Sıfırıncı gün

Açılış

Perşembe gecesi saat on bire doğru Gülay Hanım'ın telefonuna bir bildirim düştü: şirketin uzaktan erişim cihazının üreticisi acil bir güvenlik duyurusu yayımlamıştı. Duyuruda, cihazın yönetim arayüzünde, kimlik doğrulama gerektirmeden kullanılabilen bir zafiyet anlatılıyordu. Üretici, zafiyetin "sınırlı sayıda müşteriye yönelik saldırılarda kullanıldığının farkında" olduğunu yazıyordu.

Gülay Hanım duyurunun sonuna kaydırdı. Yama yoktu. "Yama hazırlanıyor, önümüzdeki günlerde yayımlanacak" yazıyordu. Onun yerine üç maddelik bir geçici önlem listesi ve bir de ek vardı: cihazın daha önce ele geçirilip geçirilmediğini anlamak için bakılacak izler.

Kaan'ı aradı. Kaan o gece nöbetteydi.

"Önceki hafta bir zafiyeti puanına, tehdidine ve ortamına göre sıralamıştık," dedi Gülay Hanım. "Bu gece sıralayacak bir şey yok. Tehdit en üstte, ortam en kötüsünde, ve kapatacak bir yama elimizde değil. Şimdi elimizde ne kaldığını konuşacağız."

Tek fikir

Sıfırıncı gün, yaması yayımlanmadan önce saldırılarda kullanılan zafiyettir. O aralıkta yama yoktur, ama seçenek vardır: üreticinin geçici önlemi, saldırı yüzeyini daraltmak, izlemek ve cihazın zaten ele geçirilmiş olabileceğini varsayıp iz aramak. Yama geldiğinde ise sıfırıncı gün sona erer, yarış başlar.

Nasıl çalışır

Önceki iki derste bir zafiyetin bir adı, bir puanı ve çoğunlukla bekleyen bir yaması olduğunu varsaydık. Bu ders, o varsayımın çöktüğü aralığa bakıyor.

Bu tanımın iki ucu önemlidir. Bir zafiyetin bilinmesi onu sıfırıncı gün yapmaz; bir araştırmacı onu sorumlu biçimde üreticiye bildirdiyse ve yama çıkana kadar kimse kullanmadıysa, o bir sıfırıncı gün değildir. Ölçüt, yamadan önce saldırıda kullanılmış olmasıdır. Ve yama yayımlandığı anda zafiyet başka bir şeye dönüşür.

Sıfırıncı günlerin ne kadar sık görüldüğünü ve neyi hedeflediğini Google'ın tehdit istihbaratı ekibi her yıl bir raporla izler.

Bu cihazlar neden bu kadar çekici? Raporun cevabı savunmacıya doğrudan bir şey söyler.

Bu, sıfırıncı günde savunmanın neden yalnız yamaya dayanamayacağını gösterir. Yama gelene kadar geçen günlerde zafiyet açıktır, ve en çok hedeflenen cihazlar en az görülen cihazlardır.

Savunmacının bu aralıkta elinde dört şey vardır.

Birincisi üreticinin geçici önlemidir.

İkincisi saldırı yüzeyini daraltmaktır. Saldırı yüzeyini küçültme ilkesi burada bir gecede uygulanır: zafiyetli arayüz internete açıksa, yama gelene kadar kapatılır ya da yalnız belirli adreslere açılır.

Üçüncüsü izlemektir. Zafiyetli sistemin bağlantıları, oturum açma kayıtları ve beklenmeyen davranışları yakından izlenir.

Dördüncüsü, en çok unutulanı, geriye bakmaktır. Sıfırıncı gün, tanımı gereği, duyurudan önce kullanılmıştır. Duyuru geldiğinde ilk soru "şimdi nasıl korunuruz" değil, "zaten içeri girildi mi" sorusudur.

Sahada

Savunma

Sıfırıncı güne karşı hazırlık, duyuru gelmeden önce yapılır.

Hangi sistemlerinin internete açık olduğunu bil. Rapora göre sıfırıncı günlerin giderek artan bir kısmı güvenlik ve ağ cihazlarındadır. Gülay Hanım, duyuruyu okuduğu anda cihazın internete açık olduğunu biliyordu; bilmeseydi, ilk saat bunu bulmakla geçerdi.

Yönetim arayüzlerini internete açma. Bir cihazın yönetim arayüzü, gündelik işler için internete açık olmak zorunda değildir. Gece yarısı yapılan geçici önlem, en baştan bir ayar olabilirdi.

Üreticilerinin acil duyurularını alacak bir kanal kur. Kullandığın kritik ürünlerin güvenlik bildirimlerine abone ol; acil bir duyuru e-posta kutusunda bir hafta beklememeli.

Kayıtları sakla ve cihazın dışında tut. Sıfırıncı günde ilk soru "zaten içeri girildi mi" sorusudur ve bu soruyu ancak geçmişe dönük kayıtlar cevaplar. Modül 16'da dosyasız saldırı için söylediğimiz, burada da geçerlidir: kayıtlar saldırganın ulaşamayacağı bir yerde durmalıdır.

