Yetki yükseltme, sınırlı yetkiye sahip bir kimliğin kendisine tanınmamış haklara ulaşmasıdır. Saldırı zincirinde genellikle ilk erişimin hemen ardından gelir ve sonraki tüm adımların kapsamını belirler. Sınırlı bir kullanıcı hesabıyla yapılabilecekler dar olduğu için saldırgan öncelikle yetkisini genişletmeye çalışır. Yükseltme başarılı olduğunda ortamdaki hareket alanı belirgin biçimde büyür. Bu nedenle savunmada en kritik kesme noktalarından biridir.

Yükseltme her zaman bir zafiyet sömürüsüyle gerçekleşmez. Hatalı yapılandırmalar, aşırı geniş dosya izinleri, korumasız kimlik bilgileri ve zayıf servis tanımları da aynı sonucu üretir. Bu nedenle savunma yalnızca yama yönetimine indirgenemez. Yapılandırma hijyeni en az yama kadar belirleyicidir. Gerçek olaylarda yapılandırma kaynaklı yükseltmeler daha sık görülür.

Yetki Yükseltme Nedir?

Yetki yükseltme, bir kullanıcının, sürecin ya da saldırganın kendisine tanımlanmış yetki sınırlarının ötesine geçerek daha yüksek haklara ulaşmasını sağlayan tekniklerin genel adıdır.

Kavram iki temel biçimde incelenir. Dikey yükseltmede kimlik, daha yüksek bir yetki seviyesine çıkar; sıradan bir kullanıcının yönetici olması bu kategoridedir. Yatay yükseltmede ise yetki seviyesi aynı kalır ama başka bir kullanıcının verilerine erişilir. İki biçim farklı zafiyet türlerinden kaynaklanır ve farklı önlemler gerektirir. Bu ayrım, savunma planlamasında yol gösterir.

Dikey ve Yatay Yükseltme

Dikey yükseltme genellikle işletim sistemi ya da uygulama düzeyindeki bir zafiyetten yararlanır. Yamalanmamış bir çekirdek açığı, aşırı yetkili bir servis ya da yanlış yapılandırılmış bir yükseltme mekanizması bu yolu açar. Sonuç, sistem düzeyinde tam denetimdir. Bu düzeyde saldırgan kayıtları silebilir, güvenlik ürünlerini durdurabilir ve kalıcılık kurabilir. Bu nedenle dikey yükseltme en yüksek öncelikli tespit hedefidir.

Yatay yükseltme ise çoğunlukla uygulama katmanındaki yetkilendirme eksikliğinden doğar. Bir kullanıcının, kendi kimliğiyle başka bir kullanıcının kaydına erişebilmesi klasik örnektir. Güvensiz doğrudan nesne referansı bu tür zafiyetlerin en yaygın biçimidir. Sonuç veri gizliliğinin ihlalidir. Etkisi, erişilen verinin hassasiyetine göre değişir.

• Yamalanmamış işletim sistemi ve sürücü zafiyetleri
• Aşırı yetkili servisler ve yanlış tanımlanmış servis yolları
• Yapılandırma dosyalarında düz metin kimlik bilgileri
• Gereğinden geniş dosya ve dizin izinleri
• Zayıf yetkilendirme kontrolleri ve nesne referansı zafiyetleri
• Zamanlanmış görev ve otomasyon betiklerinin kötüye kullanımı

Yaygın Yükseltme Yolları

Kurumsal ortamlarda en sık karşılaşılan yol, yapılandırma dosyalarında bulunan kimlik bilgileridir. Betiklerde, otomasyon tanımlarında ve uygulama ayar dosyalarında düz metin parolalar sıkça bulunur. Bu dosyaların okuma izinlerinin geniş olması, sıradan bir kullanıcının yönetici parolasına ulaşmasını sağlar. Envanter çalışmasıyla bu dosyaların taranması önerilir. Tarama, çoğu ortamda beklenenden fazla bulgu üretir.

İkinci yaygın yol, aşırı yetkili servis tanımlarıdır. Yüksek yetkiyle çalışan bir servisin çalıştırdığı dosyanın kullanıcı tarafından değiştirilebilmesi, doğrudan yükseltme sağlar. Benzer biçimde tırnaksız servis yolları ve yazılabilir dizinler de bu sonucu üretir. Bu yapılandırmaların otomatik araçlarla taranması mümkündür. Düzenli tarama, yeni oluşan sapmaları da yakalar.

Üçüncü yol, zamanlanmış görevler ve otomasyon betikleridir. Yüksek yetkiyle çalışan bir betiğin sıradan kullanıcı tarafından düzenlenebilmesi klasik bir hatadır. Betiklerin merkezî ve korunan bir konumdan çalıştırılması bu riski ortadan kaldırır. Ayrıca betiklerin kullandığı kimlik bilgilerinin kasada tutulması gerekir. İki önlem birlikte uygulanmalıdır.

Nasıl Önlenir?

İlk önlem, en az yetki ilkesinin tutarlı uygulanmasıdır. Kullanıcıların yerel yönetici hakkına sahip olmaması, birçok yükseltme yolunu baştan kapatır. En az yetki ilkesi uygulanmadığında diğer önlemlerin etkisi sınırlı kalır. Bu nedenle öncelik sırasında ilk maddedir. Uygulama, kademeli olarak yürütülebilir.

İkinci önlem, yama yönetiminin düzenli işletilmesidir. Yükseltme zafiyetleri sıkça yayımlanır ve sömürü kodları hızla dolaşıma girer. Yamaların uygulanma süresi, riskin doğrudan belirleyicisidir. Kritik yamalar için hızlandırılmış süreç tanımlanmalıdır. Süreç, test ve geri alma adımlarını da içermelidir.

