Listelerle Düşünen Savunmacılar, Grafiklerle Düşünen Saldırganlar (2015)
(github.com/JohnLaTwC)- Ağ savunması, varlıkları listeleyip önceliklendirmekle başlar; ancak gerçek saldırı yüzeyi, varlıklar arasındaki güvenlik bağımlılığı grafiğiyle oluşur
- Saldırgan, en güçlü varlığa doğrudan saldırmak yerine, zayıf korunan iş istasyonları veya yönetim yolları üzerinden yüksek değerli varlıklara giden dolaylı yolları arar
- Windows ağlarında oturum açma biçimi, kimlik bilgileri, Kerberos TGT, NTLM hash’leri, ortak yerel yönetici parolaları ve oturum açma betikleri gibi unsurların tümü grafikte birer kenar olabilir
- Savunmacılar varlık listesini grafiğe dönüştürmeli; altyapı segmentasyonu, kimlik bilgisi siloları, en az yetki, iki faktörlü kimlik doğrulama ve kimlik bilgisi rotasyonu ile bağlantısallığı azaltmalıdır
- Saldırganlar eski diyagramları değil, gerçek altyapıyı parça parça öğrendiğinden, savunmacılar üstünlük sağlamak için mevcut ağın bağlantı ilişkilerini daha doğru kavramalıdır
Liste Odaklı Savunmanın Kaçırdıkları
- Birçok ağ savunması, saldırganla temas etmeden önce bile savaş alanını yanlış anlayarak raydan çıkar
- Savunmacı, varlıkları korumaya, önceliklendirmeye ve iş yükleri ile iş fonksiyonlarına göre düzenlemeye odaklanır
- Sistem yönetimi hizmetleri, varlık envanteri veritabanları ve BCDR elektronik tabloları varlık listeleriyle doludur
- Ancak savunmacının gerçekte ele alması gereken şey, tek tek varlıkların listesi değil, varlıkların güvenlik ilişkileriyle birbirine bağlandığı bir grafiktir
- Saldırgan, spearphishing gibi tekniklerle grafiğin herhangi bir noktasına iner ve ardından zayıf sistemleri bularak ağ içinde hareket eder
- Bu grafik dışarıdan verilmiş değildir; ağı tasarlayan ve işleten savunmacının kendisi tarafından oluşturulur
Ağ İçindeki Grafiğin Anlamı
- Ağın grafiği, varlıklar arasında eşdeğerlik sınıfları oluşturan güvenlik bağımlılıkları kümesidir
- Grafiği etkileyen unsurlar genel olarak dört başlıkta toplanır
- Ağ tasarımı
- Ağın yönetilme biçimi
- Ağda kullanılan yazılım ve hizmetler
- Kullanıcı davranışı
- Etki alanı denetleyicisi örneğinde, zayıf bir yönetim yolu tek başına yüksek değerli varlığın tamamının güvenlik seviyesini düşürür
- Bob, iş istasyonundan etki alanı denetleyicisini yönetir
- Bu iş istasyonu etki alanı denetleyicisi kadar korunmuyorsa, etki alanı denetleyicisi de ele geçirilebilir
- Bob’un iş istasyonunda yönetici yetkisine sahip başka hesaplar da Bob’u ve etki alanı denetleyicisini ele geçirebilir
- Bu yöneticiler işleri gereği bir veya daha fazla başka makinede oturum açar
- Saldırgan bunlardan birini ele geçirirse etki alanı denetleyicisine giden bir yol oluşur
Mallory’nin Altı Derecesi: Grafiği İzleyen Yanal Hareket
- Saldırgan, ele geçirdiği makinede bekleyip mimikatz gibi parola dökücülerle yüksek değerli bir hesabın oturum açmasını bekleyebilir
- Örnek grafiğin sol tarafındaki küme, yüzlerce kullanıcının kullandığı tek bir Terminal Server’dır
- Saldırgan bu makineyi ele geçirirse zaman içinde birçok kullanıcının kimlik bilgilerini dökebilir
- Grafik araması, High Value Asset’e giden birden fazla yolu ortaya çıkarır
- Terminal Server’ın ele geçirilmesiyle User46 ve User128 de ele geçirilebilir hale gelir
- User46, Machine2821’in yöneticisidir; User128 ise Machine115’in yöneticisidir
- Bu iş istasyonları ele geçirilirse User1 ve User34 ele geçirilebilir
- User1 ve User34’ün ikisi de High Value Asset’in yöneticisidir
