Bootkit, işletim sistemi yüklenmeden önce devreye giren ve önyükleme zincirini ele geçiren zararlı bileşendir. İşletim sisteminden önce çalıştığı için, işletim sistemi içindeki tüm güvenlik kontrollerini baştan etkisiz kılabilir. Yüklenen sistemin gördüğü her şey, bu bileşen tarafından belirlenmiş olabilir. Bu nedenle en dirençli kalıcılık yöntemlerinden biridir. Tespiti ve temizliği standart yöntemlerle mümkün değildir.

Bileşenin gücü, çalışma sırasından gelir. Güvenlik yazılımları işletim sistemi yüklendikten sonra devreye girer; bootkit ise ondan önce çalışır. Bu sıralama farkı, tüm koruma katmanlarını atlamayı mümkün kılar. Bu nedenle savunma, önyükleme zincirinin bütünlüğünü doğrulamaya dayanmalıdır. Sonradan yapılan kontroller yetersizdir.

Bootkit Nedir?

Bootkit, önyükleme sürecine müdahale ederek işletim sisteminden önce çalışan ve sistem üzerinde kalıcı, gizli denetim sağlayan zararlı bileşendir.

Bileşen, önyükleme kayıtlarına, önyükleyici dosyalarına ya da ürün yazılımı bileşenlerine yerleşebilir. Yerleştiği katman, temizlik zorluğunu belirler. Disk üzerindeki bileşenler yeniden kurulumla temizlenebilirken, ürün yazılımına yerleşenler için bu yeterli olmaz. Rootkit ailesinin en alt seviyedeki üyesi olarak değerlendirilir. Tespit yöntemleri de buna göre farklılaşır.

Nasıl Yerleşir?

Yerleşim için genellikle yönetici ya da sistem düzeyinde yetki gerekir. Bu nedenle bileşen, yetki yükseltme sonrasında devreye girer. Bazı durumlarda ise fiziksel erişim yoluyla yerleştirilir. Kilitlenmemiş ve şifrelenmemiş cihazlar bu riske açıktır. Disk şifreleme bu yolu büyük ölçüde kapatır.

Güvenli önyükleme etkin olduğunda, imzasız bileşenlerin çalışması engellenir. Bu koruma, bileşenin yerleşmesini önemli ölçüde zorlaştırır. Saldırganlar bu korumayı aşmak için imzalı ama zafiyetli bileşenleri kullanır. Bu tekniğe karşı, bilinen zafiyetli bileşenlerin engellenmesi gerekir. Engelleme listeleri güncellemelerle gelir.

• Yönetici yetkisiyle önyükleme kayıtlarının değiştirilmesi
• İmzalı ama zafiyetli önyükleme bileşenlerinin kötüye kullanımı
• Fiziksel erişimle disk üzerine bileşen yerleştirilmesi
• Ürün yazılımı güncelleme mekanizmasının kötüye kullanımı
• Güvenli önyüklemenin devre dışı bırakılması

Nasıl Korunulur?

Birinci koruma, güvenli önyüklemenin etkin olmasıdır. Bu özellik, önyükleme zincirindeki her bileşenin imzasını doğrular ve doğrulanmayanların çalışmasını engeller. Özelliğin tüm cihazlarda etkin olduğunun doğrulanması gerekir. Merkezî yönetim araçlarıyla bu durum raporlanabilir. Kapalı cihazlar öncelikli olarak ele alınır.

İkinci koruma, ölçülü önyükleme ve güven modülü kullanımıdır. Önyükleme sırasında her bileşenin özeti bir donanım modülünde kaydedilir. Bu kayıtlar sonradan doğrulanarak zincirin değişip değişmediği anlaşılır. Güvenilir platform modülü bu doğrulamayı sağlar. Uzaktan doğrulama da mümkündür.

Üçüncü koruma, disk şifrelemesidir. Şifreli bir diske fiziksel erişimle bileşen yerleştirmek çok daha zordur. Ayrıca şifreleme anahtarının donanım modülüne bağlanması, önyükleme zinciri değiştiğinde diskin açılmamasını sağlar. Bu mekanizma, müdahaleyi doğrudan tespit eder. Disk şifreleme bu nedenle çok katmanlı fayda sunar.

Tespit ve Temizlik

Tespit için ölçülü önyükleme kayıtlarının doğrulanması en güvenilir yoldur. Beklenen özet değerlerinden sapma, zincire müdahale edildiğini gösterir. Bu doğrulama otomatikleştirilebilir. Merkezî raporlama ile filo genelinde izlenebilir. Bu kabiliyet çoğu kurumda kullanılmaz.

