıklıkları önceliklendirmek, yanıtı otomatikleştirmek ya da tamamen başka bir alanda mı?

İlk olarak, mavi ekip korelasyonu için son derece etkilidir. Güvenlik ekiplerinin veri sorunu değil, gürültü sorunu vardır. AI, samanlıkta iğneyi bulmak gibi, farklı ve görünüşte alakasız olayları alıp birleştirerek bir ihlalin tam hikâyesini anlatmakta inanılmaz derecede faydalıdır.

İkinci olarak, AI savunucular için saldırganlara yaptığı işi, beceri boşluğunu kapatarak yapıyor. Genç bir SOC analisti yoğun şekilde karmaşık bir betik ya da karmaşık bir uyarıyla karşılaştığında, bir LLM’yi kullanarak bu veriyi anında sade Türkçe’ye çevirebilir. Bu, tersine mühendisliğin manuel zahmetli işini ortadan kaldırır ve savunucuların önceliklendirme ve yanıt vermesini çok daha hızlı hale getirir.

Son olarak, reaktif savunmanın ötesine bakıldığında, kırmızı ve mor ekiplerin AI’ı kullanarak savunmaları proaktif olarak test etme ve doğrulama konusunda muazzam bir fırsatı vardır. Tam kapsamlı, insan‑liderli penetrasyon testleri hâlâ kesin bir zorunluluktur. Ancak AI, güvenlik yığını içindeki farklı katmanları doğrulamak için daha küçük, atomik testler yürütmenin teknik eşiğini düşürür. Yıllık bir penetrasyon testini beklemek ya da gerçek organik bir tehdit ortaya çıktığında parmakları çaprazlamak yerine, kuruluşlar AI’ı kullanarak kendi ortamlarını güvenli ve sık sık test edebilir ve gerçekte neyin kırıldığını görebilirler.

Geleceğe baktığımızda, siber güvenlik endüstrisinin hem saldırganların hem de savunucuların giderek otonom ajanlar aracılığıyla çalıştığı bir ortama gireceğini düşünüyor musunuz? Eğer öyleyse, her iki taraftaki makineler tehditleri makine hızında tespit edip yanıt verebildiğinde avantajı kimin elde edeceğini nihayetinde ne belirleyecek?

AI kesinlikle yeraltı ekonomisini sarsıyor. Siber suç‑hizmet olarak sunulan karanlık ağ pazarı, kötü amaçlı yazılım ve betikleri satmakta başarılı oldu çünkü bunlar geleneksel olarak oluşturulması için uzman geliştirici becerileri gerektiriyordu. AI, bu ekosistemin erişilebilirliğini ve ekonomisini, daha az yetkin operatörlerin talep üzerine kendi araçlarını üretmesine olanak tanıyarak değiştiriyor. Bu, birçok eski, hazır paket kötü amaçlı yazılım satıcısının kapısını kapatacak gibi görünüyor. Bir tehdit aktörü, yeraltı forumunda genel bir hazır paket kötü amaçlı yazılım için ödeme yapmak yerine, bir LLM’yi talep üzerine özel araç üretmesi için yönlendirebilir mi?

Her iki taraf da AI ile donatıldığında, avantaj altyapı, ayar ve denetimle belirlenir. Bu, kimnin daha büyük bir işlem gücü bütçesine (kimnin daha fazla token harcayabildiğine) ve kimnin daha iyi ayarlanmış modele sahip olduğuna dair bir mücadele haline gelir. Tehdit aktörleri için test, AI’larının hataları yinelemeli olarak çözümleyebilmesi, hata günlüklerini okuyabilmesi ve bir exploit başarısız olduğunda uygun şekilde yön değiştirebilmesidir. Savunucular için test, algılayıcılarınızın gerçekten ayarlanıp ayarlanmadığı ve veri hatlarınızın AI’ye doğru telemetrileri gerçek zamanlı besleyecek şekilde düzgün bağlanıp bağlanmadığıdır. Ancak daha da önemlisi, kritik kararları vermek için iş bağlamına sahip insan uzmanlarının sürece dahil olup olmadığının belirleyiciliğidir; örneğin bir AI’nın bir olayı yorumlamasını okuyup, ele geçirilen bir makineyi izole etmeye mi yoksa bir üretim sistemini kapatarak tehdidi sınırlamaya mı karar verileceği.

Sonuç olarak, AI güvenliğin temellerini değiştirmez. En iyi performans gösterecek işletmeler, küçük detayları doğru yapanlardır. Bu, saldırı yüzeyinizi azaltmak, güvenlik açıklarını yamalamak, yapılandırmaları güçlendirmek, 7/24 izleme yapmak, ihlali varsaymak ve savunmalarınızı düzenli olarak proaktif test etmek anlamına gelir. AI sadece bir hızlandırıcıdır. Temelleri daha hızlı ve tutarlı uygulayan, kazanan taraftır.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Huntress adresini ziyaret etmelidir.