Veri sızdırma ve etki

Açılış

Bir pazartesi sabahı gümrük ofisinin müdürü Erdem Bey, Kaan'ı telefonla aradı. Sesi gergindi. Limanda yan binadaki bir başka gümrük müşavirliği firması hafta sonu fidye yazılımına yakalanmıştı. Bilgisayarları şifrelenmişti; ama asıl korkutan şey başkaydı. Saldırganlar, firmanın müşterilerine ait beyanname ve fatura dosyalarını da ele geçirdiklerini, ödeme yapılmazsa bunları internette yayımlayacaklarını söylüyordu.

"Bizim yedeklerimiz artık ayrı, değil mi?" diye sordu Erdem Bey. "İlk dalgada onu yapmıştık."

Kaan evet dedi. Yedekler ayrı bir hesaptaydı ve çevrimdışı bir kopyası vardı. Bilgisayarlar şifrelense bile ofis birkaç gün içinde dosyalarına geri dönebilirdi.

Erdem Bey biraz rahatladı, sonra ikinci soruyu sordu: "Peki dosyalarımızı dışarı çıkarıp yayımlamakla tehdit ederlerse? Yedek ona da yarar mı?"

Kaan bir an sustu. Yedek, kaybolanı geri getirirdi. Ama çalınanı geri getirmezdi. Dışarı çıkmış bir beyanname, yedekten geri yüklenerek gizli hâle dönmezdi.

"Ona yaramaz," dedi. "Ona başka bir şey lazım."

Tek fikir

Saldırının son aşamaları iki biçim alır: veriyi dışarı çıkarmak ve sistemlere zarar vermek. Yedekler zararın onarılmasını sağlar ama dışarı çıkmış veriyi geri almaz; bu yüzden son savunma hattı iki parçalıdır: dışarıya giden trafiği denetleyip olağandışı akışı yakalamak ve zarar olduğunda sınanmış bir kurtarmayla geri dönmek.

Nasıl çalışır

Önceki derste saldırganın içeride kalma ve dolaşma çabasına baktık. Bu ders, o çabanın amacına ulaştığı yere bakıyor: saldırganın aradığı şeyi bulduğu ve onunla bir şey yaptığı ana.

Bu son aşamaların tarifi, modül boyunca okuduğumuz çerçevenin son iki taktik sayfasındadır.

İki sayfanın birlikte okunması önemli bir şey gösterir: etki ile sızdırma çoğu zaman bir arada gelir. Sistemleri şifreleyen bir saldırgan, önce veriyi dışarı çıkarmış olabilir.

Önceki derste başvurduğumuz yıllık veri ihlali raporu, iki bin yirmi beşte fidye yazılımının incelenen ihlallerin yüzde kırk dördünde, bir önceki yılın yüzde otuz ikisine göre belirgin bir artışla görüldüğünü yazar ve bu sayının hem şifreleyen türü hem de şifrelemeden yalnız verinin ifşasıyla tehdit eden türü kapsadığını belirtir. Aynı rapor, fidye yazılımının küçük işletmeleri orantısız biçimde etkilediğini, büyük kurumlarda ihlallerin yüzde otuz dokuzunda, küçük ve orta ölçekli işletmelerde ise yüzde seksen sekizinde görüldüğünü söyler. Mağdur kurumların yüzde altmış dördünün fidyeyi ödemediğini de ekler. Gümrük ofisi gibi yirmi kişilik bir işletme, tam bu yüzde seksen sekizin içindeydi.

Son savunma hattının ilk parçası, dışarıya giden trafiktir.

Son savunma hattının ikinci parçası, Modül 9'da kurduğumuz bağlantısız ve değiştirilemez yedeklerdir. Ama yedek ancak geri yüklenebildiği kanıtlandığında bir savunmadır. Kaan'ın Erdem Bey'e verdiği "birkaç gün" cevabı, bir geri yükleme denemesiyle sınanmadıkça bir tahmindi.

Sahada

Savunma

Son aşamalara karşı savunma, saldırganın amacına ulaşmasını ya engellemek ya da zararını sınırlamak demektir. Burada iki ayrı soru vardır: veri dışarı çıkabilir mi, ve zarar olursa ne kadar sürede geri dönülür?

Önce dışarıya giden trafiği bil. Çoğu kurum içeri girenle uğraşır ve dışarı çıkanı izlemez. Olağan çıkış trafiğinin profili, Kaan'ın gece aktarımı gibi sapmaları görünür kılar. Gerekmeyen dışarı çıkış yollarını kapat; sunucuların çoğunun internetteki her yere bağlanmasına gerek yoktur.

Sonra hassas veriyi işaretle ve kanallarını sınırla. Müşteri listeleri, kimlik numaraları ve sağlık bilgileri gibi veriler için veri kaybı önleme kuralları, bu verinin yetkisiz kanallardan çıkmasını yakalar. Selin'in kuralı, kötü niyetli olmayan ama riskli bir gönderimi durdurdu.

Sonra kurtarmayı sına. Yedeğin varlığı değil, geri yüklenme süresi savunmadır. Bora'nın tatbikatı yedeğe dahil olmayan yapılandırma dosyalarını ve yanlış yerde saklanan bir parolayı ortaya çıkardı; gerçek bir olayda bunlar günler kaybettirirdi.