Geçici önlemi hemen uygula ve bedelini kabul et. Bir arayüzü kapatmak birilerinin işini zorlaştırır; bunu önceden konuşmak, gece yarısı karar vermeyi kolaylaştırır.

Duyuruyu bir olay gibi ele al. Sıfırıncı gün, duyuru anında zaten kullanılmış bir zafiyettir. Etkilenen sistemde iz ara; bulursan ya da emin olamazsan, ele geçirilmiş say: parolaları ve anahtarları değiştir, bağlı sistemleri incele.

Yama geldiğinde hızlı uygula. Sıfırıncı gün yamayla biter; n-gün yarışı yamayla başlar. Kişisel cihazlarda bu, güncelleme uyarısını ertelememek demektir.

Uygulama

Kendi cihazlarında bir sıfırıncı gün duyurusuna ne kadar hızlı tepki verebileceğini ölçeceksin.

Bittiğinde, üç ürünün duyuru kanallarını ve güncelleme kuralını not et.

Defter: Üç ürün ve güvenlik duyuru kanalları, açılan bildirimler, sürüm kontrolü ve uygulanan güncellemeler, yamasız bir zafiyet için geçici önlem senaryosu, güncelleme kuralı.

Hata köşesi

Etik ve sınırlar

Sıfırıncı günler, keşfedeni için değerli ve tehlikeli bilgilerdir. Bir zafiyet bulursan, onu kullanmadan, satmadan ve kamuya duyurmadan önce üreticiye bildirmek, Selin'e yazan araştırmacının yaptığı gibi, güvenlik topluluğunun yerleşik beklentisidir; sorumlu açıklamanın adımları Ders 17.6'da ele alınıyor. Sıfırıncı gün istismarlarının alınıp satıldığı pazarlara ilgi duymak, oralardan "araştırma için" bir şey edinmek ya da bir sıfırıncı gün duyurusundaki teknik ayrıntıları başkalarının sistemlerinde denemek, sistemin sahibi buna onay vermediği sürece hukuken de bir saldırı girişimidir. Kendi kurumunda geçici önlem uygulamak da bir yetki işidir: bir arayüzü kapatmak birilerinin işini durdurur, bu yüzden gece yarısı kararlarının kimin onayıyla verileceği önceden yazılır.

Kapanış

1. Sıfırıncı gün, yaması kamuya açık hâle gelmeden önce saldırılarda kullanılan zafiyettir; yama çıktığında n-gün olur ve yamalanmamış sistemler için yeni bir yarış başlar.
2. Sıfırıncı günlerin giderek artan bir kısmı güvenlik ve ağ cihazlarındadır: yüksek yetkili, internete açık ve en az izlenen cihazlar.
3. Yama yokken savunmacının dört aracı vardır: üreticinin geçici önlemi, saldırı yüzeyini daraltmak, izlemek ve zaten içeri girilmiş olabileceğini varsayıp geriye bakmak.

Üç soru

1. Gülay Hanım, kayıtlarda isteklerin başarılı olup olmadığı anlaşılamadığı hâlde neden cihazı ele geçirilmiş saydı?
2. Teknisyen, Defne Hanım'a tarayıcı güncellemesini neden ertelememesini söyledi?
3. Selin'e bildirilen zafiyet neden bir sıfırıncı gün değildi ve ekip kalıcı düzeltmeye kadar ne yaptı?

Yanıtlar

1. Sıfırıncı gün, duyuru anında zaten saldırılarda kullanılmış bir zafiyettir ve kayıtlarda duyurudan dört gün önce yurt dışından gelen bir dizi istek vardı. Emin olunamayan bir durumda cihazı temiz saymak, içeride kalmış olabilecek bir saldırganı görmezden gelmek demekti. Bu yüzden parolalar ve anahtarlar değiştirildi, bağlı sistemler incelemeye alındı ve olay müdahalesi başladı.
2. Dünkü sıfırıncı gün, yaması çıktığı için bugün bir n-gün zafiyetiydi. Yama yayımlanınca saldırganlar da onu inceleyip yamalanmamış sistemleri arar. Güncellemeyi ertelediği her saat, Defne Hanım bilinen ve kapatılabilir bir zafiyetle açık kalıyordu.
3. Araştırmacı zafiyeti kullanmadan, önce ekibe bildirmişti ve saldırıda kullanıldığına dair bir iz yoktu; sıfırıncı günün ölçütü, yamadan önce saldırıda kullanılmasıdır. Ekip, kalıcı düzeltme gelene kadar sipariş takip sayfasını yalnız siparişin sahibi olan giriş yapmış kullanıcıya açtı, girişsiz takibi kapattı ve son üç ayın kayıtlarında olağan dışı erişim aradı.

Sonraki derse köprü

Sıfırıncı gün, yama gelene kadar yapılabilecekleri gösterdi. Ama zafiyetlerin çok büyük kısmının yaması vardır ve asıl sorun, yamaların düzenli, denetimli ve eksiksiz uygulanmasıdır. Yama yönetimi süreci dersi, envanterden teste, dağıtımdan doğrulamaya bu işin nasıl bir döngü hâline getirildiğini anlatıyor.