Allah’ın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım. Bu makalemizde siber saldırı zincirinin yedi aşamasına göz atacağız. Her aşamada çeşitli saldırı örneklerini inceleyeceğiz ve en sonunda ise her aşamayla ilgili farklı savunma örneklerini inceleyeceğiz.
Keşif(Reconnaissance)
Keşif (Reconnaissance), kökenini askeriyeden alır ve bir hedef hakkında bilgi toplama eylemini ifade eder. Siber güvenlikte ise bu aşama, hedefin güvenlik açıklarını ve zayıf yönlerini toplayarak potansiyel giriş noktalarını keşfetmeyi amaçlar.
Keşif iki türe ayrılabilir: pasif ve aktif. Pasif keşif sırasında saldırgan, faaliyetlerini herhangi bir “iz” bırakmadan yürütür; örneğin açık kaynak istihbaratı (OSINT) kullanır. Ancak aktif keşif durumunda saldırgan tamamen sessiz ve görünmez kalamaz; hedef kuruluşla bir tür etkileşim gerektirir. Buna örnek olarak hedef kuruluşun personeline karşı sosyal mühendislik uygulanması veya hedef sistemin güvenlik açıkları için taranması verilebilir.
Pasif keşfin diğer örnekleri arasında; tarama (crawling) ve veri kazıma (scraping) yoluyla web sitesi keşfi, sosyal medya üzerinden keşif ve Google Dorking yer alır. Google Dorking, arama motorlarını kullanarak hassas bilgiler ve gizli dosyaları ortaya çıkarmayı ifade eder.
Daha müdahaleci örnekler arasında ise hedefin herkese açık servislerindeki zayıflıkları belirlemek amacıyla yapılan güvenlik açığı taramaları bulunur. Ayrıca fiziksel keşif de yaygındır; saldırgan hedef kurumun tesislerini ziyaret ederek giriş noktalarını belirlemeye, güvenlik önlemlerini incelemeye ve personelin davranışlarını gözlemlemeye çalışabilir.
Ağ trafiğinin ve günlük kayıtlarının (logların) izlenmesi ve analiz edilmesi, güvenlik açıklarını ve ağ port taramalarını tespit etmek için zorunludur. Güvenlik ekibi, tarama faaliyetlerini belirleyebilmek amacıyla ağ trafiğini aktif olarak izlemelidir. Bunun yanında servis loglarının incelenmesi de keşif girişimlerini ortaya çıkarmak açısından gereklidir.
Silahlandırma(Weaponisation)
Hedef hakkında yeterli bilgi toplandıktan sonra saldırgan bir sonraki aşama olan silahlandırma (weaponisation) aşamasına geçer. Saldırgan, hedef sistemler hakkında topladığı bilgilere dayanarak keşfedilen zayıflıkları istismar etmeye uygun bir yük (payload) oluşturabilir. Bu aşamada saldırgan hazır bir exploit kullanabilir, mevcut bir exploit’i düzenleyebilir ya da sıfırdan yeni bir exploit geliştirebilir. Ayrıca çeşitli framework ve araç setlerinin bu süreçte saldırgana yardımcı olabileceğini de belirtmek gerekir.
Birçok saldırgan, tespit edilmekten kaçınmak için gizleme (obfuscation) veya şifreleme yöntemlerine başvurur. Bunun yanı sıra zararlı yükü, MS Word ya da PDF dosyası gibi zararsız görünen bir dosyanın içine gizleyebilirler. Bu aşamanın sonunda dikkat edilmesi gereken en önemli nokta, hedef sisteme gönderilmeye hazır kötü amaçlı bir dosyanın elde edilmiş olmasıdır.
Saldırganlar, mevcut exploit kitlerinden birini kullanabilir. Exploit kit, farklı güvenlik açıkları için çeşitli exploitler içeren otomatik bir platformdur. Bu platformlar, saldırganların exploit kodunu çalıştırılabilir bir dosya veya belirli belge türleri gibi bir payload içerisine kolayca paketlemesini sağlar.
Neyse ki tüm belgeler exploit kodu taşıyacak şekilde silahlandırılamaz. Saldırganlar genellikle kötü amaçlı makrolar içeren Microsoft Office belgeleri oluşturmaya güvenirler. Makrolar etkinleştirildiğinde, belge açıldığı anda kaydedilmiş komut dizisi otomatik olarak çalıştırılır.
Kötü amaçlı dosya hazır olduğunda saldırgan; zararlı eki içeren bir oltalama (phishing) e-postası hazırlayabilir, dosyayı barındıracak bir web sayfası oluşturabilir veya bir USB belleğe kaydedebilir. Öte yandan saldırganın hedefi güvenlik açığı bulunan bir servis ise, bir sonraki aşamada payload’u bu savunmasız servise nasıl ulaştıracağını planlaması gerekir.
Kullanıcı eğitimine ek olarak, gereksiz özelliklerin devre dışı bırakılması, gereksiz yazılımların kaldırılması ve ihtiyaç duyulmayan tarayıcı eklentilerinin silinmesi de mantıklı önlemler arasındadır. Özellikle risk oluşturabilecek özelliklerin sınırlandırılması büyük önem taşır; örneğin Office belgelerindeki makroların devre dışı bırakılması veya yalnızca imzalı ve güvenilir kaynaklardan gelen makrolara izin verilmesi gibi. Bu tür politikalar, Windows Grup İlkesi (Group Policy) aracılığıyla uygulanabilir ve böylece olası saldırı yüzeyinin azaltılmasına yardımcı olur.
Teslimat(Delivery)
Bir önceki aşamada saldırgan, hedefe özel bir payload hazırlamıştı. Şimdi ise bu payload’u hedef ortama iletmek için uygun bir yöntem bulması gerekir. Saldırgan, keşif aşamasında topladığı bilgileri kullanarak uygun bir teslimat (delivery) yöntemi seçebilir.
