Solucan, kendini çoğaltarak ve kullanıcı müdahalesi gerektirmeden ağ üzerinden yayılan zararlı yazılım türüdür. Bir sisteme bulaştıktan sonra ağdaki diğer sistemleri tarar ve aynı zafiyeti kullanarak onlara da geçer. Bu otomatik yayılma, çok kısa sürede geniş etki üretebilir. Tarihteki en hızlı yayılan saldırılar bu davranışa dayanır. Bu nedenle müdahale süresi son derece kısadır.

Yayılma hızı, savunmanın en büyük zorluğudur. İnsan müdahalesine dayanan süreçler bu hıza yetişemez. Bu nedenle savunma, otomatik kontrollere ve mimari kısıtlamalara dayanmalıdır. Segmentasyon ve yama yönetimi bu bağlamda en belirleyici iki kontroldür. İkisi eksik olduğunda yayılma durdurulamaz.

Solucan Nedir?

Solucan, kullanıcı müdahalesi olmadan kendini çoğaltarak ağ üzerindeki diğer sistemlere yayılan zararlı yazılım türüdür.

Virüsten temel farkı, yayılmak için bir taşıyıcı dosyaya ve kullanıcı eylemine ihtiyaç duymamasıdır. Virüs bir dosyaya eklenir ve o dosya çalıştırıldığında yayılır. Solucan ise kendi başına çalışır ve ağ üzerinden aktif olarak yayılır. Bu fark, yayılma hızını kat kat artırır. Savunma yaklaşımı da bu nedenle farklıdır.

Nasıl Yayılır?

En yaygın yayılma yolu, ağ servislerindeki zafiyetlerin sömürülmesidir. Solucan, ağdaki sistemleri tarar ve hedef zafiyeti barındıran sistemlere kendini kopyalar. Bu işlem tamamen otomatiktir. Sömürülen zafiyetin yaygınlığı, yayılma potansiyelini belirler. Yaygın kullanılan servislerdeki zafiyetler en tehlikelileridir.

İkinci yol, zayıf kimlik bilgileriyle erişimdir. Ortak yerel yönetici parolaları kullanılan ortamlarda solucan, bir makineden diğerine kolayca geçer. Bu senaryoda zafiyet teknik değil yapılandırma kaynaklıdır. Benzersiz parola yönetimi bu yolu kapatır. Kontrol basit ama etkisi büyüktür.

Üçüncü yol, paylaşımlı dizinler ve taşınabilir medyadır. Ağ paylaşımlarına kopyalanan bir bileşen, o paylaşıma erişen sistemlere yayılabilir. Taşınabilir medya ise ağdan izole ortamlara geçişi sağlar. Bu yol, endüstriyel ortamlarda özellikle önemlidir. Cihaz denetimi politikaları gereklidir.

• Ağ servislerindeki zafiyetlerin otomatik sömürülmesi
• Ortak ya da zayıf kimlik bilgileriyle uzak erişim
• Paylaşımlı dizinlere kopyalanma
• Taşınabilir medya üzerinden izole ortamlara geçiş
• E-posta ve mesajlaşma yoluyla otomatik gönderim

Neden Bu Kadar Hızlı Yayılır?

Yayılma hızının matematiksel nedeni üstel büyümedir. Her bulaşan sistem yeni sistemlere bulaştırdığı için sayı katlanarak artar. Başlangıçta yavaş görünen yayılma, kısa sürede tüm ortamı kapsayabilir. Bu nedenle erken müdahale kritik önemdedir. Geç kalınan her dakika, etkiyi katlar.

Düz ve segmentsiz ağlar bu büyümeyi hızlandırır. Her sistemin her sisteme erişebildiği bir ortamda hiçbir engel yoktur. Segmentasyon, yayılmayı yavaşlatarak müdahale için zaman kazandırır. Bu nedenle segmentasyon yalnızca bir güvenlik değil aynı zamanda bir süreklilik kontrolüdür. Yatırım gerekçesi bu şekilde de sunulabilir.

Fidye yazılımı operasyonlarında da solucan davranışı kullanılır. Şifreleme bileşeninin ağa hızla yayılması, etkiyi maksimize eder. Bu nedenle modern fidye olaylarında yayılma dakikalarla ölçülür. Fidye yazılımı saldırıları bu nedenle otomatik izolasyon yeteneği gerektirir. İnsan müdahalesi yetişmez.

Nasıl Durdurulur?

İlk ve en etkili kontrol ağ segmentasyonudur. Sistemlerin birbirine doğrudan erişememesi, yayılmayı fiziksel olarak sınırlar. Ağ segmentasyonu uygulanmış ortamlarda etki tek bir segmentte kalır. Bu kontrol, hangi zafiyetin kullanıldığından bağımsız çalışır. Bilinmeyen tehditlere karşı da koruma sağlar.

İkinci kontrol yama yönetimidir. Solucanlar bilinen zafiyetleri kullandığı için, güncel sistemler etkilenmez. Kritik yamaların hızlı uygulanması bu riski doğrudan azaltır. Özellikle ağ servislerine ilişkin yamalar öncelikli olmalıdır. Envanter, hızlı uygulamanın ön koşuludur.

