Blog

AYRICALIKLI HESAPLARA YÖNELİK TEHDİTLERİN CYBERARK PTA iLE TESPİTİ VE ÖNLENMESİ

CYBERARK PRIVILEGED THREAT ANALYTICS

Kurumlar PAM ürünleri ile birlikde ayrıcalıklı hesaplarını şifre ve oturum yönetimine tabi tutabilirler. Ancak PAM dışında kalan ayrıcalıklı hesaplar ve o hesaplar ile yapılan işlemler çoğu zaman soru işareti olarak kalmıştır. Ayrıca PAM üzerinden sağlanan oturumlarda da ayrıntılı bir tehdit analizi ihtiyacı olduğu aşikardır.

Örnek olarak, CyberArk PAS çözümünü etkin olarak kullanan bir kurum, ayrıcalıklı hesaplarının düzenli olarak şifresinin değiştirilmesini, bu hesaplara olan yetkisiz erişimlerin önlenmesini ve yapılan erişimlerin kayıt altına alınmasını sağlayabilir. Ancak CyberArk veya başka bir PAM ürününde tutulan veya tutulmayan ayrıcalıklı hesaplar ile yapılan oturumlara otomatik olarak müdahale edebilecek bir teknolojiye ihtiyaç duyulmaktadır. Örnek vermek gerekirse, bir PAM RDP Proxy üzerinden gerçekleştirilen bir RDP oturumu esnasında bir incident oluşturulması durumunda, ancak o incident’a ait kayıtlar PAM kayıt mekanizması sayesinde izlenebilir; ancak eş zamanlı müdahale edilemez. PAM dışından örnek vermek gerekirse, ayrıcalıklı hesapların host edildiği sistemler üzerinden doğrudan yapılan şifre değişimlerine PAM kullanarak müdahale edilememesi PAM çözümleri için eksiklik olarak tanımlanmıştır.

CyberArk, kendi PAM çözümünü Privileged Threat Analytics ürünü ile entegre ederek, daha bütüncül bir çözüm haline getirmiştir. Bu çözüm CyberArk Core PAS ürünü olarak isimlendirilmekte ve lisanslanmaktadır. CyberArk Privileged Threat Analytics, ilk olarak CyberArk kullanıcılarına ait anormallikleri tespit edebilen bir User Behavior Analytics (UBA) ürünü olarak ortaya çıkarılmış, sonrasında ise CyberArk PAS ürününü geliştiren ve tamamlayan bir komponent olarak konumlandırılmıştır.

CyberArk PTA ile birlikde network’unuzde alınabilecek aksiyonları “Collect”, “Detect”, “Alert”, “Respond” olarak dört ana başlık altında inceleyebiliriz.

COLLECT:

PTA, çeşitli kaynaklardan ayrıcalıklı hesapların kullanımına ait bilgileri eş zamanlı olarak toplar. Bu bilgileri aldığı kaynaklardan birincisi CyberArk Vault’dur. Vault üzerinde bulunan ayrıcalıklı hesapların kullanımına ait bilgileri syslog formatında PTA’e eş zamanlı olarak iletir. PTA için bir diğer temel kaynak ise Windows ve unix sunucular tarafından gönderilen ayrıcalıklı kullanıcı hareketlerine yönelik loglardır.

Windows sunuculara ait logları PTA sunucuya gönderebilmek için Windows işletim sistemi sunucularına özgü PTA Windows agent kurulup, syslog gönderimi için kullanılabilir. Ancak log yönetimi işini bir log management ürünü ile yapılan kurulumlarda sunuculardan alınan loglar direk olarak log management ürününden syslog olarak PTA’e gönderilebilir. PTA syslog olarak UTF-8 formatını desteklemektedir ve Arcsight, Splunk, QRadar, LogRhythm, McAfee ve RSA log management ürünleri ile native entegrasyonlar mevcuttur.

Çeşitli log management ürünleri ile toplanan windows ve unix sunuculara ait loglardan aşağıdakileri PTA’e yönlendirilebilir;

Windows

• Event ID 4624 – windows lokal bir makina üzerinde başarılı login işlemi
• Event ID 4720 – AD’de veya local bir makina üzerinde yeni bir kullanıcı oluşturulması
• Event ID 4723 – Bir kullanıcının kendi şifresini değiştirmeye çalışması
• Event ID 4724 – Bir kullanıcının başka bir kullanıcının şifresini değiştrimeye çalışması
• Event ID 4732 – Bir lokal security grup içine kullanıcı eklenmesi

Unix

• Accepted Password
• Accepted Public Key
• Session Open

Bunlara ilave olarak Arcsight log management ürünü ile Oracle Logon events’de PTA sunucuya göndermek mümkündür.

Active Directory

PTA, Active Directory’den okuma yetkili bir kullanıcı ile sorgular çekerek konfigurasyon ve durum bilgisi toplar.

Network Sensor ve DC Agent

PTA’in ayrı birer komponent’leri olan Network Sensor ve DC Agent aynı işi yapabilen, Domain Controller’a ait Kerberos trafiğini PTA sunucuya göndermeyi sağlayan yazılımlardır.

Domain controller üzerine kurulabilen bir ajan sayesinde Kerberos trafiğini PTA sunucuya yönlendirmek mümkün olduğu gibi, DC üzerine ajan kurmak istemeyen kurumlar için DC’ye en yakın switch üzerinden port mirroring yöntemiyle Network Sensor kullanarak yine Kerberos trafiğini PTA sunucuya göndermek mümkündür.

DETECT:

CyberArk PTA, çeşitli kaynaklardan topladığı bilgiler ve bu bilgileri kullanarak oluşturduğu korelasyonlar sayesinde birçok incident’ı tespit edebilmektedir.

Özellikle yüksek risk içeren hesap hareketlerini ve bunlara bağlı olabilecek atak tiplerini tespit edebilir. Bu tip atakları ve riskleri aşağıda ki başılıklarda sıralayabiliriz;

• Güvenlik kontrollerini atlatabilecek bilinen atak türleri
• Kerberos Otantikasyon atak tipleri (DC Agent veya Network Sensor ile)
• Ayrıcalıklı hesapların kullanımına yönelik riskleri
• Ayrıcalıklı hesapların kullanımına ait istatistiksel anormallikleri
• CyberArk RDP Proxy üzerinden yapılan oturumlarda ki riskleri

PTA, hem CyberArk PAS üzerinde yönetilen ayrıcalıklı hesapları hem de henuz PAS üzerinde yönetilmeyen ayrıcalıklı hesapları yukarda bahsedilen kaynaklardan aldığı bilgiler ile sürekli olarak izler ve CyberArk platform’unun eksik veya yanlış kullanımlarını tespit eder. Bu sürekli izleme sayesinde temel olarak aşağıda ki eksik veya kötüye kullanımları tespit edebilir;

• PAS tarafından yönetilmeyen ayrıcalıklı hesapları
• Şüpheli credential çalma işlemlerini (PAS dışı kullanımlar)
• Şüpheli şifre değişim işlemleri (PAS dışı şifre değiştirme işlemleri)
• CyberArk RDP ve SSH Proxy üzerinden yapılan oturumarda ki şüpheli işlemler.

DC agent veya Network Sensor ile deep packet inspection denilen yöntemi kullanarak Domain Controller’lara yönelik Kerberos atakları eş zamanlı olarak tespit edebilir. Bilindiği üzere Kerberos ataklar sayesinde network’de yetki yükseltme ve bu durumu kalıcı bir avantaja çevirmek için birçok kötüye kullanım senaryosu uygulanabilir. Bu atak tiplerine örnek olarak “Over-pass-the-hash, DC Sync ve Golden ticket atak” gibi bilinen atak tipleri sayılabilir ve bu atak yöntemleri PTA ile tespit edilip önlenebilir.

PTA’in sağladığı temel tespitlerinden biride Vault erişimlerinde ki yani PAS login işlemlerinde ki anormalliklerdir. PTA, “proprietary profiling” algoritmasını kullanarak PAS kullanıcı davranışlarını bir süre gözlemler ve buna bağlı olarak kullanıclara ait normal erişim davranışlarını belirleyebilir. Öğrenilen bilgilerin sonucunda kullanıcı hareketlerinde ki anormallikleri aşağıda ki gibi listeleyebiliriz;

• Mesai saatleri dışında sağlanan Vault erişimleri
• PAS kullanıcısının her zaman kullandığı adres dışında farklı bir adresden Vault erişimi yapması
• Vault kasalarda tutulan ayrıcalıklı hesaplara normalden fazla sayıda erişim
• Uzun zamandır pasif olan bir PAS kullanıcısının Vault’a erişimde bulunması

CyberArk PTA ile birlikde tespit edilebilen incident’lara ait tüm detaylı listeye https://docs.cyberark.com/Product-Doc/OnlineHelp/PAS/Latest/en/Content/PTA/What-Does-PTA-Detect.htm?Highlight=what%20can%20we%20detect%20by%20PTA adresinden ulaşabilirsiniz.

