Sulama deliği saldırısı, hedef kitlenin düzenli olarak ziyaret ettiği bir web sitesinin ele geçirilmesiyle yürütülür. Saldırgan hedefe doğrudan ulaşmak yerine, hedefin geleceği yeri tuzaklar. Adını, avcıların su birikintisi başında beklemesi benzetmesinden alır. Yöntem, doğrudan iletişim kurmadan hedefe ulaşmayı sağlar.

Bu yaklaşım özellikle savunması güçlü kurumlara karşı tercih edilir. Kurumun e-posta denetimleri sıkıysa ve çalışanları farkındaysa, saldırgan güveni yüksek üçüncü bir siteyi kullanır. Çalışan zaten günlük işinin parçası olarak o siteye girdiği için şüphelenmez. Bu dolaylı yol, savunmanın odaklandığı kanalların dışından ilerler.

Sulama Deliği Saldırısı Nedir?

Sulama deliği saldırısı, belirli bir hedef kitlenin sık kullandığı bir web sitesinin ele geçirilerek ziyaretçilerin zararlı içerikle karşılaştırılması yöntemidir.

Saldırı hedef odaklıdır: ele geçirilen site rastgele değil, hedef kitleye göre seçilir. Sektörel bir dernek sayfası, bir mevzuat portalı ya da bölgesel bir haber sitesi bu amaçla kullanılabilir. Bazı kampanyalarda zararlı içerik yalnızca belirli IP aralıklarından gelen ziyaretçilere sunulur. Bu seçicilik, tespiti belirgin biçimde zorlaştırır.

Nasıl Kurgulanır?

İlk aşama hedef kitlenin gezinme alışkanlıklarının belirlenmesidir. Saldırgan, kurum çalışanlarının hangi sektörel kaynakları takip ettiğini araştırır ve aday siteleri listeler. Ardından bu sitelerin güvenlik düzeyi değerlendirilir; genellikle en zayıf olanı seçilir. Küçük ve az kaynaklı siteler bu nedenle sık hedef olur.

İkinci aşama sitenin ele geçirilmesidir. Güncellenmemiş içerik yönetim sistemleri, zayıf yönetici parolaları ve güvensiz eklentiler yaygın giriş yollarıdır. Erişim sağlandıktan sonra sayfaya zararlı bir betik eklenir ya da bir dosya yerleştirilir. Değişiklik olabildiğince küçük tutularak fark edilmesi geciktirilir.

• Hedef kitlenin sık ziyaret ettiği sektörel ve bölgesel sitelerin belirlenmesi
• Zayıf korunan sitenin ele geçirilmesi ve zararlı betik eklenmesi
• Ziyaretçi parmak izine göre yalnızca seçili hedeflere içerik sunulması
• Tarayıcı ya da eklenti zafiyetinin sömürülmesi veya sahte güncelleme sunulması
• İlk erişim sonrası kalıcılık kurulması ve yanal harekete geçilmesi

Neden Etkilidir?

Kullanıcı, güvendiği ve düzenli kullandığı bir siteye girdiği için savunma refleksi devrede değildir. Bağlantıya bir mesajdan değil, kendi alışkanlığıyla ulaşmıştır. Bu durum, kimlik avında işe yarayan “şüpheli bağlantıya tıklama” eğitiminin karşılığını ortadan kaldırır. Farkındalık eğitimi bu senaryoda koruma sağlamaz.

İkinci etken, sitenin meşru itibarıdır. Web filtreleme çözümleri bilinen ve temiz kategorideki siteleri engellemez; site ele geçirilse bile kategorisi genellikle hemen değişmez. Bu boşluk, zararlı içeriğin kurum ağına ulaşmasına imkân verir. Bu nedenle savunma, ağ katmanından uç nokta ve tarayıcı katmanına kayar.

Nasıl Tespit Edilir?

Tespitin en güvenilir yolu uç nokta davranışlarının izlenmesidir. Tarayıcının beklenmedik bir alt süreç başlatması, betik motorunun çalışması ya da diske olağandışı bir dosya yazılması güçlü işaretlerdir. Bu davranışlar, hangi siteden geldiğine bakılmaksızın yakalanabilir. Uç nokta güvenliği çözümlerinin kayıt kalitesi burada belirleyicidir.

İkinci tespit yolu ağ trafiğinin analizidir. Meşru bir siteyi ziyaret ederken bilinmeyen bir alan adına yapılan istekler, kaynak zincirinin incelenmesiyle görülebilir. Proxy log analizi bu incelemeyi mümkün kılar. Yönlendirme zincirlerinin kaydedilmesi, olay sonrası kök neden analizinde de değerlidir.

