Kalıcılık ve yanal hareket

Açılış

Bora, laboratuvardaki sahte kargo ekiyle başlayan olayı aylardır düşünüyordu. Ek durdurulmuştu, ama aklına takılan soru hep aynıydı: durdurulmasaydı ne olurdu?

Bir cumartesi sabahı boş toplantı odasında bir masa başı tatbikatı yaptı. Beyaz tahtaya laboratuvardaki o bilgisayarı çizdi ve kendine şu soruyu sordu: bir saldırgan bu bilgisayarda bir dayanak edinmiş olsaydı, oradan nereye gidebilirdi?

Cevap korkutucu derecede kısaydı. Laboratuvar bilgisayarları, radyoloji istasyonları, görüntüleme arşivi ve hasta kayıt sisteminin veritabanı sunucusu aynı düz ağdaydı. Laboratuvardaki bir bilgisayar, arşiv sunucusunun bütün bağlantı noktalarını görebiliyordu, oysa işi yalnız bir uygulama üzerinden sonuç göndermekti. Üstelik birçok iş istasyonunda aynı yerel yönetici parolası kullanılıyordu; bir bilgisayardan alınan parola, ötekilerin kapısını da açardı.

Bora tahtaya bir ok daha çizdi, sonra bir tane daha. Laboratuvardan arşive kadar üç ok yetiyordu. Ve saldırgan, bilgisayar yeniden başlatılsa bile orada kalmanın bir yolunu bulduysa, bu oklar günlerce, belki haftalarca sessizce çizilebilirdi.

Bora tahtanın altına tek bir cümle yazdı: "İçeri girmeyi engellemek yetmez. İçeride kalmayı ve dolaşmayı da zorlaştırmalıyız."

Tek fikir

İlk kapıyı geçmiş bir saldırganın iki isteği vardır: orada kalmak ve oradan asıl hedefine yürümek. Kalıcılık, kesintilere rağmen dayanağı korumaktır; yanal hareket, bir sistemden ötekine geçmektir. Savunmacı ikisini de zorlaştırır: beklenmedik kalıcılık izlerini arar, ağı bölerek ve kimlik bilgilerini ayırarak yürüyüş yolunu uzatır.

Nasıl çalışır

Önceki derste saldırganın ilk adımını attığı kapılara baktık. Bu ders, o adımdan sonra olanlara bakıyor: saldırganın içeride ne yapmaya çalıştığına ve savunmanın bunu neden görebileceğine.

Bu iki aşamanın tarifi, önceki derste okumayı öğrendiğimiz çerçevenin taktik sayfalarındadır.

Bu tarifin son cümlesi savunmacı için çok önemlidir. Yanal hareket çoğu zaman bir saldırı aracıyla değil, meşru bir hesabın meşru bir araçla kullanılmasıyla yapılır. Laboratuvardaki bir bilgisayardan arşive yapılan bir bağlantı, kötü amaçlı bir yazılım gibi görünmez; bir yöneticinin olağan işi gibi görünür. Bu yüzden yanal hareketi durdurmanın yolu yalnız kötü yazılımı aramak değil, meşru yolların kendisini daraltmaktır.

İki temel yöntem bunu yapar. Birincisi, kimlik bilgilerini ayırmak: her iş istasyonunun yerel yönetici parolası ayrı olmalıdır; bir bilgisayardan alınan parola ötekilerde işe yaramamalıdır. Modül 14'te gördüğümüz en az ayrıcalık ve ayrı yönetici hesapları burada yanal hareketin önündeki ilk engeldir. İkincisi, ağı bölmek.

Bölümlemenin kurumsal ifadesi, bu modülde de başvurduğumuz güvenlik önlemleri kataloğunda yer alır.

NIST'in "önemli iç arayüzler" ifadesi, bölümlemenin özüdür. Bir kurumun dışarıyla arasındaki sınır ne kadar güçlü olursa olsun, içeride her şey her şeyi görebiliyorsa, ilk erişimden sonra saldırganın önünde duvar yoktur.

Kalıcılığa karşı ise ana silah tespittir. Saldırganın orada kalmak için yaptığı değişiklikler, sistemde iz bırakır: yeni bir hesap, bir hesabın yetki grubuna eklenmesi, yeni bir zamanlanmış görev ya da başlangıç ayarı. Bunlar olağan işler sırasında da olur, ama beklenmedik olanları fark etmek için önce olağan olanı bilmek gerekir.

Sahada

Savunma

Kalıcılık ve yanal hareket aşamaları, saldırganın en çok zaman geçirdiği aşamalardır; bu yüzden savunmacının onu yakalaması için de en çok fırsat buradadır.

Önce ağı böl. Herkesin her şeyi görebildiği düz bir ağ, ilk erişimden sonra saldırganın önündeki bütün duvarları kaldırır. Bölgeler arasında varsayılan ret ve yalnız gerekli bağlantılara izin, NIST'in iç arayüzleri denetleme isteğinin karşılığıdır.

Sonra kimlik bilgilerini ayır. Ortak yerel yönetici parolaları, birçok sunucuda aynı hizmet hesabı parolaları ve her yerde kullanılan yönetici hesapları, yanal hareketin en kısa yollarıdır. Her sistemin kendi kimliği olmalı, yönetici hesapları yalnız işi olan sistemlerde geçerli olmalıdır.

Sonra olağanı öğren ve olağandışını izle. Kalıcılığın izleri, yeni hesaplar, yetki gruplarına eklemeler, yeni zamanlanmış görevler ve başlangıç ayarlarıdır. Bunların her biri için bir uyarı ve bir "kim, ne zaman, neden" sorusu, Kaan'ın bulduğu türden unutulmuş hesapları da yakalar.

