Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Kaba kuvvet saldırısı, olası tüm kombinasyonların sistematik olarak denenmesiyle parola veya anahtarın bulunmaya çalışılmasıdır.
Kaba kuvvet saldırısı, bir parolanın ya da anahtarın olası tüm kombinasyonlarının sırayla denenmesiyle bulunmaya çalışılmasıdır. Yöntem zekice değildir; tamamen hesaplama gücüne ve zamana dayanır. Buna rağmen zayıf parolalara karşı hâlâ etkili olduğu için yaygın biçimde kullanılmaya devam eder.
Saldırının başarı süresi, parolanın uzunluğu ve karakter çeşitliliğiyle üstel olarak artar. Her ek karakter, deneme uzayını kat kat büyütür. Bu nedenle parola politikalarında uzunluk, karmaşıklık kurallarından daha belirleyici bir etkendir.
Kaba kuvvet saldırısı, doğru parola ya da anahtar bulunana kadar olası kombinasyonların sistematik olarak denendiği, tamamen hesaplama gücüne dayanan saldırı yöntemidir.
Yöntemin iki temel biçimi vardır: çevrimiçi ve çevrimdışı. Çevrimiçi saldırıda denemeler doğrudan hedef sisteme yapılır ve sistemin koruma mekanizmalarıyla karşılaşır. Çevrimdışı saldırıda ise ele geçirilmiş parola özetleri üzerinde çalışılır ve hız yalnızca donanımla sınırlıdır.
Çevrimiçi denemeler, giriş formları, uzak masaüstü servisleri, VPN uç noktaları ve API kimlik doğrulama noktalarına yapılır. Deneme hızı ağ gecikmesi ve sunucu yanıtıyla sınırlıdır, bu nedenle görece yavaştır. Buna karşılık kayıt üretir ve tespit edilebilir.
Saldırganlar hız sınırını aşmak için dağıtık kaynaklar kullanır. Binlerce farklı adresten yapılan denemeler, adres bazlı engelleme kurallarını etkisiz kılar. Bu nedenle savunma, kaynak adres yerine hedef hesap üzerinden kurgulanmalıdır.
Bu saldırı türü, kayıtları izlenen ortamlarda kolay yakalanır. Kısa sürede çok sayıda başarısız giriş, ardından tek bir başarılı giriş klasik bir örüntüdür. Bu örüntünün uyarı üretecek biçimde tanımlanması temel bir tespit kuralıdır.
Çevrimdışı saldırıda, önceden ele geçirilmiş parola özetleri saldırganın kendi donanımında denenir. Hedef sistemin hiçbir koruması devrede değildir; ne hesap kilitleme ne de hız sınırlama uygulanabilir. Bu nedenle savunma tamamen özetleme yöntemine bağlıdır.
Modern grafik işlemcileri saniyede çok yüksek sayıda deneme yapabilir. Hızlı özet fonksiyonlarıyla saklanan parolalar bu donanımlar karşısında kısa sürede çözülür. Özet fonksiyonu seçimi bu nedenle kritik bir tasarım kararıdır.
Doğru yaklaşım, parolaların özellikle yavaş çalışacak biçimde tasarlanmış anahtar türetme fonksiyonlarıyla saklanmasıdır. Anahtar türetme fonksiyonları maliyet parametresiyle ayarlanabilir ve donanım geliştikçe artırılabilir. Bu tasarım, çevrimdışı denemeyi ekonomik olmaktan çıkarır.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlÇevrimiçi tarafta ilk önlem hız sınırlamadır. Belirli sürede yapılabilecek deneme sayısının sınırlanması, saldırıyı pratikte uygulanamaz hâle getirir. Sınırın hesap bazında ve kaynak bazında ayrı ayrı uygulanması gerekir.
İkinci önlem, başarısız denemelerden sonra kademeli gecikme uygulanmasıdır. Her başarısız denemede yanıt süresinin artırılması, meşru kullanıcıyı çok az etkilerken otomatik denemeleri belirgin biçimde yavaşlatır. Bu yöntem, hesap kilitlemenin yol açtığı hizmet reddi riskini de taşımaz.
Üçüncü önlem çok faktörlü doğrulamadır. Parola doğru bulunsa bile ikinci faktör olmadan giriş tamamlanamaz. Çok faktörlü kimlik doğrulama bu saldırı ailesine karşı en etkili tek önlemdir.
Belirli sayıda başarısız denemeden sonra hesabın kilitlenmesi klasik bir önlemdir; ancak saldırganın kasıtlı olarak hesapları kilitleyerek hizmet reddi oluşturmasına da açıktır. Bu nedenle kilitleme yerine geçici gecikme ve ek doğrulama tercih edilebilir. Karar, kurumun kullanıcı profiline göre verilir.
Uzun süre savunulan karmaşıklık kuralları, günümüzde tek başına yeterli görülmemektedir. Zorunlu karakter kuralları kullanıcıları tahmin edilebilir kalıplara yönlendirir ve gerçek entropiyi artırmaz. Bunun yerine uzunluğun öne çıkarılması önerilir.
