Bulaşma yolları

Açılış

Defne Hanım, meslek odasının haftalık bülteninde bir haber okudu ve telefonu eline aldı. Haberde, yıllar önce başka bir ülkede yaygın kullanılan bir muhasebe programının güncellemesinin içine kötü amaçlı yazılım yerleştirildiği, programı kullanan binlerce işletmenin bu güncellemeyle birlikte enfekte olduğu anlatılıyordu.

Yeni bilgi işlem desteğini aradı. "Biz de her ay muhasebe programının güncellemesini yüklüyoruz," dedi. "Güncellemeyi yapmayı bıraksak mı?"

Teknisyen bir an sustu. Sonra şöyle dedi: "Bırakırsak, bilinen açıklar kapanmadan kalır. Bu dersin en zor yanı bu, Defne Hanım: güncelleme hem kapıyı kapatan anahtar hem de nadiren kapının kendisi."

Defne Hanım o akşam büronun bütün bilgisayarlarına girebilecek yolları bir kâğıda yazmaya çalıştı. Liste beklediğinden uzun çıktı: e-postalar, müşterilerin getirdiği bellekler, indirilen programlar, tarayıcıda açılan siteler, programların kendi güncellemeleri. Her biri, bir şeyin içeri girebileceği bir kapıydı.

Tek fikir

Kötü amaçlı yazılım içeri birkaç kapıdan girer: e-posta eki, korsan ya da sahte yazılım, sahte güncelleme uyarısı ve güvenilen bir tedarikçinin kendi ürünü. Her kapı farklı bir güvenle istismar edilir. Savunma, her kapının hangi güvene dayandığını bilip o güveni doğrulanabilir kılmaktır.

Nasıl çalışır

Bu modülde kötü amaçlı yazılımın türlerini gördük: kendini çoğaltanları, şifreleyenleri, bilgi çalanları, ağ kuranları, dosyasız iş görenleri. Hepsinin bir başlangıcı vardır: bir şekilde içeri girmeleri gerekir. Modül 15'te ilk erişimi saldırganın gözünden görmüştük; bu ders, kötü amaçlı yazılımın taşındığı yolları savunucunun gözünden topluyor.

SP 800-83r1, önleme planlanırken kurumların şu anda ve yakın gelecekte en çok kullanılması beklenen saldırı yollarını göz önünde tutması gerektiğini yazar. Bu yollar dört grupta toplanabilir.

Birincisi e-posta ekidir. Modül 2'de Defne Hanım'ın kıdemli çalışanının çift uzantılı bir eki fark ettiğini görmüştük; Modül 16'nın ilk dersinde Duru'ya makro açmasını isteyen sahte bir tez dosyası gelmişti. E-posta ekinin dayandığı güven, gönderene duyulan güvendir.

İkincisi korsan ve sahte yazılımdır. Barış'ın oyun eklentisi bunun örneğiydi. Burada istismar edilen güven, "ücretsiz ve kolay" vaadine duyulan güvendir; korsan yazılım çoğu zaman kullanıcıdan koruma yazılımını kapatmasını bile ister.

Üçüncüsü sahte güncelleme uyarısıdır. Bir web sitesi açıldığında ekrana "tarayıcınız güncel değil" ya da "medya oynatıcınızı güncelleyin" diye bir pencere çıkar ve bir dosya indirtmeye çalışır. Burada istismar edilen güven, güncellemenin iyi bir şey olduğu bilgisidir; saldırgan iyi bir alışkanlığı kendi lehine çevirir.

Dördüncüsü, en sinsi olanı, tedarik zinciridir.

Belgenin bir örneği de doğrudan korsan yazılım kapısına dokunur: 2012'de sahte yazılımları inceleyen araştırmacıların, test ettikleri cihazların yüzde yirmisinde önceden yüklenmiş kötü amaçlı yazılım bulduğunu ve bu yazılımın yeni masaüstü ve dizüstü bilgisayarlara fabrikadan çıktıktan sonra, dağıtıcı, taşıyıcı ya da satıcı aşamasında yüklendiğini anlatır. Tedarik zinciri yalnız yazılım üreticisinin ağı değildir; bir cihazın fabrikadan masaya kadar geçtiği her eldir.

Rehberin aynı bölümü bir de uyarı taşır: önlemeye ne kadar emek verilirse verilsin olaylar yine de olacaktır; bu yüzden olay müdahale yeteneği de gerekir. Kapıların hepsini kilitlemek mümkün değildir. Ama hangi kapıdan ne girebileceğini bilmek, hem kilitlemeyi hem de giren bir şeyi yakalamayı kolaylaştırır.

Sahada

Savunma

Her bulaşma yolunun dayandığı bir güven vardır. Savunma, o güveni körü körüne değil, doğrulanabilir biçimde vermektir.

E-posta eklerinde: gönderene duyulan güven doğrulanır. Beklenmeyen bir ek, tanıdık birinden gelse bile, başka bir kanaldan teyit edilir. Kurum düzeyinde, çalıştırılabilir dosyaların e-postayla gelmesi engellenir, makrolar varsayılan olarak kapalı tutulur, ekler açılmadan taranır.

Korsan ve sahte yazılımda: "ücretsiz ve kolay" vaadine güvenilmez. Program yalnız üreticinin sitesinden ya da işletim sisteminin resmî uygulama mağazasından kurulur. Koruma yazılımını kapatmanı isteyen bir kurulum, başka hiçbir işarete gerek kalmadan durdurulur. Kurum düzeyinde, kullanıcıların program kurma yetkisi sınırlanır.

