Yansıma ve güçlendirme saldırıları, internetteki açık servislerin aracı olarak kullanılmasıyla yürütülür. Saldırgan, kaynak adresini kurbanın adresi olarak yazdığı sorgular gönderir; servisler yanıtlarını kurbana iletir. Böylece saldırganın kendi bant genişliğinden çok daha büyük bir trafik üretilir. Bu iki mekanizma birlikte çalıştığında etki katlanır. Günümüzdeki en yüksek hacimli saldırıların temeli budur.

Yansıma, trafiğin üçüncü bir taraf üzerinden hedefe yönlendirilmesini ifade eder. Güçlendirme ise gönderilen isteğe göre çok daha büyük bir yanıt üretilmesidir. İkisi ayrı kavramlardır ama pratikte birlikte kullanılır. Yansıma saldırganın kimliğini gizler, güçlendirme ise hacmi artırır. Savunma her iki mekanizmayı da hedeflemelidir.

Yansıma ve Güçlendirme Nedir?

Yansıma ve güçlendirme saldırıları, sahte kaynak adresle sorgulanan açık servislerin ürettiği büyük yanıtların kurbana yönlendirilmesiyle yüksek hacimli trafik oluşturulmasıdır.

Saldırının ön koşulu, kaynak adresin sahtelenebilmesidir. Çıkış filtrelemesi uygulayan ağlarda bu sahtecilik engellenir ve saldırı üretilemez. IP spoofing engellenmediği sürece bu saldırı ailesi varlığını sürdürür. Bu nedenle filtreleme, kolektif bir sorumluluktur. Her ağın kendi çıkışında uygulaması gerekir.

Hangi Servisler Kötüye Kullanılır?

Kötüye kullanılan servislerin ortak özelliği, bağlantısız protokol üzerinde çalışmaları ve küçük isteklere büyük yanıtlar üretmeleridir. Ad çözümleme, zaman senkronizasyonu, ağ yönetimi ve bazı oyun ve önbellek servisleri bu kategoridedir. Bu servislerin internete açık ve kısıtlamasız bırakılması saldırının kaynağını oluşturur. Envanter çıkarılarak bu servislerin kapatılması gerekir. Çoğu kurumda bu tür açık servisler bulunur.

Güçlendirme oranı servise göre değişir. Bazı protokollerde küçük bir istek onlarca kat büyük yanıt üretebilir. Yüksek oranlı protokoller saldırganlar tarafından tercih edilir. Bu nedenle bu protokollerin dış dünyaya açık bırakılmaması özellikle önemlidir. Gerekliyse kaynak kısıtlaması uygulanmalıdır.

• Ad çözümleme servislerinin dışa açık bırakılması
• Zaman senkronizasyon servislerinde yönetim komutlarının açık olması
• Ağ yönetim protokollerinin internete açık olması
• Önbellek ve veri servislerinin kimlik doğrulamasız erişime açık olması
• Kaynak adres filtrelemesi uygulanmayan ağlar

Kurum Kendi Servisleri İçin Ne Yapmalı?

Kurumun kendi altyapısının saldırı aracı hâline gelmemesi de bir sorumluluktur. İnternete açık servislerin envanteri çıkarılır ve gereksiz olanlar kapatılır. Açık kalması gereken servislerde ise yalnızca yetkili kaynaklardan sorgu kabul edilecek biçimde yapılandırma yapılır. Bu kısıtlama, hem güvenlik hem itibar açısından değerlidir. Kötüye kullanılan bir servis, kurumun adresinin engelleme listelerine girmesine yol açabilir.

Ayrıca yanıt hız sınırlaması uygulanabilir. Aynı kaynağa belirli sürede gönderilecek yanıt sayısının sınırlanması, servisin güçlendirme aracı olarak kullanılmasını zorlaştırır. Bu özellik birçok sunucu yazılımında bulunur. Varsayılan olarak kapalı gelebilir. Yapılandırmanın kontrol edilmesi gerekir.

Dış taramalarla bu servislerin görünürlüğü düzenli olarak doğrulanmalıdır. Kurumun kendisini dışarıdan görmesi, beklenmedik açık servisleri ortaya çıkarır. Bu tarama otomatikleştirilebilir. Yeni açılan servisler böylece hızlıca fark edilir. Zafiyet taraması bu kapsamı da içermelidir.

Hedef Olunduğunda Ne Yapılır?

Saldırı hedefi olunduğunda kurum tarafında yapılabilecekler sınırlıdır. Trafik hedefe ulaşmadan filtrelenmelidir; aksi hâlde bağlantı kapasitesi zaten dolmuştur. Bu nedenle sağlayıcı ya da uzman koruma platformuyla önceden anlaşma yapılmış olması gerekir. Kriz anında hizmet almaya çalışmak zaman kaybettirir. Hazırlık, müdahalenin en belirleyici bileşenidir.