Kullanıcı eğitimlerinin ötesinde, e-posta ve web filtreleme sistemleri birçok kurumda standart hale gelmiştir. Web Uygulama Güvenlik Duvarları (WAF - Web Application Firewall), web üzerinden erişilebilen kötü amaçlı dosyaları engellemede vazgeçilmezdir. Bunun yanında, özellikle büyük şirketlerde ağ izleme ve yama yönetimi giderek daha kritik hale gelmektedir.
Saldırı zincirini kırmak ve kötü amaçlı payload’un başarılı bir şekilde teslim edilmesini önlemek için bunların dışında da birçok farklı savunma yöntemi bulunmaktadır.
Sömürü(Exploitation)
Kötü amaçlı yükün (payload) başarılı bir şekilde teslim edilmesinin ardından istismar (exploitation) aşaması gelir. İstismar, yazılımsal bir güvenlik açığı, zayıf bir parola veya sistemin yanlış yapılandırılması gibi çeşitli şekillerde gerçekleşebilir.
Yazılım güvenlik açıkları saldırganlar için bir başka giriş kapısıdır. Bu açıklar hem istemci sistemlerini hem de ağ servislerini kapsar. Yeni güvenlik açıkları düzenli olarak keşfedilir ve saldırganların bu açıklar için çalışır durumdaki exploit kodlarını geliştirmesi genellikle sadece zaman meselesidir. Bazen bir exploit, üretici firma (vendor) açığın varlığından haberdar olmadan önce bile ortaya çıkabilir; bu durumda bu tür açıklar “sıfır gün (zero-day)” exploit olarak adlandırılır.
SQL enjeksiyonu (SQL injection) veya buffer overflow gibi birçok farklı zafiyet de istismar edilebilir. Açığın türüne bağlı olarak, bu durum giriş bilgisi olmadan bile sisteme erişim sağlanmasına yol açabilir.
Sunucular ve istemciler için yama yönetimi (patch management) zorunludur; böylece bilinen güvenlik açıkları ortadan kaldırılabilir. Ayrıca, henüz yamalanmamış güvenlik açıklarını tespit etmek için zafiyet taraması (vulnerability scanning) yapılması gerekir.
Saldırıları tespit edip engellemede Saldırı Önleme Sistemleri (IPS - Intrusion Prevention Systems) önemli bir rol oynar. IPS, ağ trafiğini inceleyerek bilinen exploit girişimlerini engelleyebilir. Web Uygulama Güvenlik Duvarları (WAF - Web Application Firewall) ise SQL injection, cross-site scripting (XSS) ve cross-site request forgery (CSRF) gibi web uygulamalarına yönelik çeşitli saldırıları engelleyebilir.
Kurulum(Installation)
Başarılı bir şekilde hedef sistemin istismar edilmesinin ardından, kurulum (installation) aşaması ele geçirilen sistem üzerinde kalıcı erişim sağlamayı amaçlar. Böylece saldırgan, yeniden istismar aşamasına girmeden daha sonra tekrar sisteme geri dönebilir. Buradaki anahtar kavram “kalıcılık” (persistence)tır.
Saldırganlar ayrıca zararlı yazılım (malware) yükleme, arka kapı (backdoor) oluşturma veya rootkit kurma gibi yöntemlere de başvurabilir. Bunun yanında, “living-off-the-land binaries (LOLBins)” olarak bilinen, Windows’un meşru sistem araçları ve ikili dosyaları gibi yerleşik işlevlerinden de yararlanabilirler.
Bazı durumlarda saldırganların erişimlerini güçlendirmek için ek payload’ları indirip çalıştırması gerekir. Örneğin bir web uygulamasının istismar edilmesinden sonra bir web shell dağıtabilirler. Web shell, ele geçirilen sunucu tarafından desteklenen bir programlama dilinde yazılmış küçük bir betiktir ve saldırgana web tarayıcısı üzerinden hedef sistemde işletim sistemi komutlarını çalıştırma imkânı sağlar. Web shell’in HTTPS gibi standart bir protokol üzerinden çalıştırılması, saldırganın hedef sisteme giriş yapmasını sağlarken aynı zamanda etkinliğini HTTPS trafiği içinde gizlemesine de yardımcı olur.
Uç nokta tespit ve müdahale sistemleri (EDR - Endpoint Detection and Response), uç sistemleri şüpheli aktiviteler açısından izlemeyi sağlar. Örneğin olağandışı süreç oluşturma, hassas dizinlerde dosya değişiklikleri ve beklenmeyen ağ bağlantıları gibi davranışlar EDR tarafından tespit edilebilir.
Düzenli sistem denetimleri (system audits) ve güvenli bir temel yapılandırma (secure baseline) ile karşılaştırmalar yapılması, yetkisiz değişikliklerin tespit edilmesi için gereklidir. Yeni oluşturulmuş kullanıcı hesapları veya yeni kurulmuş servisler gibi değişiklikler bu sayede fark edilip orijinal duruma geri döndürülebilir. Bazı yapılandırma yönetimi araçları, bu süreci otomatikleştirerek güvenli durumu korumaya ve yetkisiz değişiklikleri geri almaya yardımcı olur.
Bir diğer yaklaşım ise uygulama izin listesi (application allowlisting) kullanımıdır. Bu yöntem, yalnızca onaylı uygulamaların çalışmasına izin vererek yetkisiz veya zararlı yazılımların çalışmasını engeller.
Bahsedilen yaklaşımlar kapsamlı olmasa da, savunma mekanizmalarının ne kadar karmaşık olabileceğine dair bir fikir verir. Eğer saldırgan kurulum (installation) aşamasını başarıyla tamamlarsa, bir sonraki aşamada gizli bir kanal (covert channel) kurma aşamasına geçebilir.