ALERT:

PTA topladığı veriler ışığında tespit ettiği kritik incident’ları çeşitli alarm yöntemleri ile ilgili Güvenlik ekiplerine gönderir. Ayrıca tespit ettiği incident’ları önem derecesine göre risk skorlamasına tabi tutar ve tespit ettiği incident’ların detaylarını mail olarak ilgili mailbox’a, CyberArk PVWA (Password Vault Web Access) ve bir log management ürününe syslog olarak gönderebilir.

CyberArk PAS Web arayüzü sunucusu olan PVWA ile karşılık https iletişim sayesinde PTA tarafından tespit edilen incident’lar PVWA Web arayüzden’de (Security events tabından) eş zamanlı takip edilebilir. Ayrıca oluşan incident’ı CyberArk kullanarak ortadan kaldırmak için gerekli öneriler ve ilgili session’ı yine aynı arayüz üzerinden geriye dönük izlemek mümkündür.

PTA ile birlikde özellikle PSM/PSMP-SSH oturumlarında kullanılan yetkili komutları da tespit edip alarm olarak göndermek mümkündür. Ayrıca alarm oluşturulacak komutları belirleyip, hangi kullanıcılar için uygulanması belirlenebildiği gibi, şirket politikasına göre risk skorlaması uygulanabilir. Aynı şekilde windows tarafında tespit edilebilecek birçok incident’da PVWA arayüzünden “security configuration” sekmesinden şirket güvenlik politikasına göre ayarlanabilir veya “Add rule” sekmesi ile yeni bir kural olarak eklenebilir.

RESPOND:

PTA, CyberArk Core PAS ürününün tamamlayacı bir komponent’idir. Bu sayede tespit ettiği bir takım incident’lar için otomatik aksiyonlar alabilmektedir. Alınabilecek otomatik aksiyonları PVWA arayüzünden aktif hale getirebildğimiz gibi aşağıda ki gibi sıralayabiiriz;

• CyberArk PAS tarafından yönetilmeyen hesapları tespit edildiğinde CyberArk PAS kasalara eklenmesi sağlamak ve şifresini resetlettirmek.
• CyberArk kasalarda tutulan hesapları, tespit edilen incident’a bağlı olarak şifre değişimine tutulmasını sağlamak.
• CyberArk RDP Proxy üzerinden sağlanan oturumlarda tanımlı incident’ların oluşması durumunda ilgili oturumu terminate veya suspend etmek.

PVWA arayüzünden “security configurations” sekmesinden bu özellikler aktif/pasif hale getirilebilir.

PSM oturumlarının PTA ile analiz edilmesi ve risk skorlaması yapılması sayesinde, Audit ekipleri için oluşan incident’ları önceliklendirme imkanı sağlandığı gibi, alınabilecek aksiyonu otomatik olarak sonlandır veya dondur gibi seçeneklerde sağlanmaktadır. Örnek olarak Windows firewall editlenmesi gibi aktiviler için otomatik terminate veya suspend gibi sadece alarm oluşturulması sağlanabilir.

Kaynaklar:

https://docs.cyberark.com/Product-Doc/OnlineHelp/Portal/Docs.html

Eren Yıldırım

ARCSIGHT İLE ELASTICSEARCH ENTEGRASYONU

Elasticsearch, Java ile geliştirilmiş açık kaynak kodlu, ölçeklenebilir bir full text arama motoru ve veri analiz aracıdır. Elasticsearch üzerinde dökümanlar, indekslenerek JSON formatında tutulur ve o dökümanı diğer dökümanlardan ayıran unique bir ID ye sahip olmasıdır.

En önemli özelliği olarak elasticsearch framework’ü çok hızlı çalışır. Temel olarak bir relational database sisteminin tutabileceği tüm verileri tutabildiği gibi bu verileri bir veritabanı sisteminden çok ama çok daha hızlı bir şekilde sorgulamamıza izin vermektedir. Bu hızı sağlayabilmek için sayısal değerleri, coğrafi değerleri, tarih ve metinleri tutabilecek özel index yapıları kullanmaktadır. Elasticsearch gerçek zamanlıdır, ekleme işleminden kısa bir süre sonra veriler aranabilir hale gelir. Mapping yapılarak dokümanların arama motoruna nasıl aktarılacağı tanımlanabilir. Cluster yapısı çok basittir gereklilik halinde genişletilebilir. Java, Python, PHP, Java Script ve bir çok kodlama dili için destek vermektedir.

Elasticsearch, monitör edebilmek için Kibana ve log barındırmak için Logstash araçlarıyla birlikte kullanılabilir.

Kibana, elasticsearch için hazırlanmış, raporlar ve görsel çıktılar almamızı sağlar. Elasticsearch’e kaydedilen logların anlık olarak izlenmesini ve ihtiyaç duyulduğunda grafiksel istatistikler çıkartılmasını sağlayan bir web uygulamasıdır.

Logstash, logların toplanmasını sağlayan, işleyen ve elasticsearche aktaran bir üründür. Input, Filter ve output olarak 3 konfigürasyon dosyası vardır. Data input ile gelir ve okur, filtreler ve outputa gönderir.

Elasticsearch birçok ürün ile entegre bir şekilde çalışabilir. Bunlardan birisi ise ArcSight ürün ailesinde bulunan SmartConnector’dür. SmartConnectorler ile toplanan loglar elasticsearche iletilebilir ve Kibana üzerinde dashboardlar oluşturularak görüntülenebilir.

ArcSightSmartConnector, kaynaktan toplanan logların CEF formatında parse edilerek istenilen destinationlara iletilmesini sağlayan araçtır.

ArcSight SmartConnector aracılığıyla logların elasticsearchte depolandığı ve Kibana üzerinden dashboardların görüntülendiği bir demo gerçekleştirelim.

Linux sunucusu üzerinde gerçekleştirilmesi gereken konfigürasyonlar:

Elasticsearch kullanılabilmesi için sistem üzerinde Java yüklü olması gerekmektedir. Bu durumda dikkat edilmesi gereken nokta desteklenen Java versiyonunun kullanılıyor olmasıdır. Aşağıdaki komutu kullanarak Java 8 kurulumunu yapıp versiyon bilgisini kontrol edelim.

yum install epel* -y && yum install net-tools wget git nano htop java-1.8* -y

Sistem gereksinimi olarak Linux sunucu versiyonu minimum “CentOS / RHEL 7.4.1708 or later” olarak belirlenmiştir. Gereksinim halinde yum update -y komutu kullanılarak OS versiyonu güncellenebilir. Demonun gerçekleştirildiği sunucunun OS versiyonu CentOS 7.7 olarak belirlenmiştir. Çalışmanın gerçekleşeceği sunucunun version bilgisi kontrolünü görseldeki komutla görüntüleyebiliriz.

Demo test ortamında gerçekleştirildiği için firewall servislerini durdurup disable ederek işlemlere devam edilebilir.

systemctl disable firewalld && systemctl stop firewalld && reboot

Kurulumlar için gerekli repositoryleri eklemek için /etc/yum.repos.d/ pathi altında elasticsearch.repo, kibana.repo, logstash.repo dosyaları oluşturulur. Gerekli repo bilgilerini dosyalar içerisine girdikten sonra kaydedilerek çıkış yapılır.

• elasticsearch.repo dosyası içerisindeki repo bilgileri aşağıdaki gibidir;

[elasticsearch-6.x]

name=Elasticsearch repository for 6.x packages

baseurl=https://artifacts.elastic.co/packages/6.x/yum

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

• kibana.repo dosyası içerisindeki repo bilgileri aşağıdaki gibidir;

[kibana-6.x]

name=Elasticsearch repository for 6.x packages

baseurl=https://artifacts.elastic.co/packages/6.x/yum 4

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

• logstash.repo dosyası içerisindeki repo bilgileri aşağıdaki gibidir;

[logstash-6.x]

name=Elasticsearch repository for 6.x packages

baseurl=https://artifacts.elastic.co/packages/6.x/yum

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

Elasticsearch package spoofing yapılmaması için güvenlik adına ayrı bir KEY ile paketleri imzalanmış durumdadır. Bu yüzden ilk önce ElasticSearchpublic GPG keyi indirerek repositorye eklememiz gerekmektedir. Ekleme işlemini aşağıdaki komutla gerçekleştirebiliriz;

rpm –import https://artifacts.elastic.co/GPG-KEY-elasticsearch

Gerekli ön hazırlıklar tamamlandıktan sonra elasticsearch, logstash ve kibana servislerinin kurulumlarını aşağıdaki komutla gerçekleştirebiliriz;

yum install elasticsearch logstash kibana -y

Elasticsearch, Kibana ve Logstash Konfigürasyonu

ElasticSearch konfigürasyonu

/etc/elasticsearch/ pathi altındaki elasticsearch.yml dosyası içerisinde yapılması gereken konfigürasyonlar tamamlanmalıdır. Bu konfigürasyonlar aşağıdaki gibidir;

– network host : ElasticSearch için erişilebilir IP Adresi

– http.port: 9200 (Default port)

– cluster.name, node.name gibi parametreler de bu konfigürasyon dosyası içerisinde tercihe bağlı olarak editlenebilir.