Etkinin bir de sessiz yüzü vardır. Etki sayfasının ikinci uyarısı burada önem kazanır: iş süreçleri sorunsuz görünürken değiştirilmiş olabilir. Kritik verilerin bütünlüğünü kontrol etmek, örneğin ödeme bilgilerindeki beklenmedik değişiklikleri izlemek, bu yüzü yakalamanın yoludur.

Son olarak, sızdırma olasılığı, Modül 9'da gördüğümüz veri ihlali bildirimi yükümlülüğünü de akla getirir: veri dışarı çıktıysa, etkilenen kişilere ve yetkili kuruma bildirim gerekebilir. Bunun planı olaydan önce yapılır.

Tespit tarafında son aşamalar, saldırganın en gürültülü olduğu aşamalardır: büyük veri aktarımları, toplu dosya değişiklikleri, yedeklerin silinmeye çalışılması. Bunlar için kurulmuş uyarılar, zarar tamamlanmadan önce müdahale şansı verir.

Uygulama

Kendi önemli verilerin için iki soruyu cevaplayacaksın: dışarı çıkabilir mi, ve kaybolursa ne kadar sürede geri gelir?

Bitirdiğinde, her önemli veri için iki sayı yaz: dışarıya açık yol sayısı ve geri yükleme süresi.

Defter: Önemli veriler listesi, her birinin bulunduğu ve aktarıldığı yerler, kaldırılan eşitleme uygulamaları ve kapatılan paylaşımlar, yapılan geri yükleme denemesi, süresi ve çıkan eksikler, geri yükleme için gereken bilgilerin nerede saklandığı.

Hata köşesi

Etik ve sınırlar

Dışarıya giden trafiği ve veri aktarımlarını izlemek, çalışanların ne gönderdiğini görmeyi içerir; bu izleme açıkça duyurulmuş bir amaçla, yalnız kurum verisinin korunması için ve kişisel verileri koruma kurallarına uygun biçimde yapılır. Kaan'ın bulduğu gece aktarımı ve Selin'in durdurduğu gönderim, kötü niyet değil, düşünülmeden edinilmiş bir alışkanlıktı; ikisi de suçlamayla değil, doğru yolu göstererek ele alındı. Sızdırılmış verinin yayımlandığı yerleri merak edip aramak ya da o veriyi indirmek, başka kişilerin kişisel verilerini dolaşıma sokmaya katkıdır ve yapılmaz; bu, kurum adına yetkili makamların ve olay müdahale uzmanlarının işidir. Fidye ödeme kararı da hukuki ve etik yönleri olan, yönetimin, hukuk danışmanlarının ve yetkili makamların birlikte değerlendirmesi gereken bir karardır; bir teknik çalışanın tek başına vereceği bir karar değildir.

Kapanış

1. Saldırının son aşamaları veri sızdırma ve etkidir; çoğu zaman birlikte gelirler ve bugünkü fidye yazılımı hem şifreleyerek hem de çaldığı veriyi yayımlamakla tehdit ederek şantaj yapar.
2. Yedek, kaybolanı geri getirir ama çalınanı geri getirmez; son savunma hattının ilk parçası, dışarıya giden trafiği izlemek, gerekmeyen çıkış yollarını kapatmak ve hassas veriyi veri kaybı önleme kurallarıyla korumaktır.
3. İkinci parça sınanmış kurtarmadır: geri yükleme süresi ölçülmeden "yedeğimiz var" bir savunma değil, bir tahmindir.

Üç soru

1. Erdem Bey'in ikinci sorusuna Kaan neden "ona yaramaz" dedi?
2. Kaan'ın gece aktarımı nasıl ortaya çıktı ve neyin işaretiydi?
3. Bora'nın geri yükleme tatbikatı neden "yedeğimiz var" cümlesinden daha değerliydi?

Yanıtlar

1. Yedek, şifrelenen ya da silinen verinin geri gelmesini sağlar; ama saldırganın dışarı çıkardığı ve yayımlamakla tehdit ettiği dosyaları geri getirmez. Dışarı çıkmış bir beyanname, yedekten geri yükleyerek yeniden gizli hâle gelmez. Bu tehdide karşı gereken, verinin dışarı çıkmasını önlemek ve olağandışı çıkışları yakalamaktır.
2. Kaan dışarıya giden trafiğin iki haftalık profilini çıkardı ve her gece aynı bilgisayardan bilinmeyen bir bulut hizmetine yapılan büyük bir aktarımı gördü. Kötü niyetli değildi; bir çalışan iş dosyalarını kişisel yedekleme uygulamasıyla evdeki hesabına aktarıyordu. Ama müşteri verisi ofisin denetimi dışına çıkıyordu; bu, izlenmeyen bir çıkış yolunun işaretiydi.
3. Tatbikat, yedekte yapılandırma dosyalarının bulunmadığını ve geri yükleme parolasının şifrelenecek sunucuda saklandığını ortaya çıkardı; gerçek bir olayda bunlar günler kaybettirirdi. Düzeltmelerden sonra geri yükleme süresi on dokuz saatten yedi saate indi. Ölçülmüş bir süre, yönetime verilebilecek gerçek bir bilgiydi.

Sonraki derse köprü

Zincirin bütün halkalarını gördük: ilk kapıdan son aşamaya kadar. Her halkada bir savunma dersi bunları bir araya getiriyor: zinciri olabildiğince erken kırmanın değerine ve her halkanın savunmacıya sunduğu tespit fırsatlarına bakıyor.