Bir IoT platformu cazip bir hedeftir. Binlerce cihazın kimlik bilgilerini tutar, donanıma komut gönderebilir ve çoğu zaman aynı anda birçok müşteriye hizmet verir. Önündeki bir ağ güvenlik duvarı bazı saldırıları durdurur, ancak tehlikeli olanların birçoğu sıradan isteklere benzer: olağandışı bir yerden yapılan geçerli bir oturum açma, yeni bir biçimde kullanılan bir API anahtarı, normalin çok üzerinde kayıt okuyan bir kullanıcı. Bunları yakalamak için uygulamanın kendisini anlayan bir katmana ihtiyaç vardır.
Bu makale, Hermetry’ye yerleşik yapay zeka güvenlik duvarının nasıl çalıştığını ve arkasındaki tasarım tercihlerini anlatıyor.
Neyi izler
Güvenlik duvarı yalnızca ağı değil, platformu dinler. 1.000’den fazla türde güvenlik sinyaliyle çalışır: oturum açma denemeleri, yetki kontrolleri, API anahtarı kullanımı, istek desenleri, cihaz ve kural değişiklikleri ve daha fazlası. Platformdaki 1.200’den fazla türde eylem denetlenir; böylece güvenlik duvarı kimin, hangi kiracıda, neyi ne zaman yaptığını görebilir.
Üç katmanlı tespit
Kurallar ve dedektörler
Bazı saldırıların net imzaları vardır: çok fazla başarısız oturum açma, bilinen zayıflıkları yoklayan istekler, ani bir dışa aktarma patlaması. Kurallar ve amaca yönelik dedektörler bunları hızlı ve öngörülebilir biçimde yakalar. Okunması ve test edilmesi kolaydır.
Bir davranış modeli
Diğer saldırılar yalnızca davranıştaki bir değişiklik olarak ortaya çıkar. Normalde birkaç gösterge paneli okuyan bir kullanıcı birden kiracıdaki her cihazı listelemeye başlar. Aylardır tek bir uç noktayı çağıran bir API anahtarı on uç noktayı çağırmaya başlar. Davranış modeli normalin neye benzediğini öğrenir ve bundan sapanları işaretler.
Saldırı sınıfı modeli
İkinci, bağımsız bir model şüpheli etkinliğe bakar ve hangi tür bir saldırıya benzediğini tahmin eder. Sınıfı bilmek doğru yanıtın seçilmesine yardımcı olur: kimlik bilgisi doldurma girişimi, veri kazımadan farklı bir eylem gerektirir.
İki model kasıtlı olarak bağımsızdır. Hiçbiri tek başına hareket etmez. Bir modelin bulgusu, doğrulandıktan sonra eyleme dönüşür; böylece tek bir modelin hatası meşru bir kullanıcının erişimini kesmez.
Tuzaklar dedektörlerin kaçırdıklarını yakalar
En güvenilir sinyallerin bazıları tuzaklardan gelir. Platform şunları içerir:
- sahte API anahtarları ki hiçbir meşru istemci bunları kullanmaz;
- kanarya kayıtları ki hiçbir normal ekran bunları okumaz;
- tuzak rotaları ki arayüzün hiçbir bölümü bunları çağırmaz.
Bunlardan herhangi birine dokunmak, birinin çalınmış erişimle ya da otomatik bir araçla platformu keşfettiğinin güçlü bir işaretidir. Sahte öğelerin çok az yanlış alarm üretmesinin nedeni, meşru kullanıcıların onlara ulaşmak için hiçbir sebebinin olmamasıdır.
Gözlemle, öner, uygula
Güvenlik ekipleri bir sistemin eylem yapmasına izin vermeden önce ona güvenmek zorundadır. Bu nedenle güvenlik duvarının üç modu vardır.
- Gözlemle: ne yapacağını kaydeder ama hiçbir şey yapmaz. Trafiğiniz üzerinde nasıl davrandığını öğrenmek için kullanın.
- Öner: bir kişinin onaylaması için eylemler önerir.
- Uygula: doğrulanmış eylemleri kendisi gerçekleştirir, örneğin bir kaynağı yavaşlatmak ya da engellemek, ve bunları kaydeder.
Endüstriyel cihazlarda asla kendi başına
Bir kural mod değişse de değişmez: güvenlik duvarı endüstriyel cihazlar üzerinde kendi başına asla işlem yapmaz. Şüpheli bir desen yüzünden bir pompa kontrolcüsünü ya da bir ağ geçidini devre dışı bırakmak, durdurmaya çalıştığı saldırıdan daha fazla zarar verebilir. Endüstriyel cihazlar için güvenlik duvarı yalnızca önerir, kararı bir kişi verir.
Her karar açıklanır
Kimsenin açıklayamadığı bir engelleme güveni hızla aşındırır. Güvenlik duvarının verdiği her karar bir açıklama ile gelir: hangi sinyalleri gördüğü, bulguyu hangi kural, dedektör veya modelin ürettiği, bulgunun nasıl doğrulandığı ve ardından hangi eylemin yapıldığı. Bu sayede yöneticiler kararları gözden geçirebilir, hataları geri alabilir ve sistemi güvenle ayarlayabilir.
Platformun geri kalanıyla uyumu
Güvenlik duvarı birkaç katmandan yalnızca biridir. Kiracı verileri veritabanında satır düzeyinde güvenlikle ayrılmıştır; dolayısıyla tek bir hesaba yönelik başarılı bir saldırı bile başka bir kiracının satırlarını okuyamaz. Roller her kullanıcının neler yapabileceğini sınırlar. Cihaz kimlik bilgileri cihaz başına verilir; cihazların ihtiyaç duyduğu yerlerde sertifikalarla birlikte. Güvenlik duvarı bunların tamamını izler.
Herhangi bir platformdan ne istemeli
- Yalnızca ağ trafiğini değil, uygulama davranışını izliyor mu?
- Önce gözlemle modunda çalıştırabilir misiniz?
- Kararlarını açıklıyor mu?
- Endüstriyel ekipmanda otomatik eyleme karşı kesin bir kural var mı?
- Eylemler denetleniyor mu ve denetim günlüğünü görebiliyor musunuz?
Daha fazlası için güvenlik sayfamıza ve yapay zeka güvenlik duvarı sayfamıza göz atın.