Botnet nedir?
Bot terimi, robotun kısaltmasıdır. Suçlular, bilgisayarınızı bir bot’a, yani zombiye çevirebilen kötü amaçlı yazılımları dağıtırlar. Böyle bir durumda bilgisayarınız, sizin haberiniz olmadan Internet üzerinden otomatik görevleri gerçekleştirebilir.
Suçlular genelde çok sayıda bilgisayarı etkilemek için bot kullanırlar. Bu bilgisayarlar da botnet adı verilen bir ağ oluştururlar.
Botnetler, istenmeyen e-posta mesajları göndermek, virüsleri yaymak, bilgisayar ve sunuculara saldırmak ve diğer türlerdeki suçları işlemek ve sahtekarlıklarda bulunmak amacıyla kullanılabilir. Bir botnetin parçası olması durumunda bilgisayarınız yavaşlayabilir ve istemeden suçlulara yardımcı olabilirsiniz.
Bilgisayarınıza kötü amaçlı yazılımların bulaştığını nasıl öğrenebilirsiniz
Bilgisayarınıza kötü amaçlı yazılımların bulaşıp bulaşmadığını öğrenmek her zaman kolay değildir. Örneğin, bilgisayarınız olağandışı bir şekilde yavaşsa, sık sık kilitleniyor veya duruyorsa tüm bu sorunlar, bilgisayarınızın etkilendiğinin işaretleri olabilir. Ancak bu sorunlar aynı zamanda herhangi bir kötü amaçlı yazılımla ilgisi olmayan donanım veya yazılım sorunlarına da işaret edebilir. Bilgisayarınızın olağandışı davranışının sebeplerini öğrenmek zor olduğundan, size aşağıdaki adımları uygulamanızı öneririz:
Belirtilerin daha eksiksiz bir listesini edinin ‘den edinin.
Belirtilerin eksiksiz listesi ışığında bilgisayarınızın etkilendiği kanaatindeyseniz, Microsoft’un sorunu teşhis etmenize ve çözmenize yardımcı olmasına izin verin ‘den edinin.
Kötü amaçlı yazılımlardan nasıl kaçınılır
Siber suçlular, bilgisayarınızın savunmalarını aşmak ve bilgisayarları kendi botnetlerine kaydettirmek için iki temel strateji kullanırlar:
Bünyesindeki yazılımlarda yer alan, istenmeyen güvenlik açıklarından faydalanarak veya zayıf parolalarla korunan hesapları kırarak bir bilgisayara kötü amaçlı yazılım yüklerler.
Kötü amaçlı yazılımlarını yüklemeniz için sizi kandırmaya çalışırlar.
Bilgisayarınızı, botlara karşı güvence altına almanıza yardımcı olması için aşağıdaki tavsiyeyi uygulayın. Nasıl yapacağınıza dair özel bilgiler için, bkz. Kötü amaçlı yazılım savunmanızı güçlendirme ve bilgisayarınızı koruma ‘den edinin.
Bilgisayarınızın savunmalarını güçlendirin
Güvenilir bir kaynaktan edinilen virüsten koruma ve casus yazılımdan koruma programları yükleyin. Kötü amaçlı yazılımları önleme programları, bilinen virüsler ve casus yazılımlara karşı bilgisayarınızı tarar ve takip eder. Bir şey bulduklarında sizi uyarır ve eylemde bulunmanıza yardımcı olurlar.
Tüm yazılımları güncel tutun. Tüm yazılımlarınız için güncelleştirmeleri düzenli olarak yükleyin ve mümkünse otomatik güncelleştirmelere abone olun.
Güçlü parolalar kullanın ve bu parolaları gizli tutun. Parolanızın gücünü belirlemek için parola denetleyicimizi kullanın ‘den edinin.
Güvenlik duvarınızı asla kapatmayın. Güvenlik duvarı, bilgisayarınız ile Internet arasına koruyucu bir engel koyar. Güvenlik duvarını bir dakikalığına bile olsa kapatmak, bilgisayarınıza kötü amaçlı yazılım bulaşması riskini arttırır.
