Dosya paylaşım protokolü, kurumsal ağlarda dosya ve yazıcı paylaşımını sağlayan temel protokoldür. Neredeyse her kurumsal ortamda kullanılır ve bu yaygınlık onu saldırganlar için değerli bir hedef yapar. Yanal hareket, kimlik toplama ve zararlı yazılım yayılımı bu protokol üzerinden gerçekleşir. Geçmişte yaşanan büyük solucan olayları da bu protokolün zafiyetlerini kullanmıştır. Bu nedenle sıkılaştırılması öncelikli bir çalışmadır. Etkisi geniş kapsamlıdır.

Protokolün eski sürümleri ciddi zafiyetler içerir ve kullanımdan kaldırılmalıdır. Birinci sürüm, hem tasarım hem uygulama açısından güvensizdir ve modern işletim sistemlerinde varsayılan olarak devre dışıdır. Buna karşılık eski cihazlarla uyumluluk için etkinleştirildiği ortamlar bulunur. Bu tercih ciddi risk üretir. Envanter çıkarılmalıdır. Geçiş planlanır.

SMB Protokolü Güvenliği Nedir?

SMB güvenliği, dosya paylaşım protokolünün güvenli sürümlerle çalıştırılması, imzalama ve şifrelemenin etkinleştirilmesi ve erişimin sıkı denetlenmesidir.

Güvenlik üç eksende ele alınır. Birincisi sürüm yönetimidir: eski ve güvensiz sürümler kapatılır. İkincisi bütünlük ve gizliliktir: imzalama ve şifreleme etkinleştirilir. Üçüncüsü erişim kontrolüdür: paylaşımlara kimin erişebileceği daraltılır. Üç eksen birlikte ele alınmalıdır. Biri eksik olduğunda koruma zayıflar. Bütünsel yaklaşım gerekir.

İmzalamanın Önemi

Protokol imzalama, mesajların bütünlüğünü kriptografik olarak garanti eder. İmzalama etkinken araya giren bir taraf mesajları değiştiremez ve aktarım saldırıları çalışmaz. Bu tek ayar, NTLM relay saldırısı ailesinin en yaygın biçimini ortadan kaldırır. Buna rağmen birçok ortamda kapalı bırakılır. Uyumluluk kaygısı gerekçe gösterilir. Değerlendirme yapılmalıdır.

İmzalamanın performans etkisi modern donanımlarda sınırlıdır. Geçmişte belirgin olan bu etki, donanım hızlandırmayla azalmıştır. Bu nedenle eski gerekçeler artık geçerli değildir. Etkinleştirme öncesinde test yapılması yine de önerilir. Ölçüm karar üretir. Varsayım yeterli değildir.

Sunucu ve istemci tarafında ayrı ayrı yapılandırma gerekir. Yalnızca bir tarafta zorunlu kılınması, karşı taraf desteklemediğinde bağlantı hatasına yol açabilir. Bu nedenle geçiş kademeli yapılır. Önce izleme yapılır, ardından zorunlu kılınır. Uyumsuz sistemler belirlenir. Plan hazırlanır.

• Eski protokol sürümünün tamamen devre dışı bırakılması
• İmzalamanın sunucu ve istemcide zorunlu kılınması
• Şifrelemenin hassas paylaşımlarda etkinleştirilmesi
• Paylaşım izinlerinin daraltılması
• Anonim erişimin kapatılması
• İnternete açık paylaşımların engellenmesi

Erişim Kontrolü

Paylaşımlara erişim izinleri çoğu ortamda gereğinden geniştir. Herkes grubuna verilen izinler, ortamdaki tüm kullanıcıların erişebilmesi anlamına gelir. Bu genişlik, bir hesabın ele geçirilmesi durumunda erişilebilecek veri miktarını büyütür. Bilmesi gereken ilkesi burada doğrudan uygulanır. Daraltma çalışması yapılmalıdır. Kullanım verisi kullanılır.

Anonim erişimin kapatılması da temel bir önlemdir. Kimlik doğrulaması gerektirmeyen paylaşımlar, ağa erişen herkes tarafından okunabilir. Bu yapılandırma bazı eski uygulamalar için kullanılır. Alternatif çözüm bulunmalıdır. Kapatma önceliklidir. Denetim yapılır.

