IPv6 Zafiyetleri Üzerinden IPv4 Ağlarına Sızma

Dual Stack Tehlikesi

Ağ cihazlarının aynı anda hem IPv4 hem de IPv6 protokollerini desteklemesine dual stack mimarisi adı verilir. Windows macOS ve modern Linux dağıtımları ağı tararken öncelikle IPv6 bağlantısı arar. İşletmeler kendi ağlarında bu protokolü kullanmadıklarını düşünürler. Buna karşın cihazlar arka planda sürekli olarak yönlendirme anonsları bekler.

Bu bekleme süreci ağda büyük bir güvenlik açığı oluşturur. Saldırganlar ağa sızdıkları anda kurban makinelerin bu donanımsal beklentisini istismar eder. Yerel ağda sahte bir yönlendirici gibi davranarak kurban cihazlara hızlıca IP adresleri dağıtırlar. BT ekibi yalnızca IPv4 trafiğini izlerken saldırgan yepyeni bir gölge ağ kurar.

Bu gölge ağ güvenlik duvarı kurallarından ve çoğu yerel denetimden tamamen bağımsız çalışır. Windows işletim sistemleri ağ tercihlerinde her zaman güncel protokole öncelik verir. Yani bir makine iki farklı kanaldan DNS yanıtı alabiliyorsa sistem daima IPv6 sunucusunun sağladığı veriyi kullanır.

Bu küçük mimari tercih saldırganların tüm ağ trafiğini istedikleri yöne çekmelerini sağlayan anahtardır. Bu durum kurum içi yanal hareketleri çok daha görünmez hale getirir. İşletim sistemlerinin pratiklik adına attığı bu adım güvenlik mimarilerini temelden sarsar.

Protokol Zayıflıkları

Geleneksel ağlarda cihazlar IP adreslerini genellikle merkezi sunuculardan alır. Ancak IPv6 yönetim süreçlerini kolaylaştırmak adına SLAAC adı verilen farklı bir otonom mekanizma kullanır. SLAAC sayesinde cihazlar ağdaki bir yönlendiriciden gelen paketleri dinler ve kendi adreslerini otomatik olarak oluşturur.

Bu otonom yapı ağ yönetimini kolaylaştırsa da güvenliği ciddi şekilde zayıflatır. SLAAC mekanizmasının tasarımında herhangi bir kimlik doğrulama adımı kesinlikle bulunmaz. Ağa bağlı sıradan bir cihaz sahte reklam paketleri üreterek kendini ağın ana yönlendiricisi olarak tanıtır.

Saldırganlar komşu cihazları keşfetmek için kullanılan mesajları ustalıkla manipüle eder. Böylece ağdaki tüm cihazların trafik haritası saniyeler içinde baştan çizilir. Standart bir ağda zehirleme yapmak güvenlik araçlarına yakalanırken bu manipülasyonlar çoğu zaman izleme radarından rahatça kaçar.

MITM Kurulumu

Saldırganlar ağ içerisinde ortadaki adam pozisyonu elde etmek için oldukça gelişmiş adımlar atar. Özellikle sızma testlerinde sıkça karşılaştığımız bu durum ağdaki cihazların taleplerine sahte yanıtlar dönerek başlar. İlk olarak saldırgan cihaz yerel ağa sürekli ve hızlı bir şekilde sahte paketler yayınlar.

Bu paketleri alan kurban cihazlar saldırganı meşru ağ geçidi olarak kabul eder. Kurban sistem ağ trafiğini dışarıya aktarırken kendi orijinal bağlantısını kullanmayı tamamen bırakır. Aksine saldırganın oluşturduğu bu sahte ve görünmez tüneli tercih etmeye başlar.

Böylece saldırgan kurbanın tüm internet ve yerel ağ trafiğini doğrudan kendi üzerinden geçmeye zorlar. Üstelik bu işlem kullanıcı tarafında herhangi bir uyarı veya hata mesajı oluşturmadan son derece sessizce gerçekleşir. Tüm veriler şeffaf bir şekilde saldırganın kontrolündeki cihazdan akar.

Buna ek olarak saldırganlar bu kritik aşamada yerel yapılandırma protokollerini de sisteme dahil eder. Kurban makine dışarı çıkış yapmak için ağda bir bağlantı aradığında saldırgan cihaz anında sahte bir dosya sunar. Dolayısıyla bu ayarı alan makine artık her web isteğinde kimlik bilgilerini saldırganın dinleme noktasına aktarır.

DNS Zehirlenmesi

Trafiği kendi üzerine çeken saldırganın bir sonraki stratejik adımı yerel ağ isimlendirme zehirlenmesidir. Kurban makine kurumsal ağ içindeki bir sunucuya veya internet üzerindeki herhangi bir servise erişmek istediğinde ağa sorgu gönderir. Saldırgan bu masum sorguyu anında havada yakalar.

