Kuruluşların büyümesiyle birlikte çalışanlar, yükleniciler ve sistemler değişirken, hesapların yönetimi çoğu zaman geride kalıyor. Bu durum, uygulamalar ve bulut platformları genelinde hareketsiz kalan “yetim hesaplar”ın oluşmasına yol açıyor. Özellikle servis hesapları, API anahtarları ve ajan-AI kimlikleri gibi insan olmayan kimlikler (NHI) geleneksel IAM (Identity and Access Management) sistemlerinin dışında kalıyor ve görünürlükten uzaklaşıyor.
Yetim Hesapların Kurumsal Riskleri
Yetim hesaplar, genellikle geçerli kimlik bilgilerine ve yükseltilmiş ayrıcalıklara sahip olmalarına rağmen aktif bir sahibi bulunmaması nedeniyle siber saldırganlar için cazip hedefler oluşturuyor. 2021’de Colonial Pipeline saldırısında MFA uygulanmamış eski bir VPN hesabının kullanılması ve 2025’te Akira fidye yazılımı saldırısında devre dışı bırakılmamış üçüncü taraf satıcı hesabının istismar edilmesi, bu riskin somut örnekleri olarak öne çıkıyor.
Yönetim Zorlukları ve Görünürlük Eksikliği
Her uygulamanın IAM ile entegre edilmesi karmaşık ve manuel işlemler gerektiriyor. Bu durum, yerel sistemlerde ve eski uygulamalarda yönetilmeyen hesapların artmasına neden oluyor. Ayrıca, personel değişiklikleri ve birleşmeler hesap sahipliğini belirsizleştirerek riskleri büyütüyor. AI ajanları ve otomasyon süreçleri ise yeni kimlik kategorileri oluşturarak mevcut IAM modellerini zorlaştırıyor.
Siber Güvenlik Ekipleri İçin Pratik Öneriler
- Kimlik telemetri toplama araçlarıyla uygulama ve sistem aktivitelerini sürekli izleyin.
- EDR ve SIEM sistemleri ile kimlik doğrulama ve erişim günlüklerini entegre edin.
- Rol tabanlı erişim kontrollerini (RBAC) düzenli olarak gözden geçirin ve güncelleyin.
- Yetim hesapları otomatik olarak tespit edip, risk seviyesine göre işaretleyin veya devre dışı bırakın.
- MFA ve Zero Trust mimarisi uygulayarak erişim güvenliğini artırın.
- Bulut güvenliği çözümleri ile API anahtarları ve servis hesaplarını yönetin.
- Olay müdahale süreçlerinde yetim hesapların etkisini değerlendirin ve adli analizleri hızlandırın.
Teknik Özet: Yetim Hesapların Saldırı Zinciri
- Kullanılan araçlar: Servis hesapları, AI ajanları, eski VPN hesapları
- Hedef sektörler: Enerji, üretim, finans ve teknoloji
- Saldırı adımları: 1) Yetim hesapların keşfi, 2) Yükseltilmiş ayrıcalıkların kötüye kullanımı, 3) Kritik sistemlere erişim sağlanması
- Önerilen savunma: Sürekli kimlik denetimi, MFA zorunluluğu, IAM entegrasyonlarının otomasyonu, ağ segmentasyonu ve kapsamlı loglama
Kurumsal Senaryo: Bulut Tabanlı Hizmet Sağlayıcısı
Bir SaaS sağlayıcısında, eski bir üçüncü taraf API anahtarı yetim hesap olarak kaldığında, saldırganlar bu anahtarı kullanarak bulut kaynaklarına erişim sağladı. Bu durum, bulut güvenliği ve IAM entegrasyon eksikliklerinin birleşimiyle gerçekleşti. Sürekli kimlik denetimi ve entegre SIEM çözümleri, bu tür risklerin önüne geçilmesinde kritik rol oynuyor.
Uyumluluk ve Operasyonel Etkiler
Yetim hesaplar, ISO 27001, NIS2 ve PCI DSS gibi standartların en az ayrıcalık ve devre dışı bırakma gereksinimlerini ihlal ediyor. Ayrıca, şişirilmiş lisans maliyetleri ve gereksiz denetim yükü operasyonel verimliliği düşürüyor. Bu nedenle, kimlik yönetiminde şeffaflık ve sürekli denetim, hem güvenlik hem de uyumluluk açısından zorunlu hale geliyor.