- High Value Asset’i korumak için ona bağımlı tüm unsurların High Value Asset kadar sıkı korunması gerekir; bunlar tek bir eşdeğerlik sınıfı oluşturur
Güvenlik Bağımlılıklarını Oluşturan İlişkiler
- Windows ağında bir kullanıcı Interactive, Terminal Server gibi belirli türde oturum açtığında, alttaki ana makine ele geçirilirse kullanıcının kimlik bilgileri çalınmaya açık hale gelir
- Açığa çıkanlar yalnızca kimlik bilgileri değil; Kerberos TGT, NTLM hash’leri gibi tek oturum açma eşdeğerlerini de içerir
- Güvenlik bağımlılığı günlük yönetim ilişkilerinden de doğar
- Ortak parola kullanan yerel yönetici hesapları: Bir sistemde yerel yönetici parolası döküldükten sonra aynı parolayı kullanan başka ana makinelerde kullanılabilir
- Çok sayıda kullanıcı için çalışan oturum açma betiklerini barındıran dosya sunucuları ve yazılım güncelleme sunucuları
- Kullanıldığında istemci makinelere yazıcı sürücüsü gönderen yazdırma sunucuları
- Akıllı kartla oturum açma için geçerli sertifikalar veren sertifika otoriteleri
- Yetkili kullanıcı olarak çalışan veritabanı sunucusu bağlamında kod çalıştırabilen veritabanı yöneticileri
- Dolaylı ilişkiler de grafiğin parçası olur
- Zafiyet içeren bir makine ele geçirilirse saldırgan grafiğe yeni kenarlar ekleyebilir
- Bir kullanıcının aralarında güven ilişkisi olmayan iki etki alanında aynı parolaya sahip hesapları varsa, etki alanları arasında gizli bir kenar oluşur
Grafiği Küçültmeye Yönelik Savunma Yöntemleri
- Savunmacının ilk adımı, varlık listesini bir grafiğe dönüştürerek ağı görselleştirmektir
- Ardından büyük bağlantısallık patlamalarına yol açan istenmeyen kenarlar bulunup grafik budanmalıdır
- Altyapı segmentasyonu ve kimlik bilgisi siloları uygulanır
- Yönetici sayısı azaltılır; Just-In-Time / Just Enough teknikleriyle yetkiler en aza indirilir
- Belirli kenarlar üzerinden hareketi azaltmak için iki faktörlü kimlik doğrulama kullanılır
- Kullanıcı hesabı ele geçirilmesine karşı sağlam bir kimlik bilgisi rotasyonu yöntemi uygulanır
- forest trust ilişkileri yeniden değerlendirilir
Saldırgandan Daha İyi Bir Gerçeklik Modeli Kurmak
- Savunmacı savaş alanını görselleştirirken üstünlüğü saldırgana bırakmamalıdır
- Savunmacı kendi ağı hakkında tüm bilgilere sahip olabilir; saldırgan ise ağı parça parça öğrenmek zorundadır
- Saldırgan hatalı zihinsel modelleri, eksik varlık envanteri sistemlerini veya eski ağ diyagramlarını değil, bugün var olan altyapıyı inceler
- Savunmacı da ağı gerçekliğe göre yönetirse hazırlıklı savunmacı zihniyetine yaklaşır
Daha Fazla Okuma
- Heat-ray: Combating Identity Snowball Attacks Using Machine Learning, Combinatorial Optimization and Attack Graph: J. Dunagan, D. Simon, A. Zheng
- Two Formal Analyses of Attack Graphs: S. Jha, O. Sheyner, J. Wing
- Using Model Checking to Analyze Network Vulnerabilities: P. Ammann, R. Ritchey
- A Graph-Based System for Network-Vulnerability Analysis: C. Phillips, L. Swiler
- Automated Generation and Analysis of Attack Graphs: J. Haines, S. Jha, R. Lippman, O. Sheyner, J. Wing
- Modern Intrusion Practices: Gerardo Richarte
- Attack Planning in the Real World: Jorge Lucangeli Obes, Gerardo Richarte, Carlos Sarraute
1 yorum
Hacker News yorumları
Saldırganın genellikle tek bir görevi vardır; örneğin kritik verileri sızdırmak, hedefi istikrarsızlaştırmak ya da ransomware gibi bir amaç. Bu görevi tamamlayana kadar gerektiği kadar derine inebilir.
