Virüs, solucan, truva atı

Açılış

İzmir'deki evde bir pazar akşamı Barış salona elinde dizüstü bilgisayarıyla geldi. Yüzü asıktı. "Bilgisayarım bir tuhaf," dedi. "Fan durmadan dönüyor, tarayıcı kendi kendine yeni sekmeler açıyor."

Ece ne olduğunu sormadan önce ne yaptığını sordu. Barış biraz düşündü. Birkaç gün önce çok sevdiği bir oyunun ücretli bir eklentisini, bir forumda paylaşılan "kırık" sürümünden indirmişti. Kurulum dosyası açılırken bilgisayarın koruma yazılımı bir uyarı vermiş, forumdaki kişiler "yanlış alarm, koruma yazılımını kapatıp kur" demişti. Barış öyle yapmıştı. Eklenti çalışıyordu da.

Duru odasından seslendi: "Virüs mü kapmışsın?"

Ece bilgisayara baktı ve kelimeyi düzeltti. "Muhtemelen virüs değil," dedi. "Virüs kendini başka dosyalara kopyalar. Bu, sen kendin kurduğun için içeri girdi. Eklenti gibi görünen bir paketin içinde başka bir şey vardı. Buna truva atı denir."

Barış omuz silkti. "Ne fark eder? Sonuçta bilgisayarımda istemediğim bir şey var."

Ece, farkın tam da önemli olan şey olduğunu düşündü. Bir şeyin içeri nasıl girdiği, onu bir daha içeri sokmamanın yolunu söylerdi.

Tek fikir

Kötü amaçlı yazılımın üç klasik türü, nasıl yayıldıklarıyla ayrılır: virüs başka dosyalara bulaşarak ve bir kullanıcının onları açmasıyla yayılır; solucan kendi başına, ağ üzerinden kendini kopyalar; truva atı ise yararlı bir şey gibi görünerek kullanıcının kendisine kurdurulur. Yayılma biçimi, savunmanın nereye konacağını söyler.

Nasıl çalışır

Önceki modülde saldırının aşamalarını gördük. Bu modül o aşamaların birçoğunda kullanılan araca, kötü amaçlı yazılıma bakıyor ve onu türlerine ayırıyor.

Türlerin klasik tanımlarını, ABD'nin standart kurumunun kötü amaçlı yazılım olaylarına dair rehberi verir.

Üç tanımı ayıran şey, her birinin bir sistemden ötekine nasıl geçtiğidir.

Bu ayrımın savunma için anlamı açıktır. Virüse karşı, taşıyıcıların, yani açılan belgelerin ve çalıştırılan programların denetlenmesi gerekir. Solucana karşı, yayılmak için kullandığı ağ hizmetlerinin yamalanması ve ağın bölünmesi gerekir; insan eylemi beklemediği için kullanıcı dikkati onu durdurmaz. Truva atına karşı ise kurulan yazılımın nereden geldiğinin denetlenmesi gerekir; burada en önemli savunma, kurmadan önce sorulan sorudur.

Ancak aynı rehber, bu sınıflandırmanın sınırını da açıkça yazar.

Bu iki gözlem birlikte okunmalıdır. Türler, bir yazılımın içeri nasıl girdiğini ve nasıl yayılabileceğini anlamak, yani önleme için hâlâ çok yararlıdır. Ama bir olay olduğunda, türü belirlemek için zaman kaybetmek yerine aynı müdahale adımları izlenir: yalıtmak, incelemek, temizlemek, onarmak.

Sahada

Savunma

Türlerin savunmaya katkısı, her birinin farklı bir kapıdan girdiğini göstermesidir; her kapı kendi önlemini ister.

Virüslere ve belge taşıyıcılı saldırılara karşı: bilinmeyen kaynaktan gelen belgelerde makroları kapalı tut, belgeleri açmadan önce gönderenini doğrula, koruma yazılımını açık ve güncel tut. Duru'nun kuralı basitti: okumak için makro gerekmez.

Solucanlara karşı: ağ hizmetlerini yamala, kullanılmayanları kapat, ağı böl. Solucan insan beklemez; onu durduran, kapının zaten kapalı olmasıdır. Kaan'ın vakasında bölümleme yayılmayı sınırlamıştı.

Truva atlarına karşı: yazılımı yalnız resmî kaynaklardan kur, korsan ve "kırık" yazılımdan uzak dur, ve koruma yazılımının uyarısını kapatmanı isteyen her talimatı tehlike işareti say. Truva atı kullanıcının güvenini kullanır; savunma, kurmadan önce sorulan sorudur.

Hepsine karşı ortak olarak: koruma yazılımı, güncel sistem, en az ayrıcalık ve yedek. Modül 14'te gördüğümüz gibi, gündelik işin yönetici yetkisi olmadan yapılması, bir truva atının sisteme yerleşmesini de zorlaştırır.

Ve olay olduğunda türü tartışmak yerine aynı adımları izle: önce yalıt, sonra incele, temizle, parolaları başka bir cihazdan değiştir, gerekirse yedekten onar. NIST'in dediği gibi müdahale için tek bir prosedür kümesi yeterlidir.

