Saat 03:14. Ekranın yaydığı o soğuk mavi ışık, masadaki artık buz gibi olmuş kahve bardağına yansıyor. PulseCom (kurgusal şirket) için kurduğumuz yeni izleme dashboard'unda tuhaf bir hareketlilik var. Normalde bu saatlerde sessizleşmesi gereken VPN ağ geçidinden, yani SonicWall SMA cihazından garip paketler geçiyor. Bir siber güvenlikçi için gece yarısı gelen o 'beklenmedik' trafik, aslında felaketin ayak sesidir. Ben bu sahneyi daha önce defalarca yaşadım. Ama bu seferki farklı; çünkü az önce The Hacker News’te okuduğum o haber, tam da şu an karşımda duran cihazın can çekişiyor olabileceğini söylüyor. SonicWall SMA 100 serisi cihazlardaki sıfırıncı gün (zero-day) açıklarından bahsediyorum. Hani şu biz uyurken, üreticinin bile haberi yokken saldırganların kapıyı çoktan araladığı o karanlık senaryo.
Sızma testi yaparken her zaman en zayıf halkayı ararız. Ama bazen o zayıf halka, bizzat kapıyı koruması için binlerce dolar döktüğünüz güvenlik cihazının kendisi çıkar. SonicWall SMA serisindeki bu son olay da tam olarak bu trajedinin bir parçası. Saldırganlar, cihazda daha önce kimsenin bilmediği bir zayıflığı kullanarak kök dizin erişimi (root access) elde ediyorlar. Eh, biraz kaba bir tanım ama kök yetkisi demek, o kutunun içindeki her şeye sahip olmak, tüm trafiği okumak ve hatta içerideki ağa giden bir tünel kazmak demek. Yani saldırgan sadece kapıyı kırmıyor; anahtarı çoğaltıp evin içinde sizinle birlikte yaşamaya başlıyor. PulseCom (kurgusal şirket) gibi devasa bir altyapıda böyle bir sızıntı, tüm müşteri verilerinin ve iç haberleşmenin bir anda 'attacker[.]example[.]com' gibi adreslere akmaya başlaması anlamına geliyor.
Bir tatbikat ortamında test ettiğimde, bu tarz sınır cihazlarının (edge devices) ne kadar kırılgan olabildiğini defalarca gördüm. Cihazın yönetim paneline gönderilen manipüle edilmiş bir HTTP isteği, arka planda çalışan bir betiğin kontrolünü ele geçirmeye yetiyor. İşte teknik tabiriyle 'yığın taşması (buffer overflow)' ya da girdi doğrulama hatası dediğimiz o açıklar, gerçek dünyada dijital birer maymuncuğa dönüşüyor. Bu olayda kritik olan nokta, açıkların kamuoyuna duyurulmadan (disclosure) çok önce aktif olarak kullanılmış olması. Yani biz daha yamayı (patch) beklerken, birileri içeride at koşturmaya başlamış bile. Bu durum bana ilk sızma testimde yaptığım o büyük hatayı hatırlatıyor; sadece bilinen açıklara (CVE) odaklanmıştım ve sistemin mantıksal hatalarını tamamen göz ardı etmiştim. Oysa saldırganlar yaratıcıdır; onlar kural kitabına bakmazlar, sadece açık bir kapı ararlar.
Neyse, olayın teknik detaylarına biraz daha dalalım (kafam biraz dağınık ama bu kısım önemli). Haberlere göre, saldırganlar SonicWall SMA üzerinde tam kontrol sağlamak için birden fazla güvenlik açığını zincirleme (exploit chaining) şeklinde kullanıyor. İlk aşamada kimlik doğrulama mekanizmasını atlatıyorlar (authentication bypass), ardından kazandıkları düşük yetkiyi sistem üzerinde komut çalıştırarak kök yetkisine (privilege escalation) yükseltiyorlar. Bunu yaparken kullandıkları payload'lar genellikle şifrelenmiş veya gizlenmiş oluyor ki standart IPS/IDS sistemleri bunları fark etmesin. Mesela 192.168[.]1[.]100 gibi bir iç IP adresinden gelen trafiğin, aslında dışarıdaki bir saldırganın komuta kontrol merkezine bağlı olduğunu anlamak için trafiği sadece izlemek yetmez, analiz etmek gerekir. Biz DevSecOps tarafında her zaman 'fail-safe' (hataya dayanıklı) sistemlerden bahsederiz ama bazen o hatayı yapan bizzat sistemin gardiyanıdır.