Koruma devreye alındığında trafik temizleme merkezlerine yönlendirilir. Zararlı trafik ayıklanır ve yalnızca meşru trafik kuruma iletilir. Geçiş süresi ve yönlendirmenin yayılma süresi önceden bilinmelidir. Bu süreler tatbikatla doğrulanır. Sözleşmedeki taahhütlerle gerçek performans karşılaştırılır.

Saldırı sonrasında kayıtlar analiz edilir. Kullanılan protokoller, kaynak dağılımı ve hacim profili kaydedilir. Bu bilgiler koruma kurallarının iyileştirilmesinde kullanılır. Ayrıca tekrarlayan saldırıların ilişkilendirilmesini sağlar. Analiz, öğrenme döngüsünü tamamlar.

Sektörel İş Birliği

Bu saldırı ailesinin azaltılması, tek tek kurumların değil tüm ekosistemin çabasını gerektirir. Kaynak adres filtrelemesinin yaygınlaşması, saldırının temelini ortadan kaldırır. Bu nedenle sektörel iyi uygulama rehberleri bu konuyu vurgular. Kurumların kendi ağlarında uygulaması, kolektif faydaya katkı sağlar. Uygulama maliyeti düşüktür.

Açık servislerin kapatılması da benzer bir kolektif kazanç üretir. Her kapatılan açık servis, saldırı kapasitesini bir miktar azaltır. Bu nedenle dış tarama sonuçlarının paylaşımı ve bilgilendirme çalışmaları değerlidir. Bazı kuruluşlar bu bilgilendirmeyi düzenli olarak yapmaktadır. Gelen bildirimlerin ciddiye alınması gerekir.

Güçlendirme Oranı Nasıl Hesaplanır?

Güçlendirme oranı, gönderilen isteğin boyutu ile alınan yanıtın boyutu arasındaki orandır. Küçük bir sorgunun büyük bir yanıt üretmesi, saldırganın kapasitesini kat kat artırır. Bu oran protokole ve sorgu türüne göre değişir. Yüksek oranlı protokoller saldırganlar tarafından tercih edilir. Savunma önceliklendirmesi bu orana göre yapılabilir.

Oranın yüksek olması tek başına yeterli değildir; ayrıca çok sayıda açık servisin bulunması gerekir. Bu nedenle hem oran hem de internetteki açık servis sayısı birlikte değerlendirilir. Açık servis sayısı azaldıkça saldırı kapasitesi de düşer. Bu, kolektif çabanın somut sonucudur. Her kapatılan servis katkı sağlar.

Kurumlar kendi servislerinin oranını da değerlendirebilir. Bir servisin dışarıya açık olması gerekiyorsa, ürettiği yanıt boyutunun sınırlanması mümkündür. Bazı yapılandırmalar büyük yanıt üretmeyi engeller. Bu ayarların kontrol edilmesi gerekir. Varsayılanlar genellikle sınırsızdır.

Nesnelerin İnterneti Cihazlarının Rolü

Güvensiz yapılandırılmış bağlantılı cihazlar, bu saldırıların önemli bir kaynağıdır. Bu cihazlar genellikle varsayılan parolalarla çalışır ve güncelleme almaz. Ele geçirildiklerinde büyük ağların parçası hâline gelirler. Nesnelerin interneti güvenliği bu nedenle yalnızca cihaz sahibini değil tüm interneti ilgilendirir. Cihaz güvenliği kolektif bir konudur.

Kurumsal ortamlarda da bu tür cihazlar bulunur. Kameralar, yazıcılar, akıllı bina bileşenleri ve sensörler bu kategoridedir. Bu cihazların envanterinin çıkarılması ve ayrı bir ağ segmentinde tutulması gerekir. Doğrudan internete açılmaları engellenmelidir. Bu kontrol sık ihmal edilir.

Cihazların satın alma aşamasında değerlendirilmesi de önemlidir. Güncelleme desteği, varsayılan parola politikası ve gereksiz servislerin kapalı olması değerlendirme kriterleri olmalıdır. Bu kriterler tedarik sürecine eklenebilir. Sonradan düzeltmek çoğu zaman mümkün değildir. Cihaz ömrü boyunca risk taşınır.

İzleme ve Erken Uyarı

Kurumun kendi servislerinin kötüye kullanılıp kullanılmadığı izlenmelidir. Beklenmedik yoğunlukta gelen sorgular ve olağandışı kaynaklara giden yanıtlar bu kullanımın işaretidir. Bu izleme, hem kurumu hem başkalarını korur. Trafik grafiklerinde anormallik olarak görünür. Eşik tabanlı uyarı tanımlanabilir.

Dış kaynaklardan gelen bildirimlerin de değerlendirilmesi gerekir. Bazı kuruluşlar, açık servisleri tespit ederek sahiplerini bilgilendirir. Bu bildirimlerin ulaşacağı bir adres tanımlanmış olmalıdır. Ulaşılamayan kurumlar sorunlarından haberdar olamaz. İletişim adresinin güncel tutulması gerekir.

Privia Security olarak kurumların dışa açık servis envanterini çıkarıyor, kötüye kullanılabilir yapılandırmaları düzenli zafiyet tarama hizmeti kapsamında raporluyoruz.