Kalıcılık sağlama, saldırganın elde ettiği erişimi sistem yeniden başlatıldıktan ya da kullanıcı oturumu kapandıktan sonra da sürdürmesini mümkün kılan tekniklerin genel adıdır. İlk erişim kalıcı değildir; bir süreç sonlandığında ya da makine kapandığında erişim kaybolur. Bu nedenle saldırgan, erişimi otomatik olarak yeniden kuracak bir mekanizma yerleştirir. Yerleştirilen mekanizma çoğu zaman işletim sisteminin meşru özelliklerini kullanır. Bu tercih, tespiti belirgin biçimde zorlaştırır.

Kalıcılık, saldırı zincirinde ilk erişimin hemen ardından gelen kritik bir adımdır. Bu adım tamamlandığında saldırgan, aceleye gerek duymadan ortamda ilerleyebilir. Savunma açısından bakıldığında ise kalıcılık mekanizmasının tespit edilmesi, saldırganın varlığını ortaya çıkarır. Ayrıca müdahale sırasında bu mekanizmaların eksiksiz temizlenmesi gerekir. Eksik temizlik, saldırganın kısa sürede geri dönmesine yol açar.

Kalıcılık Sağlama Nedir?

Kalıcılık sağlama, bir saldırganın ele geçirdiği sisteme erişimini yeniden başlatma ve oturum kapatma gibi olaylardan sonra da otomatik olarak yeniden kurabilmesini sağlayan tekniklerdir.

Teknikler, çalıştırılma zamanına göre gruplanabilir. Bazıları sistem açılışında, bazıları kullanıcı oturum açtığında, bazıları ise belirli bir olay gerçekleştiğinde tetiklenir. Olay tabanlı tetikleyiciler en zor tespit edilenlerdir çünkü nadiren çalışırlar. Bu nedenle inceleme yalnızca açılış öğelerine bakmakla sınırlı kalmamalıdır. Kapsamlı bir kontrol listesi gerekir.

Yaygın Kalıcılık Yöntemleri

En bilinen yöntem, açılışta çalışan kayıt defteri anahtarları ve başlangıç klasörleridir. Bu yöntemler kolay uygulanır ama aynı ölçüde kolay tespit edilir. Bu nedenle daha çok yaygın zararlı yazılımlar tarafından kullanılır. Hedefli saldırılarda ise daha örtük yöntemler tercih edilir. Yine de bu klasik yolların düzenli kontrolü gereklidir.

İkinci grup, zamanlanmış görevlerdir. Belirli aralıklarla ya da belirli olaylarda çalışan görevler, güvenilir bir kalıcılık sağlar. Görev adlarının sistem görevlerine benzer seçilmesi tespiti zorlaştırır. Görev listelerinin bir temel çizgiyle karşılaştırılması bu yöntemi ortaya çıkarır. Temel çizgi olmadan karşılaştırma yapılamaz.

Üçüncü grup, servis oluşturma ve mevcut servisleri değiştirmedir. Yüksek yetkiyle çalışan bir servis, saldırgana hem kalıcılık hem yetki sağlar. Servis ikili dosyalarının değiştirilmesi ya da servis yollarının yönlendirilmesi bu kapsamdadır. Servis envanterinin izlenmesi tespitin temelidir. Yeni oluşturulan servisler uyarı üretmelidir.

• Açılış kayıt defteri anahtarları ve başlangıç klasörleri
• Zamanlanmış görevler ve olay tabanlı tetikleyiciler
• Yeni servis oluşturma ya da mevcut servisi değiştirme
• Sistem bileşenlerine kod enjeksiyonu ve kütüphane yükleme sırası istismarı
• Ürün yazılımı ve önyükleme bileşenlerine müdahale
• Meşru uzaktan erişim araçlarının kurulması
• Bulut ortamlarında kalıcı erişim anahtarı ve rol tanımlanması

Bulut Ortamlarında Kalıcılık

Bulut ortamlarında kalıcılık, işletim sistemi düzeyinden çok kimlik ve yapılandırma düzeyinde kurulur. Saldırgan yeni bir kullanıcı, yeni bir erişim anahtarı ya da yeni bir rol tanımlayarak erişimini sürdürür. Bu değişiklikler meşru yönetim işlemlerine benzediği için fark edilmeleri zordur. Ayrıca ele geçirilen makine kapatılsa bile erişim devam eder. Bu nedenle bulut kalıcılığı ayrı bir inceleme başlığıdır.

Diğer bir yöntem, uygulama izinlerinin kötüye kullanılmasıdır. Kuruma ait bir kimlik sağlayıcısında tanımlanan bir uygulamaya geniş izinler verilmesi, kalıcı bir arka kapı oluşturur. Bu izinler kullanıcı parolası değişse bile geçerliliğini korur. Uygulama onaylarının denetimi bu riski görünür kılar. Denetim, dönemsel olarak yapılmalıdır.

Bulut denetim kayıtlarının korunması da kritik önemdedir. Saldırganın ilk işlerinden biri, kayıt yapılandırmasını değiştirmek ya da devre dışı bırakmaktır. Kayıtların ayrı bir hesapta ve değiştirilemez biçimde saklanması bu müdahaleyi engeller. Bulut denetim günlükleri bu şekilde korunmalıdır. Aksi hâlde inceleme dayanaksız kalır.

Nasıl Tespit Edilir?

Tespitin temeli, temel çizgi karşılaştırmasıdır. Sistemlerin normal durumundaki servis, görev ve açılış öğeleri kaydedilir ve düzenli olarak karşılaştırılır. Fark üreten her değişiklik incelenir. Bu yaklaşım, bilinmeyen tekniklere karşı da çalışır. Temel çizginin güncel tutulması gerekir.

