İş Ortakları ve Uygulamaların Güvenlik Riskleriyle Karşılaşma

İşletmeler, çalışanların – hatta teknik uzmanlıkları olmayanlar da dahil – güçlü iş ortakları ve iş uygulamaları oluşturmak ve büyük miktarda veri işlemek için iş ortakları ve düşük kodlu platformları kullanmaya giderek daha fazla başvuruyor. Zenity’nin 2024’te İş Ortakları ve Düşük Kodlu Geliştirme Durumu adlı yeni bir raporuna göre, ortalama olarak, işletmeler standard yazılım geliştirme yaşam döngüsü (SDLC) dışında oluşturulan yaklaşık 80.000 uygulama ve iş ortağına sahiptir.

Bu gelişme yeni fırsatlar sunuyor, ancak yeni riskler de getiriyor. Bu 80.000 uygulamanın ve iş ortağının yaklaşık 50.000 güvenlik açığı bulunuyor. Rapor, bu uygulamaların ve iş ortaklarının çok hızlı bir şekilde evrildiğini ve bu nedenle çok sayıda güvenlik açığı oluşturduğunu belirtiyor.

İş Ortakları ve Uygulamaların Riskleri

Tipik olarak, yazılım geliştiricileri uygulamaları tanımlı bir SDLC (güvenli geliştirme yaşam döngüsü) boyunca dikkatli bir şekilde oluşturur ve her uygulama sürekli olarak tasarlanır, dağıtılır, ölçülür ve analiz edilir. Ancak bugün, bu güvenlik önlemleri artık mevcut değil. Geliştirme deneyimi olmayan kişiler, Power Platform, Microsoft Copilot, OpenAI, ServiceNow, Salesforce, UiPath, Zapier gibi platformlarda güçlü iş ortakları ve iş uygulamaları oluşturup kullanabilir. Bu uygulamalar, hassas verileri aktardıkları ve depoladıkları için iş operasyonlarına yardımcı oluyor. Bu alanda büyüme önemli ölçüde gerçekleşmiş durumda; rapor, düşük kodlu geliştirme ve iş ortaklarının benimsenmesinde %39’luk yıllık büyümeyi buldu.

Bu nedenle, SDLC’nin atlanmasıyla birlikte, güvenlik açıkları yaygındır. İşletmeler bu yetenekleri coşkuyla benimser, ancak bu iş ortakları ve uygulamaların sayısını ve iş bağlamını tam olarak anlamak gerektiğini genellikle takdir etmezler. Örneğin, uygulamaların ve iş ortaklarının kime yönelik olduğunu, hangi veriyle etkileşime girdiğini ve iş amaçlarını anlamaları gerekir. Ayrıca, bunları kimin geliştirdiğini bilmeleri gerekir. Çoğu zaman bunu yapmazlar ve standart geliştirme uygulamaları atlandığı için, bu bir tür gölge BT’ye yol açar.

Bu, güvenlik ekiplerini zor bir duruma sokar, çünkü birçok iş ortağı, uygulama, otomasyon ve rapor, çeşitli iş birimlerinde iş kullanıcıları tarafından güvenlik ekiplerinin bilgisi dışında oluşturulur. Rapor, tüm OWASP (Açık Web Uygulaması Güvenlik Projesi) İlk 10 Risk Kategorisinin işletmelerde yaygın olduğunu buldu. Ortalama bir işletmede 49.438 güvenlik açığı bulunuyor. Bu, düşük kodlu platformlar kullanılarak oluşturulan iş ortaklarının ve uygulamaların %62’sinin某 tür güvenlik açığı içerdiği anlamına geliyor.

Farklı Risk Türlerini Anlama

İş ortakları, kimlik bilgilerini kullandıkları, hassas verilere erişimleri olduğu ve doğal bir merakları olduğu için önemli bir tehdit potansiyeli sunar. Gerçekten de, düşük kodlu platformlarla oluşturulan %63’ü başkalarıyla paylaşıldı ve birçokları kimliği doğrulanmamış sohbeti kabul ediyor. Bu, olası.prompt enjeksiyon saldırıları için önemli bir risk oluşturuyor.