Ardından kurbanın cihazına sahte bir yönlendirme yanıtı iletir. Aslında hedeflenen temel amaç kullanıcının orijinal adrese gitmesini tamamen ve kesinkes engellemektir. İşletim sisteminin mimari yapısı gereği yeni protokol önceliği doğrudan devreye girer ve eski kuralları ezer.

Bu öncelik sayesinde kurbanın cihazı kurumsal ağın meşru yanıtını kesinlikle dikkate almaz. Tam tersine doğrudan saldırganın gönderdiği sahte adrese yönelir. Örneğin kurban şirket içindeki finans portalına gitmek istediğinde sistem onu saldırganın kurduğu sahte bir kopyaya götürür.

Bu akıllıca kurgulanmış yöntem sayesinde saldırganlar ağdaki kimlik doğrulama özetlerini kolayca ele geçirir. Ele geçirilen bu özet veriler ağdaki diğer sunuculara yetkisiz erişim sağlamak için anında kullanılır. Sonuç itibarıyla yalnızca basit bir yönlendirme hilesi gibi görünen bu işlem tüm etki alanını tehlikeye atar.

Gerçek Dünya Saldırı Senaryosu

Bir finans kurumunda gerçekleşen tipik bir sızma testi senaryosunu adım adım ele alalım. Kurum iç ağını tamamen güvenli kabul eder ve yalnızca dışarıdan gelen tehditlere odaklanır. Nitekim içerideki tüm sistemler günceldir ve antivirüs yazılımları aktif olarak harfiyen çalışır.

Bununla birlikte kurum ağına fiziksel olarak bağlanan tek bir cihaz tüm güvenlik dengesini saniyeler içinde altüst eder. Saldırgan cihaz ağa dahil olduğu anda sessizce ortamı dinlemeye başlar. İlk olarak ağda meşru bir yönlendirici sunucu olup olmadığını gizlice kontrol eder.

Bulamadığında ise kendi sahte paketlerini ağa bırakır. Böylece aynı yerel ağda bulunan onlarca bankacılık personeli bilgisayarı bu yeni bağlantı noktasını otomatik olarak sistemine kaydeder. Dahası bu süreçte hiçbir güvenlik alarmı tetiklenmez ve kimse durumu fark etmez.

Personel günlük işlerini yapmak için şirket içi portallara girmeye çalıştığında trafik doğrudan saldırganın cihazına akar. Saldırgan bu aşamada şifreleri kırmakla vakit kaybetmez. Aksine yakaladığı biletleri doğrudan veritabanı sunucusuna aktararak yönetici yetkisi elde eder.

Saldırganların Kullandığı Araçlar

Saldırganlar bu karmaşık süreci kusursuz yönetmek için son derece yetenekli araç setleri kullanır. Özellikle MITRE ATT&CK çerçevesinde de incelenen açık kaynak kodlu araçlar otomasyon yetenekleri barındırır. Bu yazılımlar sayesinde saatler sürecek işlemler saniyeler içinde tamamlanır.

Örneğin yapılandırma manipülasyonu yapan özel komut dosyaları yerel ağda sahte yönlendirici görevini başarıyla üstlenir. Bu yazılımlar kurbanları ustalıkla manipüle ederken ağdaki varlığını gizler. Öte yandan isim çözümleme zehirlenmesi yapan programlar bu zincirin en kritik halkasını oluşturur.

Kurban cihaz sahte ağ geçidine bağlandıktan sonra araç ağdaki tüm isim arama protokollerini zehirler. Dolayısıyla kullanıcıların ağda aradığı her yanlış isim doğrudan saldırganın sahte sunucusuna düşer. Aslında bu sistem ağdaki her türlü kimlik doğrulama talebini dinleyen devasa bir huni gibi çalışır.

Buna ek olarak elde edilen kimlik özetlerini anında diğer sunuculara yansıtan aktarım modülleri devreye girer. Yakalanan bir veri paketi ağdaki daha yetkili bir sunucuya bekletilmeden gönderilir. Hatta bu araçlar birbiriyle tam entegre çalışarak hedef ağın ele geçirilme süresini inanılmaz derecede kısaltır.

İleri Saldırı Vektörleri

Kimlik bilgilerinin ele geçirilmesi saldırının yalnızca başlangıç aşamasını oluşturur. Saldırganlar yakaladıkları özetleri kırmak için zaman harcamak yerine doğrudan aktarım tekniklerine başvurur. İlk aşamada ele geçirilen bu paha biçilmez bilgiler ağdaki diğer kritik sunuculara yönlendirilir.

Hatta bu yönlendirme işlemi saldırganın başlangıçta hiçbir yönetici hakkına sahip olmamasına rağmen sistemlerde işlem yapmasını sağlar. Öte yandan dosya paylaşım protokolü üzerinden gerçekleştirilen bu aktarımlar saldırganın hedef sunucularda uzaktan kod çalıştırmasına imkan tanır.

