Sibertim | Yanal Hareket ve Savunma Yöntemleri

Yanal Hareketin İşleyişi

Siber güvenlikte yanal hareket, tehdit aktörünün bulunduğu noktadan ağın daha derinlerindeki cihazlara ilerleyerek erişim alanını genişletmesini ifade eder. İlk cihazın kritik olması gerekmez. Örneğin standart bir çalışan bilgisayarı bile daha önemli sistemlere uzanan bir geçiş noktası görevi görür.

Örneğin kullanıcı, sahte bir e-postadaki zararlı bağlantıya tıklar. Zararlı yazılım çalıştıktan sonra saldırgan ağ hakkında bilgi toplamaya başlar. Bu sırada bağlı paylaşımları, açık oturumları, kullanıcı yetkilerini ve erişebileceği sunucuları inceler. Ardından daha yüksek erişim sunan başka bir hesabı veya cihazı hedefler.

Ancak saldırgan bu süreci çoğu zaman tek adımda bitiremez. Saldırgan önce keşif yapar, sonra kimlik bilgisi toplar, uygun bağlantı yöntemini belirler ve yeni sisteme geçer. Böylece her yeni cihaz, sonraki geçişe zemin hazırlar. Sonuç olarak başlangıçta ulaşamadığı veri tabanlarına, dosya sunucularına veya etki alanı denetleyicilerine yaklaşır.

Kavramın saldırı yaşam döngüsündeki yerini görmek için MITRE ATT&CK Yanal Hareket taktiğini inceleyebilirsiniz.

İlk Erişim

Saldırgan yanal harekete başlamadan önce kuruma ait bir hesaba ya da cihaza erişir. Bu aşamada saldırganlar sıklıkla kimlik avı e-postalarına, zayıf parolalara, güncel olmayan yazılımlara ve hatalı uzaktan erişim ayarlarına başvurur.

MFA koruması olmadan internete açılan VPN, RDP veya web tabanlı yönetim ekranları önemli bir risk oluşturur. Ayrıca saldırgan, daha önce başka bir veri sızıntısında açığa çıkan parolaları yeniden dener ve geçerli bir hesabı ele geçirir.

Sonrasında saldırgan genellikle hemen kritik sunuculara yönelmez. Öncelikle bulunduğu cihazın ağdaki yerini anlamaya çalışır. Ardından kullanıcının erişebildiği sistemleri, grup üyeliklerini ve cihazdaki açık oturumları inceler. Böylece sonraki adımlarını daha doğru planlar.

Ağ Keşfi

Ağ içinde ilerlemek isteyen saldırganın önce ortamı tanıması gerekir. Bu nedenle keşif aşaması, yanal hareketin en önemli parçalarından biridir.

Örneğin saldırgan cihaz adlarını, IP adreslerini, paylaşılan klasörleri, çalışan servisleri ve kullanıcı gruplarını araştırır. Özellikle Active Directory; bilgisayar nesneleri, servis hesapları ve yetki ilişkileri hakkında değerli bilgiler sunar. Bu nedenle gereğinden fazla yetki taşıyan tek bir hesap bile saldırgana birçok sisteme geçiş yolu açar.

Keşif her zaman yoğun bir tarama şeklinde ilerlemez. Deneyimli saldırganlar daha az dikkat çekmek için sorguları yavaş ve aralıklı çalıştırır. Bu nedenle güvenlik ekipleri yalnızca yüksek ağ trafiğine odaklanmamalıdır. Bunun yanında ekipler, normal kullanıcı davranışındaki sapmaları da değerlendirmelidir.

Ağ keşfi örnekleri ve tespit yaklaşımları için MITRE ATT&CK Ağ Servisi Keşfi tekniğine bakabilirsiniz.

Kimlik Bilgileri

Yanal hareketin merkezinde çoğu zaman kullanıcı ve servis hesapları yer alır. Bu nedenle saldırgan, eriştiği cihazdaki parolaları, parola özetlerini, oturum belirteçlerini veya Kerberos biletlerini toplamayı hedefler.

Saldırganın açık parolayı elde etmesi şart değildir. Çünkü bazı kimlik doğrulama verileri, saldırgana açık parolayı bilmeden başka sistemlere giriş yolu açar. Özellikle yönetici hesaplarının standart kullanıcı bilgisayarlarında oturum açması bu riski büyütür.

