Yazılım & İşletim SistemiOrta

Scattered Spider Operasyonları ve Sosyal Mühendislik Saldırılarına Karşı Savunma Stratejileri

Scattered Spider grubu tarafından kullanılan kimlik avı ve sosyal mühendislik yöntemlerine karşı kurumsal savunma ve önleme stratejileri.

B
Bleeping Computer Tutorials
6 görüntülenme
Scattered Spider Operasyonları ve Sosyal Mühendislik Saldırılarına Karşı Savunma Stratejileri

Genel Bakış

Scattered Spider, özellikle büyük ölçekli kurumsal ağlara sızmak için gelişmiş sosyal mühendislik, SIM takası (SIM swapping) ve kimlik avı (phishing) tekniklerini kullanan siber suç örgütlerinden biridir. Yakın zamanda grubun kilit isimlerinden birinin kripto para hırsızlığı ve kimlik hırsızlığı suçlamalarını kabul etmesi, bu tür saldırıların hukuki sonuçlarını gözler önüne sermiştir. Bu makale, BT ekiplerinin bu tür tehditlere karşı alması gereken önleyici tedbirleri ele almaktadır.

Tehdit Analizi

Scattered Spider, genellikle 'Help Desk' personelini hedef alarak parola sıfırlama süreçlerini manipüle eder. MFA (Çok Faktörlü Kimlik Doğrulama) yorgunluğu oluşturarak veya oturum belirteçlerini (session tokens) çalarak sistemlere erişim sağlarlar.

Savunma ve Önleme Adımları

  1. FIDO2 Destekli Donanım Anahtarları: Geleneksel SMS tabanlı MFA yöntemlerini terk edin. Donanım tabanlı anahtarlar, kimlik avı saldırılarına karşı en yüksek korumayı sağlar.
  2. Sıfır Güven (Zero Trust) Mimarisi: Kullanıcıların ağa erişimini, konum ve cihaz sağlığı gibi faktörlere dayalı olarak sürekli doğrulayın.
  3. Erişim Yönetimi (PAM): Ayrıcalıklı hesapları izole edin ve 'Just-in-Time' erişim politikaları uygulayın.

Güvenlik Yapılandırması (Örnek)

İpucu: MFA yorgunluğunu önlemek için 'Number Matching' (Sayı Eşleştirme) özelliğini zorunlu kılın.

Aşağıdaki komut, Microsoft 365 ortamında MFA için sayı eşleştirmeyi zorunlu kılmak amacıyla kullanılan PowerShell örneğidir:

Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"
$params = @{
    featureSettings = @{
        numberMatch = @{
            state = "enabled"
            includeTarget = @{
                targetType = "group"
                targetValue = "all_users"
            }
        }
    }
}
Update-MgPolicyAuthenticationMethodPolicy -BodyParameter $params

İzleme ve Tespit

Oturum belirteci hırsızlığını tespit etmek için 'Impossible Travel' (İmkansız Seyahat) ve alışılmadık cihaz/IP eşleşmelerini izleyen SIEM kuralları oluşturun. Özellikle Help Desk birimlerine gelen parola sıfırlama taleplerini, ikincil bir doğrulama yöntemi (yöneticiden onay gibi) olmadan işleme almayın.

İlgili Makaleler