Kurumsal Ağlar: Dışarıda Güçlü, İçeride Savunmasız Kalıyor

Kurumsal ağ güvenliği alanında yapılan yeni bir analiz, dikkat çekici bir paradoksu gözler önüne seriyor. Sınır savunmaları güçlenirken, ağın içerisine sızan tehditler karşısında kurumsal yapıların ciddi bir zafiyet sergilediği ortaya çıktı. Saldırganların “gürültü yapmayan” taktiklerle iç ağlarda neredeyse hiçbir direnişle karşılaşmadan ilerleyebildiği, bu durumun modern güvenlik stratejilerinde köklü bir değişikliği zorunlu kıldığı belirtiliyor.

Savunmadaki Çifte Standart: Çevre Gücü, İç Zafiyet

2026 yılının ilk yarısında 338 milyondan fazla gerçek saldırı simülasyonunu kapsayan kapsamlı bir rapor, kurumsal savunmaların genel etkinliğinde belirgin bir artış olduğunu gösterdi. Ortalama önleme başarısı %62’den %69’a çıkarak 2024 seviyesine ulaştı. Kayıt tutma oranları ise %58 ile son dört yılın en yüksek seviyesine ulaştı. Bu veriler, siber güvenlik ekiplerinin çevre savunmalarını güçlendirme çabalarının meyvelerini verdiğini kanıtlıyor.

Bu paradoks, siber güvenlik dünyasında uzun süredir tartışılan ancak son verilerle daha da netleşen ‘içeriden dışarıya’ (inside-out) güvenlik yaklaşımının önemini bir kez daha ortaya koyuyor. Çevre savunmaları genellikle firewall’lar, IDS/IPS sistemleri ve web uygulama güvenlik duvarları (WAF) gibi çözümlerle güçlendirilirken, iç ağlarda bu tür sıkı kontrollerin eksikliği, başarılı bir sızmanın ardından saldırganlara geniş bir hareket alanı sunmaktadır. Özellikle kimlik ve erişim yönetimi (IAM) süreçlerindeki zafiyetler, yetkili bir kullanıcının kimliğine bürünmüş bir saldırganın ağda serbestçe dolaşmasına olanak tanır.

Ancak raporun derinlemesine bulguları, bu olumlu tablonun ardındaki büyük zafiyeti ortaya koyuyor: Çevre aşıldıktan sonraki durum. Bir saldırgan ağın içine sızıp yetkili bir kullanıcı olarak faaliyet göstermeye başladığında, savunma mekanizmalarının etkinliği dramatik bir şekilde düşüyor. Kimlik doğrulama sonrası önleme oranı yalnızca %37 seviyesinde kalıyor. Bu, sınırda üç saldırıdan ikisini engelleyen sistemlerin, iç ağda üç saldırıdan sadece birini durdurabildiğini gösteriyor.

Sessiz Tehdidin Anatomisi: Ağ İçi Boşluklar

Ağ içi savunmaların başarısızlığı homojen değil; belirli saldırı türlerine karşı belirgin bir zayıflık görülüyor. Rapora göre, “gürültülü” olarak nitelendirilen eylemler, yani kötü amaçlı kod çalıştırma veya makineler arasında geçiş yapma gibi hareketler çoğu zaman engelleniyor. Örneğin, Sharp-ServiceExec ve SMBExec gibi tekniklerle servis yürütme yoluyla yanal hareketler yaklaşık %90 oranında durdurulurken, UAC bypass yetki yükseltmeleri de yaklaşık %85 başarıyla engellendi. Bu durum, EDR (Endpoint Detection and Response) sistemlerinin ve yıllardır yapılan ihlal varsayımı (assume-breach) yatırımlarının işe yaradığını gösteriyor.

Bu ‘gürültülü’ eylemlerin tespiti, genellikle anomali tabanlı algoritmalar ve bilinen kötü niyetli davranış kalıplarını izleyen EDR (Endpoint Detection and Response) ve XDR (Extended Detection and Response) sistemleri sayesinde mümkün olmaktadır. EDR çözümleri, uç noktadaki süreçleri, dosya erişimlerini ve ağ bağlantılarını sürekli izleyerek şüpheli aktiviteleri otomatik olarak durdurabilir veya uyarabilir. Yıllardır yapılan ‘ihlale varsayım’ (assume-breach) yatırımları, bir saldırganın bir noktada içeri sızacağını kabul ederek iç ağda daha fazla görünürlük ve tepki yeteneği oluşturmayı hedeflemiştir. Ancak bu yatırımlar genellikle doğrudan kötü niyetli kod çalıştırma veya sistem yapılandırmalarını değiştirme gibi belirgin hareketlere odaklanmıştır.

