Mantık bombası, bir sisteme ya da uygulamaya yerleştirilen ve yalnızca belirli bir koşul gerçekleştiğinde çalışan zararlı koddur. Koşul bir tarih, bir olay ya da bir durumun oluşması olabilir. Tetiklenene kadar kod sessiz kalır ve hiçbir zararlı davranış göstermez. Bu sessizlik, tespit edilmesini son derece zorlaştırır. Kod aylarca hatta yıllarca fark edilmeden bekleyebilir.

Bu teknik çoğunlukla içeriden kaynaklı olaylarda görülür. Sisteme erişimi olan bir geliştirici ya da yönetici, ayrılık ihtimaline karşı bu tür bir kod bırakabilir. Tetikleyici genellikle kişinin hesabının devre dışı bırakılması ya da belirli bir tarihin gelmesidir. Bu nedenle konu, teknik olduğu kadar insan kaynakları ile de ilgilidir. İki alanın iş birliği gerekir.

Mantık Bombası Nedir?

Mantık bombası, belirli bir koşul sağlandığında zararlı işlevini çalıştırmak üzere önceden yerleştirilmiş ve o ana kadar pasif kalan koddur.

Tetikleyici koşullar çok çeşitli olabilir. Belirli bir tarih ve saat, bir dosyanın varlığı ya da yokluğu, bir kullanıcı hesabının durumu veya bir kayıt sayısının belirli bir değere ulaşması bu koşullara örnektir. Koşulun karmaşıklığı, tespiti zorlaştırır. Kod incelemesinde bu tür koşullar özellikle aranmalıdır. Gerekçesiz koşullu bloklar şüphelidir.

Nasıl Tespit Edilir?

En etkili tespit yöntemi kod incelemesidir. Beklenmeyen tarih kontrolleri, kullanıcı adı karşılaştırmaları ve gerekçesiz koşullu silme işlemleri incelemede dikkat çeker. Güvenli kod gözden geçirme süreci bu tür bulguları yakalayabilir. İnceleme, tek kişiye bırakılmamalıdır. Görevler ayrılığı burada da geçerlidir.

İkinci yöntem, sürüm kontrol geçmişinin analizidir. Kim, ne zaman, hangi değişikliği yaptı sorusunun yanıtı kayıt altındadır. Olağandışı zamanlarda yapılan ve incelemeden geçmemiş değişiklikler şüphelidir. Bu nedenle doğrudan üretime kod gönderme yetkisinin kaldırılması önemlidir. Tüm değişiklikler hattan geçmelidir.

Üçüncü yöntem, çalışma zamanı izlemesidir. Beklenmeyen silme işlemleri ve kaynak tüketimi anormallikleri tetiklenmeyi gösterebilir. Ancak bu tespit, hasar başladıktan sonra gerçekleşir. Bu nedenle önleyici kontroller önceliklidir. Tespit son savunma hattıdır.

• Beklenmeyen tarih ve saat kontrolleri içeren kod blokları
• Belirli kullanıcı adı ya da hesap durumu karşılaştırmaları
• Gerekçesiz koşullu silme ve değiştirme işlemleri
• İncelemeden geçmemiş doğrudan üretim değişiklikleri
• Zamanlanmış görevler içine gizlenmiş koşullu betikler

Önleyici Kontroller

İlk kontrol, görevler ayrılığıdır. Kod yazan ile üretime alan yetkinin ayrılması, tek bir kişinin denetimsiz değişiklik yapmasını engeller. Görevler ayrılığı bu senaryoya karşı en etkili kontroldür. Otomatik dağıtım hattı bu ayrımı sağlar. Manuel dağıtımlar kaldırılmalıdır.

İkinci kontrol, kod incelemesinin zorunlu tutulmasıdır. Her değişikliğin en az bir başka kişi tarafından incelenmesi, kötü niyetli eklemeleri zorlaştırır. İnceleme kayıt altına alınmalıdır. Acil değişiklikler için istisna süreci tanımlanmalıdır. İstisnalar sonradan incelenmelidir.

