Kurumsal Ağlarda Savunma Paradoksu: Çeperde İyileşme, İçeride Çöküş

Picus Labs’ın yeni Blue Report 2026 raporu, kurumsal ağ güvenlik yaklaşımlarındaki önemli bir kırılmayı gün yüzüne çıkardı. Kurumlar, dışarıdan gelen saldırılara karşı savunma yeteneklerini artırırken, ağın iç kısımlarına sızmayı başaran tehditlere karşı beklenmedik derecede savunmasız kalıyor. Yılın ilk yarısında gerçekleştirilen 338 milyondan fazla gerçek saldırı simülasyonu, dış çeperdeki iyileşmenin, içerideki sessiz ve sinsi hareketlere karşı oluşan zayıflığı maskelediğini gözler önüne seriyor. Bu durum, klasik güvenlik anlayışının sınırlarını sorgulatıyor.

Çevresel Güçlenme, İç Ağda Zafiyet Dalgası

Kurumsal güvenlik çözümlerinin dışarıdan gelen tehditlere karşı önemli bir güçlenme kaydettiği belirtiliyor. Ortalama önleme etkinliği %62’den %69’a yükselerek 2024 zirvesini yeniden yakalarken, olay günlüğü tutma oranı da %58 ile son dört yılın en yüksek seviyesine ulaştı. Bu rakamlar, işletmelerin ağa yetkisiz erişimi engelleme konusunda kayda değer adımlar attığını gösteriyor. Özellikle yeni nesil güvenlik duvarları (Next-Generation Firewalls – NGFW), web uygulama güvenlik duvarları (WAF) ve gelişmiş tehdit koruma (ATP) sistemleri gibi çevresel savunma katmanlarındaki yatırımlar, dışarıdan gelen doğrudan saldırıları ve bilinen kötü amaçlı yazılımları daha etkin bir şekilde durdurabiliyor. Ancak raporun asıl dikkat çeken yönü, bu iyileşmenin neredeyse tamamen ağın dış katmanlarında yoğunlaşması. Saldırganlar ağ çeperini aştığında içerideki manzara bütünüyle değişiyor. Dışarıdan bakıldığında güçlü görünen savunmalar, iç ağda adeta eriyerek, özellikle keşif ve kimlik bilgisi hırsızlığı gibi “sessiz” hareketlere karşı en zayıf noktasını ortaya koyuyor. Bir saldırganın ilk erişimi sağladıktan sonraki adımları olan iç ağ haritalandırması ve ayrıcalıklı hesap bilgilerini ele geçirme çabaları, klasik güvenlik kontrolleri tarafından yeterince tespit edilemiyor. Bu durum, siber saldırı “kill chain” (ölüm zinciri) içindeki kritik aşamaların, yani iç ağ keşfinin ve kimlik bilgisi hırsızlığının kolayca gerçekleştiğini ve böylece daha büyük bir ihlale zemin hazırlandığını gösteriyor.

Sessiz Tehditlerin İç Ağlardaki Hız Kesmeyen Yükselişi

İlk defa, ihlal sonrası önleme yetenekleri, otonom sızma testleri ile ölçüldü. Bir saldırganın kimliği doğrulanmış bir kullanıcı olarak ağ içinde faaliyet gösterdiği senaryolarda kontrollerin saldırı zincirini ne kadar etkili bir şekilde kırabildiği incelendi. İhlal Sonrası Önleme Oranı sadece %37 olarak belirlendi. Ağ çeperi yaklaşık olarak üç saldırıdan ikisini engellerken, iç savunmalar üç saldırıdan ancak birini durdurabiliyor. Bu senaryolar, genellikle bir çalışanın kimlik bilgilerinin çalınması veya bir uç noktanın ele geçirilmesiyle başlar ve saldırganın içeriden hareket etme kabiliyetini test eder. Bu ortalama değerin ötesinde daha önemli bir detay bulunuyor: iç ağın başarısızlığı homojen değil, belirli bir örüntüyü takip ediyor. Gürültülü eylemler, yani sistemde belirgin değişiklikler yapan, dosya yazan, yeni hizmetler oluşturan veya yetkisiz port taramaları gibi dikkat çekici faaliyetler yakalanırken, sessiz ve gizli operasyonlar neredeyse hiç fark edilmiyor. Örneğin, hizmet yürütme (Sharp-ServiceExec ve SMBExec gibi teknikler) ile makineleler arası yatay hareket, %90 oranında engellendi. Bu tür teknikler genellikle anormallik olarak kabul edilebilir ve EDR sistemleri tarafından kolayca işaretlenebilir. UAC-bypass ayrıcalık yükseltme girişimleri de %85 gibi yüksek bir başarıyla durduruldu. Bu oranlar, uç nokta tespit ve müdahale (EDR) çözümlerinin ve “ihlal edildiği varsayımı” temelindeki yatırımların beklenen şekilde çalıştığını kanıtlıyor, ancak sadece belirli tipteki saldırı vektörlerine karşı.

