SecurifyID – davranışsal biyometri tabanlı kimlik ve erişim yönetim sistemi

Securify Hakkında:

Öyle bir siber güvenlik sistemi düşünün ki; siz kullanıcı adı ve parolanızı söyleseniz ve cep telefonunuzu çaldırsanız bile saldırganlar sizin yerinize sistemlere giremiyorlar!

İşte bu teknolojinin adı davranışsal biyometri tabanlı kimlik ve erişim yönetim sistemi.

SecurifyID kimlik doğrulama esnasında kullanıcıların klavye tuşlama dinamiği, tarayıcı parmak izi, cihaz ve işletim sistemi özellikleri, zaman bilgisi gibi pek çok veriyi yapay zekâ algoritmalarıyla işleyerek davranışsal bir kimlik oluşturur ve oluşabilecek olan anomalileri gelişmiş bir risk skorlama sistemi ile anında tespit ederek gerekli aksiyonları adaptif bir şekilde almanızı sağlar.

Kurucularımız Prof. Dr. Kemal Bıçakcı ve Dr. Yusuf Uzunay’ın 20 yılı aşkın tecrübelerine istinaden büyük ARGE yatırımları ile nihai hale gelmiş olan ürünümüz 2020 yılının ortalarındaticari olarak piyasaya sürülmüştür. Ürün piyasada büyük ilgi görmüş ve bir buçuk yıl gibi kısa bir süre zarfında büyük bir patlama yaparak sadece lisans satışlarından %253’lük bir büyüme ile toplamda 2,2 Milyon TL lisans cirosuna ulaşmış ve son iki yılda şirketimizin toplam cirosunu 4 Milyon TL üzerine çıkarmıştır.

SecurifyID bu kısa süre zarfında Turkcell ve Vodafone tarafından satın alınmış ve Türk Telekom’da da POC ortamında kurulumu yapılmış ve satış süreci devam etmektedir. Bu sayede Türkiye’nin 3 büyük operatörü ile çalışan tek kimlik ve erişim yönetim sistemi olma başarısını göstermiştir.

SecurifyID ülkemizin kritik savunma sanayi kurumları, devlet kurumları, belediyeler, bankacılık ve finans kuruluşları, enerji kuruluşları ve özel kuruluşlar tarafından şu anda kullanılmakta olup 10 binlerce son kullanıcıya hizmet vermektedir. Küresel operasyonları bulunan müşterilerimiz sayesinde ürünümüz hali hazırda 60’dan fazla ülkede kullanılır durumdadır.

Amacımız %100 milli olarak geliştirdiğimiz ve yurtdışı patent başvurusunda bulunduğumuz ürünümüz ile Türkiye’de yakaladığımız başarıyı siz değerli yatırımcılarımızın desteği ile globale taşımak ve dünyanın lider kimlik ve erişim yönetim sistemlerinden birisi olmaktır.

Siber Güvenliği sadece üç kelime ile anlatmak gerekirse denebilir ki “bir çizgi çekmektir” siber güvenlik. Bu çizginin bir tarafında izin verilen ve yetkilendirilmiş eylemler ve erişimler, diğer tarafında ise yasak ve tehlikeli olanlar yer alır. Geleneksel olarak bu çizgi güvenlik duvarları ile, VPN cihazları ve benzeri yöntemler ile çizilmektedir. Öte yandan, hem günümüz saldırılarının çok daha sofistike hale gelmesi, hem pandemi dönemindeki gibi her yerden ve her cihazdan bağlantı kurulmasını gerekli kılan uzaktan çalışma gibi olgular, bu eski ve eksik yöntemin yerine yeni bir yaklaşım arayışının tetikleyicisi olmuştur. Artık yeni çizgi, kimliktir (identity is the new perimeter). Tüm erişim yönetimi kimlik etrafında şekillenmelidir. Erişim talebi -– fiziksel olarak nereden kaynaklandığına bakılmaksızın – ilk başta reddedilmelidir. Sıfır Güven (Zero Trust) ile başlanmalı ve erişim istek türü ve bağlamı da dikkate alınarak bu istek sahibinin kimliği ve kimliğinin en üst seviyede doğrulanması belirleyici olmalıdır.

Bu noktada akla şu soru gelebilir. Kimlik Doğrulamada kullanılan parolaların pek çok saldırılara hedef olduğu iyi bilinmektedir. Fakat parmak izi, yüz tanıma gibi gelişmiş yöntemler ile bu sorun çözülemez mi? Bu önemli soruya kısa cevabımız hayırdır. Zira, siber güvenliğin ayırt edici özelliği saldırgan-savunmacı arasındaki kedi-fare oyununun hiç bitmeyecek olmasıdır. Örnek vermek gerekirse, yüz tanıma sistemlerinin riskleri ile ilgili geçtiğimiz senede (2021 yılında) çok sayıda akademik çalışma yapılmıştır. Burada her türlü savunma yöntemin aşılabileceğini bilerek kimlik doğrulama cevabını evet/hayır olarak veren sistemler ve yaklaşımlar yerine risk tabanlı bir bakış açısına gerek vardır. Sorulması gereken soru, “bu erişim isteği Ahmet’ten mi geliyor?” yerine “bu erişim isteğinin Ahmet’ten geldiğine dair yeterli kanıt var mı?” olmalıdır.