Buna karşılık savunmacı aynı anda çok sayıda sinyali ve tehdit vektörünü izlemek zorundadır; bu yüzden listeyle düşünmekten başka çaresi yoktur ve düzenlemeler nedeniyle işlem yapması gereken kalemleri de önceliklendirmesi gerekir.
Savunmacılar grafiğin çeşitli yerlerine rastgele yerleştirilip ilginç faaliyetleri arıyor değilse, savunmacının nasıl graf olarak düşünebileceğini bilmiyorum. Yazarın önerdikleri de sonuçta savunmacının karşılaştırması gereken listedeki sinyallerden ibaret olur.
Savunmacılar bu yöntemi benimseyince, red team harekete geçmeden önce olası saldırıları tespit edebildiler. Akıllı ekipler, örneğin AWS’yi graf olarak crawl edip düşük değerli hesaplardan yüksek değerli hesaplara giden yolları bulan red team tekniklerini hemen benimser.
Bu sıfır toplamlı ya da büyük bir dönüşüm meselesi değil; ancak savunmacılar da saldırganlar gibi daha fazla düşünebilir ve saldırgan araçlarını savunmada daha sık kullanabilir.
O halde o hedefe giden yolları korumak gerekir; bu yolların nasıl göründüğünden ya da yazılımla sınırlı olup olmadığından bağımsız olarak.
Saldırgan bir CVE’den yararlanıp eğlence sistemini hizmet dışı bırakabilir; ama bunun pratikte ne kadar önemli olduğu tartışılır.
Gerçek saldırıların büyük çoğunluğu daha çok “neler bulabileceğimize bakalım, onu nasıl kullanacağımıza sonra karar veririz” şeklindedir. Bilgi toplama, etki operasyonları, propaganda gibi birçok saldırı faaliyeti de böyledir.
Savunmacıların liste kullanmasının nedeni, yüzlerce, binlerce varlığı aynı anda yönetmek zorunda olmalarıdır. Çok sayıda şeyi yönetmeniz gerektiğinde liste yapar, o listeyi gözden geçirir ve kontrol listesi uygularsınız.
Elbette savunmacılar da bağımlılık grafı çıkarmalı; ama önce listeyi oluşturup güncel olup olmadığını, sınırlı güven varsayımını içerip içermediğini, kaynakların izole edilip edilmediğini kontrol etmeli, ardından bağımlılık grafını oluşturmalıdır.
Savunmacılar hem listeleri hem de grafları düşünerek muazzam sayıda kalemi yönetmek zorundadır; saldırganların ise yalnızca birkaç şeye bakması yeterlidir.
Listeyi grafa dönüştürecek içgörü yoksa, elinizde yalnızca kritik varlıklar listesi kalır ve dikkate almadığınız on binlerce erişim yolunu köstebek vurma oyunu gibi kapatmaya çalışırsınız.
Bu yazı sanki fazla derine inmiş. Ya da gerekçesi doğru, nedeni yanlış olabilir. Savunmacının işi savunmanın kendisi değildir.
Siber güvenlik, net ve eşit hedefleri ve dönüşümlü pozisyonları olan bir spor karşılaşması değil; savunmacının asıl işi olarak yapmak istediği başka bir işin yanındaki yan etkinlik ve daha çok bir dikkat dağıtıcıdır.
Buna karşılık saldırganın tüm işi sistemlere saldırmaktır. Saldırıyı zayıflatacak başka bir amaç, ikincil patron ya da dikkate alınacak unsur yoktur.
Saldırganın kazanmasının nedeni, Microsoft’un işletim sistemi çıkarmayı Cisco’dan daha iyi yapmasının nedeniyle aynıdır. Cisco için işletim sistemi bir araçtır; Microsoft için ise amaçtır.
Şirketlerin veri ihlalleri nedeniyle piyasada neden neredeyse hiç cezalandırılmadığını da açıklıyor.