Konfigürasyon tamamlandıktan sonra elasticsearch servisi başlatılarak enable edilmesi gerekmektedir.

systemctl start elasticsearh && systemctl enable elasticsearch

Elasticsearch servislerinin çalıştığından emin olabilmek için bir request göndererek test edebiliriz. Bu test curl -X GET “10.61.39.142:9200” komutuyla gerçekleştirildiğinde aşağıdaki gibi çıktı alınmalıdır.

Kibana konfigürasyonu

/etc/kibana/ pathi altındaki kibana.yml dosyası içerisinde yapılması gereken konfigürasyonlar tamamlanmalıdır. Bu konfigürasyonlar aşağıdaki gibidir;

-serverhost: Kibana için erişilebilir IP Adresi

-server.port:5601(Default)

-elasticsearch.hosts: Elastic search için konfigüre edilen IP ve Port bilgisi

Konfigürasyon tamamlandıktan sonra kibana servisi başlatılarak enable edilmesi gerekmektedir.

systemctl start kibana && systemctl enable kibana

Logstash konfigürasyonu

Logstash Konfigürasyonları hem SmartConnector hem de Event Broker (Transformation Hub) için gerçekleştirilebilir. Demoda SmartConnector üzerinden ilgili destinationa yönlendirme yapılacağı için /etc/logstash/ pathi altındaki logstash.yml dosyasının SmartConnectore göre düzenlenmesi gerekmektedir.

Module konfigürasyonu tamamlandıktan sonra logstash servisi başlatılarak enable edilmesi gerekmektedir.

systemctl start logstash && systemctl enable logstash

SmartConnector üzerinden logların  iletilebilmesi için destination bilgisinin eklenmesi gerekmektedir. Demo içerisinde ArcSight ürün ailesinden “Test Alert  SmartConnector” kullanarak test eventlerin aktarılması sağlanmaktadır.

SmartConnector destination konfigürasyonu

Kibana arayüzü üzerinde logların ve dashboardların görüntülenmesi

Log akışının ardından loglar kibana üzerinde arcsight-tarih bilgisi formatında gözükmeye başlar. Logları bu formatta görüntüledikten sonra, search yapılabilmesi ve dashboardların görüntülenebilmesi için index pattern oluşturulması gerekmektedir.

Kibana üzerinde Timelion sekmesi altında zaman dilimlerine göre log akışını görüntüleyebiliriz.

Kibana üzerinde Discover sekmesi kontrol edildiğinde logların gelmeye başladığını görüntüleyebiliriz. Burada ArcSight SmartConnector tarafından parse edilen fieldlara göre search yapılabilir.

Kibana üzerinde Visualize sekmesi altından birçok farklı formatta görseller hazırlanabilir. Dashboard sekmesi altından ise oluşturulan görseller ile birlikte dashboardlar oluşturup görüntülenebilir. ArcSight için hazırlanmış örnek dashboard görüntüleri aşağıdaki gibidir;

Kaynaklar

https://www.elastic.co/arcsight

https://medium.com/@AIMDekTech/what-is-elasticsearch-why-elasticsearch-advantages-of-elasticsearch-47b81b549f4d

https://www.grifa.com.tr/blog/web-yazilim/elasticsearch-nedir/html

https://community.microfocus.com/dcvta86296/attachments/dcvta86296/arcsight-discussions/6874/7/Elasticsearch%20%26%20ArcSight%20Deployment%20Guide%20v3.1.pdf

Merve Kaya

Kimlik Hırsızlığına Karşı Cyberark EPM ile Korunma Yöntemleri

Kimlik hırsızlığının anlaşılabilmesi için ilk olarak identity ve credential kavramlarının farklılığı anlaşılmalıdır. Türkçe karşılığında identity, kimlik ve credentials, kimlik bilgisi olarak adlandırılmaktadır.

Kimlik, gerçek bir kişiyi tanımlayan isim, ünvan, bölüm ve diğer kişisel karakterler gibi bir dizi özelliktir.

Kimlik bilgisi, bir kişinin kimliğini kanıtlamasına izin veren kullanıcı adı, e-mail, token, şifre veya biyometrik parametreler gibi bir dizi kimlik doğrulama faktörüdür.

Kişiler ve kurumlar, fiziksel veya dijital yaşamlarında; fiziksel anahtarlardan tokenlara ve kartlara, dijital özel anahtarlara, oturum çerezlerine, dijital sertifikalara, kripto para cüzdanlarına, giriş ve şifre kombinasyonlarına kadar kendilerini doğrulamak için her gün milyarlarca farklı kimlik bilgisi kullanmaktadır.

Siber suç ekosisteminde, buna yönelik birden fazla mekanizma ve araç kullanarak geçerli kimlik bilgileri elde etmeye odaklanan ve büyüyen bir endüstri var. Bu noktada nihai hedef kurumsal veya müşteri kimlik bilgilerini ele geçirmektir. Her türlü kimlik bilgisi, bu ele geçirme saldırılarına karşı savunmasız olabilmektedir.

Kimlik bilgisi hırsızlığı, bu verilerin başkaları tarafından elde edilip, kullanılması işlemidir. Saldırganlar kullanılan kimlik bilgisi ile taklit ettikleri kullanıcıların yetkilerine sahip olabilir ve ayrıcalık bulduklarında bu yetkileri yükseltebilir.

Kimlik hırsızlığı sonucunda saldırganlar ele geçirilen kimlik bilgisine ait banka hesabını, e-mail adresini, kurumsal hesaplarını, çeşitli uygulamalara ait hesaplarını kontrol edebilir. Bu gibi işlemlerde gerçek kullanıcıya ait kimlik bilgileri kullanıldığından geleneksel güvenlik çözümleri yetersiz kalabilmektedir.

Aşağıdaki tabloda bir kimlik hırsızlığına dair yaşam döngüsü gösterilmektedir. İlk olarak kimlik bilgileri elde edildikten sonra bu veriler üzerinde çeşitli filtreleme ve kategorizasyon (yetkili, yetkisiz vb.) yaparak bu hesapların geçerliliği belirlenir. Geçerli hesapların belirlenmesi sonrası saldırganlar bu kimlik bilgilerini doğrudan kullanabilecekleri gibi çeşitli black marketlerde satışa koyabilirler.

Kimlik Hırsızlığı Yaşam Döngüsü

Kullanıcılar kimlik bilgilerini, web adreslerine erişim için tarayıcılarda, bilgi teknolojileri uygulamalarında, uzaktan kontrol için kullanılan uygulamalarda, kişisel parolaları kayıt için kullanılan ve ihtiyaç duyulabilen çeşitli uygulamalarda depolayabilmektedir. Bu kimlik bilgileri tarayıcıların ve uygulamaların kendilerine ait şifrelenmiş dosyalarında tutulmaktadır. Kimlik hırsızlığında saldırganlar tarafından bu dosyalar hedef alınmaktadır.

Genel olarak saldırılar küçük hareketlerle başlar. Bir web sunucusundaki herhangi bir güvenlik açığından yararlanma, bir kullanıcıya gönderilmiş sahte bir mail içeriğiyle, bir kullanıcı bilgisayarında keşfedilmiş güvenlik açığı  veya çoğu henüz keşfedilmemiş olan diğer olası saldırıların bir araya gelmesi olarak başlayabilir.

Bu saldırıların yayılmasında yanal hareketler (lateral movement) kullanılır. Böylelikle elde edilen hesap bilgisi ile erişilebilen tüm alanlara etki etmek ve erişimi sabitlemek amaçlanır. Bu noktada gerekli olan tahribat yaratmak, tüm kontrolü ele geçirmek, veri çalmak gibi işlemler için iyi bir kimlik bilgisidir.

Bir kimlik bilgisi yeni bir makinede her kullanıldığında veya yeni bir kaynağa erişim izni verildiğinde, saldırının yayılabileceği bir yol oluşturur. Şifre nadiren değiştirilirse veya hiç değiştirilmezse bu risk devam edebilir. Bu nedenle, bir saldırı gerçekleştiğinde, tek bir makineden ödün verilmiş olsa bile, daha fazla kimlik ve ayrıcalık elde edilebilecek yollar boyunca saldırı hızla yayılır.

