Kurumların iş ortaklarıyla dosya alışverişi yaptığı yönetilen dosya aktarım sunucuları, tanımı gereği en hassas verilerin geçtiği kavşaklardır. GoAnywhere MFT bu kategoride yaygın kullanılan bir üründür ve üzerinde ortaya çıkan zafiyet, tam da bu kavşağın saldırganların eline geçmesine yol açtığı için son yılların en yıkıcı olaylarından birine dönüştü. Bir dosya aktarım sunucusu düştüğünde, içinden geçen her şey risk altına girer.

Neden bu kadar değerli bir hedef

MFT sunucuları, bordro, sözleşme, sağlık kaydı ve finansal tablo gibi kurumun en kıymetli verilerini bir arada barındırır. Buradaki bir uzaktan kod çalıştırma açığı, saldırgana tek bir noktadan devasa bir veri havuzuna erişim sunar. Ele geçirilen sunucudan yapılan veri sızdırma, çoğu zaman fark edilmeden gerçekleşir çünkü aktarım trafiği bu sunucular için zaten normaldir; kötü niyetli çıkış, meşru iş akışının içinde gizlenir.

Bir dosya aktarım sunucusundaki uzaktan kod çalıştırma açığı, saldırgana kurumun en hassas verilerine tek noktadan erişim verir.

Sızmadan şantaja giden yol

Bu zafiyeti kullanan gruplar genellikle veriyi çekip sonrasında şantaja geçen bir düzen izledi. Bazı vakalarda erişim, verinin şifrelendiği bir fidye yazılımı operasyonuna bağlandı; bazılarında ise şifreleme hiç yapılmadan yalnızca çalınan verinin ifşasıyla tehdit edildi. Her iki senaryoda da baskı unsuru, sunucuda biriken hassas verinin kendisiydi.

Tek açık, çok kurban

GoAnywhere olayının ölçeğini büyüten şey, tek bir üründeki açığın onu kullanan yüzlerce kurumu aynı anda etkilemesiydi. Bu, klasik bir tedarik zinciri saldırısı örneğidir; saldırgan tek tek şirketleri hedeflemek yerine, hepsinin ortak kullandığı yazılımdaki bir zafiyeti sömürerek etkiyi katladı. Kurumlar kendi ağlarını iyi korumuş olsalar bile, güvendikleri bir aracın açığı üzerinden vurulabildiler.

• Yönetilen dosya aktarım arayüzlerini internete kapatma
• Tedarikçi güvenlik bültenlerini yakından izleme
• Kritik yamaları acil kulvarda hızla uygulama
• Sunucudan çıkan olağandışı veri trafiğini izleme

Savunmanın belirleyici anı

Bu tür açıklara karşı en güçlü kaldıraç hızdır. Sağlıklı bir yama yönetimi süreci, dış dünyaya bakan aktarım sunucularını en yüksek öncelikli varlıklar arasında konumlandırmalı ve kritik güncellemeleri saatler içinde uygulayabilecek bir mekanizma içermelidir. Yama öncesinde arayüzü kısıtlamak ve çıkış trafiğini izlemek, açık pencerenin riskini azaltır. Bir ihlalden şüpheleniliyorsa, sunucudaki erişim kayıtları ve giden veri hacmi ilk bakılacak yerlerdir.

Dosya aktarım altyapınızın bu açıktan etkilenip etkilenmediğini belirlemek ve olası bir veri sızıntısının kapsamını netleştirmek için olay inceleme ve olay müdahalesi hizmetimizle sunucularınızı ve erişim geçmişinizi ayrıntılı biçimde inceleyebiliriz.