Mesleğe ilk başladığım yıllarda, 'testCompany' bünyesinde bir sızma testi projesindeydim. Henüz yolun çok başında, her gördüğü açık portu kurcalayan o heyecanlı arkadaştım. Bir gün, müşterinin 'izole' olduğunu iddia ettiği bir network bloğunda, 'Şu cihaz neymiş bir bakayım' diyerek başlattığım oldukça agresif bir nmap -sV -T4 taramasıyla, o dönem hala hayatta kalmaya çalışan emektar bir PLC (Programmable Logic Controller) cihazını kilitlediğim o anı asla unutamam. Üretim bandı bir süreliğine durmuştu ve data center’dan gelen 'Network gitti!' çığlıkları hala kulağımda yankılanır. O gün öğrendiğim en büyük ders şuydu: Network, sadece kablolardan ve IP’lerden ibaret değil; o, kurumun sinir sistemi ve bazen o sinirler çok hassas olabiliyor.
Bugün sizinle, siber güvenlik dünyasının en çok konuşulan ama nedense en az doğru uygulanan konularından birine, yani ağ güvenliğine (Network Security) derinlemesine dalacağız. Ama öyle teorik kitaplardaki gibi değil; mutfaktaki yanık kokularını, sahadaki o terli anları konuşacağız.
Sert Kabuk, Yumuşak İç: M&M Güvenlik Modeli
Birçok kurumun network yapısını M&M şekerlerine benzetiyorum. Dışı sert, ısırması zor ama o ince tabakayı bir kez geçtiniz mi, içerisi yumuşacık çikolata. Firewall'lara milyon dolarlar döküyoruz, IPS/IDS sistemleriyle kapıyı kilitliyoruz ama bir şekilde içeri sızan bir saldırgan (veya bir oltalama e-postasına tıklayan bir çalışan) içeride hiçbir engelle karşılaşmadan elini kolunu sallayarak gezebiliyor. İşte buna biz 'Flat Network' (Düz Ağ) faciası diyoruz.
Bir Red Team operasyonunda en sevdiğimiz şey, VLAN'ların sadece 'kağıt üzerinde' ayrılmış olmasıdır. Muhasebe departmanındaki bir bilgisayarı ele geçirdiğimizde, oradan doğrudan Domain Controller'a veya yedekleme sunucularına gidebiliyorsak, o network segmentasyonu sadece bir illüzyondur.
İlk Durak: LLMNR ve NBT-NS Zehirlemesi (Noisy Neighbors)
Network içine bir kez adım attığımızda ilk baktığımız şey, ağın ne kadar 'gürültülü' olduğudur. Windows sistemler hala varsayılan olarak bir ismi çözemediklerinde ağa 'Hey, aranızda SRV-01 kim?' diye bağırırlar. İşte o an biz devreye gireriz.
Saldırgan tarafında kullandığımız Responder gibi araçlar, bu çığlıklara sahte yanıtlar verir.
# Zararsızlaştırılmış/Defanged Örnek Komut
# Bir Red Teamer network içindeki broadcast trafiğini dinlerken şunu yapabilir:
sudo python3 responder.py -I eth0 -rdw
Bu komutla saldırgan, 'Ben o aradığın sunucuyum, hadi bana kimlik bilgilerini (hash) ver' der. Eğer network segmentasyonunuz düzgün değilse ve istemci ile sunucu trafiği aynı 'broadcast domain' içindeyse, geçmiş olsun.
Savunma (Hardening) Notu: Bu saldırıyı durdurmak için VLAN ayırmak yetmez. GPO üzerinden LLMNR ve NetBIOS'u tamamen kapatmanız gerekir.
# LLMNR'ı kapatmak için PowerShell (GPO yerine manuel kontrol için)
New-Item -Path "HKLM:\Software\Policies\Microsoft\Windows NT" -Name DNSClient -Force
New-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient" -Name EnableMulticast -Value 0 -PropertyType DWord
Yanal Hareket (Lateral Movement) ve Görünmez Duvarlar
Segmentasyonun asıl amacı, bir saldırganın ağ içinde yayılma hızını yavaşlatmak değil, onu imkansız hale getirmektir. Ama gerçek hayatta gördüğümüz şu: Sunucu segmenti ile kullanıcı segmenti arasında bir firewall var ama Any-Any kuralı yazılmış. Neden? 'Çünkü yazılımcıların her yere erişmesi gerekiyordu ve kural yazmakla uğraşamadık.'