Meşru araçların alışılmadık kullanımını izle. ATT&CK'ın uyardığı gibi yanal hareket çoğu zaman meşru araçlarla yapılır. Bir laboratuvar bilgisayarından bir sunucuya yönetim bağlantısı açılması, aracın kendisi meşru olsa bile, olağan bir iş değildir.

Ve tatbikat yap. Bora'nın masa başı tatbikatı, tek bir bilgisayardan başlayıp hedefe kaç adımda ulaşılabildiğini gösterdi. Bu soruyu düzenli olarak sormak, ağın zamanla yeniden düzleşmesini yakalar.

Tespit tarafında bu aşamalar, saldırganın en uzun kaldığı ve en çok iz bıraktığı yerdir. İçeride geçen her gün, bir uyarının tetiklenmesi için bir fırsattır.

Uygulama

Kendi ev ağında ve hesaplarında, içeri giren birinin kalabileceği ve dolaşabileceği yolları bulup daraltacaksın.

Bitirdiğinde, bir akıllı cihazdan bilgisayarlarına ulaşmak için kaç engelin kaldığını yaz.

Defter: Ev ağının üç grubu ve yapılan ayrım, ayrıştırılan ortak parolalar, başlangıç programları ve kullanıcı hesapları listesinde bulunan ve kaldırılanlar, çevrimiçi hesaplarda bağlı cihaz ve uygulama temizliği. Akıllı cihazdan bilgisayara kalan engel sayısı.

Hata köşesi

Etik ve sınırlar

Yanal hareket yollarını çıkarmak için yapılan masa başı tatbikatı, Bora'nın yaptığı gibi, kâğıt üzerinde ve kurumun kendi ağı için yapılır; aynı yolları gerçek sistemlerde sınamak ise ancak kurumun yazılı onayı, belirlenmiş bir kapsam ve yetkili bir ekiple olur. Kalıcılık izlerini aramak, çalışanların bilgisayarlarındaki hesaplara ve programlara bakmayı gerektirir; bu inceleme güvenlik amacıyla sınırlıdır ve çalışanların kişisel dosyalarını ya da yazışmalarını açmak için bir gerekçe değildir. Kaan'ın bulduğu tedarikçi hesabı, bir suçlama değil, bir süreç eksikliğiydi; düzeltilen de süreç oldu. Ağ bölümleme kararları, hastanede olduğu gibi, hasta bakımını aksatmayacak biçimde, klinik ekiplerle konuşularak verilir; güvenlik adına bir laboratuvar sonucunun hekime ulaşmasını engellemek, korumaya çalıştığımız kişilere zarar vermek olur.

Kapanış

1. İçeri giren saldırgan kalmak ve dolaşmak ister: kalıcılık, tutunma noktasını kesintilere rağmen korumak; yanal hareket, bir sistemden ötekine geçerek asıl hedefe yürümektir.
2. Yanal hareket çoğu zaman meşru hesaplar ve meşru araçlarla yapılır; onu durdurmanın yolu ağı bölmek, bölgeler arasında varsayılan reddi uygulamak ve kimlik bilgilerini sistem sistem ayırmaktır.
3. Kalıcılığın izleri yeni hesaplar, yetki eklemeleri ve başlangıç değişiklikleridir; olağanı bilmek, olağandışını yakalamanın şartıdır, ve düzenli tatbikat ağın yeniden düzleşmesini önler.

Üç soru

1. Bora'nın masa başı tatbikatı hangi iki zayıflığı ortaya çıkardı?
2. Kaan'ın bulduğu yeni yönetici hesabı neden önemliydi, kötü niyetli olmadığı hâlde?
3. Selin'in şirketindeki ortak hizmet hesabı parolası neden bir yanal hareket yoluydu?

Yanıtlar

1. Birincisi düz ağdı: laboratuvar bilgisayarları, arşiv ve hasta kayıt veritabanı aynı ağdaydı ve laboratuvar arşivin bütün bağlantı noktalarını görebiliyordu. İkincisi ortak yerel yönetici parolasıydı: bir bilgisayardan alınan parola ötekilerin kapısını da açıyordu. Bora ağı üç bölgeye ayırıp aralarında varsayılan reddi uyguladı ve her bilgisayara ayrı parola verdi.
2. Hesap bir tedarikçinin bakımdan sonra kapatılmayı unutulmuş hesabıydı, ama bir saldırganın kalıcılık için yapacağı şeyle aynı görünüyordu ve o hâliyle bir kalıcılık noktası olarak kullanılabilirdi. Bu olay, yönetici gruplarına yapılan eklemeler için anında uyarı kurulmasına ve tedarikçi hesaplarının otomatik kapanmasına yol açtı.
3. Aynı parola on iki sunucuda geçerliydi; birinden elde edilen parola, hiçbir kötü yazılım gerektirmeden ötekilere geçmek için kullanılabilirdi. ATT&CK'ın yanal hareket sayfasının uyardığı gibi, meşru kimlik bilgileriyle yapılan geçişler daha gizlidir. Her sunucuya ayrı kimlik verilince bir sunucunun bilgisi yalnız kendi kapısını açtı.

Sonraki derse köprü

Saldırgan içeride kalıp hedefine ulaştıysa, geriye son aşama kalır: veriyi dışarı çıkarmak ya da sistemlere zarar vermek. Veri sızdırma ve etki dersi bu son halkalara ve onlara karşı duran son savunma hattına bakıyor.