Saldırı zinciri kavramı

Açılış

Bora, laboratuvardaki sahte kargo ekinin uç nokta yazılımı tarafından durdurulduğu olayın notunu kapatmamıştı. Not, olanı bir cümleyle anlatıyordu: "Kullanıcı eki açtı, koruma yazılımı engelledi." Doğruydu, ama Bora'ya bir şey eksik geliyordu.

Bir hafta sonra hastanenin başka bir bölümüne, farklı bir konuyla ama aynı göndericinin adresinden bir e-posta daha geldi. Bu kez e-posta filtresi onu yakaladı, çünkü ilk olaydan sonra adres engel listesine eklenmişti. Bora iki olayı yan yana koyunca bir şey fark etti: ikinci e-postayı gönderen, hastanenin hangi bölümlerinde kimlerin çalıştığını biliyordu. Laboratuvar ve radyoloji çalışanlarının adları, hastanenin internet sitesindeki birim sayfalarında yazıyordu.

Yani olay, kullanıcının eki açtığı anda başlamamıştı. Çok önce, biri o sayfaları okuyup kime e-posta göndereceğini seçtiğinde başlamıştı. Ve olay, koruma yazılımının eki durdurduğu anda da bitmemişti; aynı kişi bir hafta sonra yeniden denemişti.

Bora not defterine yeni bir başlık açtı: "Bu saldırı hangi adımlardan geçmek zorundaydı ve biz hangilerinde onu görebilirdik?"

Tek fikir

Bir saldırı tek bir an değil, sırayla geçilmesi gereken aşamalardan oluşan bir zincirdir: hedefi araştırmaktan amaca ulaşmaya kadar. Saldırganın hedefe varması için bütün halkaları geçmesi gerekir; savunmacının ise zinciri kırmak için tek bir halkada başarılı olması yeter.

Nasıl çalışır

Önceki modülde savunmanın mimarisini kurduk. Bu modül saldırıya, onu durdurmak isteyen birinin gözüyle bakıyor: saldırı hangi aşamalardan geçer ve her aşama savunmacıya ne fırsat verir?

Bu modelin bilgisayar ağları için bugün de kullanılan biçimi, bir savunma sanayii şirketinin olay müdahale ekibinden çıkan bir yazıdadır.

Yedi aşamayı savunmacının gözüyle kısaca ele alalım; amaç saldırının nasıl yapıldığını değil, her aşamada savunmanın neyi görebileceğini anlamaktır.

Keşif, saldırganın hedef hakkında bilgi topladığı aşamadır; Bora'nın vakasında hastanenin kamuya açık birim sayfaları bu aşamanın malzemesiydi. Hazırlık, saldırganın kendi tarafında yaptığı iştir ve savunmacı onu doğrudan görmez. Teslim, saldırı aracının hedefe ulaştığı andır: bir e-posta, bir bağlantı, bir taşınabilir bellek. İstismar, aracın bir zayıflığı ya da bir insanın güvenini kullanarak çalıştığı andır. Kurulum, saldırganın içeride kalıcı bir yer edindiği aşamadır.

Son aşama, hedefe yönelik eylemlerdir: veri çıkarmak, sistemleri şifrelemek, başka sistemlere geçmek. Önceki modülde gördüğümüz yanal hareket, bu son aşamanın bir parçasıdır.

Modelin savunmacıya kazandırdığı ikinci şey, her aşamanın bıraktığı izlerdir.

Bora'nın ikinci e-postası bir gösterge sayesinde durmuştu: ilk olaydan sonra engel listesine eklenen gönderici adresi. Saldırgan aynı adresi tekrar kullanmıştı ve bu tekrar, Hutchins ve arkadaşlarının dediği gibi, bir zayıflığa dönüşmüştü.

Yazının en uygulanabilir parçası, savunmacının her aşamada yapabileceklerini bir tabloya dökmesidir.

Sahada

Savunma

Saldırı zinciri modelinin savunmaya katkısı, saldırıyı tek bir an olmaktan çıkarıp bir süreç olarak görmektir; süreç ise birçok yerinden durdurulabilir.

Önce olayları zincire yerleştir. Bir olay notunun "kullanıcı eki açtı" diye başlaması, keşif ve teslim aşamalarındaki fırsatları gözden kaçırır. Bora'nın notu, olayın çok daha önce başladığını gösterdi.

Sonra her halkada en az bir şey olsun. Eylem tablosunda boş bir satır, saldırganın o aşamayı hiç fark edilmeden geçebileceği anlamına gelir. Kaan'ın tablosundaki boş komuta ve kontrol satırı, ofisin en büyük kör noktasıydı.

Sonra erken halkalara yatırım yap. Zincir ne kadar erken kırılırsa, saldırgan o kadar az şey elde eder. Ama erken halkalar her zaman kırılmaz; derinlemesine savunmanın mantığı burada da geçerlidir: her halkada bir şey, sonraki halkalarda da yedek.