Saldırgan yüksek yetkili bir kullanıcının trafiğini yakaladığında etki alanı denetleyicisine bağlanarak yeni bir hesap oluşturur. Diğer bir deyişle ağın tam kontrolü dakikalar içinde saldırganın eline geçer. Bununla birlikte kurumlar yatay hareketliliği tespit etmekte genellikle geç kalır.

Ayrıca dizin erişim aktarımı da benzer şekilde ölümcül sonuçlar doğurur. Saldırgan geçen trafiği doğrudan merkez sunucusuna yansıtarak kurumsal veritabanını manipüle eder. Kısacası ağdaki tüm cihazlar körü körüne birbirine güvendiği sürece kötü niyetli bir cihaz yapıyı içten içe çökertir.

Tespit Mekanizmaları

Bu tür sofistike saldırıları engellemenin en önemli adımı güçlü bir izleme altyapısı kurmaktır. Kurumların Güvenlik Operasyon Merkezleri ağdaki anomalileri fark etmek için yalnızca eski nesil trafiğe odaklanmayı derhal bırakmalıdır. Aksine yerel ağdaki tüm yeni nesil yayınlar dikkatle izlenmelidir.

Nitekim ağda aniden beliren çok sayıda yönlendirici anonsu en belirgin saldırı göstergesidir. Bununla beraber merkezi log sistemlerinde olağan dışı yanıtlar için özel uyarı kuralları yazılmalıdır. Bir uç noktanın sürekli olarak farklı bağlantı dosyaları talep etmesi şüpheli bir etkinlik sayılır.

Dahası ağ içi veri trafiğinde gözlemlenen mantıksız aktarımlar ve tekrarlayan bağlantılar derhal analiz edilmelidir. Aslında ağ görünürlüğünü en ince detaya kadar artırmak bu sinsi saldırıları tespit etmenin yegane yoludur. Görünmeyen bir tehditle savaşmak teknik olarak imkansızdır.

Benzer şekilde uç nokta güvenlik ürünleri cihazların ağ yapılandırma değişikliklerini saniye saniye takip etmelidir. Bir sistem aniden varsayılan ağ geçidini değiştiriyor veya beklenmedik bir sunucuya yöneliyorsa ürün anında müdahale etmelidir. Uç nokta ve ağ güvenliğinin entegrasyonu kör noktaları aydınlatır.

Savunma Stratejileri

Kurumsal ağınızı bu tür karmaşık saldırılara karşı korumak için proaktif savunma mekanizmaları geliştirmeniz şarttır. İlk ve en radikal adım kurumunuzda bu protokole ihtiyaç duyulmuyorsa ayarları tüm uç noktalarda tamamen devre dışı bırakmaktır. Ne var ki modern altyapılarda bunu uygulamak sorun yaratabilir.

Bu yüzden ağ anahtarları üzerinde sıkı güvenlik yapılandırmaları uygulamak hayati önem taşır. Ağınızda donanımsal koruma özelliklerini derhal devreye almalısınız. Bu özellik ağ portlarını dinler ve yetkilendirilmemiş cihazlardan gelen sahte yapılandırma paketlerini otomatik olarak engeller.

Buna paralel olarak sahte adres dağıtılmasını engelleyen denetim mekanizmalarını aktif hale getirerek ekstra bir koruma katmanı oluşturursunuz. Yine de tüm bu donanım tabanlı önlemler tek başına tam kurumsal güvenlik sağlamaz ve yazılımsal destek gerektirir.

Aktarım saldırılarını temelden çözmek adına etki alanınızda paket imzalama özelliğini zorunlu hale getirmelisiniz. Sonuç olarak bu özellik aktif olduğunda saldırganlar araya girip trafiği yönlendirse bile paketlerin bütünlüğü bozulacağı için tüm kimlik doğrulama işlemleri doğrudan başarısız olur.

Sibertim Yaklaşımı

Saldırganlar kurumsal altyapınızdaki en zayıf halkayı bulmak için durmaksızın yeni teknikler dener. Geleneksel güvenlik yaklaşımları çoğu zaman sessiz tehlikeleri analiz etmeyi gözden kaçırır. Sibertim olarak sızma testi süreçlerimizde ağınızın sadece görünen yüzünü değil bu tür riskleri de inceliyoruz.

Kısacası sisteminize gerçek bir saldırganın stratejik gözünden bakıyoruz. Uzman ekibimiz ağınızdaki sahte yönlendirici anonslarını ve aktarım zafiyetlerini güvenli bir şekilde simüle eder. İlk olarak mimarinizdeki yapılandırma hatalarını somut kanıtlarla sistem yöneticilerinize sunarız.

Sonrasında bu zafiyetlerin mevcut iş süreçlerinize nasıl zarar verebileceğini tamamen anlaşılır bir dille raporlarız. Nihayetinde altyapınızı geleceğin tehditlerine karşı hazır hale getiririz. Ağınızın içindeki karanlık noktaları aydınlatarak tam kontrol sağlamanıza yardımcı oluruz.

Sık Sorulan Sorular