Amgen Veri İhlali: Bulut Sistemlerinde Hasta ve Mülkiyet Bilgilerinin Sızıntısı

Giriş

Amgen, ABD merkezli bir biyoteknoloji ve ilaç şirketi olarak, dünya genelinde milyonlarca hastanın tedavi süreçlerine katkıda bulunmaktadır. Ancak, 2023 yılında şirket, üçüncü taraf bulut hizmet sağlayıcıları tarafından yönetilen sistemlerde gerçekleşen bir veri ihlali nedeniyle hasta sağlık bilgileri ve şirket mülkiyetindeki verilerin sızdırıldığını açıkladı. Bu ihlalin, siber tehdit aktörleri tarafından gerçekleştirilen bir saldırı sonucu meydana geldiği bildirildi.

Sorun Tanımı

Amgen'in yaşadığı veri ihlali, aşağıdaki unsurları içermektedir:

1. Saldırının Kapsamı

• Veri Türleri: Hasta sağlık kayıtları (tıbbi geçmiş, reçeteler, laboratuvar sonuçları) ve şirket mülkiyetindeki veriler (araştırma verileri, formüller, ticari sırlar).
• Bulut Sistemleri: Üçüncü taraf sağlayıcılar tarafından yönetilen Amazon Web Services (AWS), Microsoft Azure ve Google Cloud Platform (GCP) gibi çoklu bulut ortamları.
• Saldırı Yöntemi: Siber tehdit aktörleri, zayıf kimlik doğrulama mekanizmaları, yanlış yapılandırılmış erişim kontrolleri veya üçüncü taraf yazılım açıkları aracılığıyla sistemlere sızdı.

2. Etkiler

Bu ihlal, aşağıdaki riskleri beraberinde getirmektedir:

• Hasta Mahremiyeti: Hasta verilerinin yetkisiz kişilerin eline geçmesi, gizlilik ihlallerine ve yasal yaptırımlara yol açabilir.
• Şirket Reputasyonu: Amgen'in güvenilirliği zedelenebilir ve hasta/ortak güvenini kaybetmesiyle sonuçlanabilir.
• Yasal ve Finansal Yükümlülükler: Sağlık verilerinin korunmasına yönelik yasal düzenlemeler (örneğin HIPAA) ihlal edildiğinde, şirket ağır para cezalarıyla karşılaşabilir.
• Operasyonel Kesintiler: Veri ihlali sonrası sistemlerin kapatılması veya yeniden yapılandırılması gerekebilir, bu da iş süreçlerinde aksaklıklara neden olabilir.

3. Saldırı Kökeni

Siber tehdit aktörleri, genellikle aşağıdaki yöntemleri kullanarak bulut sistemlerine sızdıklarını bildirmiştir:

• Kimlik Avı (Phishing): Çalışanların kimlik bilgilerini çalmak için sahte e-postalar gönderilmesi.
• Zayıf Kimlik Doğrulama: Çok faktörlü kimlik doğrulamanın (MFA) kullanılmaması veya zayıf parola politikaları.
• Yanlış Yapılandırılmış Hizmetler: Bulut depolama hizmetlerinde (örneğin AWS S3 bucket'ları) yanlış erişim izinlerinin verilmesi.
• Üçüncü Taraf Açıkları: Tedarik zinciri saldırıları aracılığıyla, üçüncü taraf yazılımlarındaki güvenlik açıklarından yararlanılması.

Çözüm Adımları

Aşağıda, Amgen'in yaşadığı türden bir veri ihlalini önlemek veya etkilerini azaltmak için uygulanabilecek adımlar detaylandırılmıştır. Bu adımlar, kurumsal güvenlik stratejilerinin bir parçası olarak ele alınmalıdır.

1. Güvenlik Altyapısının Güçlendirilmesi

1. Kimlik ve Erişim Yönetimi (IAM):

   Bulut ortamlarında kullanıcıların ve sistemlerin erişimini sıkı bir şekilde kontrol etmek için aşağıdaki adımlar uygulanmalıdır:

   # AWS IAM Politikası Örneği (JSON formatında)
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "*",
         "Resource": "*",
         "Condition": {
           "NotIpAddress": {"aws:SourceIp": ["192.0.2.0/24"]}
         }
       }
     ]
   }
   