Gerçek bir network güvenliğinde 'Least Privilege' (En Az Yetki) prensibi network katmanında başlar. Bir muhasebe bilgisayarının, SQL veritabanı sunucusunun 1433 portuna doğrudan erişmesine gerek var mı? Hayır. O zaman neden o yol açık?
Bir sızma testinde şöyle bir senaryo düşünün: Kullanıcı segmentindeki bir makinede düşük yetkili bir kullanıcı elde ettik. Hedefimiz 10.x.x.50 (database) makinesi.
# İçeride keşif yaparken (Defanged)
nmap -p 445,3389 10.0.0.x/24 --open
Eğer bu tarama sonucunda her yer 'open' geliyorsa, o kurumda network güvenliğinden bahsedemeyiz. Mikro-segmentasyon dediğimiz nane, tam da burada devreye giriyor. Sadece gereken IP'lerin, gereken portlar üzerinden konuşması.
Egress Filtering: İçeriden Dışarıya Kim Bakıyor?
Herkes içeri giren trafiğe (Ingress) odaklanır ama dışarı çıkan trafik (Egress) genellikle üvey evlat muamelesi görür. Bir sunucu ele geçirildiğinde, saldırganın komuta kontrol (C2) merkeziyle konuşması gerekir. Eğer sunucularınız internetteki herhangi bir IP'nin herhangi bir portuna (mesela 443) takılmadan gidebiliyorsa, verilerinizin dışarı sızması an meselesidir.
Basit bir iptables kuralı bile hayat kurtarabilir. Örneğin, bir web sunucusunun sadece belirli bir güncelleyici sunucuya gitmesine izin verip geri kalan her şeyi loglayarak engellemek gerekir:
# Sadece belirli bir domain/IP'ye izin ver, gerisini kapat (Pseudo-code)
iptables -A OUTPUT -p tcp -d updates.example.com --dport 443 -j ACCEPT
iptables -A OUTPUT -j DROP
Bir Red Team operasyonunda, dışarıya sadece DNS (port 53) üzerinden veri kaçırmaya çalıştığımızda ve o firewall'da 'DNS sadece kurumun kendi DNS sunucusuna gidebilir' kuralını gördüğümüzde, 'İşte işini bilen bir ekip' deriz ve şapka çıkartırız.
Network Güvenliğini Sadece 'Cihaz' Sanma Yanılgısı
En pahalı firewall'u alıp kutusundan çıkardığınız gibi network'e takarsanız, o sadece çok pahalı bir kablo tutucu olur. Ağ güvenliği bir mimari meselesidir.
- Görünürlük: Network'ünüzde ne olduğunu bilmeden koruyamazsınız. 'Shadow IT' dediğimiz, habersizce takılan o küçük switch'ler veya access point'ler en büyük düşmanınızdır.
- Bal Küpleri (Honeytokens): Network içine yerleştirilen sahte SMB paylaşımları veya 'admin-passwords.txt' gibi dosyalar, bir saldırgan içeri girdiğinde size alarm üretecek en ucuz ve etkili yöntemlerdir.
- Sıfır Güven (Zero Trust): 'İçerideyse güvenlidir' mantığını çöpe atın. İçerideki her paket, sanki internetten geliyormuş gibi şüpheli karşılanmalıdır.
Sonuç olarak (şaka şaka, bu kelimeyi kullanmıyorduk değil mi?), network güvenliği bir varış noktası değil, bitmeyen bir maraton. Kendi sisteminizi bir saldırgan gözüyle inceleyin. O VLAN'ları gerçekten geçemiyor musunuz, yoksa sadece geçemeyeceğinizi mi umuyorsunuz? Bir sonraki kahve molanızda bunu bir düşünün derim.
Stay secure, stay geek!