Sömürü zinciri, tek başına sınırlı etki üreten birden çok zafiyetin belirli bir sırayla kullanılarak çok daha büyük bir sonuca ulaşılmasıdır. Modern sistemlerde tek bir zafiyetin doğrudan tam denetim vermesi giderek zorlaşmıştır. İşletim sistemleri ve tarayıcılar, koruma katmanlarını art arda dizerek bunu kasıtlı olarak zorlaştırır. Bu nedenle saldırganlar her katmanı ayrı bir zafiyetle aşmak zorunda kalır. Ortaya çıkan yapı, birbirine bağlı adımlardan oluşan bir zincirdir.

Zincir mantığı, savunma açısından önemli bir fırsat sunar. Zincirin herhangi bir halkasının kırılması, sonucun gerçekleşmesini engeller. Bu nedenle her zafiyeti tek tek değerlendirmek yerine, birleşim olasılıklarını düşünmek gerekir. Düşük ciddiyetli görünen bir bulgu, bir zincirin kritik halkası olabilir. Önceliklendirme bu bakışla yapılmalıdır.

Sömürü Zinciri Nedir?

Sömürü zinciri, birden çok zafiyetin ardışık olarak kullanılmasıyla tek başlarına ulaşamayacakları bir erişim ya da yetki seviyesine ulaşılmasını sağlayan saldırı yapısıdır.

Zincirin halkaları farklı türde zafiyetler olabilir. Bir bilgi ifşası zafiyeti bellek düzenini açığa çıkarır, bir bellek bozulması zafiyeti kod çalıştırmayı sağlar, bir kum havuzu kaçışı ise kısıtlamayı aşar. Üçü birlikte tam denetim üretir. Ayrı ayrı ele alındığında hiçbiri bu sonucu vermez. Bu nedenle zincir bir bütün olarak değerlendirilmelidir.

Neden Zincir Gerekir?

Modern koruma mekanizmaları, tek bir zafiyetin sömürülmesini kasıtlı olarak zorlaştırır. Bellek adreslerinin rastgeleleştirilmesi, veri alanlarında kod çalıştırmanın engellenmesi ve süreçlerin kum havuzunda çalıştırılması bu mekanizmaların başında gelir. Her mekanizma, saldırganın ek bir zafiyet bulmasını zorunlu kılar. Bu yaklaşım, saldırı maliyetini belirgin biçimde artırır. Amaç saldırıyı imkânsız kılmak değil, ekonomik olmaktan çıkarmaktır.

Bu maliyet artışı, koruma mekanizmalarına yapılan yatırımın gerekçesidir. Bir zafiyet bulmak zaten zorken, uyumlu üç zafiyet bulmak katlanarak zorlaşır. Ayrıca zincirin herhangi bir halkası yamalandığında zincirin tamamı işlevsiz kalır. Bu kırılganlık, savunmanın en güçlü kozudur. Yama yönetiminin değeri burada da görünür.

• Bilgi ifşası ile bellek düzeninin öğrenilmesi
• Bellek bozulması ile kod çalıştırma imkânı elde edilmesi
• Kum havuzu kaçışı ile kısıtlamaların aşılması
• Yetki yükseltme ile sistem düzeyine çıkılması
• Kalıcılık mekanizmasıyla erişimin sürdürülmesi

Kurumsal Ortamda Zincir Örneği

Kurumsal ortamda zincirler yalnızca teknik zafiyetlerden oluşmaz. İlk halka bir kimlik avı e-postası, ikinci halka yamalanmamış bir uygulama, üçüncü halka aşırı yetkili bir servis hesabı olabilir. Dördüncü halka ise segmentsiz bir ağ yapısıdır. Bu zincirde yalnızca bir halka teknik zafiyettir; diğerleri yapılandırma ve süreç eksikliğidir. Bu nedenle savunma yalnızca yama yönetimine indirgenemez.

