Hızlı cevap: Bir saldırgan bir sisteme ilk girdiğinde genelde sınırlı yetkiyle ve önemsiz bir noktadan girer; asıl tehlike, oradan sonra ne yaptığıdır. Yetki yükseltme (privilege escalation), sınırlı bir hesaptan yönetici yetkisine çıkmaktır; yanal hareket (lateral movement) ise bir sistemden ağdaki diğer sistemlere yayılmaktır. Bu ikisi, küçük bir girişi büyük bir ihlale dönüştüren adımlardır. Bir sızma testinde bu aşamaların test edilmesi kritiktir, çünkü çoğu kurum dış duvarını korur ama içeride bir saldırganın ne kadar kolay yayılabileceğini hiç ölçmez. Savunma tarafında ise en az yetki ilkesi, ağ segmentasyonu, güçlü kimlik yönetimi ve içerideki anormal hareketi tespit eden izleme, bu adımları en aza indirir.

Çoğu kurumun güvenlik anlayışı bir kale mantığına dayanır: dışarıya yüksek duvarlar ör, içerisi güvenli olsun. Ama gerçek saldırılar bu varsayımı çürütür. Bir saldırgan içeri girdiğinde iş bitmez, aslında yeni başlar; ilk giriş genelde önemsiz bir noktadan, sınırlı bir yetkiyle olur. Asıl hasar, saldırganın oradan yönetici yetkisine çıkması ve ağda yayılmasıyla oluşur. Bu yazı, bu iki kritik saldırı aşamasını, yani yetki yükseltme ve yanal hareketi, ve bunlara karşı savunmayı anlatıyor.

İlk giriş sadece başlangıçtır

Bir saldırganın bir ağa ilk adımı, çoğu zaman en değerli sistem değildir; bir çalışanın bilgisayarı, dışa açık küçük bir servis ya da sınırlı yetkili bir hesaptır. Tek başına bu giriş, sınırlı bir hasar verir. Ama saldırgan bunu bir sıçrama tahtası olarak kullanır. Amacı iki şeydir: bulunduğu sistemde daha fazla yetki kazanmak ve oradan diğer sistemlere ulaşmak. Bu iki hareket, küçük bir olayı kurumsal bir felakete dönüştürür.

Yetki yükseltme: yukarı doğru

Yetki yükseltme, sınırlı bir hesaptan daha yüksek yetkiye çıkmaktır. İki türü vardır: dikey yükseltme, normal bir kullanıcıdan yönetici yetkisine geçmektir; yatay yükseltme ise aynı seviyede başka bir kullanıcının verilerine erişmektir. Saldırganlar bunu yamalanmamış açıklar, zayıf yapılandırmalar, aşırı geniş izinler ya da bir sistemde bırakılmış parolalar üzerinden yapar. Bir sistemde yönetici yetkisi kazanmak, saldırgana o sistem üzerinde tam kontrol verir.

Yanal hareket: yana doğru

Yanal hareket, ele geçirilen bir sistemden ağdaki diğer sistemlere yayılmaktır. Saldırgan, bir sistemde bulduğu kimlik bilgilerini kullanarak başka sistemlere giriş yapar, ağı haritalar ve en değerli hedefe (genelde bir veritabanı ya da alan denetleyicisi) doğru ilerler. Bu, özellikle Windows ağlarında ve Active Directory ortamlarında etkilidir; bu tür saldırıların nasıl işlediğini Active Directory iç ağ sızma testi yazısında ele aldık.

Savunma katmanları

Savunma Neyi engeller
En az yetki ilkesi Yetki yükseltmenin etkisini sınırlar
Ağ segmentasyonu Yanal hareketi yavaşlatır
Güçlü kimlik yönetimi Çalınan kimlik bilgisinin kullanımını zorlaştırır
Yama yönetimi Yükseltme açıklarını kapatır
İç ağ izleme Anormal hareketi tespit eder
Kimlik bilgisi hijyeni Sistemlerde parola bırakmayı önler

Bu savunmaların ortak amacı, bir saldırganın ilk girişini bir tam ihlale dönüştürmesini zorlaştırmaktır. İçeri girmek her zaman mümkündür; önemli olan, saldırganın içeride ne kadar ilerleyebileceğini sınırlamaktır.

Neden sızma testinde test edilmeli

Çoğu kurum dış yüzeyini test ettirir ama içeride bir saldırganın ne kadar kolay yayılabileceğini hiç ölçmez. Oysa gerçek bir saldırganın verdiği hasarın büyük bölümü, ilk girişten sonraki bu adımlarda oluşur. Bu yüzden iyi bir sızma testi, yalnızca "içeri girilebilir mi" sorusunu değil, "girildikten sonra ne kadar ileri gidilebilir" sorusunu da cevaplar. Bu yaklaşım, bir saldırganın zaten içeride olduğunu varsayan kırmızı takım assumed-breach senaryosunun da temelidir.

KAOS ve DSET yaklaşımı

DSET, kurumların yalnızca dış duvarını değil, içeride bir saldırganın ne kadar ilerleyebileceğini de değerlendirir. Yerel yapay zekâ motorumuz KAOS, bir sistemde yetki yükseltme fırsatlarını ve ağda yanal hareket yollarını tarayarak tespit eder ve her bulguyu çalışan bir kanıtla, yanlış pozitif olmadan raporlar. Amaç, küçük bir girişin nereye kadar büyüyebileceğini, bir saldırgan bunu yapmadan önce göstermektir.

Sık sorulan sorular

Dış duvarım güçlüyse yetki yükseltme ve yanal hareketi düşünmeli miyim? Evet, mutlaka. Hiçbir dış duvar aşılmaz değildir ve bir saldırgan içeri girmenin bir yolunu bulursa, asıl hasar ondan sonraki adımlarda oluşur. İç savunması zayıf bir ağda tek bir giriş, tüm kuruma yayılabilir. Bu yüzden savunma "içeri girilemez" varsayımına değil, "girildiğinde yayılma sınırlanır" ilkesine dayanmalıdır.

En az yetki ilkesi bu saldırıları nasıl engelliyor? En az yetki, her hesabın ve sistemin yalnızca işi için gereken erişime sahip olmasını sağlar. Böylece bir saldırgan bir hesabı ele geçirse bile, o hesabın yetkisi sınırlı olduğu için hasar da sınırlı kalır. Aşırı geniş izinler, yetki yükseltmeyi ve yanal hareketi kolaylaştıran en yaygın hatalardan biridir.

Bu adımları nasıl tespit ederim? İç ağ izleme ile. Yetki yükseltme ve yanal hareket, ağda alışılmadık izler bırakır: beklenmedik giriş denemeleri, olağan dışı hesap kullanımı, sistemler arası tanımsız bağlantılar. Bu anormallikleri tespit eden bir izleme sistemi, bir saldırganın içeride ilerlemesini erken yakalamanın en etkili yoludur.

Kaynaklar

Kurumunuzun iç ağ dayanıklılığını, bir saldırganın ne kadar ilerleyebileceğini ölçmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan iç ağ sızma testi sağlıyoruz.