Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Bilet geçirme, ele geçirilen Kerberos biletinin kullanılarak yetkisiz erişim sağlanmasıdır.
Bilet geçirme, Kerberos kimlik doğrulama altyapısında üretilen biletlerin ele geçirilerek yeniden kullanılmasıdır. Saldırgan parolayı ya da özeti bilmeden, geçerli bir bilet üzerinden hedef servislere erişebilir. Bilet, geçerlilik süresi boyunca kimlik kanıtı işlevi görür.
Saldırı, dizin hizmeti kullanan kurumsal ortamlarda yanal hareketin yaygın yollarından biridir. Bir makinede bellekte bulunan biletler toplandığında, o makinede oturum açmış kullanıcıların kimlikleri de birlikte ele geçirilmiş olur. Bu nedenle ayrıcalıklı hesapların nerede oturum açtığı kritik bir sorudur.
Bilet geçirme, Kerberos protokolünde üretilmiş geçerli bir biletin ele geçirilerek saldırganın oturumuna yerleştirilmesi ve bu bilet üzerinden yetkisiz erişim sağlanmasıdır.
Kerberos protokolünde kullanıcı önce bir bilet verme bileti alır, ardından bu biletle servis biletleri talep eder. Kerberos kimlik doğrulama yapısında her iki bilet türü de ele geçirilebilir. Hangi biletin çalındığı, saldırganın kapsamını belirler.
Bilet verme bileti ele geçirildiğinde saldırgan, o kullanıcı adına yeni servis biletleri talep edebilir. Bu, kullanıcının erişebildiği tüm servislere erişim anlamına gelir. Etki alanı bu nedenle geniştir.
Servis bileti ele geçirildiğinde ise erişim yalnızca ilgili servisle sınırlı kalır. Bu daha dar bir etki gibi görünse de, hedef servis kritikse sonuç yine ciddi olabilir. Örneğin bir dosya sunucusu bileti, hassas verilere doğrudan erişim sağlayabilir.
Biletlerin ömrü de etkiyi belirler. Uzun ömürlü biletler, saldırganın erişimini uzun süre sürdürmesine imkân verir. Bilet ömrü ve yenileme ayarları bu nedenle güvenlik açısından önemlidir.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlEn yaygın yol, yönetici hakkına sahip bir saldırganın makine belleğini okumasıdır. Oturum açmış kullanıcıların biletleri bellekte tutulduğu için toplu olarak çıkarılabilir. Bu işlem hazır araçlarla saniyeler içinde yapılabilir.
İkinci yol, hatalı delegasyon yapılandırmalarıdır. Bir servise kısıtsız delegasyon yetkisi verildiğinde, o servise bağlanan kullanıcıların biletleri servis üzerinde saklanır. Kısıtsız delegasyon bu nedenle ciddi bir yapılandırma riskidir.
Üçüncü yol, yedeklerden ve bellek dökümlerinden çıkarımdır. Bir sunucunun bellek dökümü ya da sanal makine anlık görüntüsü ele geçirildiğinde, içindeki biletler de erişilebilir hâle gelir. Bu nedenle bu tür dosyaların korunması gerekir.
İlk önlem, ayrıcalıklı hesapların kullanım alanının kısıtlanmasıdır. Yönetici hesaplarının yalnızca ayrılmış yönetim iş istasyonlarından kullanılması, biletlerin sıradan makinelerde bulunmasını engeller. Katmanlı yönetim modeli bu ilkeye dayanır.
İkinci önlem, delegasyon yapılandırmalarının denetlenmesidir. Kısıtsız delegasyon tanımlı hesap ve bilgisayarların listelenmesi ve gerekmiyorsa kaldırılması önceliklidir. Gerekli durumlarda kısıtlı delegasyon tercih edilmelidir.
Üçüncü önlem, bilet ömürlerinin makul düzeye çekilmesidir. Uzun ömür kullanıcı rahatlığı sağlar ama saldırganın erişim penceresini de uzatır. Kurumun risk profiline göre bir denge belirlenir.
Yüksek yetkili hesapların korumalı gruplara alınması, kimlik izlerinin sıradan makinelerde önbelleğe alınmasını engeller. Ayrıca bu hesaplar için delegasyonun tamamen kapatılması önerilir. Bu ayarlar, dizin hizmeti sıkılaştırmasının temel adımlarındandır.
Tespitin ilk yolu, bilet taleplerindeki anormalliklerin izlenmesidir. Bir hesabın alışılmadık sayıda servis bileti talep etmesi ya da hiç kullanmadığı servislere erişmesi dikkat çekicidir. Bu kurallar dizin hizmeti kayıtları üzerinde yazılır.