Taşınabilir sürücüleri dikkatli kullanın. Bir taşınabilir sürücünün (bazen kalem bellek olarak da adlandırılır) kötü amaçlı yazılım bulaşmış bir bilgisayara takılması, sürücüyü ve nihayetinde de bilgisayarınızı bozabilir.
Kötü amaçlı yazılımları indirmeye yönelik tuzaklara düşmeyin
Saldırganlar, bilgisayarınızı bir botnete şu şekillerde kaydedebilir:
Kötü amaçlı yazılımı, resim veya film sandığınız yüklemelerle veya e-posta ya da anlık mesajlaşma (IM) ya da bir sosyal ağda tıkladığınız bağlantılarla ileterek.
Bilgisayarınızda virüs olduğuna dair sahte uyarılar veren bir düğmeye veya bağlantıya tıklamanız konusunda sizi korkutarak.
Botnet Saldırısı Engellemek İçin Amatörce Yaptıklarımız :
1. Öncelikle sitenin tüm sayfalarına istatistik – ver madenciliği – amaçlı olarak basit bir istatistik kodu yerleştirdik. Özellikle önerdiğim StatCounter Free invisible Web tracker, Hit counter and Web stats ‘ a üye olarak sitenizi tanıtmanız ve aldığınız kodu sitenizin altına eklemeniz . Böylece saldırı aldığınız ip leri görebilir hatta saldırının çeşidi hakkında detaylı bilgi edinebilirsiniz.
2. Grafikte de görüldüğü gibi 200-500 bin tekil kullanıcının saldırısına uğrayan bir sitemiz vardı. Normalde günlük 300 civarında ziyaretçisi olan bir site için 200-500 binlik bir ziyaretçi sayısı sitemizi sıkıntıya sokuyordu. Bu grafikten hareketle ziyaretçilerimizin www . saldirialasitemiz . com / index.php sayfasından giriş yaptıklarını sitede 0 sn durduklarını gözlemledik. En basit çözümümüz index.php dosyamızın adını değiştirmekti. Bu önlemini işe yaramayacağını biliyorduk zaten öylede oldu 1 saat içerisinde saldırı yeni isim verdigimiz index1.php ye yönlendi. Yani saldırı rastgele yapılan bir saldırı değildi. Botnetmaster saldırıyı takiip ediyordu ve aldığı parayı hak etmek için elinden geleni yapıyordu.
3. İstatistik tutmaya başlayışımızın birinci saatinde VPS in barındığı datacenter ile görüştük. Yardım konusunda pekte istekli değilllerdi ve bize dedicated sunucuya geçmemizi firewall kurabileceklerini söylediler. Ancak bu bir botnet saldırısıydı. Siteye giriş yapan ip lerin normal müşteri ip lerinden bir farkı yoktu. Tamamı bot etkisindeki gerçek kullanıcıların bilgisayarlarıydı. Başka bir datacenter ile görüştük ve 10mbit bir dedicated-linux kiraladık. Beşinci saatin sonunda sitemiz yeni sunucumuzda yayındaydı. Saldırı şiddeti artıyordu ancak az bir yavaşlama dışında site açılış hızına etkisi olmuyordu. Bu arada müşterimiz sıkıntısının çözüldüğünü düşünerek bizlere teşekkür üstüne teşekkür ediyordu ancak biz bunun bir çözüm olmadığını biliyorduk.
4. Ertesi gün uyandığımızda site açılış hızının çok yavaşladığını ve gelen tekil ip nin bir önceki güne göre 3 kat arttığını gördük. Artık yapılacak tek bir şey vardı : Biraz kodlama. Sitemizin bütün alt sayfalarına cookie denetimi getirdik ve alt sayfalara direkt erişim durumunda giris.php ye yönlenmelerini sağladık. Giris.php sayfasında ziyaretcilerimize siteye giris yapmaları için bir üst satırda verilen güvenlik kodunu yazmalarını istedik. giris.php sayfamız 1kb lık bir sayfaydı ve zombi bilgisayarlar (botnbet kurbanları) sadece sayfaya giriyorlar , index.php ye ulaşamıyorlar ve böylece serverımızı hem bant olarakhemde işlemci kullanımı olarak yormuyorlardı. Ancak bununda tam bir çözüm olmadığını biliyor , saldırganın vazgeçmesi için dua ediyorduk.