Üçüncü kontrol, otomatik izolasyon yeteneğidir. Bulaşma tespit edildiğinde ilgili sistemin ağdan otomatik olarak ayrılması, yayılmayı anında durdurur. Bu yetenek insan müdahalesini beklemez. Yanlış pozitif riski nedeniyle dikkatli yapılandırılmalıdır. Yüksek güvenilirlikli kurallarla sınırlandırılır.

Müdahale Sırası

Olay tespit edildiğinde ilk öncelik yayılmanın durdurulmasıdır. Etkilenen segmentlerin izole edilmesi, temizlikten önce gelir. Temizliğe yayılma durmadan başlanması, temizlenen sistemlerin yeniden bulaşmasına yol açar. Bu sıralama müdahale planında yazılı olmalıdır. Kriz anında tartışılmamalıdır.

İzolasyon sonrasında kapsam belirlenir. Hangi sistemlerin etkilendiği ve hangi zafiyetin kullanıldığı tespit edilir. Bu bilgi, temizlik ve yamalama planını belirler. Kapsam eksik belirlendiğinde temizlik de eksik kalır. İnceleme sistematik yürütülmelidir.

Temizlik ve kurtarma aşamasında sistemler kademeli olarak devreye alınır. Yama uygulanmadan devreye alınan bir sistem, aynı zafiyetle yeniden bulaşır. Bu nedenle sıralama önemlidir. Doğrulama her adımda yapılır. Acele edilen kurtarmalar olayı uzatır.

Tarihsel Örnekler ve Dersler

Geçmişte yaşanan büyük solucan olayları, yayılma hızının ne kadar yıkıcı olabileceğini göstermiştir. Bu olaylarda bulaşma dünya çapında saatler içinde gerçekleşmiştir. Etkilenen kurumlar arasında üretim, lojistik ve sağlık kuruluşları bulunmuştur. Ortak nokta, yamalanmamış sistemler ve düz ağ yapılarıdır. Aynı iki eksiklik bugün de geçerlidir.

Bu olaylardan çıkan en önemli ders, yama süresinin kritikliğidir. Yama yayımlandıktan sonra geçen her gün, riski artırır. Kritik zafiyetler için hızlandırılmış süreç bu nedenle gereklidir. N-day saldırıları bu pencereyi hedefler. Süreç önceden tanımlanmalıdır.

İkinci ders, iş sürekliliği planlamasının önemidir. Bazı kurumlar operasyonlarını haftalarca sürdüremez hâle gelmiştir. Kurtarma kabiliyeti, teknik savunma kadar önemlidir. İş sürekliliği dersleri bu konuda somut örnekler sunar. Planlar tatbikatla sınanmalıdır.

Endüstriyel ve İzole Ortamlar

Endüstriyel ortamlar, yamalanması zor sistemler barındırdığı için bu tehdide özellikle açıktır. Üretim sürekliliği nedeniyle yeniden başlatma pencereleri sınırlıdır. Ayrıca bazı sistemler üretici onayı olmadan güncellenemez. Bu kısıtlar, telafi edici kontrolleri zorunlu kılar. Segmentasyon bu ortamlarda en kritik kontroldür.

İzole olduğu varsayılan ortamlar da risk taşır. Taşınabilir medya ve bakım dizüstü bilgisayarları, izolasyonu fiilen ortadan kaldırır. Bu geçiş noktalarının denetlenmesi gerekir. Cihaz denetimi politikaları ve giriş kontrol istasyonları bu amaçla kullanılır. Uygulama disiplinle sürdürülmelidir.

Ayrıca bu ortamlarda müdahale seçenekleri de sınırlıdır. Bir üretim sistemini ağdan ayırmak, üretimi durdurmak anlamına gelebilir. Bu nedenle müdahale kararları üretim ekipleriyle birlikte alınır. Operasyonel teknoloji müdahalesi ayrı bir disiplindir. Planlar bu farkı yansıtmalıdır.

Tespit ve Erken Uyarı

Yayılma hızlı olduğu için tespitin de otomatik olması gerekir. Ağ trafiğinde kısa sürede çok sayıda sisteme yapılan aynı tür bağlantı girişimi güçlü bir işarettir. Bu örüntü, eşik tabanlı kurallarla yakalanabilir. Kural, hedef port ve hız üzerinden tanımlanır. Yanlış pozitif oranı düşüktür.

Tuzak sistemler de erken uyarı sağlar. Ağa yerleştirilen ve hiçbir meşru kullanımı olmayan sistemler, tarandıklarında kesin bir uyarı üretir. Bal küpü sistemleri bu amaçla kullanılır. Kurulumları görece basittir. Getirisi ise yüksektir.

Uç nokta tarafında ise beklenmedik süreç oluşturma ve ağ taraması davranışı izlenir. Bir kullanıcı bilgisayarının çok sayıda adrese bağlanmaya çalışması olağan dışıdır. Bu davranış, kural olarak tanımlanabilir. Kayıt toplama ön koşuldur. Yapılandırma kontrol edilmelidir.

Privia Security olarak ağ segmentasyonunun ve yama yönetiminin yayılmayı ne ölçüde sınırladığınıaltyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.