Yaşayan araçlarla saldırı, saldırganın kendi araçlarını getirmek yerine hedef sistemde zaten bulunan meşru yazılımları kullanmasıdır. İşletim sistemiyle birlikte gelen yönetim araçları, betik motorları ve komut satırı yardımcıları bu amaçla kullanılır. Bu araçlar imzalı ve güvenilir kabul edildiği için güvenlik kontrolleri tarafından engellenmez. Ayrıca kurulum gerektirmedikleri için hiçbir yeni dosya oluşmaz. Bu iki özellik, yaklaşımın etkinliğini açıklar.

Yaklaşımın yaygınlaşmasının nedeni, uç nokta korumalarının gelişmesidir. Bilinmeyen çalıştırılabilir dosyaların engellenmesi yaygınlaştıkça, saldırganlar zaten izin verilen araçlara yönelmiştir. Bu kayma, savunmanın da dosya odaklı olmaktan çıkıp davranış odaklı hâle gelmesini zorunlu kılmıştır. Bugün tespit, aracın kimliğine değil kullanım biçimine bakar. Bu geçiş, kayıt ihtiyacını da artırmıştır.

Yaşayan Araçlarla Saldırı Nedir?

Yaşayan araçlarla saldırı, hedef sistemde meşru olarak bulunan yerleşik araç ve bileşenlerin saldırgan amaçlarla kullanılmasıyla, ek yazılım yüklemeden yürütülen saldırı yaklaşımıdır.

Kullanılan araçların çoğu, sistem yöneticilerinin günlük işlerinde de kullandığı araçlardır. Bu ortaklık, meşru ve zararlı kullanımın ayırt edilmesini zorlaştırır. Ayırt etme, aracın kim tarafından, hangi bağlamda ve hangi parametrelerle çalıştırıldığına bakmayı gerektirir. Bu nedenle tespit kuralları bağlam bilgisiyle zenginleştirilmelidir. Bağlamsız kurallar yüksek yanlış pozitif üretir.

Hangi Araçlar Kullanılır?

Betik motorları en sık kullanılan araç grubudur. Sistem yönetimi için tasarlanmış güçlü betik ortamları, saldırganlara da geniş imkân sunar. Bu ortamların kaydının açılması ve kısıtlı çalışma modlarının kullanılması temel önlemlerdir. Ayrıca eski sürümlerin kaldırılması gerekir; eski sürümler kayıt üretmeyebilir. Bu ayrıntı sıkça atlanır.

İkinci grup, dosya indirme ve çalıştırma yeteneği olan yardımcı araçlardır. Sistem güncelleme, sertifika yönetimi ve komut çalıştırma amaçlı birçok yerleşik araç bu yeteneğe sahiptir. Saldırganlar bu araçları zararlı içerik indirmek için kullanır. Bu kullanımların izlenmesi, tespit için değerli sinyaller üretir. Kural yazımında bu araçların listesi referans alınır.

Üçüncü grup, uzaktan yönetim ve kimlik işlemleri için kullanılan araçlardır. Uzak komut çalıştırma, servis yönetimi ve dizin sorgulama araçları yanal harekette kullanılır. Bu araçların normal kullanım profili çıkarılmalıdır. Profil dışındaki kullanım, tespit için başlangıç noktası olur. Profil çıkarma çalışması bir kereye mahsus değil, dönemseldir.

• Betik motorları ve komut satırı yorumlayıcıları
• Dosya indirme yeteneği olan yerleşik yardımcı araçlar
• Uzak komut çalıştırma ve servis yönetim araçları
• Dizin ve ağ sorgulama yardımcıları
• Sıkıştırma ve arşivleme araçları (veri hazırlama için)
• Zamanlanmış görev ve kayıt defteri düzenleme araçları

Neden Tespit Edilmesi Zordur?

Zorluğun temel nedeni, aynı aracın hem meşru hem zararlı kullanımının bulunmasıdır. Bir sistem yöneticisinin uzaktan komut çalıştırması normal bir faaliyettir; aynı komutun bir kullanıcı bilgisayarından çalıştırılması ise değildir. Ayrım, bağlam bilgisiyle yapılır. Bağlam bilgisi ise ancak kapsamlı kayıt toplamayla elde edilir. Kayıt eksikliği, tespitin önündeki asıl engeldir.

İkinci zorluk, engelleme kararının operasyonel etkisidir. Bu araçların tamamen engellenmesi, sistem yönetimini de imkânsız kılar. Bu nedenle savunma engellemeye değil kısıtlama ve izlemeye dayanır. Kısıtlama, aracın kimler tarafından kullanılabileceğini sınırlar. İzleme ise kalan kullanımı görünür kılar.

Üçüncü zorluk, tekniklerin sürekli çeşitlenmesidir. Yeni araçların kötüye kullanım yolları düzenli olarak keşfedilmektedir. Bu nedenle kural setinin güncel tutulması gerekir. Toplulukça derlenen teknik listeleri bu güncellemede referans alınır. Kural bakımı sürekli bir iş yüküdür.

Savunma Önlemleri

İlk önlem, kayıt kapsamının genişletilmesidir. Süreç oluşturma kayıtları, komut satırı argümanları ve betik motoru çıktıları toplanmadan bu saldırılar görünmez kalır. Komut satırı denetim kaydı bu görünürlüğün temelidir. Kayıt hacmi artacağı için saklama planlaması gerekir. Yatırım, tespit kabiliyetine doğrudan yansır.

