Agentic Ransomware, OT Savunucularının Elinde Sandığı Zamanı Kısalttı
Sysdig'in ortaya çıkardığı tamamen otonom ransomware operasyonu, karar verme süreci yapay zekaya bırakıldığında sızmaların ne kadar hızlandığını gösteriyor; bu zaman sıkışması internete birkaç adım uzaklıktaki OT ağları için bile önemli.
Ransomware çeteleri eskiden işin en karmaşık orta kısmı için klavye başında bir insana ihtiyaç duyardı: yetki yükseltme, hangi paylaşımların (share) hedef alınacağına karar verme, bir EDR ajanı bir şeyi işaretlediğinde evasion (sezinlenmeme) ayarlarını yeniden düzenleme. Sysdig, bu orta kısmın artık otonom bir ajan tarafından yönetildiği bir operasyon bulduğunu söylüyor; yani bu kararları gerçek zamanlı olarak, bir operatörün her adımı onaylamasını beklemeden kendi başına veren bir yapay zeka sistemi. Araştırmacılar buna “tam anlamıyla agentic olan ilk ransomware kampanyası” diyor. Gerçekten ilk örnek olup olmadığı tartışılır ama bu, ortalama saldırının nereye doğru evrildiğinin bir ön izlemesi.
Bunu Sysdig’in belgelediği kernel seviyesindeki evasion teknikleriyle bir araya getirdiğinizde işler hızla kötüleşiyor. Kernel modunda çalışan araçlar, malware’in işletim sisteminin üstünde oturan güvenlik sensörlerini kör etmesine veya bypass etmesine izin veriyor. Böylece process oluşturma anormallikleri, alışılmadık ağ çağrıları gibi olağan tespit sinyalleri baştan hiç üretilmiyor. Savunmalara göre kendini adapte eden agentic bir karar döngüsü, zaten kendisini izleyen sensörleri atlatan bir altyapının üzerinde çalıştığında, ağ içindeki bekleme süresi (dwell time) kısalıyor. Bunun nedeni saldırganların acele etmesi değil, artık bir insan operatörün eskiden yarattığı duraklamalara ihtiyaç duymamaları.
Bu Sadece Bir BT Sorunu Değil
OT çevrelerindeki içgüdüsel tepki bunu okuyup “ransomware, bu bir BT meselesi, bizde segmentasyon var” demek oluyor. Bu, büyük ölçüde doğru. Ama ransomware’in çoğu OT ağında başlamıyor. Bir tesisin üretimi durdurmak zorunda kalması anında OT olayına dönüşüyor; çünkü tesisin planlama, faturalama veya güvenlik senaryolarını (safety-case) yöneten iş sistemleri karanlığa gömülüyor. Colonial Pipeline’ın boru hattı kontrolörleri şifrelenmedi. Yine de şirket üretimi durdurmak zorunda kaldı. Sysdig’in tarif ettiği sıkışmış zaman çizelgesi, “ransomware finans departmanındaki bir laptopa bulaştı” ile “SOC, önlem amaçlı OT ağını izole etme kararı vermek zorunda” arasındaki pencereyi daraltıyor. Ve bu karar penceresi, birçok OT olay müdahale planının hâlâ saatler değil dakikalar varsaydığı tam da o nokta.
Bunun OT açısından özellikle önemli olmasının bir başka nedeni de şu: endüstriyel ortamlardaki tespit stratejilerinin çoğu, saldırganların BT’den OT’ye geçtikten sonra protokollere, üretici tuhaflıklarına, segmentasyon mantığına aşina olmadıkları için yavaş ve beceriksizce hareket edeceği varsayımına dayanıyor. Bu varsayım zaten sağlam değildi. Yeni bir ortama yönlendirilip en az direnç gösteren yolu bulması söylenen bir ajanın, yıllarca süren manuel OT tecrübesine ihtiyacı yok. İhtiyacı olan tek şey eğitim verisi ve zaman; zaman ise saldırganlar için her çeyrekte biraz daha ucuzluyor.
Bunların hiçbiri OT savunmalarının işe yaramayı bıraktığı anlamına gelmiyor. Anlamı şu: bu savunmaların nasıl test edildiğine dair varsayımların, tehdidin gerçekte ne kadar hızlı hareket ettiğine ayak uydurması gerekiyor.
Buradan çıkarılacak pratik ders “yapay zeka saldırganla savaşmak için bir yapay zeka savunma aracı satın alın” değil, her ne kadar bu satış konuşması bu yıl her satıcı standından geliyor olsa da. Asıl mesele şu: on sekiz ay önce doğrulanmış ve bir daha hiç kontrol edilmemiş segmentasyon kuralları, güvenlik duvarı politikaları ve jump-host yapılandırmaları, agentic bir operatörün tam olarak ilk bulacağı şeyler; çünkü ajanlar, bir kez yapılandırılıp bir daha test edilmemiş sınırları araştırmakta amansız. IT/OT segmentasyonunuz son masabaşı (tabletop) tatbikatından bu yana kaymışsa (ki neredeyse kesinlikle kaymıştır), bu kayma artık daha yavaş değil, daha hızlı bulunacak boşluk demek.
Bu çeyrekte her OT güvenlik liderinin sorması gereken rahatsız edici soru “agentic ransomware’e hazır mıyız” değil. Soru şu: “IT ve OT ağlarımız arasındaki segmentasyon kontrollerinin diyagramda yazdığı gibi çalıştığını en son ne zaman gerçekten doğruladık, varsaymadık.” Sysdig’in araştırması, bu sorunun yanlış cevaplanmasının maliyetinin arttığına dair bir işaret; çünkü denklemin saldırgan tarafı artık uyumaya ihtiyaç duymuyor.