Tersine mühendislik, bir yazılımın ya da donanımın iç işleyişini kaynak koduna erişmeden çözümleme çalışmasıdır. Derlenmiş bir programın makine kodu okunarak mantığı yeniden kurulur. Bu çalışma, güvenlik analizinden uyumluluk geliştirmeye kadar birçok alanda kullanılır. Zararlı yazılım incelemesi en bilinen kullanım alanıdır. Yöntem tek başına ne yasal ne yasadışıdır; amaç belirleyicidir.

Güvenlik alanında bu çalışma iki yönde yürütülür. Birinci yön, zararlı yazılımların çözümlenmesidir. İkinci yön ise ürünlerdeki zafiyetlerin bulunmasıdır. Her iki durumda da hedef, kaynak kodu bulunmayan bir yazılımın davranışını anlamaktır. Kullanılan teknikler büyük ölçüde ortaktır. Amaç ve kapsam farklılaşır.

Tersine Mühendislik Nedir?

Tersine mühendislik, derlenmiş bir yazılımın ya da bir sistemin iç yapısının ve mantığının, kaynak koduna erişilmeden çözümlenerek anlaşılması çalışmasıdır.

Çalışma, makine kodunun okunabilir bir biçime dönüştürülmesiyle başlar. Ayrıştırıcı araçlar bu dönüşümü yapar ve komut dizisini gösterir. Kod çözümleyiciler ise bir adım ileri giderek yüksek seviyeli dile benzer bir çıktı üretir. Bu çıktı orijinal kaynak kod değildir ama okunabilirdir. Analist bu çıktı üzerinden mantığı kurar.

Güvenlikte Kullanım Alanları

Birinci alan zararlı yazılım analizidir. Bir örneğin ne yaptığı, davranış izlemeyle kısmen anlaşılır; ancak koşullu davranışlar ve gizli işlevler ancak kod okunarak bulunur. Zararlı yazılım analizi derinleştiğinde bu yönteme başvurulur. Sonuçlar tespit kuralına dönüşür.

İkinci alan zafiyet araştırmasıdır. Kaynak kodu bulunmayan bir üründe zafiyet bulmak için ikili dosya incelenir. Bellek yönetimi hataları, doğrulama eksiklikleri ve mantık hataları bu incelemede aranır. Bulunan zafiyetler sorumlu açıklama süreciyle üreticiye bildirilir. Bu süreç etik kurallara bağlıdır.

Üçüncü alan, yama analizidir. Yayımlanan bir yamanın öncesi ve sonrası karşılaştırılarak hangi hatanın düzeltildiği çıkarılır. Bu bilgi hem savunma hem saldırı tarafında kullanılır. Savunma tarafında etki değerlendirmesi için değerlidir. Saldırı tarafında ise sömürü geliştirmeyi hızlandırır.

Dördüncü alan, ürün güvenlik değerlendirmesidir. Kurumların satın aldığı ürünlerde belgelenmemiş işlevlerin bulunup bulunmadığı bu yöntemle incelenir. Gömülü kimlik bilgileri ve gizli erişim yolları bu şekilde bulunur. Arka kapı tespiti bu çalışmanın çıktılarındandır.

• Zararlı yazılımların işlev ve iletişim analizi
• Kaynak kodu bulunmayan ürünlerde zafiyet araştırması
• Yama karşılaştırmasıyla düzeltilen hatanın belirlenmesi
• Ürünlerde belgelenmemiş işlev ve gömülü kimlik arama
• Protokol çözümlemesi ve uyumluluk geliştirme
• Ürün yazılımı ve gömülü sistem incelemesi

Kullanılan Araçlar

Temel araç, ayrıştırıcıdır. Makine kodunu komut dizisine çeviren bu araçlar, akış grafiği ve çapraz referans gibi yardımcı görünümler de sunar. Ücretsiz ve ticari seçenekler bulunur. Öğrenme eğrisi diktir. Deneyim, verimliliği belirleyen temel etkendir.

İkinci araç grubu hata ayıklayıcılardır. Kodu adım adım çalıştırarak bellek durumunu incelemeyi sağlarlar. Statik incelemede anlaşılmayan bölümler bu şekilde çözülür. Zararlı yazılım analizinde izole ortam gerekir. Hata ayıklayıcı tespiti de bir kaçınma tekniğidir.