İkinci yol, biletin üretildiği makine ile kullanıldığı makinenin farklı olmasının izlenmesidir. Aynı biletin farklı kaynaklardan kullanılması güçlü bir işarettir. Bu tespit, ağ ve kimlik kayıtlarının birlikte değerlendirilmesini gerektirir.
Üçüncü yol, bellek okuma girişimlerinin uç noktada izlenmesidir. Kimlik bilgisi süreçlerine erişen işlemler uyarı üretecek biçimde tanımlanmalıdır. Active Directory güvenliği çalışmalarında bu kayıtlar öncelikli olarak yapılandırılır.
Hash geçirme eski kimlik doğrulama protokolüne dayanırken, bilet geçirme modern Kerberos altyapısını hedef alır. İkisi de aynı mantığa dayanır: kimlik materyali parolanın yerine geçer.
Fark, kullanılan materyalin ömründedir. Parola özeti parola değişene kadar geçerliyken, biletler tanımlı bir süre sonunda kendiliğinden geçersizleşir.
Bu ömür sınırı savunma açısından bir avantajdır. Bilet ömürlerinin makul tutulması, saldırganın erişim penceresini otomatik olarak kapatır.
Buna karşılık saldırgan bilet yenileme imkânına sahipse pencere uzayabilir. Yenileme sürelerinin de ayrıca sınırlanması bu nedenle gereklidir.
Bilet geçirme çoğunlukla ilk erişim yöntemi değil, elde edilen erişimi genişletme ve sürdürme aracıdır. Saldırgan topladığı biletlerle ortamda sessizce ilerler.
Bu ilerleme, klasik kimlik doğrulama kayıtlarında normal görünür. Bilet meşru olduğu için sistem hiçbir anormallik bildirmez.
Bu nedenle tespit, tek tek olaylara değil örüntülere bakmayı gerektirir. Bir hesabın erişim davranışındaki değişim, tekil olaylardan daha anlamlıdır.
Davranış temelli analiz bu noktada devreye girer. Kullanıcı ve varlık davranış analitiği bu tür sapmaları görünür kılabilir.
Dizin hizmetinde düzenli bir yapılandırma denetimi yürütülmelidir. Delegasyon ayarları, ayrıcalıklı grup üyelikleri ve servis hesabı yetkileri bu denetimin temel maddeleridir.
Denetim çıktısı zaman içinde karşılaştırılabilir olmalıdır. Yeni eklenen bir delegasyon ya da gruba katılan bir hesap, bir sonraki denetimde fark edilir.
Ayrıca değişikliklerin anlık uyarı üretmesi tercih edilir. Ayrıcalıklı gruplara üye eklenmesi, dönemsel denetimi beklemeden bildirilmelidir.
Bu uyarıların gerçekten okunması da gerekir. Uyarı üretilip kimsenin bakmadığı bir düzen, denetimsiz bir ortamdan farklı sonuç vermez.
Bilet geçirme tespit edildiğinde, yalnızca ilgili hesabın parolasını değiştirmek yeterli değildir. Mevcut biletler geçerliliğini korur ve saldırgan erişimini sürdürebilir.
Bu nedenle etkilenen hesapların biletlerinin de iptal edilmesi gerekir. Oturumların sonlandırılması ve makinelerin yeniden başlatılması bellekteki materyali temizler.
Kapsamın doğru belirlenmesi kritik önemdedir. Hangi makinelerde hangi hesapların oturum açtığı bilinmeden, temizleme eksik kalır.
Kerberos biletleri, kullanıcının yetki bilgilerini de içinde taşır. Hedef servis bu bilgiyi çoğu durumda dizin hizmetine tekrar sormadan kabul eder.
Bu tasarım performans açısından mantıklıdır ama saldırgana bir açık bırakır. Bilet içeriğinin doğrulanmasını sağlayan ek denetimler, bu açığı daraltır.
Modern dizin hizmeti sürümlerinde bilet imzalarının daha sıkı denetlenmesini sağlayan güncellemeler bulunur. Bu güncellemelerin uygulanması öncelikli bir bakım maddesidir.
Ayrıca kimlik doğrulama trafiğinin şifrelenmesini güçlendiren yapılandırmalar da mevcuttur. Kerberos armoring bu korumalardan biridir.
Bu ayarların etkinleştirilmesi, eski istemcilerle uyumluluk açısından önceden değerlendirilir. Uyumsuz sistemlerin listelenmesi geçiş planının ilk adımıdır.
Geçiş tamamlandığında eski ve zayıf şifreleme türlerinin devre dışı bırakılması da gerekir. Aksi hâlde saldırgan zayıf olan yolu tercih eder.
Privia Security olarak dizin hizmeti yapılandırmalarını ve yönetim modelinialtyapı ve mimari gözden geçirme kapsamında inceliyor, ele geçirme sonrası yayılma yollarını haritalandırıyoruz.
Bunlar İlginizi Çekebilir