İkinci yöntem, kalıcılık mekanizmalarının oluşturulma anının izlenmesidir. Yeni bir servis oluşturulması, zamanlanmış görev eklenmesi ve açılış anahtarı değiştirilmesi olayları uyarı üretecek biçimde yapılandırılır. Bu olaylar meşru yönetim faaliyetlerinde de oluşur. Bu nedenle bağlam bilgisiyle birlikte değerlendirilmeleri gerekir. Değişiklik yönetimiyle ilişkilendirme yanlış pozitifleri azaltır.

Üçüncü yöntem, düzenli avcılık çalışmalarıdır. Bilinen kalıcılık tekniklerinin listesi üzerinden ortam periyodik olarak taranır. Tehdit avcılığı bu taramaları yapılandırılmış biçimde yürütür. Çalışma, uyarı beklemeden proaktif olarak yapılır. Bulunan mekanizmalar, tespit kuralına dönüştürülür.

Müdahalede Dikkat Edilecekler

Kalıcılık mekanizmalarının eksiksiz temizlenmesi, müdahalenin en kritik adımıdır. Tek bir mekanizmanın atlanması, saldırganın kısa sürede geri dönmesine yol açar. Bu nedenle temizlik öncesinde kapsamlı bir envanter çıkarılır. Envanter, bilinen tüm kalıcılık kategorilerini kapsamalıdır. Kontrol listesi kullanılması hata riskini azaltır.

Bazı durumlarda sistemin temiz kurulumla yeniden oluşturulması en güvenli yoldur. Özellikle ürün yazılımı ya da önyükleme düzeyinde müdahale şüphesi varsa temizlik yeterli olmayabilir. Karar, olayın kapsamına ve sistemin kritikliğine göre verilir. Adli analiz bulguları bu kararı destekler. Karar gerekçesiyle birlikte kayda geçirilir.

Linux ve Ağ Cihazlarında Kalıcılık

Linux sistemlerinde kalıcılık, servis birimleri, zamanlanmış görevler ve kabuk başlangıç dosyaları üzerinden kurulur. Kullanıcı ev dizinindeki başlangıç betikleri, yönetici yetkisi gerektirmediği için sık kullanılır. Ayrıca dinamik kütüphane yükleme ayarlarının değiştirilmesi de bir yöntemdir. Bu ayarların düzenli kontrolü gerekir. Kontrol listesi işletim sistemine göre farklılaşır.

Ağ cihazlarında kalıcılık, yapılandırma değişiklikleri ve ürün yazılımı müdahaleleriyle sağlanır. Bir yönlendiriciye eklenen kural ya da hesap, ortam yeniden kurulsa bile varlığını sürdürebilir. Bu cihazların yapılandırmalarının yedeklenmesi ve düzenli karşılaştırılması gerekir. Ürün yazılımı güvenliği ayrı bir inceleme başlığıdır. Bu katman çoğu incelemede atlanır.

Sanallaştırma ve yedekleme altyapılarında da kalıcılık kurulabilir. Yönetim konsoluna erişen bir saldırgan, yeni sanal makineler oluşturabilir ya da mevcut şablonları değiştirebilir. Böylece ortam temizlense bile zararlı bileşen yeniden dağıtılır. Şablonların bütünlüğünün doğrulanması bu nedenle gereklidir. Yedeklerin de aynı gözle incelenmesi gerekir.

Temel Çizgi Oluşturma

Etkili tespit, sistemlerin bilinen temiz durumunun kaydedilmesine dayanır. Bu kayıt; servisler, zamanlanmış görevler, açılış öğeleri, kurulu yazılımlar ve yerel hesapları içerir. Yeni bir sistem devreye alındığında temel çizgi oluşturulur ve merkezî olarak saklanır. Sonraki karşılaştırmalar bu kayda göre yapılır. Temel çizgisi olmayan sistemlerde fark analizi mümkün değildir.

Temel çizginin güncel tutulması gerekir. Meşru değişiklikler kayda işlenir, böylece yalnızca beklenmeyen farklar uyarı üretir. Bu güncelleme, değişiklik yönetimi süreciyle bağlantılı yürütülür. Bağlantı kurulmadığında karşılaştırma çok fazla gürültü üretir. Gürültü, sürecin terk edilmesine yol açar.

Karşılaştırma sıklığı sistemin kritikliğine göre belirlenir. Kritik sunucularda günlük, sıradan istemcilerde haftalık karşılaştırma makul bir başlangıçtır. Otomatik araçlarla yapıldığında maliyet düşüktür. Sonuçların incelenmesi için bir sorumlu tanımlanmalıdır. Sorumlusuz raporlar okunmaz.

Kırmızı Takım Çalışmalarında Kalıcılık

Kontrollü saldırı çalışmalarında kalıcılık mekanizmaları da test edilir. Ekip, farklı kalıcılık yöntemlerini uygular ve savunma tarafının hangilerini tespit ettiğini ölçer. Bu ölçüm, tespit kapsamındaki boşlukları somut biçimde gösterir. Kırmızı takım operasyonu raporlarında bu bölüm ayrıca yer alır. Sonuçlar doğrudan kural yazımına dönüşür.

Çalışma sonrasında kullanılan tüm mekanizmaların temizlendiğinin doğrulanması gerekir. Test amaçlı bırakılan bir kalıcılık mekanizması, gerçek bir zafiyete dönüşebilir. Temizlik listesi çalışma planında önceden tanımlanır. Doğrulama, savunma ekibiyle birlikte yapılır. Bu adım sözleşmede de yer almalıdır.

Privia Security olarak olay incelemelerinde kalıcılık mekanizmalarını sistematik olarak arıyor, temizlik ve doğrulama adımlarını olay inceleme ve olay müdahalesi kapsamında yürütüyoruz.