Yönetimsel paylaşımlar da değerlendirilmelidir. Bu paylaşımlar, yönetici yetkisine sahip bir hesapla tüm disk içeriğine erişim sağlar. Yanal harekette sıkça kullanılırlar. Gerekmeyen ortamlarda kapatılabilirler. Karar operasyonel etkiye göre verilir. Telafi edici kontroller uygulanır.

İnternete Açık Paylaşımlar

Bu protokolün internete açılması hiçbir koşulda kabul edilemez. Dışa açık paylaşımlar sürekli taranır ve kimlik denemelerine maruz kalır. Ayrıca protokol zafiyetleri doğrudan sömürülebilir. Dış tarama sonuçlarında bu portun açık görünmesi kritik bir bulgudur. Derhal kapatılmalıdır. İstisna tanımlanmamalıdır.

Uzaktan dosya erişimi gerekiyorsa alternatif çözümler kullanılmalıdır. Sanal özel ağ üzerinden erişim ya da web tabanlı dosya paylaşım hizmetleri tercih edilir. Bu çözümler hem daha güvenli hem daha izlenebilirdir. Geçiş planlanmalıdır. Kullanıcı bilgilendirmesi yapılır. Alışkanlık değişir.

İzleme ve Tespit

Paylaşım erişimlerinin kaydedilmesi, hem tespit hem inceleme için değerlidir. Olağandışı miktarda dosya erişimi, veri sızdırma göstergesi olabilir. Ayrıca yeni oluşturulan paylaşımlar izlenmelidir. Bu olay, saldırgan faaliyetinin işareti olabilir. Kayıt yapılandırması kontrol edilir. Uyarı tanımlanır.

Yanal hareket tespitinde de bu kayıtlar kullanılır. Bir hesabın kısa sürede çok sayıda sistemin paylaşımlarına erişmesi güçlü bir işarettir. Bu örüntü kural hâline getirilebilir. Kimlik kayıtlarıyla birlikte değerlendirilir. Korelasyon değer üretir. Kural yazılır.

Ayrıca tuzak paylaşımlar da kullanılabilir. Hiçbir meşru kullanımı olmayan bir paylaşıma erişim, kesin bir uyarı üretir. Yanlış pozitif riski neredeyse yoktur. Bal küpü yaklaşımı bu amaçla kullanılır. Kurulumu basittir. Getirisi yüksektir.

Kimlik Toplama Riski

Protokol, kimlik doğrulama sırasında kullanıcı kimlik materyalini karşı tarafa gönderir. Bir saldırgan sahte bir paylaşım sunucusu kurarak bu materyali toplayabilir. Kullanıcıyı bu sunucuya yönlendirmek için ad çözümleme zehirlenmesi kullanılır. LLMNR zehirlenmesi bu yönlendirmeyi sağlar. Toplanan materyal çözülebilir ya da aktarılabilir. İki yol da erişim üretir.

Bu riske karşı imzalama ve protokol kapatma önlemleri birlikte uygulanır. Ayrıca dış kaynaklara giden bağlantıların engellenmesi gerekir. İnternete açık bir paylaşım sunucusuna yapılan kimlik doğrulama, materyalin dışarı çıkması anlamına gelir. Çıkış filtrelemesi bu riski keser. Kural tanımlanmalıdır. Uygulaması basittir.

Belge içine gömülen bağlantılar da bu riski taşır. Bir belge açıldığında otomatik olarak uzak bir paylaşıma bağlanabilir. Bu davranış, kullanıcı farkında olmadan kimlik materyali gönderir. Ofis politikalarıyla bu davranış engellenmelidir. Ayar merkezî uygulanır. Denetim yapılır.

Bulut ve Uzaktan Erişim

Bulut dosya paylaşım hizmetleri, klasik paylaşımlara alternatif oluşturur. Bu hizmetler kimlik doğrulama, şifreleme ve erişim kaydı sunar. Ayrıca internete açık paylaşım ihtiyacını ortadan kaldırır. Geçiş, veri sınıflandırması ve paylaşım politikasıyla birlikte planlanmalıdır. Varsayılan paylaşım ayarları geniş olabilir. Kontrol edilir.

Karma senaryolarda ise iki ortam arasında senkronizasyon kullanılır. Bu senkronizasyon, fidye yazılımı olaylarında şifrelenmiş dosyaların buluta yansımasına yol açabilir. Sürüm geçmişi özelliği bu durumda kurtarma sağlar. Sürüm sayısı ve saklama süresi kontrol edilmelidir. Yapılandırma gözden geçirilir. Test yapılır.