5. Ertesi gün sunucumuzda herşey yolundaydı. Ancak istatistikleri incelediğimizde %10-20 lik bir zombinin index.php ye ulaşmayı başardığını gördük. Bu gelecek günlerde önlememizin etkisiz kalacağının işaretiydi. Bunda güvenlik kodunu random oluşan text karakter olarak yazılan formdan resim formuna dönüştürdük ve index’e sızan zombileri de engelledik. Ancak büyük bir sıkıntımız vardı. Siteye gelen müşterilerin bir kısmı güvenlik kodunu yazmakta zorlanıyor yada korkup siteden çıkıyorlardı. Müşterimiz ile tekrar görüştük ve site ziyaretçilerinin %90 nının google reklamları ile siteye ulaştıklarını öğrendik. Bu bizim için çok ama çok önemli bir bilgiydi. Ufak bir kod değişikliği ile alt sayfalarımızın tamamına ziyaretçilerin google.com , google.com.tr den gelmesi durumunda sayfaları görüntülemeleri eğer direkt siteye ulaştılar ise giris.php den onay kodunu yazmalarını sağlayan bir kod yerleştirdik. Böylece google.com / com.tr den gelen ziyaretçi siteyi direkt görebiliyordu. Saldırı ise doğrudan yapıldığı için zombiler 1 kb lık giris php dosyamızda takılıp kalıyorlardı.
6. Şu anda site 2 milyon üzeri bir saldırı alıyor ancak trafiğimizden çok az harcıyor ve site açılış hızımız gayet iyi. Ayrıca google üzerinden gelen müşterilerimiz doğrudan sayfayı görüntüleyebiliyor.
7. Biraz rahatlamanın verdiği keyifle saldırı ip dökümlerini aldık ve tek tek incelemeye başladık. Sadece 10 dakika içerisinde 3 özel firmaya ait statik ip ve bir de şahıs adına alınmış ip tesbit ettik. (xxxx tld sti , hayri botnet, zzzz demir celik gibi) Bu kayıtlara istatistik tuttuğumuz satatcounter.com sitesinden ulaştık. Google üzerinde firmalar hakkında ufak bir araştırma ile sitelerine ve oradan da telefon numaralarına ulaştık. Aynı anda da şahsa ait ip de yazan isim ve il adından telekom kayıtlarından kişinin numarasını bulduk.
8. Bu firmalar ve şahısla yaptığımız görüşmelerde ilgili bilgisayarlarda mirc scriptinin kurulu olduğunu ve belirli bir siteden indirdiklerini öğrendik.
9. Ve sonunda saldıyı yapan kişi artık elimizdeydi. Gerekli kanıtlarla savcılığa başvurduk.
Bu yaptıklarımız botnet ile amatörce başa çıkma çabamızdır. Botnet saldırısı ile ilk kez uğraşıyorum ve karşı tarafın taklarına göre gard almaktan başka birşey yapamıyoruz. Ancak tıpta “semptomatik tedavi” adı verilen bir tedavi şekli vardır. Yani hastalık sonucu ortaya çıkan belirtileri önlemek kısacası. Ateşi çıkarsa ateşi düşürülecek, kusması varsa o engellenecek gibi. Ancak sonuçta başarılıda olunur.
Botnet Saldırısından Nasıl Korunulur :
Botnet saldırısı, çözümü en zor saldırı türüdür. Çünkü botnet ile birlikte trojan bulaşan bilgisayarlar sizin sitenize yoğun bir ziyaret gerçekleştirerek, sunucunuzu kilitlemeye yönelik bir girişimdi bulunurlar. Çoğu zaman buna ortak olan bilgisayar sahipleri (zombie olarak adlandırılır) trojan bulaşarak böyle bir girişimde bulunduklarının farkında değildirler. Örnek olarak, bir sohbet sunucusu binlerce ziyaretçisine trojan bulaştırdıysa, kolaylıkla istenilen komutlar verilerek bu zombie bilgisayarlar yönlendirilebilmektedir.
