2022 sonlarındaki LastPass güvenlik ihlali güvenlik topluluğu aracılığıyla bir şok dalgası gönderdi. Parola yöneticileri genellikle en güvenli ve güvenilir platformlar olarak görülür, çünkü olması gerekir. Çok sayıda hizmete kimlik bilgileri tutarak, herhangi bir müşteri kasasında ihlalin felaket sonuçları olabilir.
Hiçbir hizmet mükemmel değildir ve bu şifre yöneticileri için geçerlidir, peki kendinizi daha da korumak için ne yapabilirsiniz?
Güçlü servis şifreleri seçmek, gizli anahtarları özenle korumak ve çok faktörlü kimlik doğrulamanın kullanımını sağlamaktan, kuruluşunuzun güvenlik açıklarını en aza indirecek adımlar vardır.
Aralık 2022'de tehdit aktörleri LastPass yedekleme verilerini çaldı. İhlal, kaynak kodu verilerini ve URL'ler gibi şifrelenmemiş meta verileri içeren müşteri tonozlarını ve şifreler gibi şifreli veriler içeriyordu. LastPass kullanımındaki bir basın açıklamasından elde edilen verilere göre, bu ihlal en az 30 milyon kullanıcı ve 85.000 işletmeyi etkiliyor.
Bu ihlal, bir tehdit oyuncusu kaynak kodu ve teknik veriler içeren bulut tabanlı bir depolama ortamına eriştiğinde meydana geldi. Tehdit aktörleri, tehdit aktörlerinin depolama hacimlerine daha fazla erişim sağlamak ve verileri şifresini çözmek için kullandıkları başka bir LastPass çalışanına karşı çalınan verilerden yararlandı.
Nihayetinde, bu, tehdit aktörlerinin şifreli müşteri kasaları da dahil olmak üzere büyük miktarda veri çalmasına yol açtı.
Hassas verilerinize bir bulut hizmetine güvenmek, kuruluşunuz için uygun olanı bulmak için önemli araştırmalar gerektiren bir bulut hizmetidir. Şirket içi bir çözüm de doğal olarak daha güvenli değildir.
Aşırı çalışan BT yöneticilerinin bir çözümü yanlışlıkla yanlış yapılandırması, bir tehdit aktörüne kimlik bilgilerini kaybetmesi veya şirket içi bir çözüm güncellemeyi unutması tamamen mümkündür.
Bulut hizmetlerinin sahip olduğu bir avantaj, yukarıdaki zorlukların tümüne adanmış ekiplerdir.
Birçok BT departmanı, şirket içi şifre yönetimi çözümüne benzer gruplar atamak için daha fazla kaynağa ihtiyaç duyar. BT organizasyonunuzun bulut tabanlı bir hizmet kullanacağını varsayarak, verilerinizi nasıl daha iyi koruyabilirsiniz?
Bulut tabanlı bir şifre yönetimi çözümü seçerken, hizmetin verilerinizin şifresini çözmenin hiçbir yolu olmamalıdır. Genellikle müşterinin çevrimiçi hizmetin yapmadığı bir şifreleme anahtarı aracılığıyla yapılır, bu "gizli anahtar" veriler kaybolsa bile, bir tehdit oyuncusu tarafından kurtarılamayacağını sağlar.
Bu şifreleme, verileri şifrelemek için kullanılan gizli anahtar, ne kadar iyi korunduğunu ve bulut sağlayıcı tarafında kullanılan şifreleme seviyesi kadar iyidir.
Müşteri olarak yapabileceğiniz şey, makul bir zaman diliminde şifre çözülemeyen yeterince karmaşık rastgele oluşturulmuş bir şifre oluşturmaktır.
Gizli anahtarı korumak, bir tehdit oyuncunun bir ihlal durumunda kuruluşunuzun verilerini şifresini çözebilmesinin bir yolu olmamasını sağlamak için çok önemlidir.