Üçüncü önlem, yapılandırma denetimidir. Standart bir güvenli yapılandırma tanımlanır ve sistemler bu tanımdan sapma açısından düzenli olarak taranır. Sapmalar otomatik olarak raporlanır ve düzeltilir. Bu döngü, zaman içinde oluşan bozulmaları engeller. Yapılandırmanın kod olarak tutulması bu döngüyü kolaylaştırır.

Tespit Yöntemleri

Tespitin temel göstergesi, süreç oluşturma kayıtlarındaki anormalliklerdir. Bir kullanıcı sürecinin yüksek yetkili bir alt süreç başlatması dikkat çekicidir. Bu kayıtların toplanması için gelişmiş denetim ayarlarının açık olması gerekir. Varsayılan ayarlar çoğu ortamda yetersizdir. Kayıt yapılandırması, tespitin ön koşuludur.

İkinci gösterge, bilinen yükseltme araçlarının ve tekniklerinin izlenmesidir. Bu araçların kullandığı belirli komut kalıpları ve sistem çağrıları tespit kuralı hâline getirilebilir. Kurallar, MITRE ATT&CK teknik listesi üzerinden sistematik olarak yazılır. Kapsama haritası ile eksikler görünür kılınır. Bu yaklaşım, tespit yatırımını ölçülebilir hâle getirir.

Bulut Ortamlarında Yetki Yükseltme

Bulut ortamlarında yükseltme, işletim sistemi düzeyinden çok kimlik ve politika düzeyinde gerçekleşir. Bir role kendi politikasını değiştirme yetkisi verilmesi, o rolün istediği yetkiye ulaşabilmesi anlamına gelir. Benzer biçimde, başka bir role bürünme yetkisi de dolaylı yükseltme sağlar. Bu yollar politika metinlerinde açıkça görünmez ve analiz gerektirir. Bu nedenle bulut yetki analizi ayrı bir uzmanlık alanına dönüşmüştür.

Otomasyon kimlikleri bu ortamlarda özellikle risklidir. Dağıtım hatlarına verilen geniş yetkiler, hattı ele geçiren saldırgana tüm ortamı açar. Hattın hangi kaynaklara hangi işlemleri yapabileceği açıkça sınırlanmalıdır. Bulut yetki yönetimi araçları bu fazlalıkları görünür kılar. Araç kullanılmadığında analiz elle yapılamaz.

Bulut ortamlarında yükseltme tespiti de farklıdır. İşletim sistemi kayıtları yerine yönetim düzlemi denetim kayıtları izlenir. Yeni rol oluşturma, politika değiştirme ve rol bürünme olayları uyarı üretmelidir. Bu kayıtların ayrı bir hesapta korunması gerekir. Aksi hâlde saldırgan izleri temizleyebilir.

Konteyner ve Sanallaştırma Katmanı

Konteyner ortamlarında yükseltme, konteynerden ana makineye kaçış biçiminde ortaya çıkar. Aşırı yetkili çalıştırılan konteynerler, paylaşılan çekirdek üzerinden ana makineye erişebilir. Ayrıcalıklı mod, ana makine dizinlerinin bağlanması ve gereksiz yetenekler bu riski doğurur. Konteyner güvenliği çalışmalarında bu ayarlar öncelikli denetlenir. Varsayılan yapılandırmalar çoğu zaman gereğinden geniştir.

Orkestrasyon katmanında da benzer riskler bulunur. Bir konteynere atanan servis hesabının küme genelinde yetkili olması, tek bir uygulamanın ele geçirilmesini küme ele geçirmesine dönüştürür. Servis hesabı yetkilerinin ad alanı düzeyinde sınırlanması gerekir. Varsayılan hesapların otomatik bağlanması kapatılmalıdır. Bu ayar sıkça atlanır.

Sanallaştırma katmanında ise hipervizör düzeyinde kaçış senaryoları değerlendirilir. Bu senaryolar nadir ama etkisi çok yüksektir. Hipervizör yamalarının öncelikli uygulanması bu nedenle önemlidir. Ayrıca yönetim arayüzlerinin ayrı ağda tutulması gerekir. Yönetim düzleminin izolasyonu temel bir gerekliliktir.

Sızma Testlerindeki Yeri

Yetki yükseltme, sızma testlerinin standart aşamalarından biridir. Test ekibi ilk erişimi sağladıktan sonra yükseltme yollarını sistematik olarak arar. Bulunan yollar, gerçek bir saldırganın izleyeceği güzergâhı gösterir. Rapor, yalnızca zafiyeti değil zincirin tamamını anlatmalıdır. Zincir anlatımı, bulgunun iş etkisini görünür kılar.

Test sırasında kullanılan otomatik kontrol araçları, bilinen yanlış yapılandırmaları hızlıca tarar. Ancak araç çıktılarının doğrulanması gerekir; her bulgu gerçekten sömürülebilir olmayabilir. Doğrulanmış bulgular önceliklendirilir. Sızma testi raporlaması bu ayrımı açıkça belirtmelidir. Doğrulanmamış bulgular ayrı bir bölümde sunulur.

Testlerin dönemsel tekrarı da önemlidir. Ortam değiştikçe yeni yükseltme yolları oluşur. Bir kez kapatılan bir yol, yeni bir kurulumla yeniden açılabilir. Bu nedenle test bir proje değil, düzenli bir kontrol olarak planlanmalıdır. Sıklık, ortamın değişim hızına göre belirlenir.

Privia Security olarak ortamdaki yükseltme yollarınıred team hizmeti ve altyapı incelemeleriyle haritalandırıyor, sömürülebilirliği doğrulanmış bulguları raporluyoruz.