İkinci önlem, uygulama denetimi politikalarıdır. Hangi araçların hangi kullanıcılar tarafından çalıştırılabileceğinin sınırlanması, saldırganın seçeneklerini daraltır. Uygulama beyaz listesi yaklaşımı bu amaçla kullanılır. Uygulama kademeli yapılmalı ve önce denetim modunda izlenmelidir. Ani kısıtlamalar operasyonu aksatır.

Üçüncü önlem, en az yetki ilkesidir. Bu araçların çoğu, yüksek yetki olmadan sınırlı etki üretir. Kullanıcıların yerel yönetici hakkına sahip olmaması, birçok tekniği baştan etkisiz kılar. Bu kontrol, tespit yatırımından önce gelmelidir. Önleme her zaman tespitten ucuzdur.

Tespit Kuralı Yazımı

Etkili kurallar, aracın adına değil kullanım bağlamına odaklanır. Üst süreç bilgisi, kullanılan parametreler, çalıştırılma zamanı ve kullanıcı kimliği kuralın girdilerini oluşturur. Örneğin bir ofis uygulamasının betik motoru başlatması, bağlam açısından olağandışıdır. Bu tür ilişkiler, yüksek güvenilirlikli kurallar üretir. Kural yazımı bu ilişkilere odaklanmalıdır.

Kuralların yanlış pozitif oranı, ortamın normal davranışına göre ayarlanır. Bu nedenle kural yazımından önce bir gözlem dönemi gerekir. Gözlem sırasında meşru kullanım profilleri çıkarılır ve istisnalar tanımlanır. İstisnaların da belgelenmesi ve dönemsel gözden geçirilmesi gerekir. Belgesiz istisnalar zamanla kural setini zayıflatır.

Linux ve Bulut Ortamlarında

Yaklaşım yalnızca masaüstü işletim sistemleriyle sınırlı değildir. Linux sunucularda paket yöneticileri, dosya indirme araçları ve zamanlanmış görev mekanizmaları aynı amaçla kullanılır. Bu araçlar sistem yönetiminin ayrılmaz parçası olduğu için kaldırılamaz. Bu nedenle savunma, kullanım kaydının toplanmasına ve profil dışı kullanımın tespitine dayanır. Linux denetim günlükleri bu kaydı sağlar.

Bulut ortamlarında ise sağlayıcının komut satırı araçları ve yönetim arayüzleri aynı rolü oynar. Ele geçirilen bir kimlikle bu araçlar kullanıldığında, tüm işlemler meşru yönetim faaliyeti gibi görünür. Tespit, işlemin kendisine değil kimin ve nereden yaptığına bakar. Olağandışı konumdan yapılan yönetim işlemleri uyarı üretmelidir. Bu kural, denetim kayıtları üzerinde çalışır.

Konteyner ortamlarında da benzer bir durum vardır. Küme yönetim araçları, saldırgan için de güçlü bir araç setidir. Bu araçlara erişimin rol bazlı sınırlanması gerekir. Kubernetes güvenliği çalışmalarında bu kısıtlamalar öncelikli değerlendirilir. Varsayılan yetkiler genellikle gereğinden geniştir.

Meşru Uzaktan Erişim Araçları

Saldırganların giderek daha çok kullandığı bir yöntem, ticari uzaktan erişim yazılımlarının kurulmasıdır. Bu yazılımlar imzalı, tanınmış ve birçok kurumda meşru olarak kullanılan araçlardır. Kurulduklarında güvenlik ürünleri tarafından engellenmezler. Ayrıca trafikleri de meşru servis adreslerine gider. Bu üç özellik, tespiti belirgin biçimde zorlaştırır.

Savunma, kurumda hangi uzaktan erişim araçlarının onaylı olduğunun tanımlanmasıyla başlar. Onaylı liste dışındaki tüm araçların kurulumu engellenir ve kullanımı uyarı üretir. Bu kontrol uygulama denetimi politikalarıyla sağlanır. Ayrıca bu araçların bilinen ağ adresleri izlenebilir. İki kontrol birlikte etkili sonuç verir.

Envanter çalışması çoğu kurumda beklenmedik bulgular üretir. Farklı ekiplerin kendi tercihlerine göre kurduğu çok sayıda uzaktan erişim aracı bulunabilir. Bu çeşitlilik, saldırganın gizlenmesini kolaylaştırır. Standartlaştırma, hem güvenlik hem yönetim açısından kazanç sağlar. Standardın uygulanması politikayla desteklenmelidir.

Süreç ve Sorumluluk

Bu saldırı türüne karşı savunma, güvenlik ekibiyle sistem yönetimi ekibinin ortak çalışmasını gerektirir. Hangi aracın normal kullanımının ne olduğunu en iyi sistem yöneticileri bilir. Kural yazımı bu bilgiyle beslenmelidir. Ortak çalışma olmadan yazılan kurallar ya çok gürültülü ya çok dar olur. İki durumda da etkisiz kalırlar.

Ayrıca yönetim faaliyetlerinin kayıt altına alınması ve önceden bildirilmesi süreci kolaylaştırır. Planlı bir bakım çalışması sırasında üretilen uyarılar, değişiklik kaydıyla eşleştirilerek elenebilir. Bu eşleştirme, gerçek tespitlerin görünürlüğünü artırır. Değişiklik yönetimiyle güvenlik izlemesinin entegrasyonu bu nedenle değerlidir. Entegrasyon, olgunluk göstergelerinden biridir.

Privia Security olarak yerleşik araçların kötüye kullanımına karşı tespit kabiliyetiniSOC olgunlaştırma kapsamında ölçüyor, kayıt ve kural eksiklerini birlikte tamamlıyoruz.