Sıfırıncı gün saldırısı, üreticinin henüz farkında olmadığı ya da henüz yama yayımlamadığı bir zafiyetin sömürülmesidir. Adı, savunanın müdahale için sahip olduğu gün sayısından gelir: sıfır. Bu tür saldırılara karşı yama uygulamak mümkün olmadığı için savunma tamamen diğer katmanlara dayanır. Bu nedenle katmanlı savunma yaklaşımının değeri en çok bu senaryoda görülür. Tek katmanlı savunmalar bu durumda tamamen çaresiz kalır.

Kavram sıklıkla abartılı biçimde kullanılır. Gerçek olayların büyük çoğunluğu bilinen ve yaması yayımlanmış zafiyetlerden kaynaklanır. Sıfırıncı gün zafiyetleri değerli ve pahalı olduğu için genellikle hedefli operasyonlarda kullanılır. Sıradan bir kurumun bu tür bir saldırıya maruz kalma olasılığı düşüktür. Bu nedenle temel hijyen, sıfırıncı gün korkusundan önce gelir.

Sıfırıncı Gün Saldırısı Nedir?

Sıfırıncı gün saldırısı, üreticisi tarafından henüz bilinmeyen veya yaması yayımlanmamış bir güvenlik zafiyetinin saldırganlar tarafından sömürülmesidir.

Zafiyetin yaşam döngüsünde birkaç aşama bulunur. Keşif, sömürü kodunun geliştirilmesi, kullanım, tespit edilme, üreticiye bildirim ve yama yayımı bu aşamaları oluşturur. Sıfırıncı gün penceresi, kullanım ile yama arasındaki süredir. Bu pencere kapandıktan sonra zafiyet artık bilinen bir zafiyettir. O andan itibaren risk, yama uygulama hızıyla belirlenir.

Yama Yoksa Nasıl Korunulur?

Yama olmadığında savunma telafi edici kontrollere dayanır. Etkilenen bileşenin ağ erişiminin kısıtlanması, ilgili özelliğin geçici olarak devre dışı bırakılması ve ek izleme kuralları tanımlanması bu kapsamdadır. Üreticiler yama öncesinde çoğu zaman geçici azaltma önerileri yayımlar. Bu önerilerin hızla uygulanması, pencerenin daraltılmasını sağlar. Uygulama için önceden tanımlı bir süreç gerekir.

İkinci savunma katmanı, sömürü sonrası aşamaya odaklanır. Zafiyet sömürülse bile saldırganın ilerlemesi engellenebilir. Segmentasyon, en az yetki ve davranış izleme bu aşamada devreye girer. Bu nedenle savunma yalnızca girişi engellemeye odaklanmamalıdır. Girişin gerçekleşeceği varsayımıyla tasarım yapılması daha dayanıklı sonuç verir.

• Etkilenen servisin ağ erişiminin kısıtlanması
• Üreticinin yayımladığı geçici azaltmaların uygulanması
• İlgili tekniğe özel tespit kurallarının yazılması
• Segmentasyon ile sömürü sonrası yayılmanın sınırlanması
• Yedeklerin ve kurtarma planının hazır tutulması

Tespit Nasıl Yapılır?

Bilinmeyen bir zafiyetin sömürüsü, imza tabanlı yöntemlerle tespit edilemez. Bu nedenle tespit, sömürü sonrası davranışlara odaklanır. Bir web sunucusu sürecinin komut satırı başlatması, beklenmedik bir dosya yazması ya da olağandışı bir ağ bağlantısı kurması güçlü işaretlerdir. Bu davranışlar, zafiyetin ne olduğundan bağımsız olarak yakalanabilir. Bu yaklaşım, bilinmeyen tehditlere karşı da çalışır.

İkinci tespit yolu, anormallik analizidir. Sistemlerin normal davranış profilinden sapmaları izlenir ve eşik aşıldığında uyarı üretilir. Bu yöntem yüksek yanlış pozitif üretebildiği için dikkatli ayarlanmalıdır. Kritik sistemlerde uygulanması daha uygundur. Profil çıkarma için yeterli gözlem süresi gerekir.

Üçüncü yol, tehdit istihbaratının izlenmesidir. Aktif olarak sömürülen zafiyetler hakkında yayımlanan bilgiler, hızlı aksiyon almayı sağlar. Siber tehdit istihbaratı kaynaklarının düzenli takibi bu nedenle önemlidir. Bilgi geldiğinde ne yapılacağı önceden tanımlanmış olmalıdır. Tanımsız süreç, bilgiyi değere dönüştüremez.

Kurumsal Hazırlık

Hazırlığın ilk maddesi envanterdir. Hangi ürünün hangi sürümünün nerede çalıştığı bilinmeden, yeni bir zafiyet duyurulduğunda etkilenen sistemler belirlenemez. Envanter, saatler yerine dakikalar içinde yanıt vermeyi sağlar. Bu hız, sıfırıncı gün senaryolarında doğrudan risk azaltımıdır. Envanter yatırımı bu nedenle önceliklidir.