Temizlik ise seviyeye göre değişir. Disk üzerindeki bileşenler için temiz kurulum yeterli olabilir. Ürün yazılımına yerleşen bileşenler için ise ürün yazılımının yeniden yazılması gerekir. Bazı durumlarda donanım değişimi tek güvenli seçenektir. Karar, olayın kapsamına göre verilir. Maliyet analizine göre değil, risk analizine göre karar verilmelidir.

Önyükleme Zinciri Nasıl Çalışır?

Bir bilgisayar açıldığında önce donanım üzerindeki ürün yazılımı çalışır. Bu bileşen donanımı hazırlar ve önyükleyiciyi diskten yükler. Önyükleyici ise işletim sistemi çekirdeğini belleğe alır ve denetimi ona devreder. Bu zincirin her halkası, bir sonrakine güvenerek çalışır. Zincirin herhangi bir halkasına müdahale, sonraki tüm halkaları etkiler.

Güvenli önyükleme bu zinciri kriptografik doğrulamayla korur. Her halka, bir sonrakinin imzasını doğrulamadan çalıştırmaz. Doğrulanamayan bir bileşen bulunduğunda önyükleme durdurulur. Bu mekanizma, zincire yapılan müdahaleleri engeller. Etkin olmadığında zincirin hiçbir halkası doğrulanmaz.

Ölçülü önyükleme ise farklı çalışır: bileşenleri engellemez, yalnızca özetlerini kaydeder. Kayıtlar bir donanım modülünde saklanır ve sonradan doğrulanabilir. Bu yaklaşım, engelleme yerine tespit sağlar. İki mekanizma birlikte kullanıldığında hem önleme hem tespit elde edilir. Tamamlayıcı özelliklerdir.

Kurumsal Uygulama

Kurumsal ortamda bu özelliklerin filo genelinde etkin olduğunun doğrulanması gerekir. Merkezî yönetim araçları bu durumu raporlayabilir. Kapalı cihazların listelenmesi ve öncelikli ele alınması önerilir. Eski donanımlar bu özellikleri desteklemeyebilir. Bu cihazlar için ayrı bir risk değerlendirmesi yapılır.

Yeni cihaz alımlarında da bu özellikler kriter olarak belirlenmelidir. Donanım güven modülü, güvenli önyükleme ve ürün yazılımı imza doğrulaması standart beklenti olmalıdır. Bu kriterlerin tedarik sürecine eklenmesi, sonradan doğan sorunları önler. Cihaz ömrü boyunca fayda sağlar. Maliyet farkı genellikle küçüktür.

Ayrıca ürün yazılımı güncellemelerinin uygulanması gerekir. Bu güncellemeler çoğu kurumda ihmal edilir çünkü işletim sistemi güncellemeleri kadar görünür değildir. Oysa alt seviye korumaların çoğu bu güncellemelerle gelir. Envanterde ürün yazılımı sürümleri de tutulmalıdır. Ürün yazılımı güvenliği ayrı bir başlıktır.

Fiziksel Güvenlikle İlişkisi

Bu bileşenlerin yerleştirilmesinde fiziksel erişim önemli bir yol oluşturur. Denetimsiz bırakılan dizüstü bilgisayarlar, otel odalarında kalan cihazlar ve gümrük kontrollerinden geçen donanımlar risk taşır. Bu senaryolar özellikle seyahat eden üst düzey personel için geçerlidir. Kurumsal seyahat politikası bu riski ele almalıdır. Geçici cihaz kullanımı bir seçenektir.

Disk şifrelemesi ve önyükleme parolası bu riski büyük ölçüde azaltır. Ayrıca cihazın açılıp açılmadığını gösteren fiziksel mührürleme yöntemleri de kullanılabilir. Bu önlemler basit ama etkilidir. Kritik roller için standart hale getirilebilir. Maliyeti düşüktür.

Dönüş sonrası kontrol de önerilir. Ölçülü önyükleme kayıtlarının doğrulanması, zincire müdahale edilip edilmediğini gösterir. Bu kontrol otomatikleştirilebilir. Sapma tespit edildiğinde cihaz incelemeye alınır. Süreç önceden tanımlanmalıdır.

Privia Security olarak uç nokta önyükleme güvenliği yapılandırmalarınıaltyapı ve mimari gözden geçirme kapsamında denetliyoruz.