Tespit tarafında belirtiler türe göre farklılaşır: virüs ve truva atında olağandışı süreçler ve dosyalar, solucanda ağdaki ani ve yaygın bağlantı denemeleri. Barış'ın fanı ve kendi kendine açılan sekmeler, fark edilmesi gereken belirtilerdi.

Uygulama

Kendi cihazlarında üç türe karşı üç kapıyı kontrol edeceksin.

Bitirdiğinde, üç kapının her birinin yanına "kapalı", "kısmen" ya da "açık" yaz.

Defter: Kaynağı belirsiz yazılımlar listesi ve alınan karar, koruma yazılımının durumu ve son tam tarama tarihi, makro ayarının durumu, güncelleme durumu ve kapatılan ağ hizmetleri, kendine yazılan kurulum kuralı, üç kapının durumu.

Hata köşesi

Etik ve sınırlar

Kötü amaçlı yazılımın türlerini bilmek, onları yazmak ya da yaymak için değil, tanımak ve durdurmak için öğrenilir; bu derste hiçbir türün nasıl yapılacağı anlatılmadı ve anlatılmaz. Kötü amaçlı yazılım içeren bir dosyayı, bir arkadaşa "bak bu ne" diye göndermek ya da bir paylaşım sitesine yüklemek, onu yaymaya katkıdır; şüpheli bir dosya ancak bu işle görevli kişilere ya da koruma yazılımı üreticisinin resmî bildirim yoluna, güvenli biçimde iletilir. Korsan yazılım kullanmak hem yasal bir sorundur hem de truva atlarının en yaygın kapılarından biridir. Bir ev arkadaşının ya da bir aile üyesinin bilgisayarına müdahale ederken, Ece'nin yaptığı gibi, onun izniyle ve onunla birlikte hareket edilir; kişisel dosyalarına bakmak, temizlik işinin bir parçası değildir.

Kapanış

1. Kötü amaçlı yazılımın üç klasik türü yayılma biçimiyle ayrılır: virüs dosyalara bulaşıp bir insan eylemiyle, solucan kendi başına ağ üzerinden, truva atı ise zararsız görünüp kullanıcıya kurdurularak yayılır.
2. Her türün kendi kapısı vardır: virüse karşı belgeler ve makrolar, solucana karşı yama, kapalı hizmetler ve bölümlenmiş ağ, truva atına karşı yazılımın kaynağını sormak ve koruma yazılımını kapatmamak.
3. Bugünkü kötü amaçlı yazılımın çoğu bu türleri birleştirir ve sosyal mühendisliğe dayanır; türler önleme için yol gösterir, ama bir olayda müdahale tek bir yoldan yürür: yalıt, incele, temizle, onar.

Üç soru

1. Ece Barış'ın bilgisayarındaki şeyi neden virüs değil truva atı olarak adlandırdı ve bu fark neden önemliydi?
2. Duru makroları neden etkinleştirmedi ve bu hangi türe karşı bir savunmaydı?
3. Kaan'ın vakasında yayılmayı ne sınırladı ve bu neden solucan türüne özellikle uygun bir savunmaydı?

Yanıtlar

1. Yazılım kendini başka dosyalara kopyalayarak değil, Barış'ın kendi indirip kurduğu bir eklenti paketinin içinde gelmişti; zararsız görünüp kurdurulan yazılım truva atıdır. Fark önemliydi, çünkü giriş yolunu gösteriyordu: kaynağı belirsiz yazılım ve koruma yazılımını kapattıran bir talimat. Bir daha içeri girmemesinin yolu da bu kapıyı kapatmaktı.
2. Okumak için makroya ihtiyaç olmadığını biliyordu ve belgeyi gönderdiği söylenen danışmanı telefonla aradı; belge taklit edilmiş bir adresten gelmişti. Makrolu belgeler, NIST'in saydığı makro virüslerinin ve bugün birçok saldırının taşıyıcısıdır; makroyu etkinleştirmemek, virüs türüne ve belge taşıyıcılı saldırılara karşı bir savunmaydı.
3. Önceki modüllerde kurulan ağ bölümlemesi, bağlantı denemelerinin depo ağının dışına çıkmasını engelledi; ardından yamalanmamış hizmet yamandı ve kapatıldı. Solucan bir insanın bir şey yapmasını beklemeden, ağ hizmetlerindeki zayıflıklar üzerinden kendi başına yayılır; bu yüzden onu kullanıcı dikkati değil, kapalı hizmetler, yama ve bölünmüş ağ durdurur.

Sonraki derse köprü

Bu üç tür, kötü amaçlı yazılımın nasıl yayıldığını anlatıyordu. Fidye yazılımı dersi, bugün en çok zarar veren türün amacına ve işleyişine bakıyor: dosyaları şifrelemek, çifte şantaj ve fidye yazılımının bir hizmet gibi kiralandığı ekonomi.