   • En Az Ayrıcalık İlkesi: Kullanıcılara ve sistemlere, yalnızca gerekli olan minimum erişim yetkileri verilmelidir.
   • Çok Faktörlü Kimlik Doğrulama (MFA): Tüm yönetici hesapları ve kritik sistemler için MFA zorunlu hale getirilmelidir.
   • Geçici Kimlik Bilgileri: AWS STS (Security Token Service) gibi hizmetler kullanılarak, geçici erişim token'ları sağlanmalıdır.
2. Bulut Güvenlik Kontrolleri:

   Bulut sağlayıcıların sunduğu güvenlik araçlarından yararlanarak, aşağıdaki kontroller uygulanmalıdır:

   # AWS GuardDuty Etkinleştirme Komutu
   aws guardduty create-detector --enable --finding-publishing-frequency 15m
   
   # Azure Security Center Politikası Oluşturma
   az security policy create --name 'SecureCloudPolicy' --display-name 'Secure Cloud Configuration' --scope '/subscriptions/{subscription-id}' --rules ./policy-definition.json
   

   • Bulut Güvenlik Duvarları (WAF): Web uygulamalarını saldırılara karşı korumak için WAF'ler yapılandırılmalıdır.
   • Veri Şifreleme: Veriler hem depolama sırasında (at-rest) hem de iletim sırasında (in-transit) şifrelenmelidir. Örneğin, AWS KMS kullanılarak veriler şifrelenebilir.
   • Günlükleme ve İzleme: Tüm erişimler ve değişiklikler kaydedilmeli ve SIEM (Security Information and Event Management) sistemleriyle izlenmelidir.

2. Üçüncü Taraf Risklerinin Yönetimi

1. Tedarikçi Değerlendirmesi:

   Üçüncü taraf sağlayıcıların güvenlik durumu düzenli olarak değerlendirilmelidir. Bu değerlendirme aşağıdaki unsurları içermelidir:

   • Güvenlik Sertifikaları: Sağlayıcının ISO 27001, SOC 2 veya HIPAA uyumluluğu gibi sertifikalara sahip olup olmadığı kontrol edilmelidir.
   • Güvenlik Denetimleri: Sağlayıcının sistemleri düzenli olarak üçüncü taraf denetimlerine tabi tutulmalıdır.
   • Sözleşmeler: Veri koruma ve gizlilik hükümleri içeren sözleşmeler imzalanmalıdır.
2. Güvenlik Açıklarının Takibi:

   Üçüncü taraf yazılımlarında veya hizmetlerinde ortaya çıkan güvenlik açıkları sürekli olarak izlenmelidir. Bu amaçla aşağıdaki araçlar kullanılabilir:

   # Snyk Kullanarak Güvenlik Açıklarını Tarama
   snyk test --all-projects
   
   # OWASP Dependency-Check ile Bağımlılıkların Kontrolü
   dependency-check --project "Amgen-Project" --scan ./src
   

   • CVE Veritabanı: Ulusal Güvenlik Açığı Veritabanı (NVD) gibi kaynaklardan güncel CVE'ler takip edilmelidir.
   • Hızlı Düzeltme: Güvenlik açıkları tespit edildiğinde, mümkün olan en kısa sürede yamalar uygulanmalıdır.

3. Olay Müdahale Planı

Veri ihlali durumunda hızlı ve etkili müdahale için aşağıdaki adımlar izlenmelidir:

1. Olayın Tespiti:

   Sistemler sürekli olarak izlenmeli ve anormal aktiviteler tespit edildiğinde otomatik uyarılar oluşturulmalıdır. Örneğin:

   # AWS CloudWatch Alarmı Oluşturma
   aws cloudwatch put-metric-alarm --alarm-name "UnauthorizedAccessAlarm" --alarm-description "Alarm for unauthorized access attempts" --metric-name "UnauthorizedApiCalls" --namespace "AWS/CloudTrail" --statistic "Sum" --period 300 --threshold 1 --comparison-operator "GreaterThanOrEqualToThreshold" --evaluation-periods 1 --alarm-actions arn:aws:sns:us-east-1:123456789012:IncidentResponseTopic
   

2. Kriz Ekibinin Oluşturulması:

   Veri ihlali durumunda müdahale etmek üzere bir kriz ekibi oluşturulmalıdır. Bu ekip aşağıdaki rollerden oluşmalıdır:

   • Güvenlik Ekibi: Saldırının kökenini araştırmak ve sistemleri izole etmek.
   • Hukuk Ekibi: Yasal yükümlülükleri belirlemek ve ilgili kurumlara bildirim yapmak.
   • İletişim Ekibi: Medya ve paydaşlara yapılacak açıklamaları yönetmek.
   • BT Ekibi: Sistemleri kurtarmak ve yeniden yapılandırmak.
3. Kanıtların Toplanması:

   Saldırının kökenini ve etkilerini analiz etmek için aşağıdaki kanıtlar toplanmalıdır:

   • Günlük Dosyaları: Sunucular, ağ cihazları ve uygulamalardan alınan günlükler.
   • Ağ İzleme: Ağ trafiğinin kaydedilmesi ve analiz edilmesi.
   • Yedekler: Sistemlerin yedeklerinin alınması ve incelenmesi.
4. İyileştirme ve Önleme:

   Saldırının tekrarlanmaması için aşağıdaki adımlar uygulanmalıdır:

   • Güvenlik Açıklarının Giderilmesi: Tespit edilen güvenlik açıkları kapatılmalıdır.
   • Eğitim ve Farkındalık: Çalışanlara siber güvenlik konusunda eğitimler verilmelidir.
   • Sistemlerin Yeniden Yapılandırılması: Kritik sistemler yeniden yapılandırılmalı ve güvenlik kontrolleri güçlendirilmelidir.

Örnek Senaryo: Amgen Veri İhlali

Aşağıda, Amgen'in yaşadığı veri ihlaline benzer bir senaryonun nasıl gerçekleşebileceği ve nasıl önlenebileceği detaylandırılmıştır:

1. Saldırı Senaryosu

1. Hedef Belirleme: Siber tehdit aktörleri, Amgen'in bulut sistemlerinde zayıf bir yapılandırma olduğunu tespit eder.
2. Sızma: Aktörler, AWS S3 bucket'larında yanlış yapılandırılmış erişim izinlerini kullanarak verileri indirir.
3. Veri Sızıntısı: Hasta sağlık bilgileri ve şirket verileri, tehdit aktörleri tarafından dark web'e satılmak üzere sızdırılır.

2. Müdahale Senaryosu

1. Tespit: AWS GuardDuty, S3 bucket'ına yetkisiz erişim girişimlerini tespit eder ve bir uyarı gönderir.
2. Kriz Ekibi Devreye Girer: Güvenlik ekibi, saldırının kökenini araştırır ve S3 bucket'ının erişim izinlerini kapatır.
3. Kanıt Toplama: Günlük dosyaları ve ağ izleme verileri analiz edilir.
4. İyileştirme: S3 bucket'larının erişim politikaları yeniden yapılandırılır ve MFA zorunlu hale getirilir.

İpuçları ve Uyarılar

⚠️ Uyarı: Üçüncü taraf bulut sağlayıcıları, verilerinizin güvenliğinden siz sorumlu olsanız da, bazı güvenlik kontrollerini sizin adınıza yönetebilir. Bu nedenle, paylaşılan sorumluluk modeli hakkında bilgi sahibi olun ve sağlayıcınızın neleri yöneteceğini net bir şekilde anlayın.

💡 İpucu: Bulut güvenliğinde güvenlik varsayılanı reddet (default deny) ilkesi uygulayın. Yani, yalnızca gerekli olan erişimler izin verilmeli, diğer tüm erişimler varsayılan olarak reddedilmelidir. Bu, yanlış yapılandırılmış erişim kontrollerinden kaynaklanan riskleri minimize eder.

🔒 En İyi Uygulama: Düzenli olarak penetrasyon testleri ve kırmızı takım (red team) egzersizleri gerçekleştirin. Bu testler, sistemlerinizin gerçek dünya saldırılarına karşı ne kadar dayanıklı olduğunu ölçmenize yardımcı olur.

Sonuç

Amgen'in yaşadığı veri ihlali, şirketlerin bulut sistemlerinde karşılaşabilecekleri risklerin boyutunu gözler önüne sermektedir. Bu tür ihlallerin önlenmesi için güçlü kimlik ve erişim yönetimi, üçüncü taraf risklerinin yönetimi ve etkili olay müdahale planları hayati önem taşımaktadır. Kurumlar, bulut güvenliğine yönelik stratejilerini sürekli olarak güncellemeli ve çalışanları siber güvenlik konusunda düzenli olarak eğitmelidir. Unutulmamalıdır ki, güvenlik bir süreçtir ve hiçbir sistem %100 güvenli değildir. Ancak, doğru kontroller ve hazırlıklarla, riskler minimize edilebilir ve ihlallerin etkileri azaltılabilir.