Rootkit, bir sisteme yerleştikten sonra kendi varlığını ve birlikte çalıştığı diğer bileşenleri gizlemek için işletim sisteminin işleyişine müdahale eden yazılımdır. Amaç, saldırganın erişimini uzun süre fark edilmeden sürdürmesidir. Bunun için süreç listeleri, dosya listeleri ve ağ bağlantıları gibi bilgiler değiştirilerek sunulur. Kullanıcı ve güvenlik araçları, gerçek durumu göremez. Bu nedenle standart araçlarla tespit çok zordur.

Bileşenin çalıştığı seviye, gizlenme yeteneğini ve tespit zorluğunu belirler. Kullanıcı seviyesinde çalışanlar görece kolay tespit edilirken, çekirdek seviyesindekiler işletim sisteminin kendisini yanıltır. Daha alt seviyelerde çalışanlar ise işletim sisteminden tamamen bağımsız hâle gelir. Bu hiyerarşi, savunma yaklaşımını da belirler. Alt seviyeye inildikçe güvenilir tespit güçleşir.

Rootkit Nedir?

Rootkit, sistemde kalıcı ve gizli erişim sağlamak amacıyla işletim sisteminin sunduğu bilgileri değiştirerek kendi varlığını ve ilişkili bileşenleri gizleyen yazılımdır.

Adı, geleneksel olarak en yüksek yetki seviyesini ifade eden kavramdan gelir. Ancak günümüzde her rootkit en yüksek yetkiyle çalışmaz; kullanıcı seviyesinde çalışan varyasyonları da vardır. Ortak nokta yetki seviyesi değil, gizlenme işlevidir. Bu işlev, bileşeni diğer zararlı yazılımlardan ayırır. Sınıflandırma bu işleve göre yapılır.

Çalışma Seviyeleri

Kullanıcı seviyesindeki bileşenler, uygulama kütüphanelerini değiştirerek çalışır. Sistem çağrılarının sonuçları filtrelenerek belirli dosya ve süreçler gizlenir. Bu seviye, standart güvenlik araçlarıyla tespit edilebilir. Çünkü işletim sisteminin çekirdeği hâlâ gerçek bilgiyi bilir. Karşılaştırmalı analiz sonucu ortaya çıkarır.

Çekirdek seviyesindeki bileşenler ise işletim sisteminin kendisine müdahale eder. Bu durumda çekirdeğin sunduğu bilgiler de güvenilmez hâle gelir. Tespit için sistemin dışından bakmak gerekir. Bellek analizi ve harici önyükleme bu amaçla kullanılır. Standart araçlar bu seviyede yetersiz kalır.

Daha alt seviyelerde ise önyükleme bileşenleri ve ürün yazılımı hedef alınır. Bu seviyedeki bileşenler işletim sistemi yeniden kurulsa bile varlığını sürdürebilir. Bootkit ve ürün yazılımı düzeyindeki varyasyonlar bu kategoridedir. Temizlik çoğu zaman donanım değişimi gerektirir. Bu nedenle önleme kritik önemdedir.

• Kullanıcı seviyesi: kütüphane ve sistem çağrısı filtreleme
• Çekirdek seviyesi: işletim sistemi yapılarına doğrudan müdahale
• Önyükleme seviyesi: işletim sisteminden önce çalışan bileşenler
• Ürün yazılımı seviyesi: donanım üzerindeki kalıcı bileşenler
• Sanallaştırma seviyesi: işletim sistemini sanal makineye dönüştüren bileşenler

Nasıl Yerleşir?

Rootkit yerleştirmek için genellikle yüksek yetki gerekir. Bu nedenle bileşen, saldırı zincirinin sonlarında devreye girer. Önce ilk erişim sağlanır, ardından yetki yükseltilir ve son olarak gizlenme bileşeni yerleştirilir. Bu sıralama, savunma açısından önemli bir bilgidir. Yetki yükseltmenin engellenmesi, bu adımı da engeller.