Komuta ve Kontrol(C2):Command and Control(C2)
Başarılı bir şekilde hedef ortamda kalıcı erişim sağlandıktan sonra, saldırganın ele geçirilmiş sistemler üzerinde güvenilir ve gizli bir erişimi sürdürmesi gerekir; böylece daha sonra hedeflerine yönelik eylemleri gerçekleştirebilir. Komuta ve Kontrol (Command and Control - C2) aşaması, bir sonraki aşamada kullanılmak üzere bu gizli iletişim kanalının kurulmasını amaçlar. Bu aşamada saldırgan, ele geçirilmiş sistemler ile kendi altyapısı arasında C2 iletişim kanalını oluşturur.
Saldırganlar bu tür bir altyapıyı oluşturmak için alan adları, IP adresleri ve bulut hizmetleri gibi çeşitli yöntemler kullanabilir. Tespitten kaçınmak için farklı tekniklere başvurabilirler; örneğin rastgele alan adları oluşturmak ve IP adreslerini sık sık değiştirmek bu yöntemler arasındadır. Bazı durumlarda ise şüphe çekmemek için meşru görünümlü alan adları kullanılır. Ayrıca keşfedilmemek için şifreleme ve diğer gizleme (obfuscation) tekniklerinin kullanımı da yaygındır.
Alan adları açısından C2 iletişimi, botnetlere komut göndermek için X (Twitter) gibi sosyal medya platformlarının doğrudan mesajlaşma (DM) özelliklerini kullanabilir. Bir diğer seçenek ise Dropbox ve Google Docs gibi meşru bulut servislerini özellikle veri sızdırma (data exfiltration) amacıyla kullanmaktır.
Saldırgan kendi alan adını kaydedip C2 altyapısını bunun üzerine kurarsa, bu alan adının engellenmesi veya kapatılması daha kolay olur. Bu nedenle C2 yapıları dayanıklı iletişim sağlamak için çeşitli tekniklere başvurur. Bunlara örnek olarak Domain Generation Algorithms (DGA) ve Fast Flux verilebilir. DGA, önceden tanımlı bir algoritma kullanarak çok sayıda (örneğin 50.000) alan adı üretir. Bu alan adlarının yalnızca %1–2’si saldırgan tarafından gerçekten kaydedilir. Zararlı yazılım bu geniş listeyi sırayla deneyerek aktif bir alan adı bulmaya çalışır; eğer bir domain engellenirse bir sonraki aktif olana geçer.
Fast Flux tekniğinde ise tek bir alan adına yüzlerce veya binlerce IP adresi atanır ve bu IP’ler birkaç dakikada bir değiştirilir. Ele geçirilmiş cihazlar (örneğin IoT cihazları) proxy gibi kullanılarak trafiği gizli C2 sunucusuna iletir. Eğer bir IP adresi (proxy düğümü) engellenirse, zararlı yazılım otomatik olarak bir sonraki IP adresine geçer.
Güvenlik duvarları (firewall), IDS (Intrusion Detection System) ve IPS (Intrusion Prevention System) üzerinden yapılan ağ izleme, C2 trafiğinin tespit edilmesi ve engellenmesinde önemli bir rol oynar. Özellikle anormal trafik desenleri, olağandışı trafik hacimleri ve bilinen kötü amaçlı IP adreslerine yapılan bağlantılar dikkatle izlenmelidir.
DNS trafiğinin C2 tünellemesi için kullanılabilmesi nedeniyle, DNS sorgularının izlenmesi ve analiz edilmesi de kritik öneme sahiptir. Özellikle anormal derecede uzun DNS sorguları veya şüpheli alan adlarına yönelik yüksek sayıda istek tespit edilmelidir. Ayrıca web shell’lerin HTTP ve HTTPS protokollerini kullanması nedeniyle web trafiğinin izlenmesi de şüpheli bağlantıların ortaya çıkarılmasına yardımcı olur; içerik filtreleme ise şüpheli URL’lere erişimi engelleyebilir. Bunun yanında şifreli trafiğin incelenebilmesi için şifre çözme ve trafik denetimi (encryption inspection) uygulanarak HTTPS üzerinden yapılan C2 iletişimleri tespit edilmeye çalışılır.
Birçok güvenlik ekibi ayrıca honeypot’lar (tuzak sistemler) kurarak C2 iletişim girişimlerini tespit eder, analiz eder ve saldırgan davranışlarını gözlemler. Bunların dışında da pek çok yöntem bulunmaktadır.
Hedeflere Yönelik Eylemler(Actions on Objectives)
Gizli bir C2 iletişim kanalı kurulduktan sonra saldırgan, asıl hedeflerini gerçekleştirebilir. Bu aşamada saldırgan, veri sızdırma (information theft) ile hizmet kesintisi (service disruption) arasında değişen orijinal amaçlarını icra eder.
Gizli (covert) saldırılarda, örneğin endüstriyel veya politik casuslukta, saldırganlar hedeflerinden hassas dosyaları çalmaya odaklanır; buna genellikle veri sızdırma (data exfiltration) denir. Alternatif olarak saldırgan, hedef ağ içinde başka sistemlere erişmek istiyorsa, ağ üzerinde gizlice yatay hareket (lateral movement) yaparak diğer sistemleri de ele geçirmeye çalışır.
Hedef organizasyona bağlı olarak saldırgan, Endüstriyel Kontrol Sistemlerini (ICS - Industrial Control Systems) manipüle etmekle de ilgilenebilir. Bu tür saldırılar çoğu zaman uzun süreli ve kalıcı bir erişim (persistence) sağlanmasının ardından, saldırganın istediği zamanda harekete geçmesiyle gerçekleştirilir. Uygulama yöntemi tehdit aktörüne ve motivasyonuna göre değişir. Burada birkaç örnek verilmiştir, ancak liste çok daha da genişletilebilir.
Bir saldırganın verebileceği zararı azaltmak için ağ segmentasyonu (network segmentation) ve sıkı erişim kontrolleri uygulanmalıdır. Ağ segmentasyonu, farklı ağ bölümlerini birbirinden izole ederek bir segmentteki sistem ele geçirilse bile saldırganın diğer segmentlere yatay hareket (lateral movement) yapmasını engeller. Ayrıca erişim kontrolleri ve en az ayrıcalık ilkesi (principle of least privilege), kullanıcıların hassas sistemlere ve verilere yalnızca gerekli olduğu kadar erişmesini sağlar.
