Arka kapı, bir sisteme normal kimlik doğrulama süreçlerini atlayarak erişim sağlayan gizli mekanizmadır. Saldırgan tarafından yerleştirilebileceği gibi, geliştirici tarafından test amacıyla bırakılmış ve kaldırılmayı unutulmuş bir bileşen de olabilir. Her iki durumda da sonuç aynıdır: yetkisiz erişime açık bir yol. Bu nedenle kaynağı ne olursa olsun ciddi bir bulgudur. Tespiti ve kapatılması önceliklidir.

Arka kapılar, saldırı zincirinde kalıcılık sağlamak için kullanılır. İlk erişim yolu kapatılsa bile arka kapı üzerinden erişim sürer. Bu nedenle olay müdahalesinde tüm arka kapıların bulunması kritik önemdedir. Eksik temizlik, saldırganın kısa sürede geri dönmesine yol açar. Kapsam belirleme bu nedenle titiz yapılmalıdır.

Arka Kapı Nedir?

Arka kapı, normal erişim denetimlerini atlayarak bir sisteme ya da uygulamaya gizli erişim sağlayan, kasıtlı ya da kazara oluşmuş mekanizmadır.

Mekanizma çok farklı biçimlerde olabilir. Gizli bir kullanıcı hesabı, sabit kodlanmış bir parola, belirli bir istekle tetiklenen bir işlev ya da dinleyen bir ağ servisi bu biçimlere örnektir. Ortak nokta, belgelenmemiş ve denetlenmemiş bir erişim yolu sunmalarıdır. Bu nedenle envanter ve denetim çalışmaları bu tür bulguları hedefler. Belgesiz her erişim yolu şüphelidir.

Kasıtlı ve Kazara Arka Kapılar

Saldırgan tarafından yerleştirilen arka kapılar, kalıcı erişim amacı taşır ve gizlenmeye çalışır. Meşru servis adlarına benzer isimler, sistem dizinlerine yerleştirme ve şifreli iletişim bu gizlemenin parçalarıdır. Tespitleri, temel çizgi karşılaştırmasıyla mümkündür. Beklenmeyen her servis incelenmelidir.

Geliştirici kaynaklı arka kapılar ise çoğunlukla kötü niyetli değildir. Test kolaylığı için eklenen bir yönetici hesabı ya da hata ayıklama arayüzü, üretime taşındığında arka kapıya dönüşür. Bu tür bulgular kod incelemelerinde ve testlerde ortaya çıkar. Güvenli kod gözden geçirme bu riski azaltır. Süreç, sürüm öncesi kontrol listesine eklenmelidir.

Üçüncü bir kategori, tedarikçi kaynaklı arka kapılardır. Bir ürünün içinde bulunan varsayılan destek hesabı ya da belgelenmemiş yönetim arayüzü bu kapsamdadır. Bu bulgular, ürün değerlendirmesi sırasında aranmalıdır. Üreticiden açık bilgi istenmelidir. Sözleşmeye madde eklenebilir.

• Gizli ya da belgelenmemiş kullanıcı hesapları
• Sabit kodlanmış parola ve anahtarlar
• Üretime taşınmış hata ayıklama arayüzleri
• Belirli bir istekle tetiklenen gizli işlevler
• Beklenmeyen dinleyen ağ servisleri
• Yetkisiz eklenmiş yetkili anahtarlar

Nasıl Tespit Edilir?

Tespitin temel yöntemi, temel çizgi karşılaştırmasıdır. Sistemin bilinen temiz durumundaki servisler, hesaplar, açık portlar ve zamanlanmış görevler kaydedilir ve düzenli karşılaştırılır. Beklenmeyen her fark incelenir. Bu yaklaşım, bilinmeyen arka kapıları da yakalar. Temel çizgi olmadan karşılaştırma yapılamaz.

İkinci yöntem, ağ tarafındaki dinleyen servislerin taranmasıdır. Sistemin dışından yapılan port taraması, beklenmeyen servisleri ortaya çıkarır. Bu tarama, uç noktadaki gizleme mekanizmalarından etkilenmez. Zafiyet taraması bu kapsamı da içermelidir. Düzenli tarama önerilir.

Üçüncü yöntem, kod ve yapılandırma incelemesidir. Sabit kodlanmış kimlik bilgileri, otomatik araçlarla taranabilir. Kod depolarının bu açıdan düzenli taranması, sorunun üretime çıkmadan yakalanmasını sağlar. Bu tarama geliştirme hattına entegre edilebilir. Erken tespit maliyeti düşürür.

Bulut ve Kimlik Katmanında

Bulut ortamlarında arka kapılar genellikle kimlik katmanında kurulur. Yeni bir erişim anahtarı, yeni bir kullanıcı ya da geniş yetkili bir rol bu amaçla kullanılır. Bu değişiklikler meşru yönetim işlemlerine benzediği için fark edilmeleri zordur. Denetim kayıtlarının izlenmesi tespitin temelidir. Uyarı kuralları önceden tanımlanmalıdır.