Sektörde pek çok ekibin düştüğü bir tuzak var: 'Güvenlik cihazı kullanıyorum, o halde güvendeyim.' Hayır, dostum. Aslında o güvenlik cihazı, senin saldırı yüzeyini (attack surface) artıran en büyük unsurlardan biri olabilir. Çünkü o cihaz internete doğrudan maruz kalıyor. PulseCom (kurgusal şirket) örneğinde olduğu gibi, eğer SMA cihazını sadece bir kutu olarak görüp onu düzenli olarak izlemezsen, bir sabah uyandığında tüm veritabanının dump edildiğini görebilirsin. Bu tür sıfırıncı gün vakalarında en büyük silahımız sadece yama yapmak değil, 'indikasyonlar' (Indicators of Compromise - IoC) üzerinden avcılık yapmaktır. Örneğin, sistem loglarında daha önce hiç görülmemiş bir hash değerine (örneğin: a1b2c3d4e5f6...) sahip bir dosyanın /tmp dizini altında oluşup oluşmadığını kontrol etmek gerekir. Çünkü saldırganlar kök yetkisi alınca ilk yaptıkları iş, arkalarında kalıcı bir iz bırakacak bir arka kapı (backdoor) yerleştirmektir.
Kendi kendime düşünüyorum da, şu an bu logları incelerken aslında ne kadar büyük bir riskin üzerinde oturuyoruz. Bir sızma testi uzmanı olarak biliyorum ki, mükemmel kod diye bir şey yok. Sadece henüz keşfedilmemiş açıklar var. SonicWall gibi devlerin bile bu hataları yapması, aslında güvenlik felsefemizi değiştirmemiz gerektiğini gösteriyor. 'Güven ama doğrula' (Trust but verify) prensibi artık yeterli değil; 'Asla güvenme, her zaman doğrula' (Zero Trust) modeline geçmek zorundayız. Cihazın kendisi 'root' olsa bile, o root yetkisinin içerideki ağda neler yapabileceğini mikro-segmentasyon ile sınırlamalıyız. Eğer saldırgan SMA cihazını ele geçirdiyse, oradan domain controller'a elini kolunu sallayarak gidememeli.
Şu an masamdaki kahve iyice buz kesti. SonicWall haberindeki detaylara bakınca, saldırganların ne kadar sofistike yöntemler kullandığını görüyorum. Firmware imajlarını manipüle edip kendi zararlı kodlarını sanki bir sistem güncellemesiymiş gibi içeri sokabiliyorlar. Bu, tedarik zinciri saldırılarına (supply chain attacks) çok yakın bir tehlike. Bir düşünce deneyi yapalım: Eğer senin güvenli dediğin duvarın tuğlaları bizzat casuslar tarafından örülmüşse, kapıyı kilitlemenin ne anlamı kalır? Bu yüzden CI/CD süreçlerimizde kullandığımız her bir kütüphaneyi, her bir container imajını taradığımız gibi, bu tip donanım/yazılım bileşenlerini de sürekli bir mikroskop altında tutmalıyız (Source: The Hacker News).
Gece biterken, loglarda gördüğüm o garip hareketliliğin aslında yanlış yapılandırılmış bir bot trafiği olduğunu anlıyorum (şükür ki bu seferlik ucuz atlattık). Ama bu durum, SonicWall SMA cihazlarındaki o gerçek ve tehlikeli açıklardan kimsenin kaçamayacağı gerçeğini değiştirmiyor. Bir sızma testinde bulduğum ilk ciddi açığı hatırlıyorum; basit bir 'default credential' vakasıydı. Şimdi ise 'sıfırıncı gün'ler, 'root exploit'ler ve karmaşık casusluk faaliyetlerini konuşuyoruz. Dünya değişti, saldırıların çapı büyüdü ama prensip hep aynı: Kapının ne kadar kalın olduğu değil, kilidinin kime ait olduğu önemli.
Saat 04:00'e geliyor. PulseCom (kurgusal şirket) dashboard'u şimdi yeşile döndü. Gözlerim ağrıyor ama içim rahat. En azından bu gece, o bilinmeyen kapıdan sızmaya çalışanlara karşı bir adım öndeyiz. Yarın ilk iş, tüm bu SMA cihazlarının sürüm notlarını tekrar taramak ve 'yok canım bize olmaz' denilen o senaryoyu bir kez daha test etmek olacak. Çünkü biliyorum ki, siber güvenlikte uyuduğun an, aslında kaybettiğin andır. (Kaynak: The Hacker News)