Siber suçlular çeşitli teknik, taktik ve prosedürler kullanarak kimlik bilgilerini çalmaktadır. Kimlik bilgisi çalmak için kullanılan bu yöntemlerden en çok kullanılanlar aşağıdaki gibidir:

• Malware infections
  • Klavye tuşlarını takip eden, ele geçirilen verileri uzaktaki bir noktaya göndermeyi amaçlayan çeşitli zararlı yazılımlar ile kimlik bilgilerini ele geçirmek hedeflenmektedir.
• Phishing
  • Hedef olarak belirlenen bir kullanıcının, sahte içerikli mail ya da telefon görüşmesi gibi yöntemlerle ikna edilerek kimlik bilgilerinin ele geçirilmesi hedeflenmektedir.
• Man in the middle attacks
  • Kullanıcının internet ile olan trafiğinde araya girilerek gerçekleştirilen bu yöntemde trafik üzerinden geçen verilerin izlenerek kimlik bilgisi elde edilmesi hedeflenmektedir.
• DNS hijacking
  • Bu yöntemde kullanıcının gerçekte erişmek istediği domain adresinin farklı bir IP adresine yönlendirilmesiyle kimlik bilgisi ele geçirmek hedeflenmektedir.
• Uygulama ve sistemlerdeki güvenlik açıkları
  • Uygulamalarda ve sistemlerde mevcut olan güvenlik zafiyetlerinin sömürülmesi ile kimlik bilgilerinin ele geçirilmesi hedeflenmektedir.
• Brute force and dictionary attacks
  • Çok kullanılan kullanıcı adı ve parolaları içeren bir sözlük özelindeki kombinasyonların ya da sözlük yardımı olmaksızın var olan bütün kombinasyonların denenmesi ile kimlik bilgilerine erişmeyi hedefleyen yöntemlerdir.
• Non-Technical Methods
  • Kullanıcıların kimlik bilgilerini ele geçirmek için fiziksel olarak yakınında bulunarak giriş bilgilerini almak için gizlice izleme gibi yöntemlerdir.
• Leaked databases
  • Daha önceden sızdırılmış olan veri tabanlarından kimlik bilgisi elde etmek hedeflenmektedir.

Kimlik bilgileri çalındıktan sonra erken bir aşamada tespit etmek, bir saldırının etkisini büyük ölçüde azaltabilir. Kullanıcı hesaplarının yönetimine ilişkin politikaların belirlenebileceği bir çözüm kullanılması birçok saldırının potansiyel etkisini ortadan kaldıracaktır.

Bu noktada ayrıcalık yönetimi, uygulama kontrolü çözümlerinin yanı sıra kimlik hırsızlığının engellenmesine yardımcı olan Cyberark Endpoint Privilege Manager (EPM) çözümünden bahsedilecektir.

Cyberark EPM ile bir çok kimlik hırsızlığının önüne geçmek mümkündür. Kuruluşların kullanıcı şifrelerini tutan ortamlara, Microsoft Windows işletim sistemlerine, web tarayıcılarına, uzaktan erişim ve bilgi teknolojileri(BT) uygulamalarına yönelik tehditlere karşı koruma sağlar.

Cyberark tarafından geliştirilen bir takım politikalar ile kimlik bilgilerinin korunması sağlanır. Çeşitli saldırı vektörleri araştırılarak da bu politikalara yenisi eklenmektedir. Bir web arayüzü üzerinden bu politikaları yönetmek ve kontrol etmek oldukça kolaydır.

Cyberark EPM kimlik hırsızlıklarının algılanmasında ve engellenmesinde “Ayrıcalıklı Tehdit Koruma (Privilege Threat Protection)” modülünden yararlanır. Bu modül içerisinde bulunan politikaları “Detect” ve “Block” olmak üzere iki aksiyonda ayarlamak mümkündür. Detect ile saldırılar algılanıp monitör edilebilmekte, Block ile de saldırılar engellenebilmektedir. Tüm algılanan ve engellenen bu saldırılar “Threat Protection Inbox” üzerinde toplanmaktadır. Burada saldırılara ilişkin detaylı bilgiler; saldırı türü, saldırı yapılan sistem, kullanıcı adı, bilgisayar adı vb.  yer almaktadır.

Cyberark EPM bu tehdit algılama ve koruma politikalarını altı ana grup üzerinden yönetir. Aşağıdaki görselde EPM konsol üzerinde bu gruplar görülebilmektedir.

Tarayıcılarda depolanan kimlik bilgisi hırsızlıklarına dair politikalar ile web tarayıcılarında kullanıcı tarafından kaydedilen kimlik bilgileri korua altına alınır.

Chrome, Firefox, Internet Explorer, Edge ve Opera tarayıcılarının kayıtlı parola ve çerezlerinin tehditlere karşı korunmasını sağlar.

Saldırganlar bu şifreleri yönetici ayrıcalıklarına ihtiyaç duymadan çalarak yanal hareket etmek veya veri sızıntısı için kullanır.

BT uygulamalarında kimlik bilgisi hırsızlığına dair politikalar; en yaygın kullanılan BT uygulamalarında (Keepass, Toad, Filezilla, Git, PuTTY vb.) depolanan kimlik bilgilerini koruyan politikalardır.

Uzaktan erişim için kullanılan uygulamalarda kimlik bilgisi hırsızlığına dair politikalar; WinSCP, mRemoteNG, TeamViewer gibi bir kuruluşun kritik altyapısını yönetmek için kullanılan uygulamalara yöneliktir. Bu uygulamalar, kod ve komutları uzaktan çalıştırabilen ve kuruluşun hemen hemen her yerine bağlanabilen ayrıcalıklı kullanıcıların kimlik bilgilerini kaydeder.

Saldırganlar, bu kimlik bilgilerini ele geçirdiklerinde kuruluşun en hassas bölümlerine ayrıcalıklı erişim elde etmiş olur.

Windows kimlik bilgisi hırsızlığına dair politikalar; hem local hem de domaindeki kimlik bilgileri dahil olmak üzere işletim sistemi üzerindeki kimlik bilgilerini koruyan politikalardır.

Microsoft Windows, şifreleri ve kimlik bilgilerini birçok konumda saklar. Bunlar kullanıcıya, tek bir konumda kimlik doğrulaması yapmasına ve yeniden kimlik doğrulaması yapmadan bir dizi hizmete erişmesine izin veren Tek Oturum Açma (SSO) durumlarında yardımcı olma amacı taşır. Windows Credentials Harvesting politikaları, Microsoft’taki kritik sistemleri saldırılara karşı korur ve saldırganların sistemde yetki olarak yükselmesini ve yanal hareket etmesini önler.

Microsoft Active Directory Veri Deposu (NTDS.dit), kullanıcılar, hizmetler ve uygulamalar için dizin bilgilerini depolayan ve yöneten veritabanı dosyaları ve işlemleri içerir. Bir saldırgan, Golden Ticket saldırısının ön adımı olan krbtgt hesabını çalabilir. Bu noktada Cyberark EPM, Active Directory veri tabanından yapılabilecek kimlik hırsızlığını da algılayabilir.

Saldırganlar bu kimlik bilgilerini ele geçirdiklerinde tüm domain yapısını kontrol altına almayı hedefleyerek Domain Admin hatta Enterprise Admin yetkilerine dahi erişim sağlayabilme fırsatı yakalayabilir.

Örnek senaryo olarak tarayıcılardan ve WinSCP uygulamasından kayıtlı parolaların laZagne.exe ile nasıl alındığına ilişkin görseller aşağıdaki gibidir.

LaZagne açık kaynak kodlu bir uygulama olup Windows ve Linux ortamında çalışmaktadır. Bilgisayar ortamında kullanılan her yazılım kullanılan şifreleri farklı teknikler kullanarak saklar. LaZagne en sık kullanılan yazılımların saklamış olduğu şifreleri görünür hale getirir. İstemci üzerinde depolanmış şifreleri görünür hale getirmek için iki çeşit yöntem kullanır. Çoğu tarayıcı, Windows vault, WinSCP ve diğer uygulamalar Data Protection API (DPAPI) kullanır. Lazagne exe de DPAPI tarafından korunan şifreleri decrypt özelliği sayesinde gerçek hesaba ihtiyaç duymadan çözebilmektedir. İlk olarak oturum açılmış bir bilgisayara erişim sağlaması gerekmektedir. Aktif oturum sayesinde çalıştırılmış işlemler üzerinden tokenları alarak  Windows API (CryptUnprotectData)  ile şifrelenmiş kayıtlı parolaları alabilmektedir. Bu API ihlal edilmiş kullanıcı oturumunda çalıştırılması gerekir. İstemci üzerinde aktif bir işlem yok ise  bağlı olan kullanıcıların dosya sistemi üzerinde (%localappdata%\Google\Chrome\UserData\Default\LoginData) depolanmış dizinlerden şifreleri alabilmektedir.

Bu araçlar bilgisayar korsanlığı için kullanılabilir. Birisi sisteminizden yararlanırsa, kimlik bilgilerini elde etmek için bu tür araçları kullanabilir. Bu adımlar bir sistemden yararlandıktan sonra kolayca uygulanabilir. Burada da görüldüğü üzere kimlik bilgileri kolay bir şekilde elde edilebilmektedir.

Yukarıdaki örnekte “Detect Mod” aktif iken verilere erişilmeye çalışıldığında Threat Detection Events bölümünde bu duruma ilişkin alarmlar oluştuğu aşağıdaki görselde görülmektedir. Bu durumda alarm olsa da kimlik bilgilerine erişim gerçekleşebilmektedir.

Threat Detection Events bölümünde düşen olaylara ilişkin process, zaman, bilgisayar adı, kullanıcı, reputation, dosya bilgisi gibi daha detaylı bilgiler aşağıdaki görselde görülebilmektedir.

