Bir kurumun ağına açılan en kritik kapılardan biri, çalışanların dışarıdan bağlandığı uzak erişim geçididir. Fortinet’in yaygın kullanılan SSL-VPN çözümleri tam da bu konumda oturduğu için, üzerlerinde çıkan zafiyetler saldırganlar açısından altın değerinde hedeflere dönüşür. Bu açıklar, internete doğrudan bakan bir cihazda kimlik doğrulamayı atlamaya veya cihaz üzerinde komut çalıştırmaya izin verdiğinde, saldırgan tek hamlede ağın içinde bulur kendini.

Sınırdaki cihaz neden bu kadar cazip

SSL-VPN geçidi, tanımı gereği internetten erişilebilir olmak zorundadır; bu da onu her an tarama altında bir hedef yapar. Kimlik doğrulama öncesi sömürülebilen bir açık, saldırganın hiçbir geçerli hesaba ihtiyaç duymadan içeri girmesi demektir. Bu tür açıklar bazen kamuya ilan edilmeden önce vahşi doğada kullanılır ve bir sıfırıncı gün saldırısı biçimini alır; savunmacılar yamanın var olduğunu bile bilmezken saldırı çoktan başlamış olur.

İnternete bakan bir VPN geçidindeki kimlik doğrulama öncesi zafiyet, saldırgana ağın içine doğrudan bir giriş kapısı açar.

Girişten sonra ne oluyor

VPN geçidini ele geçiren saldırgan genellikle burada durmaz; elde ettiği erişimi ağ içinde yayılmak ve kalıcılık kurmak için kullanır. Pek çok vakada bu erişim, sonunda bir fidye yazılımı dağıtımına dönüşür ve kurum verileri şifrelenmeden önce dışarı çekilir. VPN cihazı, saldırının hem başlangıç noktası hem de sessizce sürdürülen erişimin dayanağı olur.

Yamanın yarışı

Bu zafiyetlere karşı en belirleyici savunma zamanlamadır. Bir açık kamuya duyurulduğu anda, geniş çaplı tarama ve sömürü denemeleri saatler içinde başlar. Etkin bir yama yönetimi süreci, kritik sınır cihazlarını olağan bakım takviminden ayırıp acil bir kulvarda ele almalıdır. Yama uygulanana kadar erişimi kısıtlamak, açığa çıkan yönetim arayüzlerini kapatmak ve tehlike altındaki oturumları geçersiz kılmak gecikmenin riskini azaltır.

• Güvenlik bültenlerini takip edip kritik yamaları acil kulvarda uygulama
• Yönetim arayüzlerini internete kapatma
• İhlal sonrası tüm oturum ve kimlik bilgilerini yenileme
• Sınır cihazlarını düzenli olarak dışarıdan tarama

Görünürlük ve doğrulama

Yama uygulamak, cihazın zaten sömürülmediğini garanti etmez; bu yüzden savunma, düzenli doğrulamayı da içermelidir. Periyodik zafiyet tarama, hangi cihazın hangi sürümde çalıştığını ve bilinen açıklara maruz kalıp kalmadığını görünür kılar. Bir sınır cihazında olağandışı yapılandırma değişiklikleri veya beklenmeyen hesaplar, çoktan gerçekleşmiş bir ihlalin işareti olabilir ve derhal incelenmelidir.

VPN geçidinizin sömürüldüğünden şüpheleniyor ya da bilinen bir Fortinet açığından etkilenip etkilenmediğinizi netleştirmek istiyorsanız, olay inceleme ve olay müdahalesi hizmetimizle cihazınızın durumunu ve olası ihlal izlerini hızla değerlendirebiliriz.