Ne var ki, “sessiz” olarak adlandırılan eylemler, yani bir ihlalin öncesinde gerçekleşen keşif ve yetki bilgisi hırsızlığı gibi adımlar, neredeyse hiç engellenemiyor. Alan haritalama ve paylaşımları/oturumları listeleme gibi keşif faaliyetleri, tüm kategoriler arasında en az önlenenler oldu ve sadece %10 oranında durdurulabildi. Yetki bilgilerinin bellekten sessizce okunması ise %22 civarında bir önleme oranına sahipti. Dahası, yetki bilgilerini doğrudan kayıt defterinden çeken bir varyant, girişimlerin %1’inden daha azında engellendi. Bu durum, bir saldırganın ağ ortamını haritalayabileceği, oturumları toplayabileceği ve yetki bilgilerini neredeyse hiçbir direnişle karşılaşmadan okuyabileceği anlamına geliyor.

Sessiz tehditler, genellikle ‘living off the land’ (LOTL) olarak adlandırılan yöntemlerle gerçekleşir; yani saldırganlar, işletim sisteminin veya meşru yazılımların yerleşik araçlarını kullanarak kendilerini gizlerler. Örneğin, Active Directory haritalaması için PowerShell komutları (Get-ADUser, Get-ADComputer) veya BloodHound gibi araçlar kullanılabilir. Paylaşımları listeleme için net share veya dir \sunucupaylasim gibi komutlar, sistem yöneticilerinin günlük rutinlerinin bir parçası olduğundan, bu tür aktiviteleri kötü niyetli olarak etiketlemek zordur. Aynı şekilde, bellekten veya kayıt defterinden yetki bilgisi çalma girişimleri, doğrudan zararlı bir dosya çalıştırmak yerine sistem çağrıları veya meşru API’ler aracılığıyla yapıldığında, geleneksel imza tabanlı güvenlik ürünleri tarafından kolayca gözden kaçırılabilir.

Mimikatz Örneği: İmza Odaklı Güvenliğin Yanılgısı

Bu savunma açığının nedenlerini en iyi açıklayan bulgulardan biri, aynı yetki bilgisi çalma aracının farklı yöntemlerle kullanıldığı bir senaryoda ortaya çıktı: Mimikatz. Aynı Mimikatz aracı, aynı hedef doğrultusunda üç farklı şekilde çalıştırıldığında, önleme skorları şaşırtıcı derecede farklılık gösterdi.

Mimikatz, Windows işletim sistemlerinde kimlik bilgisi toplamak için yaygın olarak kullanılan açık kaynaklı bir araçtır. Özellikle LSASS (Local Security Authority Subsystem Service) işlem belleğinden parola özetlerini, biletleri ve kimlik doğrulama bilgilerini çıkarmasıyla bilinir. Geleneksel güvenlik çözümleri, Mimikatz’ın bilinen yürütülebilir dosyalarını (örneğin, mimikatz.exe) veya LSASS belleğine doğrudan ve ‘gürültülü’ erişim desenlerini imzalar aracılığıyla tespit etmeye odaklanmıştır. Bu nedenle, araç klasik yöntemlerle çalıştırıldığında, çoğu güvenlik ürünü tarafından anında engellenir.

Yetki bilgilerini LSASS işlem belleğinden klasik, yoğun imza tabanlı bir yöntemle çekme girişimleri neredeyse her zaman engellendi. Ancak aynı bilgiler, belleğin diğer konumlarından veya kayıt defterinden okunduğunda, neredeyse hiçbir zaman engellenemedi. Bu durum, aynı araç, aynı hedef ve aynı ortamda dahi, yalnızca eylemin “gürültü seviyesi” veya “görünürlüğü” değiştiğinde güvenlik kontrolünün tamamen farklı bir tepki verdiğini ortaya koyuyor. İmza tabanlı sistemler bilinen ve belirgin saldırılara odaklanırken, davranışsal olarak daha gizli olan eylemleri gözden kaçırabiliyor.