Doğal olarak, herhangi bir hizmet çevrimiçi hizmeti yapılandırmak için yönetici erişim gerektirecektir. Yönetici hesabı genellikle depolanan tüm verilere erişebilir.
Bu hesabı kimlik avı veya güçlü bir şifre politikası aracılığıyla kaba kuvvet girişimlerinden korumak, bir tehdit oyuncusunun şirketinizin şifre tonozlarına erişmesini engelleyecektir.
Yönetimsel bir hesap, varsayılan kullanıcı adının veya ihlal edilen şifrelerin kullanımını içermemelidir. NIST, ihlal edilen bir şifre listesine karşı şifreleri kontrol etmenizi önerir.
Güçlü bir şifre ile eşleştirilmiş, uygun çok faktörlü kimlik doğrulamasını uygulamak, kuruluşunuzun hassas verilerine erişme girişimlerini yenmek için uzun bir yol kat edecektir. İyi bir MFA kurulumu, donanım anahtarı gibi sağlam yöntemleri veya parmak izi gibi biyometrik yöntem kullanmayı içermelidir.
Genellikle MFA bir eklenti olarak görülür, ancak güvenlik bilincine sahip bir organizasyon herkes için MFA politikaları uygular. Çalıntı bir şifre ile bile, MFA genellikle bir tehdit oyuncusu durdurur, çünkü MFA'yı tehlikeye atma zamanı ve çaba kazanımlara değmez.
Şirketinizin hassas verilerinin korunmasının altında yatan sağlam bir şifre politikasıdır. Güçlü bir şifre politikası, çevrimiçi şifre çözme anahtarı, yönetim hesapları ve çevrimiçi kaynaklara erişen tüm cihaz hesapları için çok önemlidir.
Kuruluşunuzun ihlal edilen şifreleri yeniden kullanmayan uygun bir şifre politikasına sahip olmasını sağlayarak, bir ihlal meydana gelirse şirketiniz iyi sonuç verecektir.
Güçlü bir şifre politikasının tabanını oluşturan, kuruluşunuzu güvenli ve uyumlu tutmak için özellikler Parola Politikası.
Kuruluşunuz, derinlemesine şifre karmaşıklığı kuralları ve ihlal edilen şifre koruma eklentisi aracılığıyla kullanıcılarınızın şifreler için en iyi uygulamalara uymasını sağlayabilir.
Parola kurallarının ötesine geçen Specops Parola Politikası, cihazların ayrıntılı hedeflemesini sağlamak için Active Directory etki alanınızla bütünleşir. Buna ek olarak, kuruluşunuz değiştirilen bir şifre, kullanıcının masaüstünden karmaşıklık gereksinimlerini karşılayıp karşılamadığını gösterebilir.
Sonunda, ihlal edilen bir şifre yöneticisi asla iyi değildir, ancak felaket olması gerekmez. Sağlıklı hesap güvenlik uygulamaları, güçlü şifre politikaları ve zorunlu çok faktörlü kimlik doğrulama kullanarak, kuruluşunuzu düşme kurbanından korumanıza yardımcı olabilirsiniz.
Herhangi bir hizmetin herhangi bir zamanda ihlal edilebileceğini varsaymak her zaman en iyisidir. İhlal durumunda uygun güvenliği uygulayın ve şirketiniz ve müşterinizin verileri için riski en aza indirin.
Specops Software tarafından sponsorlu ve yazılmıştır
Şifre gücünü daha şeffaf hale getirmenin faydaları
14 Siber Güvenlik Son kullanıcılarınıza aşılamak için en iyi uygulamalar
Google Reklamları Kimlik Yardım Saldırısı'nda hedeflenen Bitwarden Parola Kasaları
Şifre sıfırlama çağrıları kuruluşunuza mal oluyor
3. taraf hizmetleri şifre güvenliğinde yetersiz kalıyor
Kaynak: Bleeping Computer