Saldırı vektörü, bir saldırganın hedef sisteme girmek ya da yetkisini genişletmek için kullandığı somut yoldur. Kimlik avı e-postasıyla ele geçirilen bir parola, internete açık unutulmuş bir yönetim arayüzü, güncellenmemiş bir kütüphane veya kapıdan içeri sokulan bir USB bellek; hepsi birer vektördür.

Kavram sıklıkla saldırı yüzeyiyle karıştırılır. Yüzey, saldırıya açık noktaların tamamını ifade eden bir alandır; vektör ise o alanın içinden geçen tek bir yoldur. Bir kurumun saldırı yüzeyi büyükse üzerinde çok sayıda vektör bulunur; yüzey daraltıldığında vektör sayısı da doğal olarak azalır.

Saldırı Vektörü Nedir?

Saldırı vektörü, tehdit aktörünün bir sisteme yetkisiz erişim sağlamak ya da mevcut erişimini derinleştirmek için kullandığı belirli giriş yolu veya tekniktir.

Vektör her zaman teknik olmak zorunda değildir. Bir saldırgan zafiyet sömürmek yerine çalışanı ikna edebilir, temizlik personeli kılığında binaya girebilir ya da bir tedarikçinin zayıf erişimini kullanabilir. Savunma tarafında vektörleri yalnızca yazılım açıkları üzerinden düşünmek, en sık kullanılan yolların gözden kaçmasına neden olur.

Saldırı Vektörü ile Saldırı Yüzeyi Farkı

Bir kurumun saldırı yüzeyi, dışarıdan ya da içeriden erişilebilen tüm bileşenlerin toplamıdır: açık portlar, yayımlanmış uygulamalar, API uç noktaları, çalışan hesapları, tedarikçi bağlantıları. Vektör ise bu yüzeyin üzerinden geçen belirli bir güzergâhtır.

Ayrım savunma planlamasında işe yarar. Yüzey ölçümü “neyimiz açık?” sorusuna yanıt verir ve envanterle başlar. Vektör analizi ise “bu açıklıklardan hangisi gerçekten sömürülebilir bir yol oluşturuyor?” sorusunu sorar; önceliklendirmeyi bu ikinci soru belirler.

En Sık Kullanılan Saldırı Vektörleri

Saldırıların büyük bölümü sınırlı sayıda bilinen vektörden gelir. Sıra dışı ve karmaşık teknikler dikkat çekse de, gerçek olayların çoğu ele geçirilmiş kimlik bilgisi, yamalanmamış hizmet ve hatalı yapılandırma üçlüsüyle açıklanabilir.

• Kimlik bilgisi: kimlik avı, parola püskürtme, sızmış parola listeleri
• Yamalanmamış zafiyet: internete açık uygulama ve VPN cihazlarındaki bilinen açıklar
• Hatalı yapılandırma: varsayılan parolalar, açık yönetim arayüzleri, yetkisiz erişilebilen depolama
• Tedarik zinciri: yazılım güncellemesi, bağımlılık paketi ya da servis sağlayıcı üzerinden erişim
• İç kaynaklı: yetkisini kötüye kullanan ya da farkında olmadan yol açan çalışan
• Fiziksel: binaya giriş, kilitlenmemiş cihaz, denetimsiz taşınabilir medya

Vektörler Nasıl Tespit Edilir?

Vektör tespiti dışarıdan bakışla başlar: kurumun internete açık varlıkları saldırganın gördüğü gibi listelenir. Bu envanter üzerinde zafiyet taraması ile bilinen açıklar bulunur, ardından sızma testi ile bu açıkların gerçekten uçtan uca bir yol oluşturup oluşturmadığı sınanır.

Tarama ve testin farkı burada belirginleşir. Tarama bir zafiyetin varlığını bildirir; test o zafiyetin ardındaki ağ yapısı, erişim hakları ve izleme eksikliğiyle birleşerek gerçek bir vektöre dönüşüp dönüşmediğini gösterir. Aynı zafiyet iki farklı kurumda çok farklı ciddiyette olabilir.

Saldırı Vektörleri Nasıl Kapatılır?

Vektör kapatmanın en etkili yolu, tek bir kontrole değil birbirini yedekleyen katmanlara dayanmaktır. Kimlik bilgisi vektörü çok faktörlü doğrulama ile, yamalanmamış zafiyet vektörü düzenli yama yönetimiyle, hatalı yapılandırma vektörü ise standart yapılandırma şablonları ve sapma denetimiyle daraltılır.

Kapatılamayan vektörler için izleme devreye girer. Her yol kapatılamayacağı için, kullanıldığında hızlı fark edilmesini sağlayan kayıt ve uyarı düzeni kurulur. Bu yaklaşım, kalan riskin bilinçli biçimde kabul edilmesi anlamına gelir ve kurumun artık risk kaydına yazılır.

Vektörler Nasıl Önceliklendirilir?

Bir kurumda aynı anda onlarca açık vektör bulunabilir ve hepsini aynı hafta kapatmak mümkün değildir. Önceliklendirme üç soruya bakar: vektör dışarıdan erişilebilir mi, sömürüsü için özel bir bilgi ya da erişim gerekiyor mu, ve ulaştığı varlık kurum için ne kadar kritik?

Bu üç soruya olumlu yanıt veren vektörler ilk sıraya alınır. İnternete açık, kimlik doğrulaması gerektirmeyen ve doğrudan üretim verisine ulaşan bir yol, iç ağda üç adım sonra ulaşılabilen bir yoldan çok daha aciliyet taşır. Kritiklik puanı tek başına yeterli bir ölçüt değildir.

Önceliklendirmede saldırganın ekonomisi de hesaba katılır. Otomatik araçlarla taranabilen ve toplu olarak sömürülebilen vektörler, elle uğraş gerektiren vektörlerden daha yüksek olasılık taşır. Bu nedenle yaygın kullanılan ürünlerdeki bilinen açıklar, kuruma özel yazılmış bir uygulamadaki benzer ciddiyetteki açıktan önce ele alınır.

Vektör Kapatma Sonrası Doğrulama

Bir vektörün kapatıldığının kabul edilmesi için yapılan değişikliğin sınanması gerekir. Yama uygulandığı raporlanan bir sunucunun gerçekten güncel sürümü çalıştırdığı, kapatıldığı söylenen bir portun dışarıdan gerçekten erişilemez olduğu bağımsız olarak doğrulanır.

Doğrulama aynı zamanda yan etki kontrolüdür. Bir vektörü kapatmak için yapılan yapılandırma değişikliği başka bir yol açabilir; örneğin bir servisin devre dışı bırakılması, ekiplerin geçici çözüm olarak daha zayıf bir kanal kullanmasına yol açabilir. Değişiklik sonrası ortam yeniden taranır.

Kapatılan vektörlerin kaydı tutulur ve dönemsel olarak yeniden sınanır. Ortamlar değiştikçe kapatılmış bir yol yeniden açılabilir; yeniden kurulan bir sunucu eski yapılandırmayla gelebilir ya da bir güncelleme varsayılan ayarları geri getirebilir. Bu nedenle vektör yönetimi bir proje değil süreklilik gerektiren bir süreçtir.

Privia Security olarak kurumların dışarıdan görünen vektörlerini düzenli zafiyet tarama hizmeti ile sürekli izliyor, sömürülebilirliği doğrulanmış bulguları önceliklendirilmiş biçimde raporluyoruz.