Bir etki alanı yöneticisi saldırganın kontrolündeki bir cihazda oturum açarsa ayrıcalıklı hesaba ait bazı veriler sistemde iz bırakır. Ardından saldırgan bu bilgilerle daha yüksek yetkiye ulaşmayı dener. Bu nedenle güvenlik ekipleri, ayrıcalıklı hesapların nerelerde çalıştığını ve oturumların nasıl yönetildiğini düzenli olarak denetlemelidir.

Kimlik bilgilerinin sistemlerden nasıl çıkarılabildiğine ilişkin teknik çerçeve için MITRE ATT&CK OS Credential Dumping sayfasını inceleyebilirsiniz.

Yaygın Teknikler

Örneğin Pass-the-Hash tekniğinde saldırgan, açık parola yerine parola özetine başvurur. Özellikle aynı yerel yönetici parolasını birçok bilgisayarda kullanan kurumlarda, tek bir cihazdan elde edilen özet başka sistemlere geçişi mümkün kılar.

Diğer yandan Pass-the-Ticket tekniğinde saldırgan, Kerberos biletleri üzerinden ilerler. Geçerli bir bileti ele geçiren saldırgan, ilgili kullanıcının parolasını bilmeden bazı kaynaklara giriş yapar. Üstelik ayrıcalıklı bir hesaba ait bilet, kritik sunuculara ulaşma riskini artırır.

Bunun yanı sıra saldırganlar yanal hareket sırasında RDP, SMB, WinRM ve WMI gibi uzak yönetim yöntemlerine başvurur. Bu araçlar kurumsal yönetim için gereklidir. Ancak geçerli bir hesap saldırganın eline geçtiğinde aynı araçlar kötü amaçlı işlemlere dönüşür. Bu yüzden güvenlik ekipleri yalnızca bağlantının başarı durumuna değil, davranışın kullanıcı profiliyle uyumuna da bakmalıdır.

RDP, SMB, SSH ve WinRM gibi yöntemlerin saldırılardaki kullanımını görmek için MITRE ATT&CK Uzak Servisler tekniğini inceleyebilirsiniz.

Active Directory Riski

Özellikle Active Directory kullanıcıları, cihazları ve yetkileri merkezi biçimde yönetir. Ancak hatalı ayarlar saldırgana ayrıntılı bir geçiş haritası sunar.

Gereksiz grup üyelikleri, açık kalan eski hesaplar, geniş yetkili servis kullanıcıları ve kontrolsüz delegasyon ayarları yanal hareketi kolaylaştırır. Saldırganlar çoğu zaman doğrudan etki alanı yöneticisi hesabını hedeflemez. Bunun yerine önce daha düşük yetkili hesapları ele geçirir, ardından hesaplar arasındaki ilişkiler üzerinden adım adım ilerler.

Örneğin destek ekibine ait bir hesabın kullanıcı bilgisayarlarında yerel yönetici olması normal izlenimi verir. Buna karşılık aynı hesabın kritik sunucularda da yönetici olması önemli bir risk yaratır. Böylece tek bir cihaz, saldırgana birden fazla sisteme geçiş yolu açar.

Servis Hesapları

Bunun yanı sıra servis hesapları uygulamaları, zaman çizelgesine bağlı görevleri ve arka plan işlemlerini çalıştırır. Ancak kurumlar bu hesapların parolalarını çoğu zaman uzun süre değiştirmez. Ayrıca kurum, kesinti kaygısıyla hesaplara gereğinden fazla yetki tanımlar.

Sonrasında saldırgan servis hesabının parolasıyla hesabın erişebildiği tüm sistemleri araştırır. Üstelik kurum aynı hesabı birden fazla sunucuda kullanıyorsa saldırının etkisi daha geniş bir alanı kapsar.

Bu nedenle kurumlar mümkün olan ortamlarda Grup Yönetimli Servis Hesaplarını tercih etmelidir. gMSA karmaşık parolaları otomatik üretir ve düzenli olarak yeniler. Manuel hesap zorunluysa ekipler hesabın sahibini, kullanım amacını ve erişim alanını açıkça belgelemelidir.

Saldırı Belirtileri

Tek bir kayıt, yanal hareketi çoğu zaman açıklamaz. Bu nedenle güvenlik ekipleri farklı sistemlerden gelen olayları birlikte değerlendirmelidir.

