Alation'da Yetkisiz Erişim Tespit Edildi: Kurumsal Veri Güvenliği Sınanıyor

Kurumsal veri arama ve yapay zeka platformu Alation, kendi sistemlerinde yetkisiz bir faaliyetin gerçekleştiğini doğruladı. Platform, müşteri şirketlerin iç dosyalarını ve verilerini doğal dilde aramasına yardımcı olduğu için, kurumsal veri altyapısının güvenlik yönetimi yeniden sınav masasına yatırıldı.

TechCrunch'ın 20'sinde (yerel saatle) aktardığına göre, Alation yakın zamanda sistemlerinden birinde yetkisiz faaliyet içeren ayrı bir olayı tespit etti ve soruşturma başlattı. Şirket, dış sözcüsü aracılığıyla "ne olduğunu titizlikle araştırıyoruz ve uygun bir zamanda ek bilgi paylaşacağız" açıklamasını yaptı.

Şirket, siber saldırının somut niteliğini, sızmanın nedenini ve etkilenen müşteri sayısını açıklamadı. Müşterilere olay hakkında bilgi verilip verilmediği ve sızmanın ardından savunma önlemlerinin paylaşılıp paylaşılmadığı da belirtilmedi.

Resmi durum sayfasında, Kore saatiyle 19'unda sabah 01.35'te ABD Doğu bölgesindeki Alation bulut hizmetinde bazı müşteriler için 'kullanılabilirlik düşüşü' yaşandığı kaydedildi. Söz konusu durum sabah 02.31'de çözüldü ve Alation, etkilenen müşterilerin normal çalışma durumuna döndüğünü duyurdu.

Kullanılabilirlik düşüşü, hizmetin tamamen kesintiye uğramadığı ancak bazı kullanıcıların platformu normal şekilde kullanmakta zorlandığı bir durumu ifade ediyor. Güvenlik olaylarında, sızmanın kendisinden ayrı olarak hizmete erişim gecikmeleri, işlev kaybı ve bazı bölgelerde arızalar birlikte görülebiliyor.

Alation, şirketlerin dosya ve verilerini doğal dil sorgularıyla aramasına yardımcı olan veri yazılımı sunuyor. Şirket son dönemde, devasa miktardaki yapılandırılmamış veriyi kullanılabilir içeriğe dönüştüren yapay zeka özellikleriyle iş alanını genişletti.

Şirket, 500'den fazla küresel şirketi müşteri olarak barındırdığını ve ABD'deki Fortune 1000 şirketlerinin yaklaşık yarısına hizmet verdiğini açıklıyor. Müşteri şirketlerin işlediği verilerin iç belgeler ve iş sistemleri bilgilerine kadar uzandığı düşünüldüğünde, sızmanın kapsamı ve müşteri verisine temas edip etmediği kritik bir soru olarak öne çıkıyor.

Kurumsal veri kataloğu ve arama platformları, bir organizasyon içindeki verinin nerede bulunduğunu, erişim yetkilerini ve belge yapısını düzenleyerek aranabilir hale getiriyor. Bu tür platformlar genellikle yalnızca ham veriyi değil, verinin konumu, açıklaması ve yetki bilgisi gibi meta verileri de işliyor.

Bu nedenle saldırganlar gerçek dosyaları ele geçirmemiş olsa bile, hangi sistemlere erişim sağladıkları önem taşıyor. İç veri haritasını gösteren bilgi tek başına, sonraki saldırılar için ipucu haline gelebiliyor.

Alation'ın güvenlik sayfası, Alation bulut hizmetinde müşteri verisinin şifrelendiğini ve site mühendislerinin bu veriye erişemediğini belirtiyor. Şirket ayrıca ISO 27001:2022, SOC 2 Type 2, ISO 27017, ISO 27018 ve ISO 27701 gibi güvenlik ve kişisel veri sertifikalarını da öne sürüyor.

Bu sertifikalar, kurumsal müşterilerin tedarik zinciri güvenliğini ve kişisel veri yönetim düzeyini değerlendirirken referans aldığı ölçütler arasında yer alıyor. Ancak sertifikaya sahip olmak, bireysel bir olayın sızma yolunu ve etki alanını doğrudan açıklamıyor; bu nedenle olayın değerlendirmesi soruşturma sonuçlarına ve sonraki açıklamalara bağlı.

Yapay zeka şirketleri ve veri altyapısı sağlayıcıları, müşteri şirketlerin hassas ve tescilli bilgilerini sıklıkla üstleniyor. TokenPost daha önce, yapay zeka sistemleri güvenlik platformlarının büyümesi için sermaye akışını ele almış ve üretken yapay zeka kullanımının modellerden ajanlara ve uygulamalara yayılmasıyla saldırı yüzeyi denetimine olan talebin arttığını aktarmıştı.

TechCrunch, son dönemde hassas veya tescilli kurumsal bilgileri büyük hacimde barındıran büyük teknoloji şirketlerini hedef alan saldırıların arttığını aktardı. Bu ayın başında Avrupalı lojistik şirketi Ceva Logistics'in ihlal edilmesinin ardından, birden fazla şirketin veri sızdırıldığını bildirdiği örnekler de yaşandı.

Alation sistemlerinin büyük bölümü Amazon Web Services(AWS) üzerinde barındırılıyor. Bulut tabanlı kurumsal yazılımlarda hizmet operatörü, bulut sağlayıcısı ve müşteri şirketin yetki yönetimi iç içe geçtiği için, olay nedeninin netleştirilmesi karmaşıklaşabiliyor.

Bu olayın etki alanı, Alation'ın hangi sistemlere sızıldığını, müşteri verisi veya meta veriye temas olup olmadığını ve müşterilerden hangi önlemleri talep ettiğini ek olarak açıklamasıyla netleşecek. Şirket, soruşturmayı tamamladıktan sonra uygun bir zamanda ek bilgi paylaşacağını belirtti.