Göstergeleri topla ve paylaş. Saldırganlar araçlarını, adreslerini ve alan adlarını tekrar kullanır. Bir olaydan çıkarılan gösterge, bir sonraki denemeyi daha erken durdurur. Selin'in alan adı engellemesi, dördüncü denemeyi ilk dakikada yakaladı.

Tespit, bu modelin merkezindedir: her aşamanın bir izi vardır ve savunmacının işi o izleri doğru yerde aramaktır. İçeriden dışarıya beklenmedik bir bağlantı, kurulumdan sonra gelen komuta ve kontrol aşamasının işareti olabilir.

Modelin bir sınırı da vardır: yedi aşama, dışarıdan gelen ve kötü amaçlı yazılım kullanan saldırılar düşünülerek yazılmıştır. İçeriden bir kullanıcının ya da çalınmış bir parolayla doğrudan giriş yapan birinin saldırısı, bazı aşamaları atlayabilir. Bir sonraki ders bu yüzden daha ayrıntılı bir çerçeveye geçiyor.

Uygulama

Kendi başına gelmiş, ya da yakınının başına gelmiş bir oltalama ya da dolandırıcılık girişimini saldırı zincirine yerleştireceksin.

Bitirdiğinde, girişimin hangi halkada durduğuna ve o halkada seni koruyan şeyin bir alışkanlık mı yoksa bir teknik araç mı olduğuna bak.

Defter: Seçilen girişim, yedi aşamalı zincir tablosu, girişimin durduğu halka ve onu durduran şey, daha erken halkalar için önlemler, çıkarılan gösterge ve eklendiği yer.

Hata köşesi

Etik ve sınırlar

Saldırı zincirini öğrenmek, saldırıyı yapmak için değil, onu her aşamada durdurmak için yapılır; bu derste aşamalar bilerek savunmacının gördüğü izler üzerinden anlatıldı ve hiçbir aşamanın nasıl gerçekleştirileceği tarif edilmedi. Bir saldırganın keşif aşamasını anlamak için başkalarının kamuya açık bilgilerini toplamak, kendi kurumunu korumak amacıyla ve yetkin dahilinde yapılmadığında, mahremiyeti ihlal eden bir izleme hâline gelebilir. Göstergeleri paylaşmak değerlidir, ama paylaşırken kişisel veriler, örneğin bir mağdurun adı ya da e-posta içeriği, çıkarılır; yalnız saldırıyı tanımaya yarayan teknik iz paylaşılır. Bir saldırganın altyapısına karşı kendi başına bir eylemde bulunmak, örneğin onun sunucusuna erişmeye çalışmak, savunma sayılmaz ve yasal sınırı aşar; bu tür işler yalnız yetkili makamların ve onların yetkilendirdiği kişilerin işidir.

Kapanış

1. Saldırı zinciri, bir saldırıyı keşiften hedefe yönelik eylemlere kadar sıralı aşamalar olarak görür; saldırganın bütün halkaları geçmesi gerekir, savunmacının ise tek bir halkada başarılı olması yeter.
2. Her aşama bir iz bırakır; savunmacı her halka için en az bir tespit ve bir engel düşünür ve boş kalan halkalar kör noktaları gösterir.
3. Saldırganların tekrarları savunmacının elinde bir araçtır: bir olaydan çıkarılan göstergeler, bir sonraki denemeyi daha erken bir halkada durdurur.

Üç soru

1. Bora'nın ilk olay notu neden eksikti?
2. Kaan'ın eylem tablosunda boş kalan satır neydi ve bu ne anlama geliyordu?
3. Selin'in şirketine gelen dördüncü deneme neden ilk dakikada durdu?

Yanıtlar

1. Not olayı kullanıcının eki açtığı anda başlatıyor ve koruma yazılımının onu durdurduğu anda bitiriyordu. Oysa saldırı çok önce, hastanenin birim sayfalarından çalışanların seçildiği keşif aşamasında başlamıştı ve bir hafta sonra aynı gönderici yeniden denedi. Zincirin tamamına bakmayan not, erken savunma fırsatlarını ve tekrarı görmüyordu.
2. Komuta ve kontrol satırı boştu: ofisten dışarıya giden bağlantıları ne izleyen ne de sınırlayan bir önlem vardı. Bu, bir saldırgan içeride bir yer edinirse dışarıyla iletişiminin hiç fark edilmeyeceği anlamına geliyordu; tablonun en büyük kör noktasıydı.
3. Önceki üç denemenin bağlantıları aynı yeni kaydedilmiş alan adına gidiyordu; Selin bu ortak göstergeyi bulup engelledi. Dördüncü deneme de aynı alan adını kullandı ve teslim aşamasında durdu. Saldırganın tekrarı, savunmacının kullandığı bir zayıflığa dönüştü.

Sonraki derse köprü

Yedi halka bir saldırıyı kabaca tarif eder, ama her halkanın içinde yüzlerce farklı yöntem vardır. MITRE ATT&CK dersi bu yöntemleri taktik, teknik ve prosedür olarak adlandıran ve savunmacıların ortak dili hâline gelen çerçeveyi okumayı öğretiyor.