Yanal hareket, saldırganın ilk erişim sağladığı sistemden ağdaki diğer sistemlere ilerlemesidir. İlk erişilen makine nadiren asıl hedeftir; genellikle sıradan bir kullanıcı bilgisayarıdır. Saldırgan buradan başlayarak veri, kimlik ve yetki toplar ve hedefine doğru ilerler. Bu ilerleme günler, bazen haftalar sürebilir. Savunma açısından en değerli tespit penceresi bu dönemdir.

Hareketin sessiz olması saldırgan için kritik önemdedir. Bu nedenle yeni araçlar yüklemek yerine ortamda hâlihazırda bulunan yönetim araçları tercih edilir. Uzak yönetim protokolleri, betik motorları ve yönetim konsolları bu amaçla kullanılır. Bu tercih, kullanılan tekniklerin meşru yönetim faaliyetlerinden ayırt edilmesini zorlaştırır. Tespit de bu nedenle bağlam analizine dayanır.

Yanal Hareket Nedir?

Yanal hareket, saldırganın ele geçirdiği bir sistemden ağdaki diğer sistemlere erişerek yetki ve veri toplama sürecini sürdürmesidir.

Hareketin ön koşulu, kullanılabilir kimlik materyalinin bulunmasıdır. Ele geçirilen makinede oturum açmış bir kullanıcının kimlik izleri, saldırganın bir sonraki adımını belirler. Bu nedenle ayrıcalıklı hesapların nerede oturum açtığı kritik bir sorudur. Hash geçirme ve benzeri teknikler bu materyali kullanır. Kimlik hijyeni, hareketin en etkili frenidir.

Hangi Teknikler Kullanılır?

En yaygın teknikler, uzak komut çalıştırma imkânı sunan yerleşik protokollerdir. Uzak masaüstü, uzak yönetim servisleri ve dosya paylaşımı üzerinden servis oluşturma bu kategoridedir. Bu yollar, ek araç gerektirmediği için tercih edilir. Ayrıca çoğu ortamda bu protokoller açık ve izlenmemektedir. Kapatılamayan protokoller için izleme zorunlu hâle gelir.

İkinci grup, kimlik materyalinin yeniden kullanılmasına dayanır. Toplanan özet ya da biletlerin başka sistemlerde kullanılması, parolayı hiç çözmeden erişim sağlar. Bu teknikler, ortak yerel yönetici parolaları kullanılan ortamlarda çok hızlı yayılır. Benzersiz parola yönetimi bu yayılmayı keser. Tek başına bu kontrol, birçok olayın kapsamını daraltır.

• Uzak yönetim protokolleriyle komut çalıştırma
• Kimlik özeti ya da biletinin yeniden kullanılması
• Zamanlanmış görev ve servis oluşturarak uzak çalıştırma
• Yönetim konsolları ve dağıtım araçlarının kötüye kullanımı
• Paylaşılan dizinlere zararlı dosya yerleştirme

Nasıl Önlenir?

İlk önlem ağ segmentasyonudur. İstemcilerin birbirine doğrudan erişememesi, saldırganın makineden makineye ilerlemesini engeller. Ağ segmentasyonu ve daha ince taneli mikro segmentasyon bu amaçla kullanılır. Segmentasyon olmadan diğer önlemler yalnızca yavaşlatır. Yayılmayı asıl durduran kontrol budur.

İkinci önlem kimlik tarafındadır. Ayrıcalıklı hesapların kullanım alanının kısıtlanması, yerel yönetici parolalarının benzersiz olması ve yönetim işlemlerinin ayrılmış makinelerden yapılması temel adımlardır. Bu adımlar, toplanan kimlik materyalinin değerini düşürür. Saldırgan materyali elde etse bile kullanamaz. Bu, en dayanıklı savunma katmanıdır.

Tespit Yöntemleri

Tespitin en güvenilir göstergesi, bir hesabın olağandışı sayıda makinede oturum açmasıdır. Normal kullanıcı davranışı sınırlı sayıda sistemle etkileşimi içerir. Bu örüntüden sapma, otomatik kurallarla yakalanabilir. Kural, kimlik doğrulama kayıtları üzerinde çalışır. Kayıtların merkezî toplanması ön koşuldur.