Kullanıcıların yoğun girişi olarak görülen botnet saldırısı, sunucu gözünde normal ziyaretçiden farksızdırlar. Ancak çok sayıda bilgisayarın, sık girişileri sunucuyu zora sokarak siteye ulaşılmasını engellemektedir.
Öncelikle sunucu seçiminde dikkat etmeniz gereken 2 önemli unsur bulunmaktadır.
1.Litespeed kullanımı : Litespeed sunucu hızını kullandığı özel teklikle maksimum düzeylere çıkaran bir sunucu eklentisidir. Bu eklenti kurulu olan sunucuları satın aldığınız da, sunucu kilitlenmesi hihtimali en aza indirgenebilecektir.
2. Firewall kullanımı : Firewall, saldırılara karşı etkili bir güvenlik duvarıdır. Hangi sunucunun firewall kullanıp kullanmadığını bir tüketici olarak bilmemiz zor olabilir. Bu sebeple satn almadan önce sormanız gereken ikinci özellik sunucunun firewall kullanıp kullanmaması olmalıdır.
Botnet diğer adıyla ddos saldırılarını önlemenin yolları,
1. Hedef Şaşırtma : Botnet saldırıları genellikle sitelerin ana dizinlerindeki index dosyası hedef alınarak yapılmaktadır. Çünkü bu şekilde daha etkili bir saldırı yapmış olurlar. Bu sebeple index.php (özellikle wordpress siteleri) dosyasının hedef olmaktan çıkması gerekir. Bunun için sitenin farklı uzantıda bir index dosyasını çağırmasını sağlıyoruz. Site Anasayfasının kaynak kodunu tamamiyle kopyalayarak index.html isminde yeni bir dosya içerisine ekleyerek sunucuya atıyoruz. Bunu yaptığımızda saldırı hedefi index.php olarak devam ederken, site anasayfası index.html den açılmaktadır. Html statik bir sayfa olduğu için, saldırı devam etmesine rağmen daha hızlı sitenin açıldığını görebileceksiniz.
Html klasörünü oluşturmakla birlikte index.php nin ismini değiştirirseniz, alt sayfalara ulaşılamama hatası alırsınız. Çünkü sitenin tüm sayfaları index.php üzerindeki sorgulardan oluşmaktadır. Bu sebeple anasayfa index.html den çalışırken, alt sayfalar da index.php üzerinden açılmaktadır.
Bir botnet saldırısında, saldırının ne zaman biteceğini hiçbir zaman kestiremezsiniz. Anasayfayı html olarak ayarladığınız, sürekli güncellemeniz zor olacağı için mutlaka yine dinamik yapıya dönmeniz gerekmektedir. Dolayısıyla index.html kullanmak sadece geçici bir çözümdür. Arama motorları ve botların siteye ulaşabilmelerini sağlamak adına yapacağınız ilk uygulama olmalıdır. Bundan sonrası için daha kalıcı çözümler bulmanız gerekmektedir. Kalıcı çözümler için de aşağıdaki taktikleri uygulamanız gerekir.
2. İp ve Browser engelleme : Botnet saldırısına iştirak eden zombie bilgisayarların, normal kullanıcılara göre farkı, siteyi onlarca veya yüzlerce defa sorgulamasıdır. Normal bir ziyaretçi, siteye günde max 3 – 5 kez giriyorsa, zombie bilgisayarlar dakikada onlarca kez girebilmektedir. Bu sebeple yoğun giriş yapan ipleri ve browserları tespit ederek, htaccess ile girişleri engellemeniz gerekir.
2. a. Yoğun ip ve browser girişlerini tespit etme : Sitenize ait cpanele girdikten sonra Raw Access Logs linkine tıklıyoruz. Buradan siteye son zamanlarda giriş yapan ip ve tarayıcılarını listeleyebiliyoruz. Sitenin ziyaretçi sayısına veya botnet saldırısına göre dosyasının boyutu artacaktır. Yaklaşık 15 – 20 mb boyutlarında dosyayı indirdikten sonra herhangi bir text programı ile açıyoruz. Notepad için yük oluşturabilir, bu sebeple notepad2 kullanmanızı tavsiye ediyorum.
