Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Parola püskürtme, az sayıda yaygın parolanın çok sayıda hesapta denenmesiyle hesap kilitlemeden kaçınan saldırı yöntemidir.
Parola püskürtme, tek bir hesapta çok sayıda parola denemek yerine, az sayıda yaygın parolayı çok sayıda hesapta denemektir. Böylece hiçbir hesapta kilitleme eşiği aşılmaz ve saldırı fark edilmeden ilerler. Yöntem, hesap kilitleme kontrolünün zayıf noktasını doğrudan hedef alır.
Saldırının mantığı istatistikseldir: yeterince büyük bir kullanıcı topluluğunda, birilerinin mevsim ve yıl birleşimi gibi tahmin edilebilir bir parola kullanma olasılığı yüksektir. Saldırgan tek bir hesabı değil, topluluğun en zayıf halkasını arar. Bu nedenle kurumun genel parola hijyeni belirleyici olur.
Parola püskürtme, sınırlı sayıda yaygın parolanın geniş bir kullanıcı listesine karşı denendiği, hesap kilitleme eşiklerini aşmamaya özen gösteren kimlik bilgisi saldırısıdır.
Deneme sıklığı kasıtlı olarak düşük tutulur. Saldırgan her hesapta günde bir ya da iki deneme yaparak haftalara yayılan bir kampanya yürütebilir. Bu yavaşlık, hacim tabanlı tespit kurallarının devreye girmesini engeller.
Kaba kuvvet saldırısı tek hesapta çok deneme yaparken, püskürtme çok hesapta az deneme yapar. Bu fark, saldırının bıraktığı izi tamamen değiştirir. Hesap bazında bakıldığında hiçbir anormallik görünmez; anormallik ancak kurum genelinde toplandığında ortaya çıkar.
Bu nedenle tespit kuralları da farklı yazılmalıdır. Hesap başına başarısız deneme sayısını izleyen bir kural bu saldırıyı yakalayamaz. Bunun yerine, aynı kaynaktan farklı hesaplara yapılan denemelerin toplamı izlenmelidir.
İkinci fark, kullanılan parola listesinin küçüklüğüdür. Saldırgan milyonlarca parola denemez; kurumun diline, sektörüne ve parola politikasına uygun birkaç aday seçer. Bu seçim, başarı oranını belirgin biçimde yükseltir.
Saldırının ön koşulu geçerli kullanıcı adlarının bilinmesidir. Kurumsal e-posta adres formatı çoğu zaman tahmin edilebilir olduğu için, çalışan isimlerinden hesap adları üretilebilir. Mesleki ağlar ve kurumsal web sitesi bu isimleri sağlar.
Bazı sistemler ayrıca kullanıcı adı doğrulamasına da imkân verir. Var olan ve olmayan hesaplara farklı hata mesajı ya da farklı yanıt süresi döndüren uygulamalar, saldırganın listesini temizlemesini sağlar. Bu davranış, kullanıcı numaralandırma zafiyeti olarak adlandırılır.
Sızmış veri kümeleri de kaynak olarak kullanılır. Geçmiş ihlallerde açığa çıkan kurumsal adresler, hem kullanıcı listesi hem parola tahmini için değerlidir. Kimlik bilgisi sızıntısı izleme bu riski görünür kılar.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlEn sık hedef alınan noktalar, internete açık kimlik doğrulama uç noktalarıdır. Web posta arayüzleri, VPN portalları, uzak masaüstü ağ geçitleri ve bulut kimlik sağlayıcıları bu kategoridedir. Bu servisler tanımı gereği dışarıya açık olduğu için saldırıya doğrudan uygundur.
Eski kimlik doğrulama protokolleri özellikle risklidir. Çok faktörlü doğrulamayı desteklemeyen eski protokoller açık bırakıldığında, saldırgan modern korumaları tamamen atlayabilir. Bu protokollerin kapatılması öncelikli bir adımdır.
Servis hesapları da sık hedeftir. Bu hesaplar genellikle ikinci faktör kullanmaz, parolaları nadiren değişir ve isimlendirmeleri tahmin edilebilir. Bu nedenle ayrı bir koruma politikasına alınmaları gerekir.
Temel tespit kuralı, belirli bir zaman penceresinde çok sayıda farklı hesapta başarısız giriş gözlenmesidir. Kaynak adres aynı olmasa bile, hedeflenen hesap çeşitliliği güçlü bir işarettir. Bu kural, kimlik sağlayıcısı kayıtları üzerinde yazılır.
İkinci kural, aynı parola karmasının farklı hesaplarda denenmesinin dolaylı göstergelerine bakar. Doğrudan parola görülmese de, benzer zamanlama ve benzer istemci bilgisiyle yapılan denemeler ilişkilendirilebilir. Bu ilişkilendirme, kampanyanın kapsamını gösterir.
Üçüncü kural, başarılı girişlerin bağlamını değerlendirir. Uzun bir başarısız deneme dalgasının ardından gelen ve olağandışı bir konumdan yapılan başarılı giriş, hemen incelenmesi gereken bir olaydır. Bu tür girişlerde oturum sonlandırma ve parola yenileme uygulanır.
En etkili önlem, tüm dışa açık kimlik doğrulama noktalarında çok faktörlü doğrulamanın zorunlu kılınmasıdır. Parola tahmin edilse bile giriş tamamlanamaz. Bu önlem, saldırının sonucunu doğrudan ortadan kaldırır.