Kullanıcı etkinliği izleme (user activity monitoring), şüpheli davranışların tespit edilmesine yardımcı olur; örneğin kullanıcıların gece yarısından sonra DNS sorguları göndermesi beklenen bir davranış değildir. Öte yandan Uç Nokta Tespit ve Müdahale (EDR - Endpoint Detection and Response) çözümleri, uç sistemlerdeki şüpheli aktiviteleri izlemek ve tespit etmek için güçlü bir seçenektir. Örneğin hassas verilere erişmeye veya bunları değiştirmeye çalışan süreçler, dosyaları şifreleyen işlemler veya yetkisiz ağ bağlantıları oluşturan aktiviteler EDR tarafından tespit edilebilir.
Okuduğunuz için teşekkür ederim
Selamun aleyküm dostlarım. Bu makalemizde siber saldırı zincirinin yedi aşamasına göz atacağız. Her aşamada çeşitli saldırı örneklerini inceleyeceğiz ve en sonunda ise her aşamayla ilgili farklı savunma örneklerini inceleyeceğiz.
Keşif (Reconnaissance), kökenini askeriyeden alır ve bir hedef hakkında bilgi toplama eylemini ifade eder. Siber güvenlikte ise bu aşama, hedefin güvenlik açıklarını ve zayıf yönlerini toplayarak potansiyel giriş noktalarını keşfetmeyi amaçlar.
Keşif iki türe ayrılabilir: pasif ve aktif. Pasif keşif sırasında saldırgan, faaliyetlerini herhangi bir “iz” bırakmadan yürütür; örneğin açık kaynak istihbaratı (OSINT) kullanır. Ancak aktif keşif durumunda saldırgan tamamen sessiz ve görünmez kalamaz; hedef kuruluşla bir tür etkileşim gerektirir. Buna örnek olarak hedef kuruluşun personeline karşı sosyal mühendislik uygulanması veya hedef sistemin güvenlik açıkları için taranması verilebilir.
Keşif (Reconnaissance): Örnekler
Bir saldırganın keşif aşamasında yapabileceği birçok farklı faaliyet örneği vardır.Pasif Keşif (Passive Reconnaissance)
Pasif keşfe birkaç örnek üzerinden bakalım. İlk akla gelen örnekler WHOIS ve DNS veritabanlarıdır. WHOIS veritabanı; gizlilik hizmeti kullanılmadığı sürece iletişim bilgilerini, kayıt tarihlerini ve alan adı sahiplerini ortaya çıkarabilir. DNS veritabanının sorgulanması ise DNS sunucularını ve herkese açık sunucuların IP adreslerini açığa çıkarabilir.Pasif keşfin diğer örnekleri arasında; tarama (crawling) ve veri kazıma (scraping) yoluyla web sitesi keşfi, sosyal medya üzerinden keşif ve Google Dorking yer alır. Google Dorking, arama motorlarını kullanarak hassas bilgiler ve gizli dosyaları ortaya çıkarmayı ifade eder.
Aktif Keşif (Active Reconnaissance)
Daha önce de belirtildiği gibi, aktif keşif dikkat çekebilir ve iz bırakabilir. Bunun en yaygın örneklerinden biri ağ port taramasıdır. Port taraması, aktif cihazları (hostları) ve çalışan servisleri tespit etmek için kullanılır.Daha müdahaleci örnekler arasında ise hedefin herkese açık servislerindeki zayıflıkları belirlemek amacıyla yapılan güvenlik açığı taramaları bulunur. Ayrıca fiziksel keşif de yaygındır; saldırgan hedef kurumun tesislerini ziyaret ederek giriş noktalarını belirlemeye, güvenlik önlemlerini incelemeye ve personelin davranışlarını gözlemlemeye çalışabilir.
Keşfe Karşı Önlemler (Countermeasures Against Reconnaissance): Örnekler
Savunma taktikleri arasında, kamuya açık bilgi miktarını en aza indirmek yer alır. Bu önlem; web sitelerinde, sosyal medya hesaplarında ve DNS kayıtlarında paylaşılan bilgilerin sınırlandırılmasıyla uygulanır. Ayrıca WHOIS kayıtları, gizli kalması gereken isim ve adresleri açığa çıkarmamalıdır. Birçok alan adı kayıt şirketi (registrar), genellikle ek ücret karşılığında gizlilik hizmeti sunmaktadır.Ağ trafiğinin ve günlük kayıtlarının (logların) izlenmesi ve analiz edilmesi, güvenlik açıklarını ve ağ port taramalarını tespit etmek için zorunludur. Güvenlik ekibi, tarama faaliyetlerini belirleyebilmek amacıyla ağ trafiğini aktif olarak izlemelidir. Bunun yanında servis loglarının incelenmesi de keşif girişimlerini ortaya çıkarmak açısından gereklidir.
Silahlandırma(Weaponisation)
Hedef hakkında yeterli bilgi toplandıktan sonra saldırgan bir sonraki aşama olan silahlandırma (weaponisation) aşamasına geçer. Saldırgan, hedef sistemler hakkında topladığı bilgilere dayanarak keşfedilen zayıflıkları istismar etmeye uygun bir yük (payload) oluşturabilir. Bu aşamada saldırgan hazır bir exploit kullanabilir, mevcut bir exploit’i düzenleyebilir ya da sıfırdan yeni bir exploit geliştirebilir. Ayrıca çeşitli framework ve araç setlerinin bu süreçte saldırgana yardımcı olabileceğini de belirtmek gerekir.
Birçok saldırgan, tespit edilmekten kaçınmak için gizleme (obfuscation) veya şifreleme yöntemlerine başvurur. Bunun yanı sıra zararlı yükü, MS Word ya da PDF dosyası gibi zararsız görünen bir dosyanın içine gizleyebilirler. Bu aşamanın sonunda dikkat edilmesi gereken en önemli nokta, hedef sisteme gönderilmeye hazır kötü amaçlı bir dosyanın elde edilmiş olmasıdır.