Ancak, Mimikatz’ın veya benzeri araçların farklı enjeksiyon teknikleri, belleğin farklı bölümlerinden veri okuma yöntemleri veya kayıt defteri gibi daha az izlenen kaynakları hedef alması durumunda, imza tabanlı tespit mekanizmaları yetersiz kalmaktadır. Örneğin, bir saldırgan Mimikatz’ı bir PowerShell betiği içine gömerek veya tamamen bellek üzerinde çalıştırarak (fileless attack), disk üzerinde herhangi bir iz bırakmadan hedef sisteme sızabilir. Kayıt defterinden yetki bilgisi çekme (örn. HKEY_LOCAL_MACHINESAM veya HKEY_LOCAL_MACHINESECURITY anahtarları) genellikle daha düşük seviyeli bir sistem erişimi gerektirse de, başarılı olduğunda çoğu EDR ürünü tarafından ‘normal’ bir sistem davranışı olarak algılanabilir, zira kayıt defteri okuma işlemleri sistem içinde sürekli gerçekleşir. Bu, imza tabanlı güvenliğin yalnızca bilinen ve belirli kalıplara dayandığı, ancak saldırganların tekniklerini çeşitlendirmesi veya gizlemesi durumunda kolayca aşılabileceği gerçeğini acı bir şekilde ortaya koymaktadır.

Kurumsal Stratejilerde Dönüşüm İhtiyacı

Bu bulgular, kurumsal güvenlik stratejilerinin acil bir şekilde yeniden değerlendirilmesi gerektiğini vurguluyor. Yalnızca çevre savunmalarına güvenmek yerine, iç ağlardaki zafiyetleri gidermeye odaklanmak kritik önem taşıyor. “İhlal varsayımı” ilkesi temelinde, bir saldırganın ağa zaten sızdığı senaryolar için güçlü iç savunma mekanizmaları geliştirmek gerekiyor. Bu, sürekli güvenlik doğrulama ve saldırı simülasyonu araçlarının kullanımını yaygınlaştırmayı, ayrıca imza tabanlı tespitin ötesine geçerek davranışsal analize ve anomali tespitine yatırım yapmayı içeriyor.

Bu dönüşümün merkezinde, sadece reaktif değil, aynı zamanda proaktif güvenlik yaklaşımlarının benimsenmesi yer alıyor. Sürekli Güvenlik Doğrulama (Continuous Security Validation – CSV) ve Saldırı Simülasyonu (Breach and Attack Simulation – BAS) araçları, güvenlik kontrollerinin etkinliğini sürekli olarak test ederek zafiyetleri gerçek zamanlı olarak ortaya çıkarır. Bu araçlar, MITRE ATT&CK çerçevesindeki taktikleri ve teknikleri simüle ederek, güvenlik ekiplerinin mevcut savunmalarının bilinen saldırı senaryolarına karşı ne kadar dirençli olduğunu anlamasına yardımcı olur. Ayrıca, imza tabanlı tespitin ötesine geçerek davranışsal analize ve anomali tespitine yatırım yapmak, bilinen tehditlerin yanı sıra sıfır gün (zero-day) saldırılarını ve daha önce görülmemiş saldırı tekniklerini de algılama yeteneğini artırır. Bu, SIEM (Security Information and Event Management) ve UEBA (User and Entity Behavior Analytics) çözümlerinin makine öğrenimi ve yapay zeka destekli algoritmalarla güçlendirilmesi anlamına gelir.

Güvenlik ekiplerinin, ağ içinde gerçekleşen her türlü etkinliği detaylı bir şekilde izlemesi, özellikle keşif ve yetki bilgisi çalma gibi sessiz eylemleri tespit edebilecek kapasiteye sahip olması şart. Otonom sızma testleri gibi proaktif yaklaşımlar, gerçek dünya senaryolarında iç savunmaların ne kadar etkili olduğunu anlamak için vazgeçilmez bir araç haline geliyor. Bu testler, potansiyel zayıflıkları saldırganlar henüz istismar etmeden önce belirleyip giderme fırsatı sunuyor.