İşte tam bu noktada SecurifyID’nin diğer benzerlerinden ayıran en öne çıkan özelliğinden bahsetmek gereği var. SecurifyID, kullanıcıların bağlam bilgilerini ve davranışlarını analiz ederek hem de bu analizi sadece giriş esnasındaki kısıtlı bir zaman diliminde değil sürekli olarak yaparak erişim isteğinde bulunan kimlik hakkında yeterli kanıta kavuşmayı mümkün kılmaktadır.

Biyometri bilimi fiziksel ve davranışsal olarak ikiye ayrılmaktadır. Fiziksel Biyometride parmak izi, avuç içi, yüz tanıma gibi kullanıcıların fiziksel özellikleri kullanılırken, davranışsal biyometride kullanıcıların klavye veya telefonu kullanma biçimi, yürüyüşü, imzası gibi daha davranışsal özellikler kullanılmaktadır.

Davranışsal biyometri ile kullanıcı doğrulama aslında çok eski zamanlara dayanan bir tekniktir. Örneğin klavye dinamiği (keystroke dynamics) ikinci dünya savaşı sırasında, “Göndericinin Vuruşu” (The Fist of the Sender) olarak bilinen ritme bağlı olarak mors alfabesi ile gönderilen mesajın müttefik veya düşman tarafından gönderildiğini anlamada askeri istihbarat olarak kullanılmıştır.

SecurifyID, yapay zekâ tekniklerini kullanarak kullanıcıya ait klavye dinamiği, dokunuş dinamiği dahil birçok örüntüyü inceleyerek kullanıcının davranışsal kimliğini çıkarmakta ve buna göre oluşabilecek anomalileri tespit edip, risk tabanlı adaptif bir kimlik ve erişim yönetimi sağlamaktadır. Bu sayede örneğin muhtemel bir sosyal mühendislik saldırısında parolanızı çaldırsanız dahi saldırganın sisteme girişi esnasındaki klavye ve dokunuş dinamiği özellikleri sizden farklı olacağı için saldırıyı engelleyebilmek mümkün hale gelmektedir.

Sistemin en önemli iki özelliği pasif bir şekilde arka planda profilleme yaparak kullanıcı deneyimini değiştirmemesi (frictionless) ve sadece kimlik doğrulama aşamasında değil tüm oturum süresi boyunca (continuous) anomali tespiti yapabilmesidir. Bu sayede oturum çalma gibi birçok gelişmiş saldırı da bertaraf edilebilmektedir.

Ürünümüzün, Tübitak tarafından 5 ARGE projesi kapsamında desteklenmiş ve başta şirket yöneticilerimiz Prof. Dr. Kemal Bıçakcı ve Dr. Yusuf Uzunay olmak üzere birçok akademisyen tarafından katkı sağlanmış bir platform üzerine inşa edilmiştir. SecurifyID Behavioral Identity Platform olarak adlandırdığımız bu platform kimlik yönetimi, kimlik doğrulama (MFA, SSO), kullanıcı yaşam döngüsü yönetimi, erişim yönetimi, gelişmiş tehdit yönetimi, iş akış ve raporlama ana bileşenlerinden oluşmaktadır.

Ürünümüz kimlik ve erişim yönetimi alanında ihtiyaç duyulan tüm işlevlere sahip olmanın yanı sıra Just-In-Time (JIT) Identity ve Behavioral Identity kavramlarıyla küresel çaptaki diğer ürünlerle karşılaştırıldığında önemli ve belirgin farklara sahip bulunmaktadır. JIT Identity kavramı sayesinde ürünümüz son kullanıcının QR kod tarama gibi herhangi bir ekstra işlem yapmasına gerek duymadan tamamen otomatik uzaktan kimlik provizyonu, iş akışlarına göre kimliklerin erişim yetkilerinin ayarlanması, kullanıcı yaşam döngüsü çerçevesinde kullanıcı yetkilerinin otomatik güncellenmesi ve gerektiğinde de-provizyon yapılması gibi özellikleri desteklemektedir. Behavioral Identity sayesinde ise davranışsal biyometri, davranış analitiği, kullanıcı ve varlık davranış analizi (UEBA) gibi teknikler kullanarak kullanıcının davranışsal kimliğinin oluşturulması ve erişim esnasında bu kimliğinde oluşabilecek risklere göre kullanıcıyı bloklama, kullanıcıyı çok faktörlü doğrulamaya zorlama veya çok faktörlü kimlik doğrulamayı devre dışı bırakma gibi eylemlerin adaptif bir şekilde gerçekleştirilmesi sağlanmaktadır. 