Üçüncü kontrol, ayrılış sürecinin sıkı yönetilmesidir. Erişimlerin zamanında kaldırılması ve son dönemdeki değişikliklerin gözden geçirilmesi gerekir. Bu süreç insan kaynaklarıyla birlikte yürütülür. İçeriden tehdit programının parçasıdır. Süreç yazılı olmalıdır.

Müdahale

Mantık bombası şüphesi olduğunda ilgili kod tabanının kapsamlı incelenmesi gerekir. İnceleme, şüpheli kişinin yaptığı tüm değişiklikleri kapsamalıdır. Sürüm kontrol geçmişi bu incelemenin temelini oluşturur. Bağımsız bir ekip tarafından yapılması tercih edilir. Tarafsızlık önemlidir.

Ayrıca zamanlanmış görevler, veri tabanı tetikleyicileri ve otomasyon betikleri de incelenmelidir. Kod tabanı dışında da yerleştirme mümkündür. Bu bileşenlerin envanteri çıkarılmalıdır. Envanter, incelemenin kapsamını belirler. Eksik envanter, eksik inceleme demektir.

Veri Tabanı ve Otomasyon Katmanında

Mantık bombaları yalnızca uygulama kodunda bulunmaz. Veri tabanı tetikleyicileri, saklı yordamlar ve zamanlanmış işler de aynı amaçla kullanılabilir. Bu bileşenler genellikle kod incelemesi kapsamı dışında kalır. Bu nedenle inceleme kapsamının bu katmanı da içermesi gerekir. Envanter çıkarılmalıdır.

Altyapı otomasyonu da benzer bir risk taşır. Yapılandırma yönetimi araçlarındaki bir görev, belirli bir koşulda zararlı bir işlem yürütebilir. Bu araçlar geniş yetkiyle çalıştığı için etkisi büyüktür. Otomasyon tanımlarının da sürüm kontrolünde ve incelemede olması gerekir. Kod olarak altyapı bu disiplini sağlar.

Bulut ortamlarında ise olay tabanlı fonksiyonlar kullanılabilir. Belirli bir olayda tetiklenen bir fonksiyon, kaynakları silebilir ya da yapılandırmayı değiştirebilir. Bu fonksiyonların envanteri ve yetkileri denetlenmelidir. Denetim kayıtları izlenmelidir. Beklenmedik tanımlar uyarı üretmelidir.

İzleme ve Erken Uyarı

Tetiklenme anında hasarı sınırlamak için izleme kurulmalıdır. Toplu silme ve değiştirme işlemleri uyarı üretecek biçimde tanımlanır. Bu uyarılar, hasar tamamlanmadan müdahale imkânı verebilir. Eşik değerleri ortamın normal davranışına göre belirlenir. Profil çıkarılmalıdır.

Yedeklerin sıklığı da bu senaryoda önem kazanır. Sık alınan yedekler, kayıp penceresini daraltır. Ayrıca yedeklerin geri yüklenebilirliği düzenli sınanmalıdır. Bu sınama, tüm veri kaybı senaryolarında değer üretir. Tatbikat takvime bağlanmalıdır.

Yasal ve İdari Boyut

Mantık bombası yerleştirmek birçok ülkede suç teşkil eder. Bu nedenle olay tespit edildiğinde delillerin usulüne uygun toplanması gerekir. Sürüm kontrol kayıtları, erişim kayıtları ve kod incelemesi bulguları delil niteliği taşır. Bu kayıtların bütünlüğü korunmalıdır. Hukuk birimiyle birlikte çalışılmalıdır.

İdari tarafta ise sözleşme ve politika düzenlemeleri koruyucu rol oynar. Çalışan sözleşmelerinde bilgi sistemlerinin kötüye kullanımına ilişkin maddelerin bulunması caydırıcılık sağlar. Ayrıca ayrılış sürecinde imzalanan taahhütler de aynı işlevi görür. Bu belgeler insan kaynaklarıyla birlikte hazırlanır. Düzenli gözden geçirilmelidir.

Privia Security olarak yazılım geliştirme süreçlerindeki denetim boşluklarını siber risk analizi kapsamında değerlendiriyoruz.