Erişim izinlerinin iki ortamda tutarlı olması da gerekir. Farklı izin modelleri, beklenmedik erişimlere yol açabilir. Geçiş sırasında izinler yeniden değerlendirilmelidir. Eski izinlerin olduğu gibi taşınması hataları da taşır. Temizlik fırsatı değerlendirilir. Çalışma planlanır.

Sürüm Geçişinin Planlanması

Eski protokol sürümünün kapatılması, uyumluluk etkileri nedeniyle planlı yapılmalıdır. Önce hangi sistemlerin bu sürümü kullandığı belirlenir. Denetim kayıtları bu bilgiyi sağlar. Kullanan sistemler genellikle eski yazıcılar, tarayıcılar ve gömülü cihazlardır. Bu cihazlar için alternatif çözüm aranır. Değişim planlanır.

Kapatma kademeli yapılır. Önce istemci tarafında kullanım engellenir, ardından sunucu tarafında kapatılır. Bu sıralama, sorunların erken fark edilmesini sağlar. Her adımda izleme yapılır. Geri dönüş planı hazır tutulur. Kesinti riski yönetilir.

Kapatma sonrası doğrulama da yapılmalıdır. Ortamda hâlâ eski sürümle çalışan sistem kalıp kalmadığı taranır. Bu tarama otomatikleştirilebilir. Sonuçlar raporlanır. Kalan sistemler ayrıca ele alınır. Süreç kapatılır.

Yaygın Yapılandırma Hataları

İlk hata, paylaşım izinlerinin geniş bırakılmasıdır. Herkes grubuna verilen tam denetim izni, ortamdaki tüm kullanıcıların dosyaları değiştirmesine imkân verir. Bu genişlik, fidye yazılımı olaylarında etkiyi büyütür. Daraltma çalışması yapılmalıdır. Kullanım verisi kullanılır. Etki ölçülür.

İkinci hata, yönetimsel paylaşımların denetimsiz bırakılmasıdır. Bu paylaşımlar yanal harekette sıkça kullanılır ve erişimleri izlenmelidir. Gerekmeyen ortamlarda kapatılabilirler. Karar operasyonel etkiye göre verilir. Telafi edici kontroller uygulanır. İzleme sürdürülür.

Fidye Yazılımı Yayılımındaki Rolü

Fidye yazılımı operasyonlarında şifreleme, ağ paylaşımları üzerinden gerçekleştirilir. Bir sistemden erişilebilen tüm paylaşımlar taranır ve dosyalar şifrelenir. Bu nedenle paylaşım izinlerinin genişliği, olayın etkisini doğrudan belirler. Geniş yazma izni bulunan paylaşımlar en büyük zararı görür. Daraltma çalışması bu etkiyi sınırlar. Öncelikli bir kontroldür.

Yedeklerin paylaşımlar üzerinden erişilebilir olması da ayrı bir risktir. Şifreleme sırasında yedekler de etkilenirse kurtarma imkânı ortadan kalkar. Bu nedenle yedeklerin ayrı kimlikle ve ayrı protokolle korunması gerekir. Değiştirilemez saklama tercih edilir. Bu tasarım kurtarmayı garanti eder. Uygulanmalıdır.

Paylaşımlara yönelik olağandışı erişim örüntüleri de izlenmelidir. Kısa sürede çok sayıda dosyanın açılıp değiştirilmesi şifreleme göstergesidir. Bu kural erken uyarı üretir. Otomatik izolasyon tetiklenebilir. Müdahale hızlanır. Etki azalır.

Yazıcı ve Gömülü Cihazlar

Yazıcılar ve bazı gömülü cihazlar bu protokolü kullanır ve genellikle eski sürümlerle çalışır. Bu cihazlar güncelleme almadığı için uzun süre savunmasız kalır. Ayrıca ağda genellikle izlenmezler. Ele geçirilen bir cihaz, ağa erişim noktası hâline gelir. Envanter bu cihazları da kapsamalıdır. Segmentasyon uygulanır.

Bu cihazların ayrı bir segmentte tutulması önerilir. Kurumsal ağa erişimleri kısıtlanır ve yalnızca gerekli iletisim açılır. Bu ayrım, ele geçirme durumunda etkiyi sınırlar. Uygulama envanter çalışmasıyla başlar. Plan hazırlanır. Kademeli yürütülür.

Privia Security olarak dosya paylaşım yapılandırmalarını ve erişim izinlerini altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.