Üçüncü grup, ikili karşılaştırma araçlarıdır. İki sürüm arasındaki farkları çıkararak yama analizini kolaylaştırır. Bu araçlar, büyük dosyalarda anlamlı farkları öne çıkarır. Elle karşılaştırma pratik değildir. Otomasyon zorunludur.

Zorluklar

En büyük zorluk, gizleme teknikleridir. Paketleme, karartma ve hata ayıklayıcı karşıtı teknikler analizi belirgin biçimde zorlaştırır. Kod karartma kullanılan örneklerde süre kat kat artar. Bu maliyet planlamada dikkate alınmalıdır. Kaynak ayrımı gerçekçi yapılmalıdır.

İkinci zorluk, uzmanlık gereksinimidir. Makine kodu okumak, işlemci mimarisi ve işletim sistemi iç yapısı bilgisi gerektirir. Bu yetkinlik uzun sürede kazanılır. Bu nedenle kurumlarda nadir bulunur. Dış destek yaygın bir çözümdür.

Üçüncü zorluk, zaman maliyetidir. Karmaşık bir örneğin tam çözümlenmesi günler hatta haftalar sürebilir. Bu süre çoğu olay müdahalesinde ayrılamaz. Bu nedenle hedefli analiz tercih edilir. Yalnızca kritik sorulara yanıt aranır.

Hukuki ve Etik Sınırlar

Tersine mühendislik, bulunulan ülkenin mevzuatına ve ürün lisans koşullarına göre değerlendirilmelidir. Bazı lisans sözleşmeleri bu çalışmayı açıkça yasaklar. Güvenlik araştırması amacıyla yapılan çalışmalar bazı mevzuatlarda istisna kapsamındadır. Bu nedenle çalışma öncesinde hukuki değerlendirme yapılmalıdır. Kurumsal politika bu konuyu içermelidir.

Bulunan zafiyetlerin bildirimi de etik kurallara bağlıdır. Sorumlu açıklama süreci, üreticiye düzeltme için makul süre tanınmasını öngörür. Bu sürenin sonunda bilgi kamuya açılabilir. Süreç yazılı olarak tanımlanmalıdır. Belirsizlik hem araştırmacıyı hem kurumu riske sokar.

Kurum içinde yapılan çalışmalarda da yetkilendirme yazılı olmalıdır. Hangi ürünlerin, hangi kapsamda inceleneceği belirtilir. Bu belge, olası bir anlaşmazlıkta koruma sağlar. Sözlü izin yeterli değildir. Süreç standartlaştırılmalıdır.

Gömülü Sistemler ve Ürün Yazılımı

Tersine mühendislik yalnızca masaüstü yazılımlarla sınırlı değildir. Gömülü cihazların ürün yazılımı da aynı yöntemlerle incelenir. Ürün yazılımının çıkarılması, dosya sisteminin ayrıştırılması ve içindeki bileşenlerin analizi bu çalışmanın adımlarıdır. Gömülü kimlik bilgileri ve sabit anahtarlar sıkça bu incelemede bulunur. Ürün yazılımı güvenliği bu alanı kapsar.

Bu çalışma, satın alınan cihazların güvenlik değerlendirmesinde kullanılır. Özellikle kritik ortamlara girecek cihazlarda bu inceleme önerilir. Üretici beyanının doğrulanması sağlanır. Bulgular tedarik kararına girdi olur. Sözleşme görüşmelerinde de kullanılabilir.

Endüstriyel ve tıbbi cihazlarda ise inceleme ek dikkat gerektirir. Bu cihazların çalışması kritik süreçlere bağlıdır ve test ortamı sağlanmalıdır. Üretim cihazları üzerinde çalışılmaz. Kapsam ve yöntem üreticiyle görüşülebilir. İş birliği daha iyi sonuç verir.

Protokol Çözümlemesi

Belgelenmemiş bir ağ protokolünün çözümlenmesi de bu çalışmanın parçasıdır. Trafik yakalanır, örüntüler çıkarılır ve mesaj yapısı kurulur. Bu bilgi, hem güvenlik değerlendirmesi hem izleme kuralı yazımı için kullanılır. Endüstriyel protokollerde bu çalışma sıkça gerekir. Belgeleme çoğu zaman eksiktir.

