İlk erişim

Açılış

Gümrük ofisinin otuz günlük planının ilk dalgası bitmişti: yedekler bağımsızdı, ortak parola kaldırılmıştı. Gülay Hanım ikinci dalgaya geçmeden önce Kaan'dan farklı bir liste istedi. "İçeriden bakmayı bıraktık," dedi. "Şimdi dışarıdan bak. Biri bu ofise girmek istese, hangi kapıları dener?"

Kaan ofisin internete açık yüzünü çıkardı. Liste beklediğinden kısaydı ama her satırı rahatsız ediciydi. Ofisin uzaktan erişim cihazı vardı; yazılımı on dört aydır güncellenmemişti. Bir muhasebe çalışanının evden bağlanabilmesi için yıllar önce bir bilgisayara doğrudan uzaktan masaüstü bağlantısı açılmıştı ve o yol hâlâ açıktı. Ofisin e-posta kutuları vardı; çalışanlara her gün dışarıdan e-posta geliyordu. Ve ofisin bulut muhasebe hizmetine, ikinci doğrulama adımı olmadan, yalnız parolayla girilebiliyordu.

Kaan dört satırı Gülay Hanım'a götürdü. "Hangisinden başlayalım?"

Gülay Hanım bir rapor açtı. "Tahmin etme," dedi. "Başkalarının başına neyin geldiğine bak. Kapılardan hangisinin daha sık kırıldığı biliniyor."

Tek fikir

Saldırganların bir kuruma girdiği yolların büyük kısmı birkaç kapıdan geçer: çalınmış ya da tahmin edilmiş kimlik bilgileri, internete açık sistemlerdeki kapatılmamış açıklar ve oltalama. Bu kapıları tanımak ve her birini kendi önlemiyle kapatmak, saldırı zincirini en erken halkalarından birinde kırmaktır.

Nasıl çalışır

Önceki derste ATT&CK matrisinin sütunlarını okuduk. Bu ders o sütunlardan birine, saldırganın içeri ilk adımını attığı yere yakından bakıyor.

Hangi kapıların daha sık kırıldığını, yüzlerce kurumun olay verisini her yıl bir araya getiren bir rapor sayılarla gösterir.

Raporun üç sayısı, Kaan'ın dört satırına doğrudan karşılık geliyordu.

Birinci kapı, kimlik bilgileridir. Modül 6'da kaba kuvvet saldırısını, parola püskürtmeyi ve kimlik bilgisi doldurmayı gördük. Bunların hepsi aynı sonuca götürür: saldırgan, geçerli bir kullanıcının adı ve parolasıyla içeri girer. Sistem için o, meşru bir kullanıcıdır. Ofisin bulut muhasebe hizmeti, ikinci adım olmadan, bu kapının tam ortasında duruyordu.

İkinci kapı, internete açık sistemlerdeki açıklardır. Raporun en dikkat çekici bulgusu, bu kapının özellikle ağın kenarındaki cihazlarda büyümesiydi.

Ofisin on dört aydır güncellenmeyen uzaktan erişim cihazı, bir uç cihazdı. Raporun bulgusu, böyle cihazların açıklarının yalnız yarısının bir yıl içinde tamamen kapandığını gösteriyordu.

Üçüncü kapı, oltalamadır. Oranı ötekilerden düşük görünse de rapor, oltalamanın sıklıkla kimlik bilgilerinin çalınmasına ve dolayısıyla birinci kapıya yol açtığını hatırlatır; kapılar birbirinden bağımsız değildir.

Kaan'ın listesindeki dördüncü satır, açık bırakılmış uzaktan masaüstü bağlantısı, birinci ve ikinci kapının birleştiği bir yerdi: dışarıdan erişilebilen bir uzaktan hizmet.

Bu tür hizmetlere karşı önlemler, ATT&CK'ın ilgili teknik sayfasında açıkça listelenir.

Sahada

Savunma

İlk erişime karşı savunma, saldırı zincirinin en ucuz kırılabileceği yerlerden birini hedefler: saldırgan içeri girmeden durdurulursa, sonraki bütün aşamalar boşa gider.

Önce dışarıdan bakan bir liste çıkar. Kurumun internete açık her şeyi: uzaktan erişim cihazları, açık bağlantı noktaları, web uygulamaları, e-posta, bulut hizmetleri ve tedarikçi bağlantıları. Kaan'ın listesindeki açık uzaktan masaüstü, iki yıldır kimsenin bilmediği bir kapıydı.

Kimlik bilgisi kapısını ikinci adımla kapat. İnternetten erişilebilen her hesapta, özellikle e-postada, bulut hizmetlerinde ve uzaktan erişimde, ikinci doğrulama adımı en etkili tek önlemdir. Çalınmış bir parola, ikinci adımın arkasında yalnız başına işe yaramaz.

Uç cihazları ayrı bir öncelikle yamala. Rapor, bu cihazların hem daha sık hedef alındığını hem de daha yavaş yamandığını gösteriyor. Uç cihazlar için genel bakım takviminden daha hızlı bir kural koymak, Selin'in yaptığı gibi, bu açığı daraltır.