Bilinen sızmış parola listelerine karşı kontrol yapılması da etkilidir. Kullanıcının seçtiği parolanın daha önce ihlallerde görülüp görülmediğinin denetlenmesi, en kolay kırılan parolaları baştan eler. Bu kontrol, kullanıcıya ek yük getirmez.
Zorunlu düzenli parola değişimi ise çoğu senaryoda önerilmemektedir. Sık değişim, kullanıcıları küçük ve tahmin edilebilir değişiklikler yapmaya iter. Değişim, yalnızca ihlal şüphesi olduğunda zorunlu tutulmalıdır.
Tespit için başarısız giriş sayıları hem hesap hem kaynak bazında izlenir. Ayrıca hiç var olmayan kullanıcı adlarına yapılan denemeler, otomatik bir saldırının güçlü göstergesidir. Bu iki sinyal birlikte değerlendirildiğinde yanlış pozitif oranı düşer.
Başarılı girişler de ayrıca incelenir. Uzun bir başarısız deneme serisinin ardından gelen başarılı giriş, saldırının sonuç verdiğine işaret eder ve hemen incelenmelidir. Kimlik doğrulama log analizi bu örüntüleri görünür kılar.
Bir parolanın dayanıklılığı, olası kombinasyon sayısıyla ölçülür. Bu sayı, kullanılan karakter kümesinin büyüklüğünün parola uzunluğu kadar kuvvetine eşittir.
Formül, uzunluğun neden karmaşıklıktan daha etkili olduğunu açıkça gösterir. Karakter kümesini genişletmek tabanı büyütürken, uzunluğu artırmak üssü büyütür.
Ancak bu hesap, parolanın rastgele seçildiğini varsayar. İnsan tarafından seçilen bir parolada gerçek belirsizlik çok daha düşüktür; çünkü seçim uzayın tamamına eşit dağılmaz.
Bu nedenle gerçek dayanıklılık, teorik kombinasyon sayısıyla değil, saldırganın deneme sırasıyla değerlendirilir. Sık kullanılan bir parola, matematiksel olarak güçlü görünse bile ilk denemelerde bulunabilir.
Yöntem yalnızca parolalar için değil, şifreleme anahtarları için de geçerlidir. Anahtar uzunluğu yeterince büyük olduğunda deneme süresi pratikte ulaşılamaz hâle gelir.
Modern simetrik algoritmalarda kullanılan anahtar uzunlukları, mevcut hesaplama gücüyle kaba kuvvete kapalı kabul edilir. Zayıflık genellikle algoritmada değil, anahtarın üretim ya da saklama biçimindedir.
Tahmin edilebilir bir rastgelelik kaynağıyla üretilen anahtarlar, uzunluklarına bakılmaksızın zayıftır. Bu nedenle anahtar üretiminde kriptografik olarak güvenli üreteçlerin kullanılması şarttır.
Benzer biçimde, kısa ve türetilebilir anahtarlar da risklidir. Şifreleme anahtarı yaşam döngüsü yönetimi bu konuları kapsayan ayrı bir disiplindir.
Bulut servislerinin kimlik doğrulama uç noktaları, dünyanın her yerinden erişilebilir olduğu için sürekli otomatik denemeye maruz kalır. Bu denemeler çoğu zaman arka planda ve sürekli devam eder.
Sağlayıcıların sunduğu koruma özelliklerinin etkinleştirilmesi ilk adımdır. Koşullu erişim kuralları, konum kısıtlamaları ve risk temelli oturum açma politikaları bu kapsamdadır.
API anahtarları da parola gibi değerlendirilmelidir. Yeterince uzun ve rastgele üretilmiş anahtarlar kaba kuvvete kapalıdır; kısa ve öngörülebilir anahtarlar ise denenebilir.
Anahtarların kaynak koda gömülmesi ayrı bir risktir. Depoya sızan bir anahtar, kaba kuvvete hiç gerek kalmadan doğrudan kullanılabilir hâle gelir.
Dışa açık her kimlik doğrulama noktası için hız sınırı, gecikme ve izleme kuralı tanımlanmış olmalıdır. Bu noktaların envanterinin çıkarılması, çoğu kurumda ilk sürprizi üretir.
Envanterde unutulmuş test arayüzleri, eski portallar ve doğrudan erişilebilen yönetim sayfaları sıkça bulunur. Bu noktalar genellikle hiçbir koruma taşımaz ve saldırganların ilk hedefidir.
Kullanılmayan uç noktaların kapatılması, koruma eklemekten daha etkilidir. Var olmayan bir arayüz, saldırıya da uğramaz.
Privia Security olarak kimlik doğrulama noktalarındaki koruma eksiklerinidüzenli zafiyet tarama hizmeti kapsamında tespit ediyor, tespit kurallarının etkinliğini ayrıca ölçüyoruz.
Bunlar İlginizi Çekebilir