Korunma Yöntemleri

İlk önlem, tarayıcı ve eklentilerin güncel tutulmasıdır. Bu saldırıların önemli bölümü bilinen tarayıcı zafiyetlerini kullanır; güncel bir tarayıcı çoğu girişimi etkisiz kılar. Eklenti sayısının sınırlanması da saldırı yüzeyini daraltır. Kurumsal ortamda eklenti kurulumunun onaya bağlanması yaygın bir uygulamadır.

İkinci önlem, tarayıcının kısıtlı yetkiyle ve mümkünse yalıtılmış biçimde çalıştırılmasıdır. Kullanıcıların yerel yönetici hakkı olmaması, sömürünün kalıcılığa dönüşmesini zorlaştırır. Kritik roller için izole tarama ortamları da kullanılabilir. Bu yaklaşım, bilinmeyen zafiyetlere karşı da koruma sağlar.

Hedeflenen Sektörler ve Amaçlar

Bu yöntem çoğunlukla belirli bir sektöre ya da topluluğa yönelik kampanyalarda görülür. Savunma sanayii, enerji, kamu kurumları ve sivil toplum kuruluşları geçmişte hedef alınan gruplar arasındadır. Ortak nokta, bu grupların ortak bir bilgi kaynağını düzenli olarak takip etmesidir. Ortak kaynak, saldırgan için doğal bir toplanma noktası oluşturur.

Amaç genellikle uzun süreli erişim sağlamaktır. Saldırgan hızlı bir kazanç yerine, hedef kurumun ağında kalıcılık kurup bilgi toplamayı hedefler. Bu nedenle kullanılan araçlar sessiz çalışacak biçimde seçilir. Gelişmiş kalıcı tehdit gruplarının tercih ettiği yöntemlerden biridir.

Bazı kampanyalarda ise amaç geniş bir kitleye zararlı yazılım yaymaktır. Bu durumda hedef seçiciliği azalır ve popüler siteler tercih edilir. İki yaklaşım arasındaki fark, kullanılan filtrelemede görülür: hedefli kampanyalar yalnızca belirli ziyaretçilere zararlı içerik sunar. Bu ayrım, olay incelemesinde saldırganın amacını anlamaya yardımcı olur.

Reklam Ağları Üzerinden Yayılma

Sitenin kendisi ele geçirilmeden de benzer sonuç elde edilebilir. Sitede gösterilen reklam ağına zararlı bir içerik yerleştirildiğinde, site sahibinin hiçbir kusuru olmadan ziyaretçiler etkilenir. Bu yöntem, tek bir reklam ağı üzerinden çok sayıda siteye erişim sağlar. Site sahibi çoğu zaman durumdan haberdar bile olmaz.

Kurumsal savunmada bu risk, reklam ve izleme betiklerinin kısıtlanmasıyla azaltılır. Kurumsal cihazlarda içerik engelleme kullanılması hem saldırı yüzeyini daraltır hem de bant genişliği kazandırır. Bu uygulama, kullanıcı deneyimini de çoğu zaman iyileştirir. Karar verilirken kurumun web kullanım politikası dikkate alınır.

Site sahipleri açısından ise üçüncü taraf betik yönetimi önemlidir. Sayfaya eklenen her dış betik, o sitenin ziyaretçileri üzerinde tam yetki kazanır. İçerik güvenlik politikası ile bu yetkinin sınırlanması mümkündür. Betik bütünlüğü doğrulaması da ek bir koruma katmanı sağlar.

Site Sahibi Olarak Ne Yapılmalı?

Kurumun kendi sitesinin bir sulama deliği hâline gelmemesi de bir sorumluluktur. İçerik yönetim sisteminin ve eklentilerinin güncel tutulması, yönetici erişimlerinin çok faktörlü doğrulamayla korunması ve dosya bütünlüğünün izlenmesi temel önlemlerdir. Bu önlemler alınmadığında site, müşterilere ve iş ortaklarına yönelik bir saldırı aracına dönüşebilir. İtibar kaybı, teknik zarardan daha kalıcı olabilir.

Dosya bütünlüğü izleme özellikle etkilidir. Yayımlanan dosyalarda beklenmeyen bir değişiklik olduğunda uyarı üretilmesi, eklenen zararlı betiğin saatler içinde fark edilmesini sağlar. Bu kontrol, statik içerik sunan siteler için kolayca uygulanabilir. Dinamik sitelerde ise kritik dosyalar kapsam alınır.

Ayrıca sitenin dışarıdan düzenli olarak taranması önerilir. Sayfada beklenmeyen bir dış kaynak yüklenip yüklenmediği otomatik kontrollerle izlenebilir. Bu kontroller, kendi altyapısını izleyemeyen kurumlar için pratik bir alternatiftir. Tespit süresini kısaltmak, etkiyi doğrudan azaltır.

Privia Security olarak dolaylı erişim senaryolarınıred team hizmeti kapsamında kurguluyor, kurumun bu tür saldırılara karşı tespit kabiliyetini ölçüyoruz.