Dosyasız saldırı

Açılış

Gece vardiyasının sonuna doğru Kaan'ın ekranına sarı bir satır düştü. Muhasebe bölümündeki bir bilgisayarda, saat üçü on geçe, işletim sistemiyle birlikte gelen bir yönetim aracı çalışmıştı. Araç, ağdaki başka bir bilgisayara bağlanıp oradan bir dizi bilgi sorgulamıştı.

Kaan önce uç nokta koruma yazılımının konsoluna baktı. Hiçbir uyarı yoktu. Bilgisayarda yeni bir dosya, bilinmeyen bir program, şüpheli bir indirme görünmüyordu. Çalışan araç, Microsoft'un imzaladığı, her Windows bilgisayarda bulunan, bilgi işlem ekibinin her gün kullandığı bir araçtı.

"Belki bilgi işlemden biri gece bakım yapmıştır," diye düşündü. Sonra kullanıcı adına baktı. Araç, muhasebe stajyerinin hesabıyla çalışmıştı. Stajyer o saatte uyuyordu; ertesi sabah bunu kendisi de söyleyecekti.

Gülay Hanım sabah ekrana baktığında uzun süre bir şey demedi. Sonra şunu söyledi: "Koruma yazılımı haklı. Ortada kötü bir dosya yok. Sorun, bunu yapanın dosyaya ihtiyacı olmaması."

Tek fikir

Dosyasız saldırı, diske yeni bir kötü amaçlı program yazmadan, makinede hazır duran ve güvenilen araçlarla iş görür. Dosya taramasına dayanan savunma burada kördür. Tespit, "bu araç kötü mü" sorusundan "bu kişi, bu saatte, bu aracı neden kullanıyor" sorusuna geçmeyi ister.

Nasıl çalışır

Bu modülde şimdiye kadar gördüğümüz türlerin ortak bir yanı vardı: bir dosya. Virüs bir dosyaya yapışır, truva atı bir dosya olarak gelir, fidye yazılımı bir program olarak çalışır. Klasik koruma yazılımları da bu yüzden dosyalara bakar: diske yazılan her şeyi bilinen kötü örneklerle karşılaştırır.

Bu yaklaşımın daha geniş bir adı var ve dünyanın birçok ulusal siber güvenlik kurumu onu ortak bir rehberde anlattı.

Neden bu kadar zor? Çünkü savunmanın en eski sorusu "bu dosya kötü mü" sorusudur ve burada cevabı "hayır"dır. Yönetim aracı gerçekten Microsoft'un aracıdır, imzası gerçektir, özeti bilinen iyi değerle tutar. Kötü olan araç değil, kullanımıdır.

Bu yüzden dosyasız saldırıya karşı savunma, kötü dosyayı yakalamaktan çok iki şeye dayanır: güvenilen araçların kimin elinde olduğunu sınırlamak ve olağanı bilmek.

Sahada

Savunma

Dosyasız saldırıya karşı tek bir ürün yoktur; rehberin de söylediği gibi kusursuz bir çözüm de yoktur. Ama saldırganın işini zorlaştıran ve izini görünür kılan katmanlar vardır.

Güvenilen araçları herkese açma. Yerleşik yönetim araçlarının, komut kabuklarının ve uzaktan yönetim yazılımlarının kimin işine yaradığını belirle; ihtiyacı olmayan hesaplar için kapat. En az ayrıcalık ilkesi burada hesaptan bir basamak aşağı, tek tek araçlara iner. Bora'nın hemşire hesapları komut kabuğuna ihtiyaç duymuyordu.

Uygulama izin listesi kur. Her şeye izin verip kötüyü yasaklamak yerine, izin verileni tanımla. Önce izleme kipinde başla, meşru işleri gör, sonra uygula.

Kaydı ayrıntılı tut ve uzakta sakla. Varsayılan kayıtlar çoğu zaman hangi programın hangi komutla çalıştığını göstermez. Süreç başlatma ve betik etkinliği kaydını aç; kayıtları saldırganın ulaşıp silemeyeceği ayrı bir yere topla.

Olağanı bil. Kim hangi aracı, hangi saatte, hangi sisteme karşı kullanıyor? Bu temel çizgi olmadan uyarı da olmaz. Kaan'ın dört hesaplık kuralı, bir haftalık gözlemle kurulmuş küçük bir temel çizgiydi.

Uyarı gürültüsünü azalt. Rehber, ayarlanmamış araçların analistleri gürültüde boğduğunu söylüyor. Her şeye uyarı veren bir sistem, hiçbir şeye uyarı vermeyen bir sistemden pek farklı değildir.