İkinci gösterge, istemciler arası doğrudan bağlantılardır. Kullanıcı bilgisayarlarının birbirine yönetim protokolleriyle bağlanması normal bir davranış değildir. Bu trafiğin izlenmesi ve engellenmesi hem tespit hem önleme sağlar. Ayrıca tuzak sistemler yerleştirilebilir. Bal küpü sistemleri, hareketin erken tespitinde etkili olur.

Bulut ve Hibrit Ortamlarda Yanal Hareket

Hibrit ortamlarda yanal hareket, şirket içi ağdan bulut ortamına ya da tersi yönde gerçekleşebilir. Şirket içi dizin hizmetiyle bulut kimlik sağlayıcısı arasındaki senkronizasyon, bu geçişin yolunu açar. Senkronizasyon hesaplarının yüksek yetkili olması, iki ortamı tek bir güven alanına dönüştürür. Bu hesapların ayrıca korunması ve kullanım alanlarının kısıtlanması gerekir. Aksi hâlde iki ortam arasındaki sınır fiilen ortadan kalkar.

Bulut ortamının kendi içinde de yanal hareket gerçekleşir. Bir kaynağa atanan rolün başka kaynaklara erişebilmesi, saldırganın kaynaktan kaynağa ilerlemesini sağlar. Bu ilerleme ağ üzerinden değil kimlik üzerinden olur. Bu nedenle bulut ortamlarında ağ segmentasyonu tek başına yeterli değildir. Kimlik segmentasyonu da gereklidir.

Hibrit senaryolarda tespit, iki ortamın kayıtlarının birleştirilmesini gerektirir. Şirket içi kimlik olaylarıyla bulut denetim kayıtlarının aynı platformda ilişkilendirilmesi gerekir. Ayrı ayrı bakıldığında geçiş görünmez kalır. SIEM bu birleştirmeyi sağlar. Birleştirme olmadan kapsam belirlenemez.

Hareketin Hızı ve Müdahale Penceresi

Bazı saldırılarda yanal hareket dakikalar içinde tamamlanırken, hedefli operasyonlarda haftalara yayılabilir. Fidye yazılımı operasyonlarında hareket hızlıdır çünkü amaç en geniş yayılımı en kısa sürede sağlamaktır. Casusluk amaçlı operasyonlarda ise sessizlik hızdan önemlidir. İki senaryo farklı tespit yaklaşımları gerektirir. Hız odaklı senaryolarda otomatik yanıt kritik önem taşır.

Otomatik yanıt, tespit edilen bir sistemin ağdan otomatik olarak izole edilmesi gibi işlemleri kapsar. Bu yetenek, insan müdahalesini beklemeden yayılmayı durdurur. Yanlış pozitif riski nedeniyle dikkatli yapılandırılmalıdır. Yüksek güvenilirlikli kurallarla sınırlı tutulması önerilir. Güvenlik orkestrasyonu bu akışları yönetir.

Müdahale penceresinin ölçülmesi de önemlidir. İlk erişimden ilk yanal harekete kadar geçen süre, savunmanın sahip olduğu zamanı gösterir. Bu sürenin kısalması, tespit ve yanıt hızının artırılmasını gerektirir. Ölçüm, gerçek olaylar ve tatbikatlar üzerinden yapılır. Mor takım çalışmaları bu ölçüm için uygundur.

Kontrol Listesi

İlk madde, istemciler arası doğrudan erişimin engellenmesidir. İkinci madde, yerel yönetici parolalarının benzersiz ve otomatik yönetilmesidir. Üçüncü madde, ayrıcalıklı hesapların ayrılmış makinelerden kullanılmasıdır. Dördüncü madde, uzak yönetim protokollerinin kaynak bazında kısıtlanmasıdır. Beşinci madde, kimlik doğrulama kayıtlarının merkezî toplanması ve örüntü kurallarının yazılmasıdır.

Bu maddelerin uygulanma durumu dönemsel olarak doğrulanmalıdır. Yeni eklenen sistemler ve yeni açılan ağ yolları kapsam dışında kalabilir. Doğrulama, yapılandırma taramaları ve kontrollü testlerle yapılır. İki yöntemin sonuçları karşılaştırılır. Farklar, gerçek kapsama boşluklarını gösterir.

Privia Security olarak ortamdaki yanal hareket yollarınıred team hizmeti çalışmalarıyla ortaya koyuyor, tespit kabiliyetini birlikte ölçüyoruz.