Siber saldırıların veri hırsızlığı, hizmet aksatma gibi net amaçları vardır. Bu, sadece kırıp dökmek ve kaos yaratmak isteyen acemi aktörler için doğru olabilir; ancak devlet aktörleri ya da finansal motivasyonlu suçlular düşünüldüğünde tamamen hedefi ıskalayan bir bakış açısıdır.
Bu yazı bence tam tersine yeterince derine inmiyor :-)
“Liste”, bileşenlerin kısaltılmış bir temsilidir; “graf” ise birlikte çalışabilirliğin kısaltılmış bir temsilidir. Bileşen bakış açısı analizdir; etkileşim bakış açısı için henüz iyi bir kelimemiz yok, ama yazıda söylendiği gibi çoğu zaman saldırı yüzeyi haline gelir.
Karmaşık adaptif sistemlerin bileşenleri ve bir mesaj veri yolu vardır; önemli olan da bu veri yolunun bileşenlerin birlikte çalışması için bir yol sağlamasıdır. Karıncaları tek tek yakalayabilirsiniz; ama gerçekten durdurmak istiyorsanız feromon izi bırakma yeteneklerini ortadan kaldırmanız gerekir.
Birlikte çalışma biçimlerini anlamak için de “analiz” gibi bir kelimemiz olsa iyi olurdu. Gestaltysis gibi bir şey?
Kısa bir süre siber güvenlik şirketinde çalışmıştım; o üründen neden nefret ettiğimi ve şirketin, hatta sektörün önemli bir kısmının yaklaşımının sonunda neden sahte gibi geldiğini kelimelere dökemiyordum.
Şimdi anlıyorum. Siber güvenlikteki en işe yaramaz pratiği, yani kurum düzeyinde kontrol listesini destekleyen araçlar geliştiriyorduk.
Her faaliyetin merkezinde listeler ve tekrar eden takvimler vardır. Düzenli olarak ortaya çıkıp yapılması gerekeni yapmak gerekir.
Elbette o “yapılması gereken” adımında daha derin ve daha iyi bir yaklaşım gerektiğine katılıyorum.
“Tüm kontrol listelerini izledik ve güvenlik yazılımı yakalayamadı; yani bu bizim hatamız değil” diyebilmek için.
Bir şirket güvenliği gerçekten önemseseydi, sinyal-gürültü oranı %1’in altında olan işe yaramaz tarayıcılara para ödemek yerine red team tutardı.
Havacılığa bakarsanız pilotlar kontrol listelerine güvenerek hayatta kalır. Uçuş sırasında asla sorun çıkmayacağının garantisi değildir ama kontrol listesini izlememek ya da hafife almak felaketi davet etmektir. Bu tür kontrol listeleri yılların pahalı deneyimi üzerine kurulur.
Ancak sırf “kontrol listemiz var” diyebilmek için var olan ya da gerçek koşullara göre düzenli olarak gözden geçirilip güncellenmeyen kontrol listeleri anlamsızdır.
Birçok şirket bunu yanlış anlıyor. Kontrol listesinin kendisinin güvenlik olduğunu sanıyorlar; oysa gerçekte kontrol listesi, eskiden doğru yapılmış bir şeyi sürdürmeyi hatırlatan bir araçtan ibarettir. Kontrol listesini hedef gibi ele aldığınız anda yoldan saparsınız.
Bir penetrasyon testçisi olarak söyleyeyim, saldırganlar da illa graf gibi düşünmez.
BloodHound dışında graf kullanan araç pek aklıma gelmiyor.
Web güvenliğinde de “graf düşüncesi”nin uygulandığı bir şey düşünemiyorum. Bunun yerine test edilecek saldırıların listesi çok büyük: https://portswigger.net/web-security/all-topics
Ve penetrasyon testi raporuna sonuçta giren şey graf değil, yapılacaklar listesidir. Örneğin SMB imzalama, tüm makineleri yönetmek için domain admin hesabı kullanmamak, vesaire.
Bu ifadenin popüler olmasının başlıca nedeni hacker topluluğunun egosunu okşaması. “Zeki taraf biziz, savunmacılar ise sadece Excel tablolarıyla uğraşıyor” gibi.