Çekirdek seviyesinde çalışabilmek için imzalı sürücü gereksinimi bir engel oluşturur. Saldırganlar bu engeli aşmak için zafiyetli ama imzalı sürücüleri kötüye kullanır. Bu teknik, meşru bir sürücünün açığından yararlanır. Bilinen zafiyetli sürücülerin engellenmesi bu tekniği kapatır. Engelleme listeleri işletim sistemi tarafından sağlanır.

Ürün yazılımı seviyesinde yerleşme ise daha az yaygın ama çok daha ciddidir. Güvenli önyükleme ve ürün yazılımı imza doğrulaması bu riski azaltır. Bu özelliklerin etkin olup olmadığı kontrol edilmelidir. Birçok ortamda kapalı bırakılırlar. Güvenli önyükleme temel bir korumadır.

Nasıl Tespit Edilir?

En güvenilir tespit yöntemi, sistemin dışından bakmaktır. Harici bir ortamdan önyükleme yaparak diskin incelenmesi, gizleme mekanizmalarını devre dışı bırakır. Bu yöntem, çekirdek seviyesindeki bileşenleri de ortaya çıkarabilir. Ancak sistemin kapatılmasını gerektirir. Bellek kanıtları bu sırada kaybolur.

İkinci yöntem bellek analizidir. Çalışan sistemin bellek görüntüsü alınarak yapılar doğrudan incelenir. İşletim sisteminin sunduğu bilgi ile bellekteki gerçek yapılar karşılaştırılır. Tutarsızlıklar, gizleme mekanizmasını ortaya çıkarır. Bu yöntem uzmanlık gerektirir.

Üçüncü yöntem, davranışsal göstergelerin izlenmesidir. Beklenmedik ağ bağlantıları, açıklanamayan kaynak kullanımı ve tutarsız sistem davranışı işaret olabilir. Bu göstergeler kesin değildir ama inceleme başlatmak için yeterlidir. Ağ tarafındaki gözlem, uç noktadaki gizlemeden etkilenmez. Bu nedenle ağ izleme değerlidir.

Temizlik ve Kurtarma

Rootkit tespit edilen bir sistemin temizlenmesi genellikle önerilmez. Gizleme mekanizması nedeniyle tüm bileşenlerin bulunduğundan emin olunamaz. Bu nedenle sistemin temiz kurulumla yeniden oluşturulması tercih edilir. Veriler ise dikkatli biçimde taşınır. Yürütülebilir dosyaların taşınmaması gerekir.

Ürün yazılımı seviyesinde şüphe varsa yeniden kurulum da yeterli olmaz. Bu durumda ürün yazılımının yeniden yazılması ya da donanımın değiştirilmesi gerekebilir. Karar, olayın kapsamına ve sistemin kritikliğine göre verilir. Adli analiz bulguları bu kararı destekler. Karar gerekçesiyle kayda geçirilir.

Temizlik sonrasında sistemin izlenmeye devam edilmesi gerekir. Aynı giriş yolu kapatılmadıysa olay tekrar eder. Bu nedenle kök neden analizi tamamlanmadan sistem üretime alınmamalıdır. Analiz, bulaşma yolunu ve zaman çizelgesini kapsar. Eksik analiz, tekrarlayan olaylara yol açar.

Önleme

Önlemenin ilk maddesi, yetki yükseltmenin engellenmesidir. Kullanıcıların yerel yönetici hakkına sahip olmaması, bileşenin yerleşmesini büyük ölçüde engeller. Bu kontrol, birçok başka saldırı türüne karşı da koruma sağlar. En az yetki ilkesi burada da temel kontroldür. Uygulama önceliklidir.

İkinci madde, güvenli önyükleme ve sürücü imza denetiminin etkin tutulmasıdır. Bu özellikler, imzasız bileşenlerin çalışmasını engeller. Bilinen zafiyetli sürücülerin engellenmesi de aynı kapsamdadır. Bu ayarların merkezî politikayla uygulanması gerekir. Tek tek sistemlerde yapılan ayarlar zamanla bozulur.