Cyberark EPM “Block Mod” aktif edildiğinde tarayıcılardan ve WinSCP uygulamasından kayıtlı parolaların elde edilme teşebbüsü sonrasında ise kimlik bilgilerinin korunduğu ve elde edilemediğine ilişkin görseller de aşağıdaki gibidir.

Detect Mod seçildiğinde alarm oluşmasına rağmen kimlik bilgilerine erişibilir; ancak Block Mod seçildiğinde kimlik bilgilerine erişim de engellenmektedir.

Son olarak, son kullanıcı tarafında iyi bir güvenlik çözümü  olması, bu tür yeni saldırıları önlemek için iyi bir yoldur. CyberArk’ın Endpoint Privilege Manager (EPM) çözümü bellek, registry veya dosyalarda bulunan kimlik bilgisi depolarını koruyabilir, Pass-the-hash, Pass-the-ticket gibi yanal hareketleri de engelleyebilir. Bu ürünle, kötü amaçlı yazılım geleneksel güvenlik çözümlerini atlayabilse bile kritik kaynaklarınız korunacaktır.

Kaynaklar

https://www.cyberark.com

https://github.com/AlessandroZ/LaZagne

https://securityintelligence.com/tag/credentials-theft/

https://n0where.net/credentials-recovery-lazagne-project

https://blog.netwrix.com/2018/05/15/top-10-most-common-types-of-cyber-attacks/

Tuğçe Özen

FILELESS ATAKLAR VE KORUNMA YÖNTEMLERİ

Fileless Malware

Günümüzün yaygın sorunlarından olan siber saldırılar ve tehditler, kişileri, şirketleri ve devletleri zor durumda bırakabiliyor. Siber saldırılar, çeşitli yöntemlerle yapılabilmektedir. Bu yöntemlerden en yaygın olanlarından birisi de “Malware” yazılımlarıdır. Peki nedir bu Malware?

Malware (Malicious Software)

Hemen hemen herkesin bir şekilde duyduğu ya da karşılaştığı bu kötü amaçlı yazılımlara Malware adı verilmektedir. Bilgisayar sistemlerine zarar vermek, kayıtlı bilgileri çalmak/kazanç sağlamak ya da bilgisayar kullanıcılarını rahatsız etmek için hazırlanmışlardır. Bilgisayar sistemi üzerinden USB bellek, harici disk gibi aygıtlara da geçiş yapabilen bu virüs çeşitleri çoğu zaman dokümanlara erişimi de engelleyebilir. İnternet ortamı her ne kadar bilgi ile doluysa da aynı zaman virüs ve malware denilen kötü amaçlı yazılımları da barındırmaktadır.

 Birçok malware tipleri bulunmaktadır. Virüsler, spyware, worm, trojan, browser hijacker, rootkit, malwertising gibi önceden beri var olan zararlı yazılımların günümüzde farklı çeşitleri de ortaya çıkmıştır. Bunlara ek olarak;

• Ransomware,
• Bloatware,
• Phishing siteleri,
• File-less malware,

zararlılarını da artık listeye ekleyebiliriz. Malware in ne olduğunu hatırladığımıza göre bu yazının konusuna artık geçebiliriz.

Fileless Nedir?

Türkçe’ye dosyasız olarak geçen Fileless bir saldırı tekniğidir. Geleneksel zararlı yazılımların aksine diske herhangi bir şey yazmadan, dokunmadan çalışırlar. Fileless tekniğini kullanan zararlılar genellikle işletim sisteminizdeki yerleşik olan araçları, yazılımları ve sistem araçlarını kullanmaktadırlar. Yani fileless malware, bir cihaza bulaşmak için hedefe yeni bir yazılım yüklemek yerine cihazdaki mevcut yazılımları örneğin powershell, cmd, wmic vs. kötü amaçlı kullanan zararlılardır. Direkt olarak hedef sisteme dosya yüklenmez ve RAM üzerinde çalışırlar. Bu yönlerinden dolayı herhangi imza tabanlı bir anti-virüs sistemi tarafından tespit edilemez.

Windows içerisinde bilmediğimiz ve zararlı yazılımların işine yarayacak birçok dosya ve binary bulunmaktadır. Örneğin bitsadmin.exe binary’si arka planda kopyalama, indirme işlemlerini gerçekleştirebilmektedir. Bu da saldırganlar için Windows işletim sistemlerini kullanarak fileless zararlısını kullanmaya bir nevi teşvik etmektedir. Bu zararlı, legal sistem içerisinde çalıştığı için SOC takımları ya da log takibini yapan insanlar için anlaşılmasını oldukça zorlaştırmaktadır. Fileless Malware bu nedenlerden dolayı günümüzde oldukça popüler hale gelmiştir.

Saldırganlar, fileless zararlı yazılımlarını birçok saldırı yöntemiyle kullanmaktadırlar. Fireye’in yaptığı araştırmada, siber saldırıların %91’i email ile başlamakta olup ve bunun %86’sı fileless malware saldırı tekniğini kullanmaktadır. Diğer saldırı yöntemleri ise zararlı url içeren pdf ve zararlı tarayıcı eklentilerini kullanarak saldırı yöntemleri çeşitlenmektedir.

Örnek Saldırı Senaryosu

Bu zararlıya dosyasız dememizin sebebi, zararlının çalışması için herhangi bir kuruluma ihtiyacı olmadığındandır. Hedef ile yine de etkileşime geçmek gerekmektedir. İster flash bellek kullanarak istersek, zararlı Word, PDF içerisine gizleyerek de hedefe zararlıyı gönderebiliriz.

Örnek senaryomuzda hedef cihazda, powerhell uygulamasını tetikleyecek zararlı bir url hazırladığımızı düşünelim.

• Sosyal mühendislik yöntemleriyle hedefle iletişime geçerek bir şekilde mail adresi öğrenilir ve hedefe gönderilir.
• Hedef linke tıkladıktan sonra Powershell tetiklenir.
• Powershell ile hedef sisteme erişerek, keylogger kurulumu yapılıp kullanıcı şifreleri ele geçirilir.

Powershell, özellikle sistem adminleri tarafından sıklıkla kullanıldığından dolayı kullanımının engellenmesi geleneksel güvenlik çözümleri ile mümkün değildir. Fileless Malware ile örnek senaryoya benzer bir senaryo ile hedef sistemlere ransomware fidye yazılımı da bulaştırılabilmektedir.

Yukarıdaki senaryoda aslında fileless malware in süreci görseldeki gibidir. Herkesin ziyaret ettiği ya da edebileceği bir siteye fileless malware gömülerek tıklanması sağlanabilir. Tıklama gerçekleştikten sonra makro yazılımlar çalışmaya başlayacaktır. Makrolar çalışmaya başladıktan sonra bir javascript veya powershell ortaya çıkarak kendini aktifleştirir. Aktifleştikten sonra Windows sistemlerinde bulunan tüm script ve binaryleri kullanarak sistemi ele geçirmeye başlamaktadır. Diske hiçbir şey yazılmamakla birlikte doğrudan RAM üzerinde çalışır. Fileless malware anti-virüs yazılımlarını da bu şekilde atlatmaktadır.

Fileless Malware Yaşanmış Saldırılar

Fileless Malware günümüzde popüler olmasına karşın ilk olarak 2015 yılında, Kaspersky şirketini hedef alan bir dosyasız yazılımla keşfedilmiştir. Duqu zararlısının ağda en az 6 ay boyunca tespit edilemediğini hesaplayan Kaspersky, bu virüsü Duqu 2.0 olarak adlandırmıştır. Duqu, Word belgesinden doğrudan Kernel moduna geçmelerini sağlayan bir zafiyet doğurmuştur.

2017 yılında çıkan bir habere göre, Rus Hackerların, atmler de Fileless Malware tekniğini kullanarak 800.000$ çaldıkları tespit edilmiştir. Bu saldırıda ATM lerin mevcut meşru yazılımları kullanarak yapıldığı tespit edilmiştir. Haberi linkten okuyabilirsiniz. https://www.vice.com/en_us/article/538ebn/atm-hack-russia-disappearing-malware

Yine 2017 Mayıs sıralarında da saldırganlar, Asya’da bulunan bir şirketi hedef aldı ve Powershell scriptleri kullanarak sistemde yetki kazandılar. Cobalt Strike Beacon’ı kullanarak bir komuta kontrol sunucusu ile iletişim kurduğu için saldırı, “Cobalt Kitty” olarak isimlendirilmiştir.

Fileless Malware Uygulaması

Yukarıdaki bilgilerle Fileless Malware in ne olduğunu, nasıl çalıştığını, hangi yöntemlerde kullanıldığını öğrenmiş olduk. Ben bir de Fileless Malware i lab ortamında kurup, hangi yöntemlerle de korunacağını göstermek istiyorum. Malware demosunu gerçekleştirmek için hazır olarak github üzerinde frameworkler bulunmaktadır. https://github.com/cobbr/Covenant adresindeki Covenant Framework ünü kullanarak bir fileless oluşturup, belirlediğim hedef bilgisayara zararlıyı enfekte edeceğim. Siz de kendi lab ortamınızda adresteki Covenant Framework ü indirerek test edebilirsiniz. Uygulama .net ile yazılmış olup, docker olarak da kurulumunu gerçekleştirebilmektesiniz. Kurulumu tamamladıktan sonra oluşturacağınız kullanıcı adı ve şifre ile kendi ip adresinizi:7443 portunu kullanarak ara yüze ulaşabilirsiniz.