İş ortaklarının nasıl çalıştığı ve genel olarak AI’ın nasıl çalıştığı nedeniyle, kullanıcı etkileşimlerinin iş ortaklarıyla paylaşılmasını, uygulamaların çok fazla veya yanlış kişiyle paylaşılmasını, AI aracılığıyla hassas verilere erişimin gereksiz olarak verilmesini önlemek için katı güvenlik önlemleri uygulanmalıdır. Bu önlemler uygulanmazsa, işletmeler veri sızıntısı ve kötü niyetli.prompt enjeksiyonuna karşı daha fazla maruz kalma riski taşır.

İki diğer önemli risk ise:

Uzaktan İş Ortağı Çalıştırma (RCE’ler) – Bu güvenlik açıkları, AI uygulamalarına özgü bir saldırı yolunu temsil eder. Bu RCE sürümü, bir dış saldırganın, sadece bir e-posta, takvim daveti veya Teams mesajı göndererek, M365 için İş Ortağını tamamen kontrol etmesi ve emirlerine uymasını sağlar.

Konuk hesapları: Bir konuk hesabı ve bir düşük kodlu platforma ücretsiz olarak sunulan bir deneme lisansı kullanarak, bir saldırgan, işletmenin düşük kodlu platformuna veya iş ortağına yalnızca giriş yaparak erişebilir. Girdikten sonra, saldırgan hedef dizine geçer ve platformda etki alanı yöneticisi düzeyinde ayrıcalıklara sahip olur. Sonuç olarak, saldırganlar bu konuk hesaplarını arar ve bu da güvenlik ihlallerine yol açmıştır. İşte işletme liderleri ve güvenlik ekipleri için korkutucu bir veri noktası: Tipik bir işletmede, düşük kodlu platformlar ve iş ortakları kullanılarak geliştirilen uygulamalara erişim sağlayan 8.641’den fazla güvenilmeyen konuk kullanıcısı vardır.

Yeni Bir Güvenlik Yaklaşımı Gereklidir

Güvenlik ekipleri bu yaygın, amorf ve kritik risklere karşı ne yapabilir? Uygulamaların kimlik bilgisi alma işleminin güvenli bir adımını uyarılarını almalarını sağlamak için kontrollerin yerleştirildiğinden emin olmalıdırlar. Ayrıca, oluşturulan her uygulamaya, özellikle de hassas iç verilere erişim sağlayan iş açısından kritik uygulamalar için uygun kimlik doğrulama kontrolleri sağlamak için bir bağlam eklemelidirler.

Bu stratejiler uygulandığında, bir sonraki öncelik, hassas verilere erişimi gereken uygulamalar için uygun kimlik doğrulamasının kurulmasını sağlamaktır. Ardından, parolaların güvenli bir şekilde bir kimlik bilgileri veya sırlar kasasından alınmasını sağlamak için kimlik bilgilerini ayarlamak en iyi uygulamadır, bu da parolaların açık metin olarak depolanmasını garanti eder.

Geleceğinizi Güvenceye Almak

 Düşük kodlu ve iş ortağı geliştirme cini şişeden çıktı, bu nedenle onu geri koymaya çalışmak gerçekçi değil. İşletmeler instead, riskleri anlamalı ve verilerini güvenceye almak için önlemler almalıdır. Güvenlik ekipleri, işletme liderliğindeki bu yeni geliştirme döneminde birçok zorlukla karşılaştı, ancak yukarıda belirtilen önerilere uymak, işletme iş ortakları ve düşük kodlu geliştirme platformlarının sunduğu inovasyon ve verimliliği güvenceye almak için en iyi konumda olacaklar.