Silahlandırma (Weaponisation): Örnekler
Keşif aşamasından sonra saldırgan, hedef alınacak güvenlik açıklarını belirlemiş olur. Ardından kendi “siber silahını” oluşturmak için uygun exploit kodunu kullanması gerekir. Peki bir siber saldırgan neleri silahlandırabilir? E-posta eklerinden USB belleklerine kadar hemen her şeyi.Saldırganlar, mevcut exploit kitlerinden birini kullanabilir. Exploit kit, farklı güvenlik açıkları için çeşitli exploitler içeren otomatik bir platformdur. Bu platformlar, saldırganların exploit kodunu çalıştırılabilir bir dosya veya belirli belge türleri gibi bir payload içerisine kolayca paketlemesini sağlar.
Neyse ki tüm belgeler exploit kodu taşıyacak şekilde silahlandırılamaz. Saldırganlar genellikle kötü amaçlı makrolar içeren Microsoft Office belgeleri oluşturmaya güvenirler. Makrolar etkinleştirildiğinde, belge açıldığı anda kaydedilmiş komut dizisi otomatik olarak çalıştırılır.
Kötü amaçlı dosya hazır olduğunda saldırgan; zararlı eki içeren bir oltalama (phishing) e-postası hazırlayabilir, dosyayı barındıracak bir web sayfası oluşturabilir veya bir USB belleğe kaydedebilir. Öte yandan saldırganın hedefi güvenlik açığı bulunan bir servis ise, bir sonraki aşamada payload’u bu savunmasız servise nasıl ulaştıracağını planlaması gerekir.
Silahlandırmaya Karşı Önlemler (Countermeasures Against Weaponisation): Örnekler
Savunma tarafında kullanıcı eğitimi vazgeçilmezdir. Bir kullanıcı e-posta aldığında, özellikle ek dosya içeriyorsa dikkatli davranmalıdır; ayrıca e-postanın kaynağını inceleyerek meşruiyetini nasıl kontrol edeceğini bilmelidir. Bunun yanında, e-posta içinde payload’un bulunduğu şifrelenmiş bir zip dosyası ve çözme parolası yer alıyorsa, kullanıcı merakına yenilip talimatları hemen uygulamak yerine bu tür içeriklerden şüphelenmelidir. Siber güvenlik kullanıcı eğitimi sürekli devam eden bir süreçtir ve güçlü bir savunmanın vazgeçilmez parçalarından biridir.Kullanıcı eğitimine ek olarak, gereksiz özelliklerin devre dışı bırakılması, gereksiz yazılımların kaldırılması ve ihtiyaç duyulmayan tarayıcı eklentilerinin silinmesi de mantıklı önlemler arasındadır. Özellikle risk oluşturabilecek özelliklerin sınırlandırılması büyük önem taşır; örneğin Office belgelerindeki makroların devre dışı bırakılması veya yalnızca imzalı ve güvenilir kaynaklardan gelen makrolara izin verilmesi gibi. Bu tür politikalar, Windows Grup İlkesi (Group Policy) aracılığıyla uygulanabilir ve böylece olası saldırı yüzeyinin azaltılmasına yardımcı olur.
Teslimat(Delivery)
Teslimat (Delivery): Örnekler
Saldırganlar, exploit payload’larını başarılı bir şekilde iletmek için sürekli daha yaratıcı yöntemler geliştirmektedir.- Oltalama (Phishing) e-postaları: Bu e-postalar genellikle kötü amaçlı ek dosyalar içerir; ancak zararlı indirmelere yönlendiren bağlantılar da kullanabilir. Dosya isimleri bu saldırılarda önemli rol oynar. Örneğin, program.exe yerine invoice.pdf.exe dosya adı hedef kullanıcıyı kandırabilir.
- Hedefli oltalama (Spear phishing) e-postaları: Bu tür saldırılar, alıcının tanıdığı veya güvendiği bir kaynaktan geliyormuş gibi görünen özel hazırlanmış e-postaları içerir. Örneğin gönderen adı ve e-posta adresi, alıcının yöneticisiymiş gibi sahte şekilde düzenlenebilir.
- Kötü amaçlı web bağlantıları: Saldırgan, exploit kitlerini herkese açık web sitelerinde barındırabilir. Alan adı sahteciliği (domain spoofing) ve URL kısaltma yöntemleri de bağlantıları daha az şüpheli göstermek için kullanılabilir.
- Dosya paylaşım platformları: Saldırganlar, kötü amaçlı dosyaları dosya paylaşım hizmetlerine yükleyebilir ve insanların bu servis sağlayıcılara duyduğu aşinalıktan faydalanabilir.
- Kötü amaçlı reklamcılık (Malvertising): Saldırganlar, meşru web sitelerinde reklam göstererek kullanıcıları kötü amaçlı sayfalara yönlendirebilir.
- SMS Oltalaması (Smishing): Saldırgan, kötü amaçlı bağlantılar içeren veya zararlı yazılım indirme talimatları veren kısa mesajlar gönderir.
- Sosyal mühendislik: Saldırgan, şüphelenmeyen bir kullanıcıyı kötü amaçlı bir programı indirmesi ve çalıştırması için kandırabilir.
- Fiziksel teslim yöntemleri: Kötü amaçlı kod, bir USB belleğe kaydedilip kolay erişilebilir bir yere bırakılabilir. Bir diğer örnek ise zararlı program içeren, masum görünen bir DVD’nin posta yoluyla gönderilmesidir. Saldırganın her zaman ikna edici bir bağlam sunması gerekir; örneğin DVD’nin hedef personelin ilgisini çekebilecek bir katalog içerdiğini iddia etmesi gibi.