Çözümleme sonucunda protokolün güvenlik özellikleri de ortaya çıkar. Kimlik doğrulama ve bütünlük koruması olup olmadığı belirlenir. Birçok eski protokolde bu korumalar bulunmaz. Bu bulgu, telafi edici kontrol ihtiyacını gösterir. Segmentasyon en yaygın telafi kontrolüdür.

Çıkarılan protokol bilgisi, ağ izleme araçlarına da beslenebilir. Böylece o protokoldeki anormal davranışlar tespit edilebilir hâle gelir. Bu yetenek, görünürlüğü olmayan ortamlarda değerlidir. Ağ trafiği analizi bu bilgiyi kullanır. Kurallar özelleştirilir.

Beceri Geliştirme

Bu alanda yetkinlik kazanmak zaman ve pratik gerektirir. Öğrenme genellikle basit programların incelenmesiyle başlar ve giderek karmaşıklaşır. Topluluk tarafından hazırlanan alıştırma setleri bu süreci destekler. Düzenli pratik olmadan beceri körelir. Süreklilik önemlidir.

Kurumsal ortamda bu yetkinliğin geliştirilmesi bir yatırım kararıdır. Olay sıklığı ve kritiklik bu kararı belirler. Düşük hacimli ortamlarda dış destek daha ekonomiktir. Yüksek hacimli ortamlarda ise içeride kapasite kurmak mantıklıdır. Karar veriye dayanmalıdır.

Yetkinliğin sürdürülmesi için düzenli çalışma zamanı ayrılmalıdır. Yalnızca olay anında kullanılan bir beceri gelişmez. Analiz ekiplerine araştırma zamanı tanınması yaygın bir uygulamadır. Bu zaman, uzun vadede kapasite üretir. Yönetim desteği gerekir.

Anti-Analiz Teknikleriyle Mücadele

İncelenen örnekler çoğu zaman analizi zorlaştıracak teknikler içerir. Hata ayıklayıcı tespiti, sanal ortam tespiti ve zaman ölçümüne dayalı kontroller bu tekniklere örnektir. Tespit edildiğinde örnek farklı davranır ya da hiç çalışmaz. Bu kontrollerin atlanması, analizin ilk adımı hâline gelir. Deneyim bu aşamada belirleyicidir.

Kontrollerin atlanması için ilgili kod bölümleri bulunup değiştirilebilir. Bu işlem, ikili dosya üzerinde yapılan bir yamalama çalışmasıdır. Alternatif olarak hata ayıklayıcı içinde ilgili değerler değiştirilebilir. İki yöntem de yaygındır. Seçim duruma göre yapılır.

Bazı örnekler çok katmanlı koruma kullanır. Bir kontrol aşıldığında bir sonraki devreye girer. Bu katmanlar teker teker çözülür ve süreç uzar. Analiz planlaması bu süreyi hesaba katmalıdır. Gerçekçi tahmin önemlidir.

Bulguların Raporlanması

Tersine mühendislik çalışmasının çıktısı, teknik bir rapordur. Raporda incelenen bileşenin işlevi, kullandığı teknikler ve tespit edilebilecek göstergeler yer alır. Rapor, hedef kitleye göre iki katmanda yazılır: teknik ayrıntı ve yönetici özeti. İki katman farklı sorulara yanıt verir. Karışık yazılan raporlar okunmaz.

Bulguların doğrulanabilir olması da önemlidir. Hangi adreste hangi kodun bulunduğu, hangi işlevin ne yaptığı açıkça belirtilir. Bu ayrıntı, başka bir analistin sonucu doğrulamasını sağlar. Doğrulanamayan bulgular tartışmaya açıktır. Standart biçim kullanılmalıdır.

Rapor ayrıca savunmaya dönük öneriler içermelidir. Hangi tespit kuralının yazılabileceği ve hangi kontrolün etkili olacağı belirtilir. Bu öneriler, çalışmanın pratik değerini üretir. Yalnızca teknik anlatım yeterli değildir. Eyleme dönüşmelidir.

Privia Security olarak ürün ve uygulama incelemelerini yazılı kapsam ve izin çerçevesinde yürütüyor, bulguları düzenli zafiyet tarama hizmeti kapsamında kanıtlarıyla sunuyoruz.