Güvenlik ekiplerinin, ağ içinde gerçekleşen her türlü etkinliği detaylı bir şekilde izlemesi, özellikle keşif ve yetki bilgisi çalma gibi sessiz eylemleri tespit edebilecek kapasiteye sahip olması şart. Bu, uç nokta, ağ ve bulut ortamlarından gelen günlük verilerini bir araya getirerek korelasyon yapabilen gelişmiş bir görünürlük (observability) seviyesi gerektirir. Otonom Sızma Testleri ve Kırmızı Takım (Red Team) tatbikatları gibi proaktif yaklaşımlar, gerçek dünya senaryolarında iç savunmaların ne kadar etkili olduğunu anlamak için vazgeçilmez bir araç haline geliyor. Bu testler, saldırganların kullanabileceği yolları ve potansiyel zayıflıkları saldırganlar henüz istismar etmeden önce belirleyip giderme fırsatı sunuyor, böylece güvenlik duruşunu sürekli olarak güçlendiriyor.

Güvenlik Mimarisinin Geleceği: Derinlemesine Savunma

Siber güvenlik dünyası, bu raporun ortaya koyduğu gerçekle yüzleşmek zorunda: En sofistike çevre savunmaları dahi, iç ağdaki zayıf noktalar karşısında anlamsız kalabilir. Geleceğin güvenlik mimarisi, sadece dış tehditleri engellemekle kalmayıp, iç ağda sızmayı başarmış bir düşmanın hareketlerini de etkin bir şekilde tespit edip durdurabilen derinlemesine savunma katmanlarına dayanmak zorunda.

Geleceğin güvenlik mimarisi, sadece dış tehditleri engellemekle kalmayıp, iç ağda sızmayı başarmış bir düşmanın hareketlerini de etkin bir şekilde tespit edip durdurabilen derinlemesine savunma (defense-in-depth) katmanlarına dayanmak zorunda. Bu yaklaşım, tek bir güvenlik kontrolüne güvenmek yerine, birbirini tamamlayan birden fazla kontrol katmanını içerir. Bu katmanlar arasında kimlik ve erişim yönetimi (IAM), ağ segmentasyonu, uç nokta koruması, veri şifreleme, güvenlik olay yönetimi (SIEM) ve tehdit avcılığı (threat hunting) gibi disiplinler bulunur. Her katman, bir diğerinin zafiyetini kapatmaya veya bir saldırının ilerlemesini yavaşlatmaya yardımcı olur.

Bu, sadece teknoloji yatırımı değil, aynı zamanda güvenlik kültürünün ve operasyonel süreçlerin de dönüşümünü gerektiriyor. Güvenlik ekiplerinin, saldırganların gürültülü eylemlerden önce yaptıkları sessiz hazırlık aşamalarına odaklanması, bu tür tehditleri henüz başlangıç aşamasında durdurabilmenin anahtarı olacaktır. Aksi takdirde, kurumsal ağlar dışarıdan bir kale gibi görünse de, içeride bir saldırgan için açık bir kapı olmaya devam edecektir.

Bu, sadece teknoloji yatırımı değil, aynı zamanda güvenlik kültürünün ve operasyonel süreçlerin de dönüşümünü gerektiriyor. Çalışanların siber güvenlik farkındalığının artırılması, güvenlik ekiplerinin sürekli eğitim alması, tehdit istihbaratının etkin kullanımı ve olay müdahale planlarının düzenli olarak test edilmesi bu dönüşümün temel taşlarıdır. Güvenlik ekiplerinin, saldırganların gürültülü eylemlerden önce yaptıkları sessiz hazırlık aşamalarına odaklanması, bu tür tehditleri henüz başlangıç aşamasında durdurabilmenin anahtarı olacaktır. Özellikle Sıfır Güven (Zero Trust) prensiplerini benimsemek, hiçbir kullanıcı veya cihazın varsayılan olarak güvenilir olmadığını varsayarak, her erişim talebini doğrulamayı ve en az ayrıcalık (least privilege) ilkesini uygulamayı zorunlu kılar. Aksi takdirde, kurumsal ağlar dışarıdan bir kale gibi görünse de, içeride bir saldırgan için açık bir kapı olmaya devam edecektir, bu da nihayetinde ciddi veri ihlalleri ve itibar kaybına yol açabilir.