Yukarıdaki listede saldırı günlerinde siteye gelen ziyaretçi veya zombielerin ipleri görülmektedir. Bakıldığı zaman bazı iplerin yoğun giriş yaptığı görülür. Tabi bu resim sadece bir kesit, aldığım raporda yaklaşık 2 milyon ip listesi bulunmaktaydı. Üstelik 2 günlük raporda. Bu raporda daima en sondan başlayarak göz gezdirmenizi tavsiye ediyorum.
Resimde görüldüğü gibi, 111.160.70.130 adresi birkaç kez tekrar etmektedir. Ancak bunun yanında 111.160.70.226 gibi bir adres de tekrar ediyoruz. Burada kısıtlamayı yaparken 4 haneyi de dikkate alırsanız sadece 1 zombie engellersiniz, ilk haneyi engellerseniz milyonlarca 111 ipsiyle başlayan girişleri engellersiniz. Tabi bunun yanında normal ziyaretçi de etkilenebilir. Ancak bir süre için bu normal ziyaretçilerden bir kısmının girişini engellemeyi göze almak gerekir. Bunun gibi ben tekrar eden ipleri bulup ilk hanelerini engelledim. Ancak hala yoğunluk olup olmadığını anlamak gerekiyor. Bunu için index.html ismini index1.html olarak değiştirdim. Site bu sefer index.php üzerinden çalışacak ve sitenin açılması uzun sürüyorsa başka iplerden giriş devam ediyor anlamına gelir. Diğer ipleri de bulup engelleyebilirsiniz. Bunun dışında MSIE 6.0; Windows NT 5.1 girişlerini de engellemek büyük rahatlık getirecektir.
2.b. Yoğun ip ve browser girişlerini engelleme : Yoğun giriş yapan ip ve tarayıcıları tespit ettikten sonra aşağıdaki kodları htaccess dosyanıza ekleyerek bu girişleri engellemeniz gerekmektedir.
htaccess ile ip girişi engelleme
order allow,deny
deny from 111.*.*.*
deny from 95.*.*.*
allow from all
htaccess ile tarayıcı girişi engelleme
RewriteCond %{HTTP_USER_AGENT} !^Microsoft Internet Explorer/[34].[0-9]{1,2}
Ekstra htaccess güvenlikleri
# .htaccess dosyasına erişimi engelle
order allow,deny
deny from all
# sunucu imzasını kaldır
ServerSignature Off
# dosya yükleme boyutunu 10mb ile sınırlandır
LimitRequestBody 10240000
# wpconfig.php dosyasına erişimi engelle
order allow,deny
deny from all
# wp-load.php dosyasına erişimi engelle
order allow,deny
deny from all
# dizin listelemeyi iptal et
Options All -Indexes
# zararlı botları engelle
RewriteCond %{HTTP_USER_AGENT} ^BlackWidow [OR]
RewriteCond %{HTTP_USER_AGENT} ^Bot mailto:[email protected] [OR]
RewriteCond %{HTTP_USER_AGENT} ^ChinaClaw [OR]
RewriteCond %{HTTP_USER_AGENT} ^Custo [OR]
RewriteCond %{HTTP_USER_AGENT} ^DISCo [OR]
RewriteCond %{HTTP_USER_AGENT} ^Download Demon [OR]
RewriteCond %{HTTP_USER_AGENT} ^eCatch [OR]
RewriteCond %{HTTP_USER_AGENT} ^EirGrabber [OR]
RewriteCond %{HTTP_USER_AGENT} ^EmailSiphon [OR]
RewriteCond %{HTTP_USER_AGENT} ^EmailWolf [OR]
RewriteCond %{HTTP_USER_AGENT} ^Express WebPictures [OR]
RewriteCond %{HTTP_USER_AGENT} ^ExtractorPro [OR]
RewriteCond %{HTTP_USER_AGENT} ^EyeNetIE [OR]
RewriteCond %{HTTP_USER_AGENT} ^FlashGet [OR]
RewriteCond %{HTTP_USER_AGENT} ^GetRight [OR]
RewriteCond %{HTTP_USER_AGENT} ^GetWeb! [OR]
RewriteCond %{HTTP_USER_AGENT} ^Go!Zilla [OR]