Uygulamanın ara yüzü bu şekildedir. “Listener” bölümünden, kullanacağımız zararlının hangi portu dinleyeceğini belirleyebiliriz. Ben burada listener a “filelesstest” adını verip, dinleyeceğim portu da 4443 olarak belirledim. IP adresi bilgisini de kullandığınız cihazın IP adresini vermelisiniz. Oluşturduğum url’ye kullanacağımız “launcher” lar ile bağlantıyı gerçekleştireceğiz.

“Launcher” bölümünü görüntülediğimizde, kullanacağımız servisleri ve binarylere ulaşabiliriz. Listede bulunan servislerin hepsi Windows’un kendi servisleridir. Ben burada PowerShell uygulamasını kullanarak zararlıyı oluşturacağım. Powershell’e tıklayıp ilerleyelim.

Burada oluşturduğumuz “listener” ı seçmemiz gerekmektedir. Bu listener ile zararlıya, belirlediğimiz porttan ulaşabileceğiz. Bu alanda herhangi bir değişiklik yapmadan devam edebiliriz. Parametre alanında da, powershell çalışırken hangi parametreleri kullanmasını istiyorsak kendimize göre dizayn edebiliriz. Bu parametre de, zararlı çalıştıktan sonra powershell i otomatik olarak kapatacaktır. “Generate” e tıkladığımız an da hemen alt alanda zararlı oluşacaktır.

Görüldüğü gibi hedef sisteme göndereceğim pdf, Word, email içerisine bu kodu gömmemiz gerekmektedir. Bu kod ile zararlı powershell i tetikleyip sisteme sızmamızı sağlayacaktır. Ayrıca burada “encoded launcher” seçeneğiyle oluşturduğumuz kodu şifreleyebilmekteyiz. Bu şekilde bulunması ekstra zorlaşacaktır. Launcher alanındaki kodu kopyalayıp belirlediğim Windows Server 2012 cihazımda powershell e yapıştıracağım. Burada bu kodu Word, pdf e gömerek ya da başka yöntemlerle de hedefe zararlıyı gönderebiliriz.

Launcher dan kopyaladığımız kodu hedef sistemde bulunan powershell alanına yapıştırdım. Oldukça uzun bir koddur. Bu kod daha da kısaltılabilir. Kodu yapıştırdıktan sonra enter’a basıp çalışmasını sağlamalıyız. Enter tuşuna bastıktan sonra powershell kendini kapatacaktır. Burada herhangi bir hata ile karşılaşırsanız güvenlik duvarının aktif olup olmadığına dikkat ediniz. Güvenlik duvarının algılamasının sebebi Covenant Frameworkte bulunan tüm zararlı çeşitlerini artık ortaya çıktığı için Windows Defender tarafından tanınmaktadır.

Zararlıyı çalıştırdıktan sonra Covenant Framwork e gelip Dashboard alanını kontrol edelim. Hedef sisteme artık oluşturduğumuz zararlı yazılım enfekte olmuştur. Grunts alanına giderek hedef sistem üzerinde birçok şey yapabiliriz.

Grunt alanı, ele geçirmiş olduğumuz hedef sistemle etkileşime geçtiğimiz alandır. Burada neler yapabileceğimize “task” alanından ulaşabiliriz. Hedef sistem üzerinde en basit olarak screenshot alabilir, kullanıcı şifrelerini ele geçirebilir ya da zararlının kalıcı olmasını sağlayabiliriz.

“Interact” bölümünde hedef sistem üzerinde istediğimiz her işlemi gerçekleştirebiliriz. Hedef sisteme “whoami” diye soru yönelttiğimde kendi bilgilerini göstermektedir. “GetDomainUser” parametresini kullandığım zaman tüm kullanıcının bilgilerini göstermektedir. Oldukça fazla komut olduğu için hepsini denememiz neredeyse imkansızdır. Sizde kurmuş olduğunuz lab ortamında komutları ve zararlı oluşturma seçeneklerini görüntüleyebilirsiniz.

Peki Fileless Malware den nasıl korunuruz?

Korunma Yöntemleri

Bu tip ataklarda enfenksiyon noktası olan son kullanıcı makinalarında gerekli koruma ve izleme önlemleri maksimum seviyede alınmalıdır.

• Kullanıcı makinalarıdaki lokal admin hakkı alınmalıdır
• Makinalarda dahili birimler üzerinden bulaşmayı kontrol altına almak adına media/port protection korumaları yapılmalıdır.
• Son kullanıcı makinalarındaki windows event loglar mutlaka izlenmelidir/merkezi bir log yönetim sistemine atılmalıdır
• Gelişmiş atakların monitor edilmesi ve engellenmesi için makine öğrenmesi  ve davranış analizi yapan sistemler kullanılmalıdır.

Bu anlamda WEF konfigürasyonu ve ya sysmon gibi yazılımlar, EPP ve EDR çözümleri, son kullanıcı makinalarındaki yetki yönetimi yapan yazılımlar  önemli fayda sağlayacaktır.

Tüm bunların yanında şirket uç noktasında çift yönlü haberleşmeyi kontrol eden IPS, Web Filtreleme, Sandbox gibi güvenlik teknolojilerin konumlandırılması ve güvenlik politikalarının sıkılaştırılması gerekmektedir. Cloud kullanımlarında ise Cloud Application/Access Security Broker(CASB) sisemleri kullanılabilir Günümüzde internet trafiğinin %80’nin şifreli olduğunu göz önüne aldığımızda güvenlik cihazlarının SSL trafiğini şifresiz inceleyebilmesi için SSL/HTTPS inspection mutlaka yapılmalıdır.

Siber saldırıya uğramış kurumların log management sistemlerinin geniş spekturumda iç entegrasyonu gerçekleştirilmeli, log review yapmalı, özelleştirilmiş korelasyon kuralları oluşturulmalı, incident management süreçlerini olgunlaştırılmalı ve senaryo çalışmaları ile de otomatik aksyionlar hayata geçirilmelidir. Mitre Att&ck framework’ü içinde bulunan teknik ve taktiklerin incelenmesinin ve SIEM sistemelerine entegrasyonunun sağlayacağı faydaya da değinmeden geçmemek lazım. Fileless Malware ile ilgili T1086 tekniğini https://attack.mitre.org/techniques/T1086/ adresinden inceleyebilirsiniz.

Diğer korunma yöntemlerinden  en klasik ve bir o kadar da önemli olanı kullanılan yazılımların en güncel seviyede tutulması gerekliliğidir. Phishing saldırılarına karşı e-mail güvenliğini sağlayıp, Microsoft Office yazılımlarında macro özelliği devre dışı bırakılmalıdır. Kurumlar bu tür zararlıları engellemek için doğru güvenlik yatırımları yapmaları gerekmektedir. Ayrıca bu tür tehditlerin her zaman farkında olup, sistemlerini güncel tutmaları gerekmektedir.

Kaynaklar

https://www.vice.com/en_us/article/538ebn/atm-hack-russia-disappearing-malware

https://www.youtube.com/results?search_query=yeni+nesil+fileless+zararl%C4%B1

https://www.cybereason.com/blog/fileless-malware

https://www.youtube.com/watch?v=atL1WmmMJJw&t=475s

Sergen Yanmış

HTML5 Nedir? CyberArk HTML5 GW ile Hedef Sunucuya Bağlanma

Asıl konumuza giriş yapmadan önce HTML5 teknolojisine ufak bir girizgah yapalım.

HTML5, web siteleri oluşturmak için kullanılan hiper-metin işaretleme dilinin son sürümüdür. Önceki sürümleri ile aynı özellikleri sunmakla birlikte daha bir çok yeni özellikleri beraberinde getirmektedir. Bunlardan bazılarını sıralayacak olursak:

• Detaylı işleme modelleri içerir.
• Standart yazım dilini ilerletir, geliştirir ve rasyonalize eder.
• Kompleks web uygulamaları için API’ler sunar.
• Çok platformlu mobil uygulamalar için potansiyel adaydır.
• Üçüncü parti yazılımlara ve eklentilere ihtiyaç duymadan multimedya ve grafik görüntüleri oynatabilir.

Gelmiş olan bu yeni özellikler sayesinde artık hedef sistemlere HTML5 ile bağlantı yapmak mümkün hale gelmiştir.

Birçok kuruluş, güvenlik gereksinimleri veya regülasyonlar nedeniyle son kullanıcı makinalarından RDP istemcisini (protokol/port) engellemektedir. Bu sebeptendir ki uzak sistemlere bağlantıların güvenli yolu HTML5 ile yapılmaktadır. Bağlantılar Web Tarayıcısı üzerinden yapılacağından herhangi bir RDP istemcisi ya da üçüncü parti yazılıma ihtiyaç duyulmaz. Bu sayede işletim sistemi farkı gözetmeksizin masaüstü ve hatta mobil cihazlarla da hedef sistemlere bağlantı sağlamak mümkündür.