Örneğin bir kullanıcının kısa sürede çok sayıda bilgisayarda oturum açması dikkat çekicidir. Ayrıca güvenlik ekipleri, hesabın normalde erişmediği sunuculara yaptığı bağlantıları incelemelidir. Aynı hesabın farklı cihazlarda eş zamanlı çalışması da önemli bir uyarı oluşturur.

Olağan dışı RDP, SMB veya WinRM trafiği; uzaktan servis oluşturma, yeni görev tanımlama ve yönetici paylaşımlarına bağlanma gibi hareketlerle birlikte şüphe yaratır. Bunun yanında çok sayıda başarısız oturum açma denemesi, saldırganın farklı sistemleri yokladığına işaret eder.

Bununla birlikte yalnızca başarısız işlemleri izlemek yanlış bir yaklaşımdır. Çünkü saldırgan geçerli bir hesap kullandığında hiçbir parola hatası üretmeden ilerler.

Ağ Bölümleme

Genellikle düz ağ yapıları cihazlar arasında geniş iletişim izinleri sunar. Bu nedenle saldırgan, kontrol altına aldığı tek bir bilgisayardan çok sayıda sisteme ulaşır.

Ağ bölümleme; kullanıcı cihazlarını, üretim sunucularını, yönetim sistemlerini ve veri tabanlarını farklı güvenlik bölgelerine ayırır. Ardından kurum, bölgeler arasındaki iletişimi yalnızca gerçek iş ihtiyacına göre açar.

Kurumlar, bir kullanıcıya tüm sunucular yerine yalnızca gerekli uygulamalara erişim vermelidir. Böylece saldırgan standart bir çalışan bilgisayarını kontrol altına alsa bile kritik veri tabanına doğrudan geçemez.

Erişim kararlarını ağ konumundan bağımsız ele alan yaklaşım için NIST Sıfır Güven Mimarisi rehberine başvurabilirsiniz.

Yetki Yönetimi

Aynı zamanda en az yetki ilkesi, kullanıcıların ve servis hesaplarının yalnızca görevleri için gerekli izinlere sahip olmasını amaçlar.

Gereksiz yönetici hakları saldırganın daha hızlı ilerlemesine yol açar. Bu nedenle güvenlik ekipleri kullanıcıların grup üyeliklerini, yerel yönetici yetkilerini ve paylaşım erişimlerini düzenli olarak gözden geçirmelidir.

Bunun yanında kurumlar ayrıcalıklı hesapları günlük e-posta ve internet kullanımı için tercih etmemelidir. Sistem yöneticileri standart işler için normal hesap, yönetim işlemleri için ayrı hesap kullanmalıdır. Ayrıca yöneticiler ayrıcalıklı hesapları yalnızca güvenli yönetim cihazlarında çalıştırır ve kimlik bilgilerinin standart bilgisayarlarda kalmasını önler.

Çok faktörlü kimlik doğrulama, saldırganın ele geçirdiği parolayı tek başına kullanmasını zorlaştırır. Ancak saldırgan mevcut oturumlar, Kerberos biletleri veya sistemdeki diğer kimlik verileri üzerinden saldırı yürütür. Bu yüzden kurumlar MFA’yı ağ ve cihaz güvenliğiyle birlikte uygulamalıdır.

Merkezi İzleme

Bu noktada güvenlik ekipleri yanal hareketi tespit etmek için uç nokta, ağ ve kimlik doğrulama kayıtlarını merkezi bir yapıda toplamalıdır.

Ardından ekipler, etki alanı denetleyicilerindeki oturum açma olaylarını, uzak bağlantıları, sunucu erişimlerini ve güvenlik ürünü uyarılarını aynı zaman çizelgesinde incelemelidir. Çünkü tek bir olayın normal görünmesi bütün hareketin zararsız olduğunu göstermez.

Ayrıca SIEM çözümleri farklı sistemlerden gelen kayıtlar arasında ilişki kurar. Örneğin sistem, bir hesabın önce kullanıcı bilgisayarında, kısa süre sonra birçok sunucuda ve ardından ayrıcalıklı bir sistemde görünmesini tek bir zincir olarak analiz eder.

Bunun yanı sıra EDR ürünleri süreçleri, komutları ve uzak bağlantıları izler. Ancak kurumun yalnızca bu araçları kurması yeterli değildir. Bunun yanında güvenlik ekipleri kuruma özel alarm kuralları hazırlamalı ve bu kuralları düzenli olarak test etmelidir.