Uzaktan hizmetleri tek bir kapıda topla. Her bilgisayara ayrı bir uzaktan bağlantı yerine, tek bir yönetilen erişim noktası, ikinci adımla ve kayıt tutarak. Gereksiz olanları kapat.

Tedarikçi erişimini de kapı say. Üçüncü taraf hesapları kişiye özel, varsayılan olarak kapalı ve süreli olmalıdır.

Oltalamaya karşı katmanları koru: e-posta filtreleri, alan adı kimlik doğrulaması ve çalışanların şüpheli mesajı kolayca bildirebileceği bir yol.

Tespit tarafında ATT&CK'ın önerdiği gibi, alışılmadık yerlerden ya da saatlerden gelen başarısız girişlerin ardından gelen başarılı oturumlar, ilk erişimin en açık izlerinden biridir.

Uygulama

Kendi dijital hayatının dışarıya açık kapılarını çıkaracak ve en sık kırılan üç kapıyı kapatacaksın.

Bitirdiğinde, raporun üç kapısının her biri için senin tarafında neyin değiştiğini tek satırla yaz.

Defter: On hesaplık liste, ikinci adımın açıldığı hesaplar, değiştirilen ortak parolalar, modem ve bilgisayarda kapatılan dışa açık özellikler, cihaz yazılımlarının güncelleme durumu, bildirme düğmesinin yeri. Üç kapı için birer satırlık özet.

Hata köşesi

Etik ve sınırlar

Bir kurumun dışarıya açık kapılarını çıkarmak, kendi kurumun için ve yetki kapsamında yapılır; başka bir kurumun internete açık hizmetlerini taramak, sahibi yazıyla izin vermediyse, onun kapılarını habersizce yoklamak anlamına gelir; bunun hukuki bedeli de olabilir. Kaan listeyi ofisin kendi kayıtlarından, cihazların yönetim ekranlarından ve şirketin izniyle yaptı. Bir çalışanın ya da tedarikçinin hesabında zayıflık bulmak, o kişiyi suçlamak için değil, kapıyı kapatmak için kullanılır; iki yıl önce ayrılan muhasebecinin açtırdığı bağlantı, o günün ihtiyacına verilmiş bir cevaptı ve kimse onu kapatmayı hatırlamamıştı. Sızıntı listelerinde kendi parolalarını kontrol etmek meşrudur; başkalarının sızmış parolalarını aramak ya da denemek ise, merak için bile olsa, izinsiz erişim girişimidir.

Kapanış

1. İlk erişim, saldırganın içeri ilk adımını attığı aşamadır; Verizon'un iki bin yirmi beş raporuna göre en sık kapılar kimlik bilgilerinin kötüye kullanılması, zayıflıkların istismarı ve oltalamadır.
2. Uç cihazlar giderek daha sık hedef alınır ve daha yavaş yamanır; dışa açık uzaktan hizmetler tek bir yönetilen noktada toplanır, gereksiz olanlar kapatılır ve ikinci adımla korunur.
3. Tedarikçi erişimi de bir kapıdır; dışarıdan bakan bir kapı listesi, her kapının kendi önlemiyle kapatılması ve alışılmadık girişlerin izlenmesi, zinciri erken kırar.

Üç soru

1. Kaan'ın listesindeki açık uzaktan masaüstü bağlantısı neden özellikle tehlikeliydi ve nasıl kapatıldı?
2. Selin uç cihazlar için neden ayrı bir güncelleme kuralı önerdi?
3. Bora tedarikçi hesabında neyi değiştirdi ve neden?

Yanıtlar

1. Bağlantı iki yıl önce ayrılmış bir çalışan için açılmıştı, şimdi bir stajyerin bilgisayarına gidiyordu ve kimse varlığından haberdar değildi; dışa açık bir uzaktan hizmet olarak hem açıklara hem çalınmış parolalara açık bir kapıydı. Kaan yolu tamamen kapattı ve evden bağlanmayı ofisin uzaktan erişim cihazı üzerinden, ikinci adımla tek bir noktaya topladı.
2. Verizon'un raporu uç cihazların hedef alınma payının hızla arttığını ve açıklarının yalnız yaklaşık yarısının bir yıl içinde tamamen kapandığını, bunun da ortanca bir ay sürdüğünü gösteriyordu. Aylık bakım penceresini beklemek, bu cihazları haftalarca açık bırakmak demekti; bilinen istismar edilen ya da acil açıklar için üç günlük kural bu süreyi kısalttı.
3. Bakım firması tek bir ortak ve her zaman açık hesap kullanıyordu; parolası birkaç teknisyen arasında paylaşılıyordu. Bora teknisyen başına ayrı, varsayılan olarak kapalı ve yalnız onaylı bakım talebinde, ikinci adımla ve süreli açılan hesaplar kurdu. Rapor üçüncü tarafın dahil olduğu ihlallerin iki katına çıktığını gösteriyordu; tedarikçinin kapısı hastanenin kapısıydı.

Sonraki derse köprü

İlk kapıdan giren bir saldırgan çoğu zaman orada kalmak ister ve oradan başka odalara geçer. Kalıcılık ve yanal hareket dersi saldırganın içeride tutunma ve yayılma mantığına, ve ağı bölmenin onu neden yavaşlattığına bakıyor.