Botnet

Açılış

Pazartesi sabahı Defne Hanım'ın e-posta kutusunda internet servis sağlayıcısından resmî görünümlü bir mesaj vardı. Önce sahte sandı; Modül 4'ten beri her "resmî" e-postaya kuşkuyla bakıyordu. Bağlantıya tıklamadı, sağlayıcının müşteri hizmetlerini sözleşmedeki numaradan aradı.

Mesaj gerçekti. Sağlayıcı, büronun internet adresinden son üç gecedir dışarıya, yabancı bir hizmete doğru alışılmadık miktarda trafik çıktığını tespit etmişti. Büro kimseye saldırmıyordu. Ama büronun ağındaki bir cihaz, başkasının adına bir saldırıya katılıyordu.

Yeni bilgi işlem desteği öğleden sonra geldi ve suçluyu yarım saatte buldu: binanın girişindeki güvenlik kameralarının kayıt cihazı. Cihazı iki yıl önce bina yönetiminin anlaştığı bir kurulum firması takmıştı. Uzaktan izlemek için modemde bir port yönlendirmesi açılmış, cihazın kutudan çıktığı parola hiç değiştirilmemişti. Envanterde de yoktu; Modül 2'de çıkardıkları listeye kimse "kamera kaydedicisi" yazmayı düşünmemişti.

Defne Hanım'ın ilk sorusu şuydu: "Bizim dosyalarımız gitti mi?"

Teknisyen başını salladı: "Büyük ihtimalle hayır. Bu cihazı ele geçirenler sizinle ilgilenmiyor. Cihazınızı istiyorlar."

Tek fikir

Botnet, sahiplerinin haberi olmadan ele geçirilmiş ve uzaktan tek bir merkezden yönetilen cihazların ağıdır. Saldırgan tek bir cihazın verisini değil, binlercesinin gücünü ister. Savunma, cihazı ele geçirilmeye kapalı tutmak ve ağın dışarıya ne gönderdiğini görmektir.

Nasıl çalışır

Şimdiye kadar gördüğümüz kötü amaçlı yazılımlar, girdikleri cihazdan bir şey istiyordu: dosyaları şifrelemek ya da parolaları çalmak. Botnetin istediği başka: cihazın kendisi, internet bağlantısı ve işlem gücü.

Bir botnetin parçası olan cihaz çoğu zaman sahibine hiçbir şey hissettirmez. Kamera kaydını yapmaya, bilgisayar açılmaya devam eder. Yalnız arka planda, talimat geldiğinde trafik gönderir.

Botnetlerin ne için kullanıldığını ve neden bu kadar büyüdüğünü, ABD hükümetinin iki bakanlığının birlikte hazırladığı bir rapor anlatır.

Botnetin en çok sevdiği cihazlar, kimsenin dönüp bakmadığı cihazlardır: kameralar, kayıt cihazları, modemler, ağa bağlı depolama birimleri, akıllı televizyonlar. Bunların ortak noktası, kurulduktan sonra unutulmaları, güncelleme almamaları ve çoğu zaman fabrikadan geldikleri parolayla çalışmalarıdır. Modül 14'te tanımladığımız varsayılan parola, botnetin kapısıdır.

Defne Hanım'ın kaydedicisinde olan tam olarak buydu. Port yönlendirmesi, cihazı yönlendiricinin arkasından çıkarıp internete doğrudan açmıştı. Fabrika parolası da gerisini halletmişti.

Sahada

Savunma

Botnete karşı savunmanın iki yüzü vardır: kendi cihazının botnete katılmasını önlemek ve botnetin sana yönelttiği trafiğe dayanmak. Bu dersin ağırlığı birincisinde.

Ağa bağlı her cihazı bil. Botnetler unutulmuş cihazları sever. Envantere bilgisayar ve telefonların yanında kameraları, kayıt cihazlarını, yazıcıları, depolama birimlerini, akıllı televizyonları ve modemi de yaz. Bilmediğin cihazı güncelleyemezsin.

Fabrika parolasını ilk gün değiştir. Kurulum firması geldiyse, iş bitmeden parolanın değiştirildiğini ve sana teslim edildiğini gör. Rapor, ilk büyük IoT botnetinin zayıf cihaz parolalarıyla büyüdüğünü yazıyor.

Cihazı internete doğrudan açma. Port yönlendirmesi, cihazı yönlendiricinin koruyucu gölgesinden çıkarır. Uzaktan erişim gerekiyorsa üreticinin ikinci adımlı bulut hizmeti ya da güvenli bir uzaktan erişim yolu kullanılır.

Güncelle ve desteği biten cihazı değiştir. Rapor, güncelleme alamayan ya da desteği biten cihazların botnet kurmayı çok kolaylaştırdığını söylüyor. Bir cihazı alırken üreticinin ne kadar süre güncelleme vereceğini sor.

Ayır ve dışarıya gideni sınırla. Kameralar ve benzeri cihazlar ayrı bir ağ bölümünde dursun; o bölümden dışarıya giden trafik yalnız gerekli adreslere izin versin. Bora'nın kuralı, ele geçirilmiş bir cihazı zararsızlaştırmanın en ucuz yoludur.

