Saldırgan Bakış Açısı ile Değer Yaratmak

Transkript

1 Saldırgan Bakış Açısı ile Değer Yaratmak AYTEK YÜKSEL, BİLG. MÜH., MBA, CISA, O S C P, O P S T, C E H, T S E A Ğ V E W E B E-POSTA: aytek.yuksel@barikat.com.tr TWİT

2 BELİRSİZLİK KORKU ŞÜPHE

3 Savunma için gerekli bilgi saldırıdan gelir

4 Siber Saldırı Kategorizasyonu Temel Güvenlik Hataları Eski Açıklar ve Saldırı Teknikleri Yeni Açıklar ve Saldırı Teknikleri Karmaşık Saldırılar

5 Temel Güvenlik Hataları Güvenlik ihlallerinin %60 ı, BT personelinin yaptığı hatalardan kaynaklanıyor. (Kaynak: Verizon DBIR 2015) Güvenlik ihlallerinin %71 i, temel hatalardan kaynaklanıyor. (Kaynak: IBM 2015)

6 Temel Güvenlik Hataları - I Parola Kullanımı: Ön Tanımlı Parolalar Güvenli Olmayan Parolalar Şifrelenmeden Saklanan Parolalar Tekrar Eden Parolalar Örnek bir bulgu: Google da aşağıdaki aramayı yaptık: site:kurum.gov.tr ext:txt Karşımıza içinde parolalar olan bir dosya çıktı

7 Temel Güvenlik Hataları - II Güvenli Olmayan Konfigürasyon: Dışarıya açık portlar Dışarıya açık yönetim arabirimleri Hatalı kullanıcı yetkileri Yetkilendirilmemiş dosya paylaşımları Yetkilendirilmemiş uzaktan yönetim arabirimleri Geçmişte yapılan işlemlerin erişilebilir olması En yetkili kullanıcı haklarıyla çalışan servisler Örnek bir bulgu: Yetkilendirilmemiş dosya paylaşımında bulunan komut geçmişinden parola elde ettik:

8 Temel Güvenlik Hataları - III Unutulan Sistemler: Kullanım ömrünü doldurmuş sistemler Yenileneceği için özen gösterilmeyen sistemler Örnek bir bulgu: Artık eskisi kadar sık kullanılmayan bir sistem hacklenmiş, saldırgan bir arka kapı yerleştirmiş ve kimse fark etmemiş:

9 Eski Açıklar ve Saldırı Teknikleri Veri sızıntılarının %99.9 unda bir yıldan eski açıklar istismar edildi. (Kaynak: Verizon DBIR 2015) Veri sızıntılarının %33.3 ünde Stuxnet le aynı açıklar istismar edildi. (Kaynak: HP Cyber Risk 2015)

10 Eski Açıklar ve Saldırı Teknikleri Microsoft Açıkları: MS08-67 Güncel olmayan Linux Kernelleri Güncel olmayan İçerik Yönetim Sistemleri Diğer uygulamalar İstismar kodu her yerde mevcut... Örnek bir bulgu: CVE : Data Protector Veri yedekleme çözümü, Genellikle bir sunucuda varsa diğer sunucularda da oluyor. HD Moore Yasası: Sıradan bir saldırganın yetenekleri Metasploit te bulunan istismar kodlarının yetenekleri kadardır

11 Yeni Açıklar ve Saldırı Teknikleri Duyurulan açıklardan %50 si ilk dört hafta içinde istismar edilmeye başlanıyor. (Verizon DBIR 2015)

12 Yeni Açıklar ve Saldırı Teknikleri ShellShock HeartBleed Ghost Örnek: MS15-034: HTTP.sys 14 Nisan 2015 te yayınlandı. IIS leri etkileyen bir uzaktan kod çalıştırma açığı Bu açığı kullanarak hizmet engelleme saldırısı gerçekleştiren istismar kodu mevcut

13 Karmaşık Saldırılar Bir veya birden fazla yöntemin kullanıldığı, hedefi belli, iyi planlanmış otomatize edilmiş, uzun vadeli saldırılar. (APT) Stuxnet Equation Group Çok karmaşık olmayanları da var. Sızma testleri aslında bu durumun bir benzetimini gerçekleştirmeyi amaçlar. (Kaynak: Madiant APT-1)

14 Fark etmiyoruz... Fark edilmesi en uzun süren saldırı, 6 yıl (2287 gün) sonra tespit edilmiş. (Mandiant M-Trends 2014) Sistemlere girilmesi ile durumun tespit edilmesi arasında ortalama 229 gün zaman geçiyor. (Mandiant M-Trends 2014)

15 Fark etmiyoruz sızma testinin sadece 2 sinde, testten haberi olmayan kişiler güvenlik ihlalinden şüphelendi

16 Analiz: Temel Güvenlik Hataları Sorunun Kaynağı: İnsan Hataları Çözüm: Yetişmiş İnsan Gücü Metodoloji

17 Analiz: Açıklar ve Saldırı Teknikleri Sorunun Kaynağı: Teknolojiyi İyi Kullanamama Çözüm: Yetişmiş İnsan Gücü Metodoloji Teknik Yol Arkadaşlığı

18 Analiz: Saldırıyı Fark Etmeme Sorunun Kaynağı: İnsan Hataları Teknolojiyi İyi Kullanama Atıl/Eksik Süreçler Çözüm: İzleme Yetişmiş İnsan Gücü

19 Analiz: Karmaşık Saldırılar Sorunun Kaynağı: İnsan Hataları Teknolojiyi İyi Kullanama Atıl/Eksik Süreçler Çözüm: Metodoloji Bütüncül Yaklaşım

20 Sorun, Analiz ve Çözüm Sorun Kök Sebep Çözüm Temel Güvenlik Hataları Açıklar ve Saldırı Teknikleri Saldırı Fark Edememe Genellikle İnsan Genellikle Teknoloji Teknoloji + İnsan + Süreç Siber Güvenlik İş Gücü (SGİ) Barikat Güvenlik Kontrolleri (BGK) Siber Güvenlik İş Gücü (SGİ) Barikat Güvenlik Kontrolleri (BGK) Merkezi Gözlem Hizmeti (MGH) Siber Güvenlik Operasyon Merkezi (SGOM) Karmaşık Saldırılar Teknoloji + İnsan + Süreç Barikat Güvenlik Sistemi (BGS) Teknolojiler: Teknik Çözümler ve Danışmalık (Barikat Teknik Destek, SAM) Durum Değerlendirmesi: Güvenlik Analizi ve Denetimleri (Pro Hizmet)

21 Sorularınız ve Önerileriniz

22 Teşekkürler ÖZEL sorularınızı ve aklınıza gelen konuları çözüm masasında sorabilirsiniz