RewriteCond %{HTTP_USER_AGENT} ^Go-Ahead-Got-It [OR]
RewriteCond %{HTTP_USER_AGENT} ^GrabNet [OR]
RewriteCond %{HTTP_USER_AGENT} ^Grafula [OR]
RewriteCond %{HTTP_USER_AGENT} ^HMView [OR]
RewriteCond %{HTTP_USER_AGENT} HTTrack [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^Image Stripper [OR]
RewriteCond %{HTTP_USER_AGENT} ^Image Sucker [OR]
RewriteCond %{HTTP_USER_AGENT} Indy Library [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^InterGET [OR]
RewriteCond %{HTTP_USER_AGENT} ^Internet Ninja [OR]
RewriteCond %{HTTP_USER_AGENT} ^JetCar [OR]
RewriteCond %{HTTP_USER_AGENT} ^JOC Web Spider [OR]
RewriteCond %{HTTP_USER_AGENT} ^larbin [OR]
RewriteCond %{HTTP_USER_AGENT} ^LeechFTP [OR]
RewriteCond %{HTTP_USER_AGENT} ^Mass Downloader [OR]
RewriteCond %{HTTP_USER_AGENT} ^MIDown tool [OR]
RewriteCond %{HTTP_USER_AGENT} ^Mister PiX [OR]
RewriteCond %{HTTP_USER_AGENT} ^Navroad [OR]
RewriteCond %{HTTP_USER_AGENT} ^NearSite [OR]
RewriteCond %{HTTP_USER_AGENT} ^NetAnts [OR]
RewriteCond %{HTTP_USER_AGENT} ^NetSpider [OR]
RewriteCond %{HTTP_USER_AGENT} ^Net Vampire [OR]
RewriteCond %{HTTP_USER_AGENT} ^NetZIP [OR]
RewriteCond %{HTTP_USER_AGENT} ^Octopus [OR]
RewriteCond %{HTTP_USER_AGENT} ^Offline Explorer [OR]
RewriteCond %{HTTP_USER_AGENT} ^Offline Navigator [OR]
RewriteCond %{HTTP_USER_AGENT} ^PageGrabber [OR]
RewriteCond %{HTTP_USER_AGENT} ^Papa Foto [OR]
RewriteCond %{HTTP_USER_AGENT} ^pavuk [OR]
RewriteCond %{HTTP_USER_AGENT} ^pcBrowser [OR]
RewriteCond %{HTTP_USER_AGENT} ^RealDownload [OR]
RewriteCond %{HTTP_USER_AGENT} ^ReGet [OR]
RewriteCond %{HTTP_USER_AGENT} ^SiteSnagger [OR]
RewriteCond %{HTTP_USER_AGENT} ^SmartDownload [OR]
RewriteCond %{HTTP_USER_AGENT} ^SuperBot [OR]
RewriteCond %{HTTP_USER_AGENT} ^SuperHTTP [OR]
RewriteCond %{HTTP_USER_AGENT} ^Surfbot [OR]
RewriteCond %{HTTP_USER_AGENT} ^tAkeOut [OR]
RewriteCond %{HTTP_USER_AGENT} ^Teleport Pro [OR]
RewriteCond %{HTTP_USER_AGENT} ^****EYE [OR]
RewriteCond %{HTTP_USER_AGENT} ^Web Image Collector [OR]
RewriteCond %{HTTP_USER_AGENT} ^Web Sucker [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebAuto [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebCopier [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebFetch [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebGo IS [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebLeacher [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebReaper [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebSauger [OR]
RewriteCond %{HTTP_USER_AGENT} ^Website eXtractor [OR]
RewriteCond %{HTTP_USER_AGENT} ^Website Quester [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebStripper [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebWhacker [OR]
RewriteCond %{HTTP_USER_AGENT} ^WebZIP [OR]
RewriteCond %{HTTP_USER_AGENT} ^Widow [OR]
RewriteCond %{HTTP_USER_AGENT} ^WWWOFFLE [OR]
RewriteCond %{HTTP_USER_AGENT} ^Xaldon WebSpider [OR]
RewriteCond %{HTTP_USER_AGENT} ^Zeus