Sahte güncellemelerde: güncellemenin iyi olduğu bilgisi, nereden geldiği sorusuyla birleştirilir. Güncelleme yalnız programın kendi ayarından ya da işletim sisteminin güncelleme bölümünden yapılır; bir web sayfasının açtığı pencereden asla.

Tedarik zincirinde: güvenilen tedarikçiye duyulan güven tamamen ortadan kaldırılamaz, ama sınırlanır. Kullanılan yazılımların envanteri tutulur; her biri için tedarikçinin güncelleme ve olay bildirim düzeni öğrenilir. Güncellemeler önce küçük bir grupta denenir. Ağ bölümlemesi, bozulmuş bir güncellemenin etkisini sınırlar. Uç noktalarda envanterde olmayan yazılım izlenir. Yazılım geliştiriyorsan, eklenen her bağımlılık bir tedarikçidir; sayısı az tutulur, sürümleri sabitlenir.

Ve her kapının ardında: yedek. Tedarik zinciri saldırısı en iyi savunmayı bile atlatabilir; o zaman Modül 9'un yedeği ve bir olay müdahale planı kalır.

Uygulama

Kendi bilgisayarına giden kapıları sayacak ve her biri için bir kural yazacaksın.

Bittiğinde, kaldırdığın program sayısını ve yazdığın dört kuralı not et.

Defter: Dört kapı listesi, kaldırılan ya da işaretlenen programlar, üç programın ve işletim sisteminin güncelleme kaynağı, üç önemli yazılımın tedarikçisinin olay duyuru yolu, dört kural.

Hata köşesi

Etik ve sınırlar

Bulaşma yollarını bilmek, onları bir başkasına karşı denemenin gerekçesi olamaz. Bir arkadaşının dikkatini sınamak için ona "şaka" amaçlı sahte bir ek ya da sahte bir güncelleme sayfası göndermek, onun izni olmadan yapılan bir aldatmadır ve onu gerçekten bir dosyayı açmaya yönlendirirse zarar verebilir; kurumlardaki oltalama tatbikatları bile yazılı yetki, bilgilendirilmiş bir yönetim ve önceden belirlenmiş sınırlarla yürür. Korsan yazılım dağıtmak ya da paylaşmak, içinde kötü amaçlı bir şey olmasa bile telif hakkını ihlal eder; içinde bir şey varsa, onu alan herkesi riske atar. Bir tedarikçinin ürününde şüpheli bir şey fark edersen, onu kendi başına incelemeye ya da kamuya duyurmaya kalkmadan önce tedarikçiye ve gerekiyorsa ilgili ulusal siber olay müdahale ekibine bildirirsin; Modül 1'de konuştuğumuz sorumlu açıklama burada da geçerlidir.

Kapanış

1. Kötü amaçlı yazılım içeri dört ana kapıdan girer: e-posta ekleri, korsan ve sahte yazılım, sahte güncelleme uyarıları ve güvenilen bir tedarikçinin bozulmuş ürünü ya da güncellemesi.
2. Her kapı farklı bir güveni istismar eder: gönderene, "ücretsiz" vaadine, güncellemenin iyiliğine ve tedarikçiye duyulan güven. Kod imzası bile bozulmanın imzadan önce olduğu durumda koruma sağlamaz.
3. Savunma, her güveni doğrulanabilir kılmaktır: ekleri teyit etmek, yazılımı resmî kaynaktan kurmak, güncellemeyi yalnız programın kendi yolundan almak, yazılım envanteri tutmak, güncellemeleri önce küçük grupta denemek, ağı bölmek ve yedeği hazır tutmak.

Üç soru

1. Defne Hanım güncellemeyi bırakmayı önerdiğinde teknisyen neden karşı çıktı ve yerine ne önerdi?
2. Duru, sahte güncelleme penceresinin gerçek olmadığını nasıl anladı?
3. Selin'in ekibi yeni bir bağımlılık eklemeden önce hangi üç soruyu sormayı kural yaptı ve neden?

Yanıtlar

1. Güncellemeyi bırakmak, bilinen açıkları kapatmadan bırakmak demekti; tedarik zinciri saldırısı nadir, kapatılmamış açıkların istismarı ise çok yaygındır. Teknisyen güncellemenin yalnız programın kendi güncelleme düzeninden yapılmasını, öncesinde yedek alınmasını, önce tek bilgisayarda bir gün denenmesini ve üreticiye güncellemeleri nasıl imzaladığının ve olayları nasıl duyurduğunun sorulmasını önerdi.
2. Pencereye tıklamak yerine tarayıcının kendi ayarlarındaki "Hakkında" bölümüne gitti ve tarayıcının güncel olduğunu gördü. Güncellemenin bir web sayfasından değil, programın kendi ayarından ya da işletim sisteminden gelmesi gerektiğini bildiği için pencereyi ve siteyi kapattı.
3. Bu işi kendi kodlarıyla birkaç satırda yapıp yapamayacaklarını, paketin bakımcısının kim olduğunu ve ne zamandır aktif olduğunu, ve kullanacakları sürümü sabitleyip sabitlemediklerini. Çünkü her bağımlılık bir tedarikçidir: açık kaynak kodun bozulması tedarik zinciri saldırısının yaygın tekniklerinden biridir ve sabitlenmemiş bir sürüm, bozulmuş bir yeni sürümü kendiliğinden getirebilir.

Sonraki derse köprü

Bu modül boyunca kötü amaçlı yazılımın türlerini ve içeri girdiği kapıları gördük. Modülün kapanışında bunları tek bir sayfaya indireceğiz: bir bilgisayarda bir şeylerin ters gittiğini düşündüren belirtileri ve o anda yapılacakları bir araya getiren, masanın kenarına asılabilecek bir belirtiler kartı.