Yine de içinde bir doğruluk payı var. Savunmacılar pek önemli olmayan işlere epey zaman harcayabiliyor. Tüm sunuculara CIS benchmark’larını elle uygularken, güçlü bir güvenlik duruşu sağlayacak kolay kazanımları kaçırmak gibi.
Birçok şirkette savunmacılar, neye odaklanmaları gerektiğini bilmeyen sistem yöneticilerinden ibaret.
Aklıma hemen gelen örnek bug chain. CVSS 4–7 seviyesinde birkaç zafiyet birleştirildiğinde, tam uzaktan kod çalıştırma gibi 9.8’lik bir sonuca dönüşebilir. Bu bug bağlantıları özünde ihlal unsurları üzerinden graf dolaşımıdır.
BloodHound harika ve saldırı grafını kavramsallaştırmak için iyi bir görsel araç; ama saldırgan bakış açısından hedef domain’i anlama sürecinin yalnızca bir parçası.
Web penetrasyon testlerinde BloodHound gibi temiz bir aracın olmamasının nedeni, ihlal zincirlerini basitçe araç biçimine indirgeme zorluğu. AD’de güvenlik sınırları bir ölçüde anlaşılmış ve kodlanmıştır; web uygulamalarındaki zincirler ise çoğu zaman temel framework’ten çok ilgili uygulamaya özgüdür.
Penetrasyon testi raporuna SMB imzalama ya da “her şeyi DA hesabıyla yönetmeyin” gibi maddelerin girmesi, bunların ihlal zincirinin çok erken aşamalarında parlak biçimde öne çıkan düğümler olmasındandır. Gerçek hayatta sistemler sık sık bu şekilde ele geçirilir.
Bu, penetrasyon testçisinin graf düşüncesini anlamamasından ziyade, graftaki ilk düğümün pratikte tam ihlal anlamına geldiği ve bu yüzden daha fazla dolaşmaya gerek kalmadığı durumlara daha yakındır.
Bu, savunmacının tüm giriş noktalarını korumak zorunda olmasına karşılık saldırganın yalnızca tek bir zayıflık bulmasının yeterli olduğu sözünün havalı biçimde yeniden söylenmiş hâline daha yakın.
Örneğin honeypot’lar kullanarak zero-day exploit’leri saldırganın ekipmanına geri yedirmek mümkün olamaz mı? Google, Microsoft vb. ürünlerde kasıtlı olarak tasarlanmış bir şey de olabilir.
Bir tür makul inkâr edilebilirlik bırakarak tamamen blackhat gibi davranıp, fidye yazılımcılara fidye yazılımı yedirmek gibi.
Yazdıkça bilimkurgudaki kötü, her şeye kadir şirketler gibi görünüyor; gerçi o şirketler genelde düşman suikastlarına kadar gider.
Olay müdahalesi de yaptım, penetrasyon testi ve red team deneyimim de var. Kısaltılmış bir ifade olsa da bir ölçüde doğru ve yazının söylediği kadar olumsuz olmak zorunda değil bence.
Savunma birçok unsurdan oluşur. Örneğin güvenlik olaylarının riskini ve etkisini azaltan etkili kontroller geliştirmek, saldırıları ve ihlalleri tespit etmek, olaylara müdahale etmek. Standartlar ve müdahale listeleri iyi çalışır.
Savunma, bu kontrolleri tasarlamak için ağ grafını düşünmeyi gerektiren mimari kararları da içerir. Savunma alanı da mimari/mühendislik, risk yönetimi, olay müdahalesi, uygulama güvenliği, eğitim, tehdit istihbaratı gibi çeşitlidir.
Yazarın savunmada listeyle düşünmenin sorun olduğunu ima edip sonra savunmayı iyileştirmek için dikkate alınacak maddelerin bir listesini sunması da ilginç.
Saldırganların kazanma nedeni, zayıflığı bulduktan sonra yalnızca bir kez başarılı olmalarının yeterli olmasıdır. Savunmacı ise her şeyi aynı anda korumak zorundadır.
Her ağda, saldırganları yakalamak için en az bir honeypot olması gerekiyor gibi görünüyor. Sahte kripto para kimlik bilgileri, sahte parola kasaları gibi şeyler buna girer.