Kimlik Avı ve Keşif Operasyonlarının Gölgesindeki Tehlike

Ancak aynı raporda, ağ içinde gerçekleştirilen sessiz eylemlerin neredeyse engellenemediği ortaya kondu. Ağın haritasını çıkarma (örneğin, ağ paylaşımlarını listelemek için ‘net view’ komutunu kullanma veya Active Directory yapısını sorgulama), paylaşımları ve oturumları listeleme gibi keşif faaliyetleri, tüm kategoriler arasında en az önlenen davranış oldu ve sadece %10 oranında durdurulabildi. Bu tür pasif keşif yöntemleri, sistemde neredeyse hiçbir iz bırakmadığı için geleneksel güvenlik çözümleri tarafından kolayca gözden kaçırılıyor. Kimlik bilgilerinin bellekten sessizce okunması girişimleri (%22 oranında tespit edilirken, özellikle LSASS işlem belleği dökümü), kayıt defterinden (SAM veritabanı veya diğer hassas kayıt defteri anahtarları) sırların doğrudan çekildiği bir varyantın ise denemelerin %1’inden daha azında engellendiği görüldü. Bu, bir saldırganın neredeyse hiçbir direnişle karşılaşmadan ortamı haritalandırabileceği, oturumları toplayabileceği ve kimlik bilgisi materyallerini okuyabileceği anlamına geliyor. Saldırganlar, daha gürültülü ve tespit edilebilir eylemlere geçmeden önce tüm hazırlıklarını rahatça yapabiliyor.

Bir örnek, bu durumu net bir şekilde özetliyor. Mimikatz adlı aynı kimlik bilgisi çalma aracı, aynı hedefle üç farklı yöntemle kullanıldığında önleme skorları çarpıcı biçimde farklılaştı. LSASS işlem belleğinden klasik, yoğun şekilde imzalanmış bir yöntemle kimlik bilgilerinin alınması neredeyse her seferinde engellenirken (genellikle bilinen API çağrılarını ve davranışları izleyen EDR’ler tarafından), aynı bilgilerin diğer bellek konumlarından veya kayıt defterinden okunması (daha az bilinen API’ler veya doğrudan bellek okuma teknikleri kullanılarak) neredeyse hiçbir zaman engellenmedi. Aynı araç, aynı amaç ve aynı ortamda dahi, tespit edilebilirliği belirleyen tek değişkenin eylemin ne kadar “göze çarptığı” olduğu anlaşıldı. Bu durum, imza tabanlı ve bilinen davranışsal kurallara dayalı tespit mekanizmalarının, saldırganların yöntemlerini değiştirmesiyle ne kadar kolay atlatılabileceğini ortaya koymaktadır.

İç Ağ Güvenliği için Acil Dönüşüm İhtiyacı

Bu veriler, kurumsal güvenlik stratejilerinin temelden yeniden değerlendirilmesi gerektiğini ortaya koyuyor. Sadece ağ çeperine odaklanmak ve dışarıdan gelen tehditleri engellemeyi yeterli görmek, saldırganların içeri girdikten sonra neredeyse sınırsız hareket özgürlüğüne sahip olmasına yol açıyor. Kuruluşların, içerideki davranışları izleme, anomali tespiti ve ihlal sonrası önleme yeteneklerine yatırım yapması kritik önem taşıyor. Bu dönüşüm, “Sıfır Güven (Zero Trust)” mimarisi prensiplerini benimsemeyi, yani ağ içindeki hiçbir kullanıcıya veya cihaza varsayılan olarak güvenmemeyi gerektiriyor. Ayrıca, ağ segmentasyonu ve mikrosegmentasyon gibi tekniklerle iç ağın parçalara ayrılması, saldırganın yatay hareket kabiliyetini kısıtlayabilir. Özellikle keşif ve kimlik bilgisi hırsızlığı gibi kritik hazırlık adımlarının erken aşamada tespit edilmesi, büyük bir ihlali önlemenin en etkili yolu olabilir. Güvenlik ekiplerinin, imza tabanlı yaklaşımların ötesine geçerek, davranışsal analiz ve yapay zeka destekli izleme sistemlerini benimsemesi gerekiyor. Bu sistemler, normal kullanıcı davranışlarını öğrenerek şüpheli veya anormal aktiviteleri, bilinen saldırı imzaları olmasa bile tespit edebilir.

Siber Güvenlikte Yeni Bir Paradigma: Davranışsal Odaklanma

Picus Labs raporu, siber güvenlik dünyasında süregelen bir tartışmayı daha da derinleştiriyor: İmza tabanlı tespit yöntemlerinin yetersizliği. Geleneksel güvenlik yaklaşımları, genellikle bilinen kötü amaçlı yazılım imzalarını veya saldırı kalıplarını aramaya odaklanır. Ancak modern saldırganlar, polimorfik zararlı yazılımlar, dosyasız (fileless) saldırılar veya sistemin yerleşik araçlarını (Living off the Land – LotL) kullanarak bu imzaları kolayca atlatabilmektedir. Saldırganlar, bilinen araçları bile yeni yöntemlerle kullanarak imzaların ötesine geçebildiklerini gösteriyor. Bu durum, güvenlik çözümlerinin sadece “ne” yapıldığına değil, “nasıl” yapıldığına odaklanması gerektiğini vurguluyor. Gürültülü ve dikkat çekici eylemlerin yakalanması önemli olsa da, gerçek tehdit, ağın karanlık köşelerinde sessizce bilgi toplayan ve hazırlık yapan aktörlerden geliyor. Kurumların, sürekli güvenlik doğrulama testleri ve saldırı simülasyonları (Breach and Attack Simulation – BAS) ile kendi iç ağ zafiyetlerini proaktif bir şekilde belirlemesi ve bu boşlukları kapatması, geleceğin kurumsal ağ güvenlik mimarisinin temelini oluşturacak. Bu simülasyonlar, gerçek saldırı senaryolarını otomatize ederek güvenlik kontrollerinin ne kadar etkili olduğunu somut verilerle ortaya koyar. Bu yeni paradigma, sadece saldırıları engellemekle kalmayıp, aynı zamanda ağ içinde zaten var olabilecek tehditleri de ortaya çıkarmayı hedefliyor, böylece proaktif bir savunma stratejisi geliştirilmesine olanak tanıyor.