Üçüncü madde, ürün yazılımı güncellemelerinin uygulanmasıdır. Bu güncellemeler çoğu kurumda ihmal edilir. Oysa alt seviye korumaların çoğu bu güncellemelerle gelir. Envanterde ürün yazılımı sürümlerinin de tutulması önerilir. Ürün yazılımı güvenliği ayrı bir başlık olarak ele alınmalıdır.

Sanallaştırma Seviyesindeki Varyasyonlar

Bazı gelişmiş bileşenler, çalışan işletim sistemini fark ettirmeden bir sanal makineye dönüştürür. Bu durumda zararlı bileşen işletim sisteminin altında çalışır ve içeriden tamamen görünmez olur. Teorik olarak tanımlanmış bu yaklaşım, pratikte nadir görülür. Yine de donanım tabanlı korumaların önemini gösterir. Sanallaştırma tabanlı güvenlik özellikleri bu riski azaltır.

Modern işletim sistemleri, kritik bileşenleri donanım destekli izolasyon içinde çalıştırma yeteneği sunar. Bu özellik etkinleştirildiğinde, çekirdek seviyesindeki bir bileşen bile bu alana müdahale edemez. Kimlik materyalinin korunması bu yolla sağlanır. Özelliğin etkin olup olmadığı denetlenmelidir. Donanım desteği ön koşuldur.

Bu özelliklerin etkinleştirilmesi, performans etkisi açısından değerlendirilmelidir. Çoğu modern donanımda etki kabul edilebilir düzeydedir. Kritik sistemlerde öncelikli uygulanması önerilir. Filo genelinde kademeli geçiş planlanabilir. Envanter, donanım uyumluluğunu gösterir.

Adli İncelemede Yaklaşım

Rootkit şüphesi bulunan sistemlerde inceleme sırası kritik önemdedir. Bellek görüntüsü, sistem kapatılmadan önce alınmalıdır. Kapatma, bellekteki tüm kanıtı yok eder. Bu nedenle müdahale ekibinin ilk adımı bellek toplama olmalıdır. Prosedür önceden yazılı olmalıdır.

Disk incelemesi ise harici bir ortamdan yapılır. Şüpheli sistemin kendi işletim sistemi kullanılarak yapılan inceleme, gizleme mekanizması nedeniyle yanıltıcı sonuç verir. Yazma korumalı bağlantıyla alınan disk imajı üzerinde çalışılır. Bu yöntem, kanıt bütünlüğünü de korur. Standart adli prosedürler uygulanır.

İki kaynaktan elde edilen bulgular karşılaştırılır. Çalışan sistemin gösterdiği ile diskte görülen arasındaki fark, gizleme mekanizmasını ortaya çıkarır. Bu karşılaştırma, tespitin en güvenilir yöntemidir. Adli analiz süreci bu adımları kapsar. Uzmanlık gerektirir.

Kurumsal Kontrol Listesi

Birinci madde, güvenli önyükleme ve sürücü imza denetiminin filo genelinde etkin olmasıdır. İkinci madde, bilinen zafiyetli sürücülerin engelleme listesinin güncel tutulmasıdır. Üçüncü madde, kullanıcıların yerel yönetici hakkına sahip olmamasıdır. Bu üç madde, yerleşme olasılığını belirgin biçimde düşürür. Uygulama merkezî politikayla yapılır.

Dördüncü madde, ölçülü önyükleme kayıtlarının toplanması ve doğrulanmasıdır. Beşinci madde, ürün yazılımı güncellemelerinin düzenli uygulanmasıdır. Altıncı madde, bellek analizi kabiliyetinin hazır tutulmasıdır. Bu maddeler tespit ve müdahale tarafını kapsar. Kontrol listesi dönemsel doğrulanır.

Listenin uygulanma durumu raporlanabilir olmalıdır. Hangi cihazlarda hangi korumaların etkin olduğu merkezî olarak izlenir. Kapalı cihazlar önceliklendirilir. Bu raporlama, olgunluğun somut göstergesidir. Yönetim sunumlarında kullanılabilir.

Privia Security olarak uç nokta sıkılaştırma ve alt seviye koruma yapılandırmalarınıaltyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.