Microsoft, 9 Eylül 2026'da bulutta barındırılan web uygulamalarını ve sunucusuz platformları hedef alan tehditleri düzenlemek amacıyla Cloud Web Applications Threat Matrix adlı bir çerçeve sundu. Çerçeve, tehdit aktörlerinin taktiklerini sınıflandırma konusunda MITRE ATT&CK yaklaşımını temel alıyor; ancak uygulama sınırlarını, yönetilen çalışma ortamını, iş yükü kimliklerini, geliştirme ve dağıtım hatlarını ve bağlantılı bulut kaynaklarını aşan saldırı yollarına odaklanıyor.
Microsoft'a göre uygulama katmanını ve bulut platformunu ayrı ayrı incelemek, saldırının anlaşılmasında boşluklar bırakabilir. Örneğin ihlal, bir kod deposundan veya açığa çıkmış bir yönetim arayüzünden başlayarak yönetilen bir kimliğe, veritabanına ya da uygulamayla bağlantılı bir depolama hizmetine ilerleyebilir. Bu nedenle çerçeve, güvenlik ekiplerine saldırının aşamalarına ilişkin ortak bir görünüm sunmak ve izleme araçlarının neyi görüp neyi göremediğini belirlemelerine yardımcı olmak üzere tasarlandı.
Çerçeve neleri kapsıyor?
Çerçeve, teknikleri kaynak geliştirme, ilk erişim, yürütme, kalıcılık, ayrıcalık yükseltme, tespitten kaçınma, kimlik bilgilerine erişim, keşif, yanal hareket, veri toplama ve etki olmak üzere 11 taktiğe ayırıyor.
Microsoft'un ele aldığı örnekler arasında, bir bulut hizmeti silindikten sonra DNS kaydı kaldığında alt alan adlarının ele geçirilmesi, otomatik dağıtımla bağlantılı bir depoya kod enjekte edilmesi, özel bir kayıt deposuna kötü amaçlı konteyner imajı yerleştirilmesi ve açığa çıkmış yönetim arayüzlerinden yararlanılması bulunuyor. Çerçeve ayrıca, özel olarak hazırlanmış dosyalar veya iletiler aracılığıyla sunucusuz işlev tetikleyicilerine kod enjekte edilmesini ve dağıtım kimlik bilgilerinin kullanılarak uygulamanın yönetim arayüzlerine erişilmesini ya da dosyalarının değiştirilmesini ele alıyor.
Diğer teknikler arasında uzaktan kod yürütme açıklarından yararlanma, Azure App Service'teki Kudu gibi modüllerin kullanılması, erişimi sürdürmek için zamanlama görevlerinin veya kaynak kodun değiştirilmesi ve geçerli bulut hesaplarından yararlanılması yer alıyor. Microsoft ayrıca yönetilen iş yükü kimliklerinin belirteçlerine meta veri arayüzleri üzerinden erişilmesi ve harici hizmetlerle kimliği doğrulanmış oturumları koruyan bağlayıcıların yeniden kullanılması konusunda uyarıyor.
Riskler veri hırsızlığında sona ermiyor
Çerçeve, etkiyi geleneksel ihlalle sınırlamıyor. Bulut günlük kaydının devre dışı bırakılmasını veya günlük saklama politikalarının değiştirilmesini, ortam değişkenlerinden ve yapılandırma dosyalarından sırların çıkarılmasını ve uygulama veritabanlarına ve günlüklerine erişilmesini ele alıyor. Ayrıntılı günlükler, sonraki saldırılara yardımcı olabilecek anahtarlar, kişisel veriler veya dahili yollar içerebilir.
Çerçeve ayrıca verilerin silinmesi veya web sitesi içeriğinin değiştirilmesi, Microsoft'un Denial of Wallet olarak adlandırdığı yöntemle faturayı yükseltmek için otomatik ölçeklendirme özelliğinden yararlanılması ve hesaplama kaynaklarının madencilik, geniş kapsamlı tarama veya trafiğin aktarılması amacıyla ele geçirilmesi gibi operasyonel ve finansal riskleri de listeliyor.
Güvenlik ekipleri açısından pratikte ne değişiyor?
Pratik değer, güvenlik incelemesini «Uygulama korunuyor mu?» sorusundan, depo ve derleme hattından çalışma ortamı, kimlik ve bağlantılı hizmetlere kadar tüm güven zincirinin incelenmesine taşımakta yatıyor. Microsoft; çok faktörlü kimlik doğrulamanın zorunlu kılınmasını, kullanıcılar ve iş yükleri için en az ayrıcalık ilkesinin uygulanmasını ve uygulamalara, dağıtım ortamlarına ve hassas kaynaklara erişimin sınırlandırılmasını öneriyor.
Şirket ayrıca depoların ve derleme sistemlerinin korunmasını, paket ve eklentilerin güvenilir kaynaklardan kullanılmasını ve yeniden kullanılabilir kimlik bilgilerinin kodda veya yapılandırma dosyalarında saklanmamasını öneriyor. Öncelikler arasında güvenlik günlüklerinin korunan konumlarda merkezileştirilmesi, günlük ayarlarının değiştirilmesinin önlenmesi, kota, eşzamanlılık ve finansal uyarılar için sınırlar belirlenmesi ve yedekleme ile kurtarma planlarının test edilmesi de bulunuyor.
certi.news'in değerlendirmesi
Buradaki asıl gelişme yeni bir ürünün piyasaya sürülmesi değil, uygulama risklerini uygulamanın dayandığı bulut riskleriyle ilişkilendirmek için birleşik bir model sağlanmasıdır. Bu, depolar, dağıtım hatları, kimlikler ve birden fazla hizmet arasında dağıtılmış uygulamaları yöneten ekipler için önemli. Ancak çerçeve, tehditleri düzenlemek ve savunma önceliklerini belirlemek için kullanılan bir araç olmaya devam ediyor; bir kurumun her teknik için eksiksiz kapsama sahip olduğunun kanıtı değil. Ayrıca kullanımının etkinliği, her ortamda uygun günlüklerin, izinlerin ve ölçümlerin mevcut olmasına bağlı olacak; bu, matrisin tek başına uygulanmasıyla çözülemeyecek bir noktadır.