Bir diğer yöntem, uygulama izinlerinin kötüye kullanılmasıdır. Kimlik sağlayıcısında tanımlanan bir uygulamaya verilen geniş izinler, kalıcı bir erişim yolu oluşturur. Bu izinler kullanıcı parolası değişse bile geçerliliğini korur. Uygulama onaylarının denetimi bu riski görünür kılar. Denetim dönemsel yapılmalıdır.

Federasyon yapılandırmaları da hedef alınabilir. Ek bir kimlik sağlayıcısının güvenilir olarak tanımlanması, saldırganın istediği kimlikle giriş yapmasını sağlar. Bu değişiklik çok kritik ama az izlenen bir olaydır. Yüksek öncelikli uyarı olarak tanımlanmalıdır. Değişiklik yönetimiyle eşleştirilmelidir.

Müdahale ve Kapatma

Arka kapı tespit edildiğinde önce kapsam belirlenir. Tek bir mekanizma mı yoksa birden çok yol mu bulunduğu araştırılır. Saldırganlar genellikle birden fazla yol bırakır. Bu nedenle ilk bulunan kapatıldığında inceleme sonlandırılmamalıdır. Sistematik arama yapılmalıdır.

Kapatma sırasında ilgili kimlik bilgileri de yenilenir. Sabit kodlanmış bir parola bulunduysa, o parolanın kullanıldığı tüm yerler değiştirilmelidir. Ayrıca ilgili hesapların oturumları sonlandırılır. Bu adımlar bir kontrol listesiyle yürütülür. Eksik adım, erişimin sürmesine yol açar.

Kapatma sonrasında izleme yoğunlaştırılır. Saldırganın yeni bir yol açma girişimi beklenmelidir. Bu dönemde tespit hassasiyetinin artırılması önerilir. Olay müdahale süreci bu izleme dönemini de kapsamalıdır. Süre önceden belirlenmelidir.

Web Kabukları

Web uygulamalarına yerleştirilen küçük betikler, en yaygın arka kapı biçimlerinden biridir. Bu betikler sunucu üzerinde komut çalıştırma imkânı verir ve web trafiği içinde gizlenir. Dosya yükleme zafiyetleri ya da yapılandırma hataları bu yerleştirmeyi mümkün kılar. Tespit için dosya bütünlüğü izlemesi kullanılır. Beklenmeyen her yeni dosya incelenmelidir.

Bu betiklerin gizlenmesi için çeşitli teknikler kullanılır. Kod karartma, meşru dosyalara gömme ve olağandışı uzantı kullanımı bu tekniklere örnektir. Bazı varyasyonlar yalnızca belirli bir başlık gönderildiğinde etkinleşir. Bu davranış, otomatik taramaları atlatır. Manuel inceleme gerekebilir.

Önleme için dosya yükleme işlevlerinin sıkı denetlenmesi gerekir. Yüklenen dosyaların web kök dizini dışında saklanması ve çalıştırılabilir olmaması sağlanmalıdır. Dosya yükleme zafiyetleri bu riskin ana kaynağıdır. Tasarım aşamasında ele alınmalıdır. Sonradan düzeltmek zordur.

Yetkili Anahtar ve Erişim Yolları

Sunucularda uzaktan erişim için kullanılan yetkili anahtarlar da arka kapı hâline gelebilir. Saldırgan kendi anahtarını yetkili listesine ekleyerek kalıcı erişim sağlar. Bu değişiklik küçük ve kolayca gözden kaçar. Yetkili anahtar dosyalarının bütünlüğünün izlenmesi gerekir. Değişiklikler uyarı üretmelidir.

Benzer biçimde yeni oluşturulan kullanıcı hesapları da izlenmelidir. Sistem hesabına benzer isimlerle oluşturulan hesaplar dikkat çekmez. Hesap listelerinin temel çizgiyle karşılaştırılması bu tür eklemeleri ortaya çıkarır. Karşılaştırma otomatikleştirilebilir. Düzenli çalıştırılmalıdır.

Zamanlanmış görevler ve servisler de aynı amaçla kullanılır. Bu bileşenler hem kalıcılık hem erişim sağlar. Kalıcılık mekanizmaları ile arka kapılar arasındaki sınır bu noktada bulanıklaşır. İnceleme her iki kategoriyi de kapsamalıdır. Kontrol listesi ortak kullanılabilir.

Privia Security olarak sistem ve bulut ortamlarındaki belgelenmemiş erişim yollarınıred team hizmeti ve inceleme çalışmalarıyla ortaya çıkarıyoruz.