Siber güvenlik operasyonlarında ve gelişmiş kalıcı tehdit (APT) senaryolarında, bir saldırganın ağa ilk giriş noktası (Initial Access) genellikle nihai hedef değildir. Saldırganlar, düşük yetkili bir kullanıcı bilgisayarını veya dışa açık bir sunucuyu ele geçirdikten sonra, asıl hedefledikleri kritik verilere, domain kontrolcülerine (Domain Controller) veya finansal sistemlere ulaşmak için ağ içerisinde ilerlemek zorundadır.

Bu stratejik ilerleyişe Yatay Hareket (Lateral Movement) denir. Yatay hareket, bir ağın derinliklerine sızma sürecinin en kritik aşamalarından biridir. Bu aşamada saldırganlar, ağ topolojisini haritalandırır, kimlik bilgilerini toplar ve ele geçirdikleri yetkileri kullanarak bir sistemden diğerine atlar. Bu makalede, modern ağlarda kullanılan temel yatay hareket tekniklerini ve kurumsal yapılarda bu tehditlere karşı nasıl savunma geliştirileceğini teknik detaylarıyla inceleyeceğiz.

Konun Temel Açıklaması

Lateral Movement, bir saldırganın ağın içindeki sistemler arasında yanal olarak yer değiştirmesini ifade eder. Bu süreç genellikle doğrusal olmayan bir döngü çerçevesinde gerçekleşir:

1. Keşif (Reconnaissance): Saldırgan mevcut sistemden erişilebilen diğer cihazları, aktif servisleri ve açık paylaşımları belirler.

2. Kimlik Bilgisi Avcılığı (Credential Harvesting): RAM, disk veya ağ trafiği üzerinden kullanıcı adları, parolalar veya session token‘lar ele geçirilir.

3. Erişim ve Yayılma: Ele geçirilen bu kimlik bilgileri veya sistem zafiyetleri kullanılarak yeni bir sistemde oturum açılır.

Bu döngüsel sürecin temel amacı, ağ içerisinde yetki yükselterek (Privilege Escalation) en yüksek yetkiye sahip “Domain Admin” seviyesine ulaşmak ve hedeflenen verileri dışarı sızdırmaktır.

Teknik Detaylar ve Aşamalar

Yatay hareket teknikleri, saldırganın elindeki verilere ve ağın yapılandırmasına göre çeşitlilik gösterir. En yaygın ve etkili yöntemlerin başında kimlik bilgisi tabanlı saldırılar gelir.

• Pass-the-Hash (PtH): Modern Windows ağlarında parolaların kendisi yerine, bu parolaların matematiksel özetleri olan “hash” değerleri kullanılır. Saldırgan, kullanıcının düz metin parolasını bilmek zorunda değildir. Yerel yönetici yetkisiyle ele geçirilen bir sistemde, LSASS belleğinden alınan NTLM hash’i kullanılarak diğer sistemlere kimlik doğrulaması yapılabilir.

• Pass-the-Ticket (PtT): Kerberos protokolü istismar edilerek “Ticket Granting Ticket” (TGT) biletleri çalınır ve parolaya ihtiyaç duymadan kaynaklara erişim sağlanır.

• Uzaktan Yönetim Araçlarının İstismarı: Sistem yöneticilerinin işlerini kolaylaştırmak için kullandığı yasal araçlar, saldırganlar için “Living off the Land” stratejisinin bir parçası haline gelir. Örneğin, WMI (Windows Management Instrumentation) protokolü veya PowerShell Remoting üzerinden Invoke-Command gibi komutlarla uzak sistemlerde tam yetkili işlemler yürütülebilir.

• SMB Paylaşımları: SMB protokolü üzerinden erişilen yönetici paylaşımları (C$, Admin$), dosyaların hedef makineye taşınması ve servis olarak çalıştırılması için sıkça kullanılır.