Teslimata Karşı Önlemler (Countermeasures Against Delivery): Örnekler
Bu durum, savunma ekibinin bildiği her teslimat yöntemine karşı mücadele etmek zorunda olduğu bir siber silahlanma yarışına benzer. Önlemlerin başında, kullanıcıların siber güvenlik farkındalığı konusunda eğitilmesi gelir. Kullanıcılara güvenli internet kullanımı, oltalama (phishing) saldırıları ve sosyal mühendislik saldırıları hakkında eğitim verilir.Kullanıcı eğitimlerinin ötesinde, e-posta ve web filtreleme sistemleri birçok kurumda standart hale gelmiştir. Web Uygulama Güvenlik Duvarları (WAF - Web Application Firewall), web üzerinden erişilebilen kötü amaçlı dosyaları engellemede vazgeçilmezdir. Bunun yanında, özellikle büyük şirketlerde ağ izleme ve yama yönetimi giderek daha kritik hale gelmektedir.
Saldırı zincirini kırmak ve kötü amaçlı payload’un başarılı bir şekilde teslim edilmesini önlemek için bunların dışında da birçok farklı savunma yöntemi bulunmaktadır.
Sömürü(Exploitation)
İstismar (Exploitation): Örnekler
Saldırgan bir sistemi istismar etmek için çeşitli yöntemler kullanabilir. En basit yaklaşımlardan biri, parola tabanlı kimlik doğrulama sistemlerini hedef almaktır. Eğer parola varsayılan ya da zayıfsa, saldırgan bunu kolayca keşfedebilir. Alternatif olarak saldırgan, kullanıcıyı kandırarak parolasını girmesini sağlamak için oltalama (phishing) veya daha gelişmiş teknikler de kullanabilir.Yazılım güvenlik açıkları saldırganlar için bir başka giriş kapısıdır. Bu açıklar hem istemci sistemlerini hem de ağ servislerini kapsar. Yeni güvenlik açıkları düzenli olarak keşfedilir ve saldırganların bu açıklar için çalışır durumdaki exploit kodlarını geliştirmesi genellikle sadece zaman meselesidir. Bazen bir exploit, üretici firma (vendor) açığın varlığından haberdar olmadan önce bile ortaya çıkabilir; bu durumda bu tür açıklar “sıfır gün (zero-day)” exploit olarak adlandırılır.
SQL enjeksiyonu (SQL injection) veya buffer overflow gibi birçok farklı zafiyet de istismar edilebilir. Açığın türüne bağlı olarak, bu durum giriş bilgisi olmadan bile sisteme erişim sağlanmasına yol açabilir.
İstismara Karşı Önlemler (Countermeasures Against Exploitation): Örnekler
Güvenlik ekibi, istismar (exploitation) aşamasını engellemek için birçok farklı çözüm kullanabilir. Bunlardan bazılarını şöyle sıralayabiliriz. Parola gereksinimleri zorunlu hale getirilmeli ve parola tabanlı kimlik doğrulamasını güçlendirmek için çok faktörlü kimlik doğrulama (MFA - Multi-Factor Authentication) kullanılmalıdır. MFA, saldırgan geçerli bir kullanıcı adı ve parola elde etse bile ek doğrulama adımı nedeniyle erişimi engelleyerek herhangi bir kazanç elde etmesini zorlaştırır.Sunucular ve istemciler için yama yönetimi (patch management) zorunludur; böylece bilinen güvenlik açıkları ortadan kaldırılabilir. Ayrıca, henüz yamalanmamış güvenlik açıklarını tespit etmek için zafiyet taraması (vulnerability scanning) yapılması gerekir.
Saldırıları tespit edip engellemede Saldırı Önleme Sistemleri (IPS - Intrusion Prevention Systems) önemli bir rol oynar. IPS, ağ trafiğini inceleyerek bilinen exploit girişimlerini engelleyebilir. Web Uygulama Güvenlik Duvarları (WAF - Web Application Firewall) ise SQL injection, cross-site scripting (XSS) ve cross-site request forgery (CSRF) gibi web uygulamalarına yönelik çeşitli saldırıları engelleyebilir.
Kurulum(Installation)
Başarılı bir şekilde hedef sistemin istismar edilmesinin ardından, kurulum (installation) aşaması ele geçirilen sistem üzerinde kalıcı erişim sağlamayı amaçlar. Böylece saldırgan, yeniden istismar aşamasına girmeden daha sonra tekrar sisteme geri dönebilir. Buradaki anahtar kavram “kalıcılık” (persistence)tır.
Kurulum (Installation): Örnekler
Kullanılan yöntem ne olursa olsun, kalıcı erişim (persistent access) sağlanmalıdır; aksi takdirde saldırgan sonraki aşamalara devam edemez. Kalıcı erişimi sürdürmek için bazen MS Windows sistemlerinde zamanlanmış görevler (scheduled tasks) oluşturmak veya Linux sistemlerinde cron job ayarlamak gerekir. Diğer durumlarda başlangıç (startup) betikleri veya yapılandırma dosyaları değiştirilir. Windows’ta yeni bir servis, Linux’ta ise bir daemon kurmak da mümkün yaklaşımlardan biridir. Servis yaklaşımı, kalıcı erişimin sürdürülmesini daha kolay hale getirir.Saldırganlar ayrıca zararlı yazılım (malware) yükleme, arka kapı (backdoor) oluşturma veya rootkit kurma gibi yöntemlere de başvurabilir. Bunun yanında, “living-off-the-land binaries (LOLBins)” olarak bilinen, Windows’un meşru sistem araçları ve ikili dosyaları gibi yerleşik işlevlerinden de yararlanabilirler.
Bazı durumlarda saldırganların erişimlerini güçlendirmek için ek payload’ları indirip çalıştırması gerekir. Örneğin bir web uygulamasının istismar edilmesinden sonra bir web shell dağıtabilirler. Web shell, ele geçirilen sunucu tarafından desteklenen bir programlama dilinde yazılmış küçük bir betiktir ve saldırgana web tarayıcısı üzerinden hedef sistemde işletim sistemi komutlarını çalıştırma imkânı sağlar. Web shell’in HTTPS gibi standart bir protokol üzerinden çalıştırılması, saldırganın hedef sisteme giriş yapmasını sağlarken aynı zamanda etkinliğini HTTPS trafiği içinde gizlemesine de yardımcı olur.