Sibertim’in sızma testi ve güvenlik değerlendirme çalışmaları, kurum içindeki geçiş yollarını saldırgan bakış açısıyla ortaya çıkarır. Böylece güvenlik ekipleri yalnızca tekil açıkları değil, saldırganın bu açıkları birlikte nasıl kullandığını da görür.

Olay Müdahalesi

Güvenlik ekipleri yanal hareketi tespit ettiğinde yalnızca ilk cihazı kapatmakla yetinmemelidir. Çünkü saldırganın başka sistemlere geçme, yeni hesaplar açma veya farklı erişim yöntemleri bırakma ihtimali vardır.

Öncelikle olay müdahale ekibi saldırının kapsamını belirlemelidir. Ardından ekip etkilenen kullanıcıları, cihazları ve sunucuları tespit etmelidir. Son olarak ekip şüpheli hesapları kapatmalı veya parolalarını güvenli biçimde yenilemelidir.

Ekip ele geçirilen cihazları ağdan ayırmalı, ancak gerekli adli kayıtları korumalıdır. Aksi halde kontrolsüz silme ve yeniden kurulum işlemleri, ekibin saldırının nasıl gerçekleştiğini anlamasını zorlaştırır.

Ayrıca ekip yeni servisleri, zaman çizelgesine bağlı görevleri, saldırganın oluşturduğu hesapları ve yapılandırma değişikliklerini incelemelidir. Temizlikten sonra ekip, saldırganın kullandığı erişim yollarını tamamen kapattığını doğrulamalıdır.

Sızma Testleri

Buna rağmen kurumlar yanal hareket risklerini yalnızca doküman incelemesiyle her zaman bulamaz. Buna karşılık kontrollü testler, gerçek yetki ilişkilerini ve sistemler arasındaki geçiş yollarını daha net ortaya çıkarır.

Sızma testi uzmanları düşük yetkili bir hesaptan başlayarak hangi sistemlere erişebildiklerini değerlendirir. Bu süreçte uzmanlar ortak yönetici parolalarını, zayıf servis hesaplarını, hatalı ağ izinlerini ve Active Directory yapılandırmalarını inceler.

Kısacası amaç yalnızca bir güvenlik açığının yerini göstermek değildir. Asıl hedef, saldırganın farklı zayıflıkları birleştirerek kritik sistemlere ulaşabileceği rotaları belirlemektir. Bu nedenle Sibertim, bu senaryoları kontrollü biçimde test eder ve teknik ekiplerin önceliklendirebileceği somut bulgular üretir.

Sonuç olarak yanal hareket, saldırganların kurumsal ağlarda erişim alanını genişletmek için kullandığı temel aşamalardan biridir. Gerekli kontroller yoksa standart bir kullanıcı bilgisayarı kritik sistemlere uzanan bir geçiş noktasına dönüşür.

Bu nedenle kurumlar güvenlik yaklaşımını yalnızca dış sınırları korumaya odaklamamalıdır. Bunun yerine ağ içindeki erişimleri, kullanıcı yetkilerini, servis hesaplarını ve uzak bağlantıları sürekli kontrol etmelidir.

Ağ bölümleme, en az yetki ilkesi, ayrıcalıklı hesapların ayrılması, benzersiz yerel yönetici parolaları ve merkezi kayıt izleme temel savunma adımlarını oluşturur. Ayrıca düzenli sızma testleri, saldırganın kullanabileceği gerçek geçiş yollarını önceden görmeyi sağlar.

Sibertim

Özetle yanal hareket riski, tek bir zafiyetten çok farklı eksikliklerin birleşmesiyle büyür. Örneğin gereğinden fazla yetki taşıyan bir hesap, ortak parola veya kontrolsüz ağ bağlantısı saldırganın kritik sistemlere ulaşmasını kolaylaştırır.

Sibertim uzmanları Active Directory yapısını, servis hesaplarını, yetki ilişkilerini, uzak bağlantı servislerini ve ağ bölümlerini kontrollü senaryolarla değerlendirir. Ardından uzmanlarımız bulguları teknik etkilerine göre önceliklendirir ve uygulamaya dönük savunma önerileriyle raporlar.

Kurum ağınızdaki yanal hareket yollarını belirlemek, kimlik güvenliğinizi güçlendirmek ve kritik sistemlere uzanan erişimleri sınırlandırmak için Sibertim uzmanlarıyla iletişime geçin.

Sık Sorulan Sorular