Avantajları:

• Tüm tarayıcılar için birleşik deneyim sağlar.
• İşletim sistemi bağımsızdır.
• Tarayıcısı olan her akıllı cihaz ile bağlantı yapabilme desteği sunar.
• Eklentiye ihtiyaç duymaz. (Adobe Flash Player vs)
• Öncesinden uygulama kurulumu ve yapılandırmasına ihtiyac yoktur.
• Mimariyi basitleştirir, RD Ağ geçidi ihtiyacını ortadan kaldırır.
• Harici kullanıcılar için kullanım kolaylığı sağlar.
• SSL-VPN konusu masada olduğunda kolaylık sağlar.

Dezavantajları:

• Bağlantı Web Browser üzerinden sağlandığından dosya transferinde direkt olarak kopyala / yapıştır yapılamamaktadır.
• Yine aynı şekilde Clipboard direkt olarak desteklenmemektedir.

Her iki madde için de CyberArk dolaylı yoldan çözüm yolu sağlamaktadır.

İşte tam da bu noktada CyberArk, bize ayrıcalıklı hesaplar ile izole şekilde hedef sistemlere HTML5 vasıtasıyla bağlanmamıza olanak sağlıyor. Aşina olduğumuz CyberArk PSM bağlantılarında olduğu gibi HTML5 GW üzerinden sistemlere bağlantı sağladığımızda da oturum kayıt altına alınıyor ve kullanmış olduğumuz komut ya da çalıştırmış olduğumuz process’lerin de ayrıca kaydı plain text olarak tutuluyor.

CyberArk ekosisteminde bulunan RDP, ActiveX ve HTML 5 teknolojilerini aşağdaki tabloda inceleyebiliriz:

(Tablo 1.1)

Aşağıdaki diagramda görüleceği üzere kullanıcı, CyberArk PVWA (Password Vault Web Access) arayüzünden ayrıcalıklı hesaba bağlan butonuna tıkladıktan sonra istek HTML5 GW’ine WebSocket (port 443) üzerinden yönlendirilmekte ve sonrasında HTML5 GW bu isteği RDP protokolü ile CyberArk PSM (Privileged Session Manager) sunucusuna iletmektedir. PSM, ilgili hesabın hassas bilgilerini (şifre) kasadan aldıktan sonra hedef sunucuda oturum açmaktadır. Aslında bilindik bağlantı prosedüründen farklı olarak PSM sunucusunun önüne HTML5 Gateway konumlandırmış olduk.

HTML5 Gateway (Apache Tomcat & Apache Guacamole bileşenlerinden oluşmaktadır.)

CyberArk HTML5 DEMO:

CyberArk PVWA arayüzüne giriş yaptıktan sonra bağlantı kurmak için kullanacağımız ayrıcalıklı hesabımızı seçip connect düğmesine basıyoruz.

Karşımıza gelen bu ekranda,

1. AllowSelectHTML5 seçeneği açık ise hedef sisteme HTML5 ile bağlantı sağlanacaktır. Eğer kapalı duruma alınırsa daha önceden aşina olduğumuz RDP istemcisi ile hedef sisteme erişilecektir. Bu seçenek kullanıcıya bırakılabileceği gibi bağlantı metodu CyberArk Admin tarafından da belirlenebilir.
   1. Remote Machine bağlantı yapılacak hedef sistemin IP ya da Hostname’i girilmelidir.
   1. Connect tuşuna basarak sisteme bağlantı sağlanır.

Bağlantı kurulurken ekranın sağ alt köşesinde oturumun kayıt altına alındığı ile ilgili bilgi 5 saniye gözükecek ve kullanıcı bilgilendirilecektir. Bu varsayılan değerdir istendiğinde değiştirilebilir.

CyberArk HTML5 Gateway ile web tarayıcımız üzerinden bağlantımızı gerçekleştirdik.

Yapılan bağlantı yukarıda da bahsettiğim üzere kayıt altına alınmış, çalıştırmış olduğum process’lerin bir dökümü ise sol kısımda listenmiştir.

Bilindiği üzere Web Tarayıcısı üzerinden yapılan bağlantılarda, Kopyala / Yapıştır ile dosya transferi yapılamayacağından, CyberArk bu sorunu aşağıdaki şekilde çözüme kavuşturmuş.

• Dosya transferi

• Clipboard (Pano Kontrol)

(Alt + Ctrl + Shit Tuş kombinasyonu ile)

HTML5 Gateway sunucu isterleri eş zamanlı kullanıcı sayısına göre değişiklik göstermektedir. Konu hakkında CyberArk’ın yayınlamış olduğu tablo aşağıdaki gibidir:

(Tablo 1.2)

Kurulum ve yapılandırma için [email protected] mail adresi üzerinden bizimle iletişime geçebilirsiniz.

Kaynaklar:

https://www.cyberark.com

https://guacamole.apache.org/

https://tomcat.apache.org/

Serdar Kurt

Kriptografi Üzerine <br> Gelişmeler

Günümüzde, yaygın olarak SSL trafiğinde kullanılan RSA Algoritması internete erişimi olan herkesin yıllardır hassas verilerini korumakta. Peki nedir bu RSA algoritması ve neden son yıllarda sürekli gündemde?

RSA, simetrik ve asimetrik kripto algoritmaların asimetrik dalına ait, adını yaratıcısı Ron Rivest, Adi Shamir ve Leonard Adleman’nın soyadlarının ilk harflerinden alan MIT’de 1977’de bulunmuş bir algoritmadır. Geliştirilmesi, güvenli iletişim kurmak isteyen kişi ve uygulamaların haberleşme öncesi; aralarında bir anahtarın güvenli bir şekilde paylaştırılma ihtiyacından doğmuştur.

Çalışma mantığını en basite indirgeyecek olursak, birbirini mantıksal olarak tamamlayan iki parçadan oluşan anahtarın parçalarından biri (public) encyption ve verify yaparken; diğer anahtar parçası (private) decryption ve signing yapmaktadır. Public anahtar ile encrypt ettiğiniz veriyi sadece private anahtar decrypt edebiliyor iken; private anahtar ile sign ettiğiniz veriyi sadece public anahtar ile verify edebilmektesiniz.

Süreç ise; güvenli iletişime başlayabilmek için istemci, sunucudan ona ait public anahtarını kendisiyle paylaşmasını ister. Public anahtar adından da anlaşılacağı üzere herkes ile paylaşılabilir yapıdadır. Sunucunun public anahtarını alan istemci kendine ait simetrik anahtarı, sunucunun public anahtarıyla encypt edip şifrelenmiş halde sunucuya gönderir. İletişim hattı üzerinden bu şifrelenmiş veriye herhangi yetkisiz biri erişse bile sunucunun private anahtarına sahip olmadığından bu veriyi decrypt edemeyecektir. Sunucu, istemci ile paylaştığı public anahtarın eşleniği olan private anahtarı ile bu veriyi decrypt eder ve istemcinin simetrik anahtarını elde eder. İletişimin geri kalanı istemcinin simetrik anahtarı ile encryption-decryption yapılarak devam edecektir. İletişimin simetrik anahtar ile devam etmesinin sebebi, RSA gibi asimetrik anahtarlar her ne kadar güvenli bir iletişim kurulmasına olanak sağlasa da simetrik anahtarın encrypt-decrypt hızını yetişememektedir. 

Grafik 1 (Applying Encryption Algorithm for Data Security in Cloud Storage)

Grafik 2

Performans Test Sunucusu Konfigürasyonu

• CPU : i5 8400 (has the AES-NI)

• Memory : 16G DDR4

• Disk : Inter SSD 1T

• OS : CentOS Linux release 7.6.1810 (Core)

• OpenSSL :  OpenSSL 1.0.2k

Simetrik algoritmaların hız avantajına karşılık, taraflar arasında paylaşılma sorununu gidermiş olması RSA algoritmasını günümüz güvenlik dünyasında en çok kullanılan algoritmalar arasına sokmuştur.

Key Uzunlukları Arasındaki Farklılıklar

Neden RSA anahtarların key size larında binlerce bit kullanılırken, AES gibi simetrik anahtarlarda birkaç yüz bit fazlasıyla güvenlik sağlamakta?

Öncelikle neden RSA ve AES algoritmaları kullanılan bit size ları arasında fark olduğu ile başlayalım. Bit in alabileceği iki lojik değer olduğu hepimizin malumu 1 ya da 0, dolayısıyla eğer algoritma içerisinde bir açık yoksa bir anahtar ile şifrelenmiş veriyi kırabilmek için 2n adet deneme yapılması gerekmektedir. Ancak asimetrik anahtarlardan olan RSA altyapısı simetrik anahtarlardan farklı olarak rastgele seçilmiş iki prime sayının çoğullanmasına dayandığı için 128-bit lik RSA anahtar, AES-128 de olduğu gibi 2128 anahtar uzayı sağlamaz. AES-128 ile aynı seviyede güvenlik sağlayabilmesi için RSA anahtarın uzunluğunun 15360-bit olması gerekmektedir.