Bu tür zincirler, sızma testlerinin en değerli çıktılarıdır. Test ekibi zinciri baştan sona kurarak gerçek etkiyi gösterir. Rapor, her bulguyu ayrı ayrı listelemek yerine zincirin tamamını anlatmalıdır. Sızma testi raporlaması bu anlatımı içermelidir. Zincir anlatımı, yönetimin konuyu kavramasını da kolaylaştırır.

Zincirin en ucuz kırılabilecek halkasının belirlenmesi de raporun görevidir. Bazen en kolay düzeltme, en teknik zafiyet değil bir yapılandırma değişikliğidir. Bu öneri, sınırlı kaynağın en etkili biçimde kullanılmasını sağlar. Önceliklendirme bu analizle yapılır. Analiz olmadan tüm bulgular eşit görünür.

Zincirin Kırılması

Savunma planlaması, zincirin her aşamasına karşılık gelen kontroller tanımlamayı gerektirir. İlk erişim aşamasında e-posta denetimleri, sömürü aşamasında yama ve sıkılaştırma, yükseltme aşamasında en az yetki, yayılma aşamasında segmentasyon devreye girer. Her kontrol, zincirin bir halkasını hedefler. Tek bir katmana yatırım yapmak, diğer halkaları açık bırakır. Derinlemesine savunma bu dağılımı sağlar.

Kırılacak halkanın seçimi maliyet analizine dayanır. Bazı halkaların kapatılması çok maliyetliyken, bazıları basit bir yapılandırma değişikliğiyle kapatılabilir. Bu nedenle zincir haritası çıkarıldıktan sonra maliyet-etki değerlendirmesi yapılır. En düşük maliyetli etkili müdahale önce uygulanır. Bu yaklaşım hızlı kazanımlar üretir.

Ayrıca bir halkanın kapatılmasının başka zincirleri de kırıp kırmadığı değerlendirilir. Ortak halkalar, birden çok zincirde tekrar eden kontrollerdir. Bu halkalara yapılan yatırım katlanarak getiri sağlar. Örneğin yerel yönetici hakkının kaldırılması, çok sayıda zinciri aynı anda kırar. Bu tür kontroller öncelikli listeye alınır.

Tespit Açısından Zincir

Tespit tarafında da zincir mantığı kullanılır. Tek bir olay düşük güvenilirlikli bir sinyal üretirken, birbirini izleyen birkaç olay yüksek güvenilirlikli bir uyarı oluşturur. Bu ilişkilendirme, korelasyon kurallarıyla yapılır. SIEM platformları bu kuralları çalıştırır. Kurallar, saldırı zinciri aşamalarına göre tasarlanır.

Korelasyonun etkili olması için farklı kaynaklardan kayıt toplanması gerekir. Yalnızca uç nokta ya da yalnızca ağ kayıtlarıyla zincir görünmez. Kimlik, uç nokta, ağ ve uygulama kayıtlarının bir arada olması gerekir. Kaynak çeşitliliği, tespit kalitesini doğrudan belirler. Bu nedenle kayıt planlaması stratejik bir karardır.

Zincir tespiti aynı zamanda yanlış pozitifleri de azaltır. Tek başına gürültülü olan bir sinyal, başka bir sinyalle birleştiğinde anlam kazanır. Bu yaklaşım, analist yükünü düşürür. Kural tasarımında bu ilke gözetilmelidir. Tekil sinyallere dayanan kural setleri sürdürülemez.

Ölçüm ve Doğrulama

Zincirlerin gerçekten kırıldığının doğrulanması için kontrollü testler yapılır. Kırmızı takım çalışmalarında zincirin baştan sona kurulmaya çalışılması, hangi halkanın gerçekten durdurduğunu gösterir. Sonuçlar bir kapsama tablosuna işlenir. Tablo, savunma yatırımının etkisini görünür kılar. Ölçülmeyen kontrol, çalıştığı varsayılan kontroldür.