İkinci madde, hızlandırılmış değişiklik sürecidir. Acil azaltma uygulamalarının normal onay döngüsünü beklemesi, pencereyi gereksiz yere uzatır. Bu tür durumlar için önceden tanımlı bir hızlı yol bulunmalıdır. Süreç, geri alma planını da içermelidir. Aceleyle yapılan değişiklikler yeni sorunlar üretebilir.

Üçüncü madde, iletişim planıdır. Yaşanan olay hakkında iç ve dış paydaşlara ne zaman ve nasıl bilgi verileceği önceden belirlenir. Olay müdahale planı bu iletişimi de kapsamalıdır. Plansız iletişim, teknik sorunu itibar sorununa dönüştürebilir. Şablonların hazır olması zaman kazandırır.

Zafiyet Pazarı ve Ekonomisi

Sıfırıncı gün zafiyetleri, hem meşru hem gayrimeşru pazarlarda alınıp satılan değerli varlıklardır. Fiyat, zafiyetin etkilediği ürünün yaygınlığına ve sömürünün güvenilirliğine göre belirlenir. Bu ekonomik gerçeklik, zafiyetlerin neden hemen kullanılmadığını açıklar. Bir zafiyet kullanıldığında tespit edilme ve yamalanma riski doğar. Bu nedenle sahipleri onları seçici biçimde kullanır.

Üreticilerin yürüttüğü ödül programları, zafiyetlerin sorumlu biçimde bildirilmesini teşvik eder. Araştırmacılara ödeme yapılması, zafiyetin karaborsaya gitmesini azaltır. Bu programlar aynı zamanda üreticinin güvenlik olgunluğunun göstergesidir. Program yürüten ürünlerin tercih edilmesi, tedarik kararlarında bir kriter olabilir. Bu kriter çoğu değerlendirmede yer almaz.

Kurumlar açısından bu ekonominin pratik sonucu şudur: hedefli olmayan bir kurumun sıfırıncı gün saldırısına maruz kalma olasılığı düşüktür. Bu nedenle savunma bütçesinin büyük bölümü bilinen zafiyetlere ve temel hijyene ayrılmalıdır. Sıfırıncı gün korkusu, temel eksikliklerin gölgede kalmasına yol açmamalıdır. Öncelik sıralaması gerçekçi olmalıdır. Gerçek olay verileri bu sıralamayı destekler.

Sorumlu Açıklama Süreci

Bir zafiyet keşfedildiğinde izlenen sorumlu açıklama süreci, üreticiye düzeltme için makul bir süre tanınmasını öngörür. Süre sonunda zafiyet kamuya açıklanır, böylece kullanıcılar risklerini değerlendirebilir. Bu denge, hem kullanıcı güvenliğini hem üretici sorumluluğunu gözetir. Sürenin uzunluğu tartışmalıdır ve duruma göre değişir. Aktif sömürü varsa süre kısalır.

Kurumların da kendi ürünleri için bir bildirim kanalı bulundurması gerekir. Araştırmacıların zafiyeti kime bildireceğini bilmesi, sorunun sessizce kalmasını önler. Kanalın kolay bulunur ve yanıt veren olması önemlidir. Yanıt verilmeyen bildirimler, kamuya açıklamaya dönüşebilir. Süreç önceden tanımlanmalıdır.

Bildirim geldiğinde izlenecek adımlar da yazılı olmalıdır. Doğrulama, etki analizi, düzeltme ve bildirimde bulunan kişiyle iletişim bu adımları oluşturur. Süreç, hukuk ve iletişim birimlerini de kapsamalıdır. Olay müdahale planı bu senaryoyu da içermelidir. Hazırlıksız yürütülen süreçler itibar kaybına yol açar.

Sıfırıncı Gün Sonrası Dönem

Zafiyet kamuya açıklandıktan sonra risk azalmaz, aksine kısa süreliğine artar. Sömürü kodu yayılır ve daha geniş bir aktör grubu tarafından kullanılmaya başlanır. Bu dönemde yama uygulama hızı kritik önem taşır. N-day saldırıları tam olarak bu dönemde gerçekleşir. Pencerenin kapatılması önceliklidir.

Bu nedenle sıfırıncı gün hazırlığı ile yama yönetimi aynı sürecin parçalarıdır. Hızlı azaltma uygulayabilen bir kurum, hızlı yama da uygulayabilir. İki yetenek aynı süreç altyapısına dayanır. Ayrı ayrı planlanmaları gereksiz karmaşıklık üretir. Tek bir hızlı müdahale süreci yeterlidir.

Privia Security olarak kurumların bilinmeyen zafiyetlere karşı dayanıklılığınısiber tatbikat senaryolarıyla sınıyor, telafi edici kontrollerin etkinliğini ölçüyoruz.