Kripto Algoritmaların Geleceği

US National Institute of Standards and Technology (NIST) ye göre 112-bit ve üstü uzunluğa sahip simetrik anahtarlar 2030’un sonuna kadar güvenli sayılacaklar. Ancak simetrik anahtarlarda kullanılan 112-bit güvenlik katmanının, asimetrik anahtarlardaki karşılığı 2048-bit tir. Bu yüzden 2013 yılında Google HTTPS bağlantılarında 1024-bit anahtar uzunluğunu 2048-bit e çıkardı. 2031 yılından itibaren kullanılacak anahtarların güvenli sayılabilmesi için; simetrik anahtarların minumum 128-bit, RSA anahtarların minimum 3072-bit key uzunluğuna sahip olması gerekecek. Key uzunluğu arttıkça donanımların kriptografik operasyonlar için ayırması gereken kaynak doğal olarak artacak.

Alışılagelen sunucular üzerinde bu süreçlerin devam ettirilmesi güçleşeceğinden, günümüzde bankacılık sektöründe yaygın kullanılan, kriptografik süreçler için özelleştirilmiş Hardware Security Module (HSM) lerin kullanımının artması ve Elliptic Curve gibi Quantum Computing ataklarına karşı geliştirilen algoritmaların yaygınlaşması beklenmektedir.

Kaynakça

1. “Advanced Encryption Standard”, FIPS 197, 2001, National Institute of Standards and Technology (NIST),
2. “Standards for Efficient Cryptography Group (SECG)”, Elliptic Curve Cryptography, SEC 1, version 2, 2009.
3. “A Survey of the Elliptic Curve Integrated Encryption Scheme”, Journal of Computer Science and Engineering, Volume 2, Issue 2, August 2010
4. “Applying Encryption Algorithm for Data Security in Cloud Storage”, Zaid KARTIT, Ali AZOUGAGHE, H.KAMAL IDRISSI, M.EL MARRAKI, M.Hedabou, M.BELKASMI, A.KARTIT

Onur Demir

Kurumsal Sosyal Medya Hesaplarının Yönetimi

Dijitalleşen dünyada, kişiler zamanlarının büyük bir çoğunluğunu internette,  sosyal paylaşım platformlarında geçiriyor. Bu durumdan yararlanmak isteyen firmalar internetteki görünürlüklerini arttırarak, itibar ve marka gücünü yükseltme şansı yakalıyor. Dolayısıyla, sosyal medya hesapları sayesinde markalarını öne çıkarabilen kurumlar, aynı zamanda müşterileriyle etkileşim halinde bulunup,  anlık nitel ve nicel veri analizi yapabilirler. Bu nedenle, günümüzde birçok şirket sosyal medya hesaplarını pazarlama aracı olarak kullanmaktadır. Pekii firmalara hızlı ve etkili iletişim imkanı sunan bu platformlar ne gibi riskler barındırıyor?

Kurumsal medya hesabınız, yeterli yetkinlik düzeniye sahip olmayan bir ekip tarafından yönetiliyorsa tehlikedesiniz demektir. Markanızı temsil ettiğiniz bu hesabın dili oldukça önemlidir. Hedef kitlesine yönelik, ne çok resmi ne de kurumsallıktan uzak; aynı zamanda  vizyon ve misyonunuzu yansıtabildiğiniz bir dil olmalıdır. Bir başka deyişle, yalnızca reklam amacı gütmeyen; insanlar için değer verici içerikler üretip, paylaşabildiğiniz sürece kitleleri etkileyebilirsiniz. Bu nedenle sosyal medya hesabınızın doğru kişi/kişilerce yönetildiğinden emin olmalısınız. Bu kişiler aynı zamanda sosyal medya hesaplarının güvenliğinden de sorumludur. Sosyal platform giriş ekranında kullanıcıadı/parolanın kaydedilmesi, parolanın 3. kişilerle paylaşılması veya bir yerlerde yazılı olması güvenlik açığıdır. Sosyal medya hesaplarını yöneten kişiler bu durumun farkına varıp, bu güvenlik açığından yararlanmak isteyen kötü niyetli kullanıcılara engel olmak adına çeşitli güvenlik önlemleri almalıdır. Aksi takdirde, güvenlik açığından ötürü kötü niyetli kullanıcıların hedefi haline gelen, büyük firmaların yaşadığı olaylara benzer durumlarla karşılaşabilirsiniz.

Geçtiğimiz yıllarda Twitter hesabı hacklenen BurgerKing’in ana sayfasında en büyük rakibi McDonald’s firmasının logo’sunu paylaşılmıştır. Bu durumda BurgerKing kendi reklamını yapmak isterken, ezeli rakibinin reklamını yapmıştır. 

“Gün geçmiyor ki HBO’dan bir hack haberi gelmesin” şeklinde duyurulan sosyal medya hesaplarının hacklendiği bilgisi, HBO televizyon kanalının itibar kaybetmesine neden oldu . Üyeler, dizilerin son bölümleri de sızdırılsın, bizler de rahat edelim diyerek isyan ediyor. 

Dünyanın önde gelen sohbet uygulamalarından biri olan Skype da resmi blog sitesi ve twitter hesabını kötü niyetli kullanıcılara kaptırarak hackerların gazabından nasibini almış oldu. Hackerlar “Microsoft hesaplarınızı kullanmayın, kişisel bilgileriniz hükümetlere satılıyor” diyerek kullanıcıları tedirgin edici mesajlar yayınlamıştır.

Bu örneklerden de görebileceğimiz gibi, sosyal medya hesaplarınızın çalınması, kurumsal itibarınızı zedeleyebilir ve maddi kayıplara yol açabilir. Kurumsal kimliğinizi yansıttığınız bu platformlara erişimlerde kullandığınız hesabın güvenli bir şekilde yönetildildiğinden emin olmalısınız.

 Öncelikle kurumsal hesabınıza ait kullanıcıadı/parola bilgisinin yalnızca yetkili kullanıcılar tarafından bilindiğinden emin olmalısınız. Parolanın görülmüş veya farklı bir kullanıcı ile paylaşılmış olmasına karşılık sıklıkla değiştirilmesi bir çözüm olarak düşünülebilir. Ayrıca güçlü bir parola -rakamların, karakterlerin, harflerin kullanıldığı- kullanılması, parolanın tahmin edilebilirliğini düşürecektir. Uygulamaya ait gizlilik politikaları mutlaka aktif edilmeli ve mümkünse ikili kimlik doğrulama yöntemi uygulanmalıdır.

Sosyal medya platformlarının önemini göz önünde bulundurduğumuzda bu platformlara giriş yaparken kullandığımız kullanıcıları “ayrıcalıklı hesap” olarak düşünmek kaçınılmaz oluyor. Ayrıcalıklı hesap güvenliği yöntemleri, ayrıcalıklı hesapları korumak, veri sızıntılarının ve siber saldırıların önüne geçmekte en etkili yollardan biridir. Erişim kontrolünün yapılması, parola yönetiminin periyodik olarak gerçekleştirilmesi,  aktivitelerin raporlanması bu ayrıcalıklı hesap güvenliği yönetiminin en önemli maddelerini oluşturmaktadır. Bu yöntemlerin tek bir noktadan uygulanabilirliği, kullanım kolaylığı ve bir çok farklı sistem ile entegrasyonun yapılabilirliği güvenliği bir üst noktaya taşırken, yönetilebilir bir yapı oluşturmanızı sağlayacaktır. Bu tanıma uyan ürünlerden biri olan CyberArk ile hayal edilen bu yapıyı kurmak çok da zor değil. 

Gözlemlerimize göre, sosyal medya hesaplarının önemi, ne yazık ki bir çok firma tarafından gözden kaçırılmaktadır. Genellikle, hesapların parolası hesap ilk açıldığında oluşturulmuş ve bir daha değiştirilmemiş, parolanın kimler tarafından bilindiği tespit edilemez ve dolayısıyla sosyal platform üzerinden yapılacak paylaşımlar kontrol edilemez durumda oluyor. Instagram, facebook,  google, tumblr, pinterest ve LinkedIn gibi birçok sosyal medya platformunun yönetimini CyberArk ile yapmak mümkündür. Böylece kullanıcılar sosyal medya hesaplarının parolalarını bilmeden dahi sosyal medya platformlara erişebilir ve bu platformları yönetebilir. Siz de sosyal medya hesaplarınızın ayrıcalıklı hesap olduğunun farkına varıp, yapınızdaki “privileged access management” ürünleri ile entegrasyonlarını gerçekleştirip, güvenliğini bir üst seviyeye çıkarmalısınız. Kurumsal kimliğinizi yansıttığınız sosyal medya platformlarının hackerlar tarafından ele geçirilmesi firmanıza zarar verecektir. Sosyal medya platformlarının CyberArk ile yönetimiyle ilgili ayrıntılı bilgiye https://www.cyberark.com/blog/social-media-and-shared-privileged-account-preventing-costly-account-takeovers/ adresi üzerinden erişebilirsiniz.

Çağla Demir