Kuruluma Karşı Önlemler (Countermeasures Against Installation): Örnekler
Yeni süreçlerin (process) ve servislerin izlenmesi kritik öneme sahiptir; özellikle üst süreç (parent process) ve ilişkili aktivitelerin analiz edilerek bağlamsal olarak şüpheli davranışların tespit edilmesi gerekir.Uç nokta tespit ve müdahale sistemleri (EDR - Endpoint Detection and Response), uç sistemleri şüpheli aktiviteler açısından izlemeyi sağlar. Örneğin olağandışı süreç oluşturma, hassas dizinlerde dosya değişiklikleri ve beklenmeyen ağ bağlantıları gibi davranışlar EDR tarafından tespit edilebilir.
Düzenli sistem denetimleri (system audits) ve güvenli bir temel yapılandırma (secure baseline) ile karşılaştırmalar yapılması, yetkisiz değişikliklerin tespit edilmesi için gereklidir. Yeni oluşturulmuş kullanıcı hesapları veya yeni kurulmuş servisler gibi değişiklikler bu sayede fark edilip orijinal duruma geri döndürülebilir. Bazı yapılandırma yönetimi araçları, bu süreci otomatikleştirerek güvenli durumu korumaya ve yetkisiz değişiklikleri geri almaya yardımcı olur.
Bir diğer yaklaşım ise uygulama izin listesi (application allowlisting) kullanımıdır. Bu yöntem, yalnızca onaylı uygulamaların çalışmasına izin vererek yetkisiz veya zararlı yazılımların çalışmasını engeller.
Bahsedilen yaklaşımlar kapsamlı olmasa da, savunma mekanizmalarının ne kadar karmaşık olabileceğine dair bir fikir verir. Eğer saldırgan kurulum (installation) aşamasını başarıyla tamamlarsa, bir sonraki aşamada gizli bir kanal (covert channel) kurma aşamasına geçebilir.
Komuta ve Kontrol(C2):Command and Control(C2)
Saldırganlar bu tür bir altyapıyı oluşturmak için alan adları, IP adresleri ve bulut hizmetleri gibi çeşitli yöntemler kullanabilir. Tespitten kaçınmak için farklı tekniklere başvurabilirler; örneğin rastgele alan adları oluşturmak ve IP adreslerini sık sık değiştirmek bu yöntemler arasındadır. Bazı durumlarda ise şüphe çekmemek için meşru görünümlü alan adları kullanılır. Ayrıca keşfedilmemek için şifreleme ve diğer gizleme (obfuscation) tekniklerinin kullanımı da yaygındır.
Komuta ve Kontrol (Command and Control - C2): Örnekler
C2 altyapısının kullandığı teknikler, gizli iletişimin dayanıklı (resilient) şekilde sürdürülebilmesini sağlamak için çeşitlilik gösterir. İlk yöntemlerden biri, C2 iletişimi için HTTP, HTTPS, DNS ve SMTP gibi yaygın uygulama katmanı protokollerinin kullanılmasıdır. Bu sayede trafik, meşru ağ trafiğiyle karışarak gizlenebilir. Ayrıca HTTPS gibi şifreli kanallar kullanılarak ağ izleme araçlarından saklanmak da mümkündür. Bunun yanında, DNS tünelleme (DNS tunneling) gibi yöntemlerle DNS istekleri içine veri kodlanarak çeşitli güvenlik çözümleri ve güvenlik duvarları aşılabilir.Komuta ve Kontrol (Command and Control - C2): Örnekler
C2 altyapısının kullandığı teknikler, gizli iletişimin dayanıklı (resilient) şekilde sürdürülebilmesini sağlamak için çeşitlilik gösterir. İlk yöntemlerden biri, C2 iletişimi için HTTP, HTTPS, DNS ve SMTP gibi yaygın uygulama katmanı protokollerinin kullanılmasıdır. Bu sayede trafik, meşru ağ trafiğiyle karışarak gizlenebilir. Ayrıca HTTPS gibi şifreli kanallar kullanılarak ağ izleme araçlarından saklanmak da mümkündür. Bunun yanında, DNS tünelleme (DNS tunneling) gibi yöntemlerle DNS istekleri içine veri kodlanarak çeşitli güvenlik çözümleri ve güvenlik duvarları aşılabilir.Alan adları açısından C2 iletişimi, botnetlere komut göndermek için X (Twitter) gibi sosyal medya platformlarının doğrudan mesajlaşma (DM) özelliklerini kullanabilir. Bir diğer seçenek ise Dropbox ve Google Docs gibi meşru bulut servislerini özellikle veri sızdırma (data exfiltration) amacıyla kullanmaktır.
Saldırgan kendi alan adını kaydedip C2 altyapısını bunun üzerine kurarsa, bu alan adının engellenmesi veya kapatılması daha kolay olur. Bu nedenle C2 yapıları dayanıklı iletişim sağlamak için çeşitli tekniklere başvurur. Bunlara örnek olarak Domain Generation Algorithms (DGA) ve Fast Flux verilebilir. DGA, önceden tanımlı bir algoritma kullanarak çok sayıda (örneğin 50.000) alan adı üretir. Bu alan adlarının yalnızca %1–2’si saldırgan tarafından gerçekten kaydedilir. Zararlı yazılım bu geniş listeyi sırayla deneyerek aktif bir alan adı bulmaya çalışır; eğer bir domain engellenirse bir sonraki aktif olana geçer.
Fast Flux tekniğinde ise tek bir alan adına yüzlerce veya binlerce IP adresi atanır ve bu IP’ler birkaç dakikada bir değiştirilir. Ele geçirilmiş cihazlar (örneğin IoT cihazları) proxy gibi kullanılarak trafiği gizli C2 sunucusuna iletir. Eğer bir IP adresi (proxy düğümü) engellenirse, zararlı yazılım otomatik olarak bir sonraki IP adresine geçer.