Güvenlik ile bilgi işlemi ayırma. Rehber, savunucuların bilgi işlem ekiplerinden kopuk çalışmasının temel çizgi kurmayı engellediğini yazıyor. "Bu aracı kim kullanıyor" sorusunun cevabı bilgi işlemdedir.

Ve en baştaki kapıyı kapat. Kaan'ın vakasında saldırgan içeri çalınan bir parolayla girmişti. Parolanın yanında bir de donanım anahtarı istenseydi, stajyerin sahte kargo sayfasına girdiği parola tek başına kimseyi içeri almazdı.

Uygulama

Kendi bilgisayarında, yerleşik araçların ne kadar açık olduğunu ve neyin kaydedildiğini göreceksin.

Bittiğinde, bilgisayarında hangi kayıtların tutulduğunu ve hangilerinin eksik olduğunu bir cümleyle yaz.

Defter: Gündelik hesap türü, kayıt görüntüleyicide görülen ve görülmeyen kayıt türleri, kullanılan ve kullanılmayan yerleşik araçlar, bilgi işleme iletilecek öneriler.

Hata köşesi

Etik ve sınırlar

Bu derste yerleşik araçların kötüye kullanılabileceğini öğrendin; ama hangi aracın nasıl kötüye kullanılacağını öğrenmedin ve öğrenmen de gerekmiyor. Yerleşik bir yönetim aracını, sahibi olmadığın ya da yönetmeye yetkili olmadığın bir bilgisayarda "nasıl çalıştığını görmek için" kullanmak, araç her bilgisayarda bulunsa bile yetkisiz erişimdir. İşyerinde bir aracın herkese açık olduğunu fark edersen, onu kendi hesabınla deneyerek kanıtlamaya çalışma; bilgi işlem ya da güvenlik ekibine bildir. Kurumların bu tür kayıtları açması çalışanların bilgisayar etkinliğini kaydetmek anlamına gelir; bu, açık bir politika, bilgilendirme ve ölçülülükle yapılır ve kayıtlara erişim yetkisi yalnız işi bu olan kişilerle sınırlı tutulur. Kırmızı takım değerlendirmeleri de rehberin anlattığı gibi ağ sahibinin talebi ve izniyle yapılır.

Kapanış

1. Dosyasız saldırı, diske ayrı bir kötü amaçlı program yazmadan makinede hazır duran, güvenilen araçlarla iş görür; kendi imkânlarıyla yaşama bunun daha geniş adıdır.
2. Dosya taramasına dayanan savunma burada kördür, çünkü araç meşrudur; kötü olan, aracın kimin elinde ve nasıl kullanıldığıdır.
3. Savunma, güvenilen araçları ihtiyacı olanlarla sınırlamak, uygulama izin listesi, ayrıntılı ve uzakta saklanan kayıt, bir davranış temel çizgisi ve güvenlik ile bilgi işlemin birlikte çalışmasıdır.

Üç soru

1. Kaan'ın ekranındaki satır için koruma yazılımı neden hiçbir uyarı vermedi?
2. Gülay Hanım'ın bir haftalık gözlemi neden bir kuralın temeli oldu?
3. Defne Hanım'ın bürosunda kayıtlar vardı; teknisyen neden yine de değişiklik yaptı?

Yanıtlar

1. Çalışan araç işletim sistemiyle gelen, imzalı ve bilgi işlemin her gün kullandığı meşru bir araçtı; diske kötü bir dosya yazılmamıştı. Dosya taramasına dayanan koruma, kötü dosya aradığı için yakalayacak bir şey bulamadı. Sorun aracın kendisinde değil, stajyerin çalınan hesabıyla gece kullanılmasındaydı.
2. Hafta boyunca toplanan kayıt, aracı yalnız bilgi işlemin dört yönetici hesabının kullandığını gösterdi. Bu, araç için olağanın tarifiydi, yani bir davranış temel çizgisi. Temel çizgi kurulunca, bu dört hesap dışındaki her kullanım olağan dışı hâle geldi ve uyarıya dönüştürülebildi.
3. Varsayılan ayarlar oturum açma ve kapanmayı kaydediyordu ama hangi programın hangi komutla çalıştığını kaydetmiyordu; bir olayda ne olduğunu anlatmaya yetmezdi. Kayıtlar ayrıca bilgisayarların üzerinde duruyordu, saldırgan silebilirdi. Teknisyen süreç ve betik kaydını açtı ve kayıtları ayrı, erişimi sınırlı bir yere topladı.

Sonraki derse köprü

Dosyasız saldırı içeri girdikten sonra nasıl saklandığını gösterdi. Bulaşma yolları dersi bir adım geriye gidiyor: kötü amaçlı yazılımın ve saldırganın kapıdan nasıl geçtiğine, yani e-posta eklerine, korsan yazılıma, sahte güncellemelere ve tedarik zincirine bakıyor.