Uyarıyı dinle. İnternet servis sağlayıcıları, ağından anormal trafik çıkan müşterilerine haber verebilir. Böyle bir mesajı, bağlantılarına tıklamadan, bilinen kanaldan doğrula ve ciddiye al.

Hedef tarafında ise, dağıtık saldırılara karşı adres engellemek yetmez. Hesap düzeyinde sınırlar, hizmet sağlayıcının saldırı emme hizmeti ve önceden yazılmış bir müdahale planı gerekir; Selin'in ekibi bunu Modül 1'de yaşamıştı.

Uygulama

Kendi evinin ya da işyerinin ağındaki, bilgisayar olmayan cihazları bulup her birinin botnete karşı durumunu kontrol edeceksin.

Bittiğinde, tablonun kaç satır olduğunu ve kaç cihazda en az bir sorunun cevabının "hayır" çıktığını yaz.

Defter: Ağdaki bilgisayar olmayan cihazlar tablosu ve dört sorunun cevapları, port yönlendirme kuralları ve kaldırılanlar, modemin yönetim parolası ve yazılım durumu, yapılacaklar listesi.

Hata köşesi

Etik ve sınırlar

Botnetlerin nasıl büyüdüğünü bilmek, kendi ağının dışındaki cihazları aramaya hak doğurmaz. İnternette varsayılan parolalı kameraları ya da açık portlu cihazları taramak, bulunca "deneyip" girmek, gerekçe merak da olsa yardım da olsa, sahibinin yetkisi olmadan erişimdir ve suçtur; Modül 1'de konuştuğumuz izin ilkesi burada da geçerli. Başkasına ait savunmasız bir cihaz fark edersen, ona dokunmadan sahibine ya da yetkili kuruma haber verirsin. Botnet "kiralamak" ya da bir hizmeti stres testi adıyla başkasına karşı trafikle boğmak, kendi sistemin dışındaki bir hedefe yöneldiğinde açıkça bir saldırıdır. Kendi hizmetinin yük dayanımını sınamak ise yalnız kendi altyapında ve barındırma sağlayıcının yazılı izniyle yapılır. Selin'in notu da bir hatırlatmadır: botnet saldırısındaki adreslerin arkasında çoğu zaman bir suçlu değil, kamerası ele geçirilmiş bir komşu vardır.

Kapanış

1. Botnet, sahiplerinin haberi olmadan ele geçirilmiş ve tek merkezden yönetilen cihazların ağıdır; dağıtık hizmet engelleme, istenmeyen e-posta, kötü amaçlı yazılım yayma ve başka işler için kullanılır, kiralanır ve satılır.
2. Botnetin en sevdiği cihazlar unutulmuş, güncellenmeyen, fabrika parolalı ve internete doğrudan açık cihazlardır; kameralar ve kayıt cihazları bunların başında gelir.
3. Savunma, her cihazı bilmek, fabrika parolasını değiştirmek, port yönlendirmeyi kapatmak, güncellemek, ayırmak ve dışarıya gideni sınırlamaktır; hedef tarafında adres engellemek yerine hesap düzeyinde sınırlar ve hazır bir müdahale planı gerekir.

Üç soru

1. Defne Hanım'ın kamera kayıt cihazı neden kolayca ele geçirildi?
2. Bora'nın dışarıya giden trafiği sınırlayan kuralı neyi önler, neyi önleyemez?
3. Selin'in ekibi kampanya gecesindeki saldırıda neden adres engellemekten vazgeçti?

Yanıtlar

1. Cihazın fabrika parolası hiç değiştirilmemişti ve modemde açılan port yönlendirmesi onu internete doğrudan açmıştı. Rapor, yönlendiricinin arkasında durmayan güvenlik kameralarının botnetlerin yaygın hedefi olduğunu ve ilk büyük IoT botnetinin zayıf parolalarla büyüdüğünü yazar. Cihaz envanterde de olmadığı için kimse onu güncellemeyi ya da denetlemeyi düşünmemişti.
2. Kural, bir cihazın ele geçirilmesini önlemez. Ama ele geçirilmiş bir cihazın dışarıdaki komuta sunucusuyla konuşmasını ve başka hedeflere trafik göndermesini, yalnız izin verilen adreslere izin vererek büyük ölçüde engeller. Böylece cihaz bir botnetin işe yarar üyesi olmaktan çıkar.
3. Giriş denemeleri binlerce farklı ve sürekli değişen adresten geliyordu; bunlar büyük ihtimalle başkalarının ele geçirilmiş cihazlarıydı. Bir adresi engellemek yenisini durdurmuyor, gerçek müşterileri de dışarıda bırakabiliyordu. Denemeyi hesaba sayan sınır ve ek doğrulama ise adres değişse de işe yaradı.

Sonraki derse köprü

Botnet cihazı ele geçirmek için kendi yazılımını kurar ve o yazılım bir yerde, bir dosyada yaşar. Dosyasız saldırı dersi başka bir yolu ele alıyor: diske yeni bir program bırakmadan, sistemde zaten bulunan meşru araçların kötüye kullanılması ve bunun tespiti neden zorlaştırdığı.