ZoriaNews

Ne oldu?

Netwrix CEO'su Grady Summers tarafından yayınlanan analiz, yapay zeka (AI) entegrasyonlarının ve otonom yazılım ajanlarının kurumsal altyapılarda hızla yaygınlaşmasıyla birlikte, "insan dışı kimlikler" (non-human identities - NHI) konusunda ciddi bir güvenlik açığı oluştuğunu ortaya koydu. Günümüzde şirketler, iş süreçlerini hızlandırmak amacıyla yapay zeka ajanlarına, hizmet hesaplarına (service accounts) ve OAuth uygulamalarına geniş yetkiler tanımlıyor. Ancak bu durum, kimlerin veya hangi yazılımların hangi verilere erişebildiğinin takibini zorlaştırarak kurumsal kimlik yönetimini (IAM) ve dolayısıyla dijital güvenlik sınırlarını derinden sarsıyor. Birçok kurumda insan dışı aktif hesap sayısının insan çalışan sayısını 50'ye 1 oranına kadar aşması, kontrol edilmesi zor bir "replikant" iş gücü yığını yaratıyor.

Neden önemli?

Geleneksel kimlik ve erişim yönetimi (IAM) sistemleri, işe alım, terfi, departman değişikliği veya işten ayrılma gibi insan odaklı yaşam döngüsü olaylarına göre tasarlanmıştır. Oysa yapay zeka ajanları ve diğer makine kimlikleri bu tür doğal döngülere sahip değildir; bazıları yalnızca birkaç dakika aktif kalırken, bazıları ise yılları bulan süreler boyunca sistemlerde yetkili olarak kalabilmektedir. Üstelik bu dijital ajanların büyük bölümü, veri analizi veya otomasyon gerçekleştirebilmek amacıyla hassas veri tabanlarına doğrudan erişim gibi son derece kritik yetkilere sahip kılınmaktadır.

Saldırganlar için bu denetimsiz insan dışı kimlikler, tespit edilmesi son derece güç, adeta görünmez birer arka kapı haline gelmektedir. Yapay zeka ajanlarının otonom olarak yeni alt kimlikler oluşturabilmesi ve işlem yapabilmesi, kurumların saldırı yüzeyini öngörülemez bir hızda genişletmektedir. Yönetilemeyen ve kime ait olduğu bilinmeyen her makine kimliği, kurumsal ağlara sızmak isteyen siber korsanlara geniş yetkili bir giriş bilet sunmaktadır.

Kim veya ne etkileniyor?

Bu durumdan öncelikli olarak büyük ölçekli kurumsal ağlar, bulut altyapıları kullanan teknoloji şirketleri, finansal kuruluşlar ve operasyonlarında yoğun yapay zeka entegrasyonu barındıran tüm kurumlar etkileniyor. Etkilenen sistemlerin başında ise Microsoft Active Directory gibi dizin hizmetleri, OAuth entegrasyonları, AWS veya Azure benzeri çoklu bulut (multi-cloud) yönetim sistemleri ve API ağ geçitleri geliyor. Süreç yönetiminde net bir sahipliği bulunmayan bu dijital kimlikler, tüm kurumsal veri güvenliğini doğrudan tehlikeye atıyor.

Ne yapılmalı?

Kurumların bu tehdide karşı öncelikle ağlarındaki tüm insan dışı kimliklerin tam listesini çıkarması, bu kimliklerin sahiplerini belirlemesi, erişim sınırlarını çizmesi ve kullanım ömürlerini netleştirmesi gerekmektedir. Güvenlik yöneticileri, en az ayrıcalık ilkesini (least privilege) makine kimliklerine de katı bir şekilde uygulamalı ve otonom ajanların yeni yetkiler tanımlama haklarını sınırlandırmalıdır. Ayrıca, yapay zeka ajanlarının kimlik yaşam döngülerini otomatik olarak izleyen ve şüpheli hareketleri anında engelleyen yeni nesil NHI (insan dışı kimlik) yönetim çözümlerine geçiş yapılması kritik bir zorunluluk haline gelmiştir.