Testler dönemsel olarak tekrarlanmalıdır. Ortam değiştikçe yeni zincirler oluşur ve kapatılmış halkalar yeniden açılabilir. Bu nedenle doğrulama sürekli bir süreç olarak planlanır. Mor takım çalışmaları bu sürekliliği düşük maliyetle sağlar. Her çalışma, kural setini de olgunlaştırır.

Zincir Haritasının Çıkarılması

Zincir analizinin ilk adımı, ortamdaki varlıkların ve aralarındaki güven ilişkilerinin haritalanmasıdır. Hangi hesabın hangi sisteme eriştiği, hangi servisin hangi kimlikle çalıştığı ve hangi ağ yollarının açık olduğu bu haritanın bileşenleridir. Harita çıkarıldığında, tek tek masum görünen ayrıntıların birleşerek nasıl bir yol oluşturduğu görünür hâle gelir. Bu görünürlük olmadan zincir analizi yapılamaz. Çoğu kurumda harita hiç çıkarılmamıştır.

Haritalama için otomatik araçlar kullanılabilir. Dizin hizmeti ilişkilerini grafik olarak çıkaran araçlar, yetki yollarını görsel biçimde sunar. Aynı yaklaşım bulut ortamları için de mevcuttur. Araç çıktıları elle doğrulanmalıdır çünkü bazı yollar pratikte kullanılamaz olabilir. Doğrulama, gerçek riskin belirlenmesini sağlar.

Harita çıkarıldıktan sonra en kısa yolların analizi yapılır. Sıradan bir kullanıcı hesabından en kritik varlığa giden en kısa yol, saldırganın da izleyeceği yoldur. Bu yolun uzatılması ya da kesilmesi öncelikli hedef olur. Analiz, somut ve ölçülebilir bir iyileştirme hedefi üretir. Ölçüm, yol uzunluğu üzerinden yapılabilir.

Zincirin Belgelenmesi

Bulunan zincirlerin yazılı olarak belgelenmesi, sonraki değerlendirmelerde referans oluşturur. Belgede her halka, halkayı mümkün kılan koşul ve kapatma seçeneği yer alır. Ayrıca halkanın kapatılmasının iş etkisi de belirtilir. Bu ayrıntı, karar sürecini hızlandırır. Belgesiz analizler tekrar tekrar yapılır.

Belgeleme ayrıca zincirlerin zaman içindeki değişimini izlemeyi sağlar. Kapatılan halkalar işaretlenir, yeni oluşanlar eklenir. Bu izleme, savunmanın olgunlaşmasını görünür kılar. Yönetim raporlamasında da somut bir dayanak sunar. Sayısal gösterge olarak kullanılabilir.

Belgelerin erişimi kısıtlanmalıdır. Zincir haritası, saldırgan için de değerli bir kaynaktır. Bu nedenle sınıflandırılmış bilgi olarak ele alınır ve dar bir kitleyle paylaşılır. Saklama ortamının güvenliği de değerlendirilir. Korumasız bir depoda tutulması ciddi risk oluşturur.

Tedarik Zinciri ile İlişkisi

Zincirin ilk halkası her zaman kurumun kendi altyapısında olmayabilir. Bir tedarikçinin ele geçirilmesi, kuruma erişim sağlayan ilk halka olabilir. Bu durumda zincir kurumun sınırlarının dışında başlar. Tedarik zinciri saldırısı senaryoları bu nedenle zincir analizine dahil edilmelidir. Analiz kapsamı, kurumun kendi ağıyla sınırlı kalmamalıdır.

Tedarikçi erişimlerinin haritada gösterilmesi bu kapsamı sağlar. Hangi tedarikçinin hangi sistemlere hangi yetkiyle eriştiği kaydedilir. Bu erişimlerin daraltılması, dış kaynaklı zincirlerin ilk halkasını kısaltır. Ayrıca erişimlerin izlenmesi tespit imkânı sağlar. İzleme çoğu kurumda eksiktir.

Privia Security olarak ortamdaki sömürü zincirlerini uçtan uca kurgulayarakred team hizmeti kapsamında ortaya koyuyor, en düşük maliyetli kırılma noktalarını raporluyoruz.