İkinci önlem, yaygın ve sızmış parolaların yasaklanmasıdır. Kullanıcının seçtiği parolanın bilinen zayıf parola listelerinde bulunmaması denetlendiğinde, saldırganın deneme listesi işlevsiz kalır. Bu kontrol, parola belirleme anında uygulanır.
Üçüncü önlem, eski protokollerin kapatılması ve koşullu erişim kurallarının devreye alınmasıdır. Beklenmeyen konumlardan ve yönetilmeyen cihazlardan gelen girişlerin ek doğrulamaya tabi tutulması, saldırının başarı şansını düşürür. Sıfır güven mimarisi bu yaklaşımı bütünsel hâle getirir.
İkinci faktör uygulanamayan servis hesaplarında, uzun ve rastgele parolalar ile kaynak kısıtlaması birlikte kullanılır. Hesabın yalnızca belirli adreslerden ve belirli servislere bağlanabilmesi, çalınan parolanın kullanım alanını daraltır. Parolaların bir kasada tutulup düzenli döndürülmesi de gereklidir.
Kampanya tespit edildiğinde ilk adım, hedeflenen hesapların listelenmesi ve içlerinde başarılı giriş olup olmadığının belirlenmesidir. Başarılı giriş varsa o hesaplar için tam bir inceleme başlatılır. Kapsam belirleme, müdahalenin doğru ölçeklenmesini sağlar.
İkinci adım, zayıf parola kullanan hesapların tespit edilip yenilenmesidir. Kurum içinde sızmış parola kontrolü yapılması, aynı kampanyanın tekrarında başarı şansını ortadan kaldırır. Bu çalışma, olay sonrası en kalıcı iyileştirmedir.
Saldırganların denediği parolalar rastgele değildir; kurumların parola politikalarına uyan ama insanların kolay hatırladığı kalıplardan seçilir. Mevsim adı ve yıl birleşimi bu kalıpların en bilinenidir.
Bu kalıp, zorunlu periyodik parola değişimi uygulayan kurumlarda daha da belirginleşir. Kullanıcılar her değişimde aynı yapıyı koruyup yalnızca sonundaki sayıyı artırır.
Kurum adı ve yıl birleşimi de sık görülen bir kalıptır. Bu nedenle parola politikasında kurum adının ve türevlerinin yasaklanması somut bir kazanç sağlar.
Kalıpların engellenmesi, karmaşıklık kurallarını sıkılaştırmaktan çok daha etkilidir. Yasaklı liste yaklaşımı, kullanıcıyı daha karmaşık değil daha öngörülemez parolaya yönlendirir.
Bulut tabanlı kimlik sağlayıcıları, bu saldırı türünü tespit etmek için yerleşik koruma mekanizmaları sunar. Akıllı kilitleme ve risk temelli oturum açma politikaları bunların başında gelir.
Bu korumaların varsayılan olarak açık gelmemesi sık karşılaşılan bir durumdur. Kurulum sonrası güvenlik ayarlarının gözden geçirilmesi bu nedenle önemlidir.
Ayrıca sağlayıcının sunduğu risk raporlarının düzenli incelenmesi gerekir. Bu raporlar, tespit edilen püskürtme kampanyalarını ve hedeflenen hesapları listeler.
Raporların bir kayıt platformuna aktarılması, kurum içi tespit kurallarıyla birleştirilmesini sağlar. SIEM üzerinde bu veriler diğer kaynaklarla ilişkilendirilebilir.
Saldırganlar denemeleri genellikle mesai dışı saatlere ve hafta sonlarına yayar. Bu zamanlama, hem izleme ekibinin kapasitesinin düşük olduğu anları hem de kullanıcı gürültüsünün azaldığı dönemleri hedefler.
Tatil dönemleri de tercih edilen zamanlardır. Uzun tatillerde hem müdahale süresi uzar hem de olağandışı erişimler daha az sorgulanır.
Bu nedenle tespit kurallarının zaman bağlamını da dikkate alması faydalıdır. Mesai dışı saatlerde eşiklerin düşürülmesi, tespit hassasiyetini artırır.
İzleme kapsamının kesintisiz olması da gereklidir. Yalnızca mesai saatlerinde bakılan uyarılar, bu saldırı türünü büyük ölçüde kaçırır.
Hedeflenen kullanıcıların bilgilendirilmesi, kampanyanın etkisini azaltan pratik bir adımdır. Kendi hesabına yönelik girişim olduğunu bilen kullanıcı, olağandışı bir doğrulama isteği geldiğinde onaylamaz.
Bilgilendirme kısa ve eyleme dönük olmalıdır: ne olduğu, ne yapılması gerektiği ve kime bildirileceği açıkça yazılır. Uzun teknik açıklamalar okunmaz.
Ayrıca parola yenileme talebi yapılırken, bu talebin kendisinin bir kimlik avı gibi görünmemesine dikkat edilmelidir. Kurum içi bilinen bir kanal üzerinden yönlendirme yapılması gerekir.
Privia Security olarak dışa açık kimlik doğrulama noktalarındaki bu tür zayıflıklarıdüzenli zafiyet tarama hizmeti kapsamında izliyor, tespit kurallarının etkinliğini birlikte değerlendiriyoruz.
Bunlar İlginizi Çekebilir