Projenin Kapsam, Amaç ve Konusu

Bilindiği üzere gerek maliyet avantajı gerekse kullanım kolaylığından dolayı hala birçok sistem parola tabanlı kimlik doğrulama mekanizmalarını tercih etmektedir. Günümüz İnternet’inde güvenlik saldırılarının %81’i zayıf veya çalınmış parola kaynaklıdır. Ayrıca parolalar birçok saldırıya (Social Enginering, Dictionary Attack, Brute Force, Shoulder Surfing, Keylogging, Eavesdropping vb.) açıktır. Tipik bir İnternet kullanıcısının en az 25 farklı site için parola belirlediği düşünülürse bu büyük problemin çözümü için kullanıcıların eğitilmesi, parola politikalarının uygulanması gibi ilk akla gelen fakat etkisi sınırlı çözümler yerine bütüncül ve kapsayıcı bir yaklaşımın gereği ortaya çıkmaktadır.

SecurifyID ürünümüzün değer önermesi, kullanıcıların parolaları, cep telefonları veya oturumları çalındığı durumda bile güvenlik sağlayabilen, kullanıcı davranışlarını değiştirmeden diğer tüm güvenlik önlemlerine ekstra bir katman olarak kullanılabilen ve risk tabanlı birçok faktörü göz önünde bulundurarak sürekli doğrulama sağlayabilen davranışsal biyometri tabanlı adaptif bir kimlik ve erişim yönetimi sağlamaktır. 

Ürün/Proje Hakkında Özet Bilgi

SecurifyID, Behavioral Identity Platformu üzerine inşa edilmiştir. Bu platform bünyesinde aşağıdaki başlıklarda özetlenen çözümleri sağlayan bütünleşik bir sistemdir:

Tehdit Analizi:

SecurifyID klavye dinamiği, IP adresi, zaman bilgisi, tarayıcı parmak izi, uygulama erişimleri, platform bilgileri, aygıt bilgileri gibi birçok veriyi yapay zeka ve istatistiksel teknikler kullanarak analiz eder ve kişiye özel bir davranışsal kimlik oluşturur. Sonrasında bu kimliği anomali tespitinde kullanarak adaptif erişim denetimi sağlar.

Kimlik Yönetimi: Kimliğin manuel, otomatik veya Active Directory, OpenLDAP gibi harici bir sağlayıcıdan provizyonu, kimlik doğrulama faktörü yönetimi, kimlik aktive veya deaktive edilmesi, uzaktan mobil kimlik yönetimi

Kimlik Doğrulama: Çok faktörlü kimlik doğrulama (TOTP, OTP, Push, SMS, Fingerprint, TouchID, FaceID, Davranışsal Biyometri, Donanımsal Token, Üçüncü parti doğrulayıcılar), Adaptif MFA, Mobile MFA, Ters Faktör Doğrulama, Parolasız Doğrulama, Tekil Oturum Açma (SSO)

Yaşam Döngüsü Yönetimi: Kullanıcı işe başladığında belirli bir kimlik dizini üzerinden veya herhangi bir HR yazılımı üzerinden otomatik tetiklenerek kimlik provizyonu ve erişim haklarının atanması, kullanıcının departman değişimi veya yeni bir pozisyona atanması esnasında yetkilerinin otomatik güncellenmesi, kullanıcının gerektiğinde kilitlenmesi veya deaktive edilmesi, kullanıcı işten ayrıldığında tüm haklarının alınarak de-provizyon işleminin gerçekleştirilmesi

Erişim Yönetimi: SecurifyID, erişim yönetimini kullanıcı grupları ile ve ayrı ayrı uygulamalar üzerinden sağlayabilir. Politika ve Kural modülü üzerinden 3 çeşit erişim denetimi yapmak mümkündür. Yönetsel Kurallar bölümünde bir uygulama kullanımının tüm kullanıcılara veya belirli gruplara erişiminin engellenmesi, MFA faktörünün ayarlanması, MFA’in devre dışı bırakılması, MFA’in kullanıcının geldiği IP adresi, browser verilerine göre adaptif olarak devreye alınması veya devreden çıkarılması işlevleri vardır. Statik kurallar altında zaman ve alan (IP Adresleri, Coğrafi Lokasyon, Ülkeler) bazlı kurallar bulunmaktadır. Risk bazlı kurallar bölümünde ise belirlenen risk skoruna göre alınacak eylemler tanımlanmaktadır.

İş Akışları: İş akışları kullanıcının oluşturulması veya güncellenmesi durumlarında kullanıcı öznitelikleri içerisinde belirli filtrelere göre otomatik grup ataması yapılmasını sağlayan bir mekanizmadır. Triggers, Conditions ve Actions olmak üzere 3 bölümden oluşmaktadır.

Log ve Raporlar: Kullanıcının tüm eylemlerinin detaylı bir şekilde loglandıgı ve bu loglar arasında gelişmiş filtreler kullanılarak arama yapılabilen modüllerdir. Loglar gerektiğinde Excel, PDF formatında export alınabilmekte veya syslog formatında bir SIEM sunucuya gönderebilmektedir. 

Firma hakkında detaylı bilgi için firma web sitesi: https://securifyid.com

Makalenin orjinal kaynağını bu linkten okuyabilir ve ilgileniyorsanız yatırımcısı olabilirsiniz.