Komuta ve Kontrole (C2) Karşı Önlemler (Countermeasures Against Command and Control): Örnekler
Siber güvenlik ekibi, C2 trafiğini tespit etmek ve kesintiye uğratmak için çeşitli çözümleri dikkate almak zorundadır. Bu yaklaşımlardan bazılarını inceleyelim.Güvenlik duvarları (firewall), IDS (Intrusion Detection System) ve IPS (Intrusion Prevention System) üzerinden yapılan ağ izleme, C2 trafiğinin tespit edilmesi ve engellenmesinde önemli bir rol oynar. Özellikle anormal trafik desenleri, olağandışı trafik hacimleri ve bilinen kötü amaçlı IP adreslerine yapılan bağlantılar dikkatle izlenmelidir.
DNS trafiğinin C2 tünellemesi için kullanılabilmesi nedeniyle, DNS sorgularının izlenmesi ve analiz edilmesi de kritik öneme sahiptir. Özellikle anormal derecede uzun DNS sorguları veya şüpheli alan adlarına yönelik yüksek sayıda istek tespit edilmelidir. Ayrıca web shell’lerin HTTP ve HTTPS protokollerini kullanması nedeniyle web trafiğinin izlenmesi de şüpheli bağlantıların ortaya çıkarılmasına yardımcı olur; içerik filtreleme ise şüpheli URL’lere erişimi engelleyebilir. Bunun yanında şifreli trafiğin incelenebilmesi için şifre çözme ve trafik denetimi (encryption inspection) uygulanarak HTTPS üzerinden yapılan C2 iletişimleri tespit edilmeye çalışılır.
Birçok güvenlik ekibi ayrıca honeypot’lar (tuzak sistemler) kurarak C2 iletişim girişimlerini tespit eder, analiz eder ve saldırgan davranışlarını gözlemler. Bunların dışında da pek çok yöntem bulunmaktadır.
Hedeflere Yönelik Eylemler(Actions on Objectives)
Hedeflere Yönelik Eylemler (Actions on Objectives): Örnekler
Saldırganlar bir organizasyonu farklı nedenlerle hedef alabilir. Bazı saldırılar oldukça açıktır. Örneğin saldırgan yalnızca zarar vermek istiyorsa, sistemlerin normal çalışmasını bozmak amacıyla verileri silebilir veya bozabilir (corruption) ve yıkıcı bir saldırı gerçekleştirebilir. Diğer taraftan saldırganlar maddi kazanç elde etmeyi hedefleyebilir; genellikle fidye yazılımı (ransomware) saldırıları bu kategoriye girer. Daha gizli bir şekilde para kazanma amacıyla ise yetkisiz para transferleri veya çeşitli dolandırıcılık işlemleri yoluyla finansal hırsızlık yapabilirler.Gizli (covert) saldırılarda, örneğin endüstriyel veya politik casuslukta, saldırganlar hedeflerinden hassas dosyaları çalmaya odaklanır; buna genellikle veri sızdırma (data exfiltration) denir. Alternatif olarak saldırgan, hedef ağ içinde başka sistemlere erişmek istiyorsa, ağ üzerinde gizlice yatay hareket (lateral movement) yaparak diğer sistemleri de ele geçirmeye çalışır.
Hedef organizasyona bağlı olarak saldırgan, Endüstriyel Kontrol Sistemlerini (ICS - Industrial Control Systems) manipüle etmekle de ilgilenebilir. Bu tür saldırılar çoğu zaman uzun süreli ve kalıcı bir erişim (persistence) sağlanmasının ardından, saldırganın istediği zamanda harekete geçmesiyle gerçekleştirilir. Uygulama yöntemi tehdit aktörüne ve motivasyonuna göre değişir. Burada birkaç örnek verilmiştir, ancak liste çok daha da genişletilebilir.
Hedeflere Yönelik Eylemlere Karşı Önlemler (Countermeasures Against Actions on Objectives): Örnekler
Bir organizasyonun bu aşamaya karşı uygulayabileceği çeşitli savunma yöntemleri vardır. Veri Sızıntısını Önleme (DLP - Data Loss Prevention) çözümleri, yetkisiz veri sızdırmalarını engellemede önemli bir rol oynar. Bunun yanında, fidye yazılımları ve diğer yıkıcı saldırılara karşı etkili olabilmek için güvenilir bir yedekleme ve kurtarma planı oluşturmak da vazgeçilmezdir.Bir saldırganın verebileceği zararı azaltmak için ağ segmentasyonu (network segmentation) ve sıkı erişim kontrolleri uygulanmalıdır. Ağ segmentasyonu, farklı ağ bölümlerini birbirinden izole ederek bir segmentteki sistem ele geçirilse bile saldırganın diğer segmentlere yatay hareket (lateral movement) yapmasını engeller. Ayrıca erişim kontrolleri ve en az ayrıcalık ilkesi (principle of least privilege), kullanıcıların hassas sistemlere ve verilere yalnızca gerekli olduğu kadar erişmesini sağlar.
Kullanıcı etkinliği izleme (user activity monitoring), şüpheli davranışların tespit edilmesine yardımcı olur; örneğin kullanıcıların gece yarısından sonra DNS sorguları göndermesi beklenen bir davranış değildir. Öte yandan Uç Nokta Tespit ve Müdahale (EDR - Endpoint Detection and Response) çözümleri, uç sistemlerdeki şüpheli aktiviteleri izlemek ve tespit etmek için güçlü bir seçenektir. Örneğin hassas verilere erişmeye veya bunları değiştirmeye çalışan süreçler, dosyaları şifreleyen işlemler veya yetkisiz ağ bağlantıları oluşturan aktiviteler EDR tarafından tespit edilebilir.
Okuduğunuz için teşekkür ederimCW-Ommah
Bug Researchers Tim Sundu...
Bug Researchers Tim Sundu...
