Numaralandırma Saldırısı Nedir? Nasıl Çalışırlar + Önleme İpuçları

Numaralandırma saldırısı, siber suçlular bir web sunucusu veritabanında belirli verilerin bulunup bulunmadığını kontrol etmek için kaba kuvvet yöntemleri kullandığında meydana gelir.

Basit numaralandırma saldırıları için bu veriler kullanıcı adlarını ve parolaları içerebilir. Daha karmaşık saldırılar ana bilgisayar adlarını, SNMP ve DNS ayrıntılarını ortaya çıkarabilir ve hatta zayıf ağ ayarı yapılandırmalarını doğrulayabilir.

Bir kullanıcı veritabanıyla iletişim kuran her web uygulaması modülü, güvenli hale getirilmezse potansiyel olarak bir numaralandırma saldırı vektörü haline gelebilir.

Numaralandırma saldırıları için en yaygın iki web uygulaması hedefi şunlardır:

• Oturum açma sayfası
• Parola sıfırlama sayfası

Bu saldırıları kolaylaştıran güvenlik açıkları, bilgisayar korsanlarının bir bilgi güvenliği sınırını geçmesine izin verdiğinden, numaralandırma, sızma testinin kritik bir bileşenidir.

Kullanıcı Numaralandırma Saldırıları Nasıl Çalışır?

Bir numaralandırma saldırısı sırasında, bilgisayar korsanları, gönderilen bir kimlik bilgisinin geçerliliğini onaylayan benzersiz sunucu yanıtları arıyor.

En belirgin yanıt, bir web formu gönderildikten sonra bir alan kimlik doğrulama mesajıdır. Bu işlemi açıklamak için, saldırganlar bir web sunucusu veritabanında kullanıcı adlarını bulmaya çalıştığında bir kullanıcı adı numaralandırma saldırısı örneği kullanacağız.

Kullanıcı Adı Numaralandırma Saldırıları

Bu saldırı dizisi genellikle yalnızca kullanıcı adlarına odaklanarak başlar. Bu aşamadaki amaç, bir veritabanında mümkün olduğunca çok sayıda geçerli kullanıcı adı bulmaktır.

Zayıf uygulama güvenliğine sahip bir web sunucusu, aşağıdakine benzer geçersiz bir kullanıcı adı mesajıyla var olmayan bir kullanıcı adını tanımlayacaktır:

Bu mesaj yalnızca kullanıcı adının geçerliliğini onayladığından, bir tehdit aktörü kullanıcı adının web sunucusu veritabanında bulunamadığını doğrulayabilir.

Bir siber suçlu daha sonra, doğrulanmış kullanıcı adlarının yeterli bir listesi oluşturulana kadar aynı parolayı farklı kullanıcı adı varyasyonlarıyla gönderir.

Kullanıcı adı varyantları ya sızdırılan kimlik bilgilerinin satın alınan listelerinde bulunur ya da kaba kuvvet saldırı teknikleriyle oluşturulur.

Siber saldırganlar daha sonra işlemi parolalarla tekrarlayacak ve sonunda kazanan bir kombinasyon elde edilene kadar doğrulanmış tüm kullanıcı adlarına karşı kaba kuvvet teknikleri uygulayacaktır.

Bu tür bir saldırı, işlemlerinde veritabanı doğrulamaları içeren herhangi bir web uygulaması işlevinde gerçekleştirilebilir.

Sunucu Yanıt İletisi Numaralandırma Saldırıları Nasıl Engellenir?

Sunucu onay iletilerini gizlemenin en iyi yöntemi, başarısız oturum açma girişimlerinden sonra, hangi alanın yanlış olduğunu belirtmeyen genel bir ileti görüntülemektir.

İşte bir örnek:

Sunucu Yanıt Süreleriyle Girişleri Doğrulama

Yukarıdaki geri bildirim mekanizması, siber saldırılar için ideal senaryodur. Genellikle, form girişlerini doğrulayan sunucu yanıtları çok daha inceliklidir.

Daha sofistike bir yaklaşım, sızma testi araçlarıyla sunucu yanıt sürelerini izlemektir. Genellikle, sunucuların geçersiz kullanıcı adı girişlerine yanıt vermesi, geçerli kullanıcı adı girişlerine yanıt vermesinden daha uzun sürer.

İşte Metasploit sızma testi aracı ile tespit edilen bu tür sunucu yanıt süresi kimlik doğrulamasına bir örnek.

Yukarıdaki örnekte, yanlış bir kullanıcı adı 30 saniye sonra başarısız bir oturum açma mesajına neden olmuştur.

Tersine, geçerli "yönetici" kullanıcı adı gönderildiğinde, sunucu 5 saniye içinde yanıt verdi, oturumu yeniden yönlendirmedi ve ayrıca "kullanıcı adı geçerli" onay mesajını da ekledi.

Bu açık doğrulama mesajı olmasa bile, bir bilgisayar korsanı yanlış gönderimleri oluşturdukları uzatılmış sunucu yanıt sürelerinden kolayca ayırt edebilir.

Sunucu Zaman Yanıtı Tabanlı Numaralandırma Saldırıları Nasıl Engellenir?

Bilgisayar korsanlarının sunucu yanıt süreleri ile geçerli veri girişleri arasındaki ilişkileri tanımlamasını önlemek için, web uygulaması geliştiricileri öngörülebilir zaman dizilerinden kaçınmalıdır.

Sunucu yanıtları, hem doğru hem de yanlış girişler için rastgele zaman dilimleriyle doldurulmalıdır.

Karmaşık numaralandırma saldırılarına örnekler

Karmaşık numaralandırma saldırıları, keşfedilebilir yazılım güvenlik açıklarını belirlemek için keşif görevlerinde kullanılır. Bu tür saldırıların bazı örnekleri aşağıda listelenmiştir.

LDAP Numaralandırma

Hafif Dizin Erişim Protokolü (LDAP), kullanıcı kayıtlarının hiyerarşik yapıları olan dizin hizmetlerine erişmek için kullanılan bir protokoldür.

Başarılı bir LDAP numaralandırma saldırısı aşağıdaki hassas bilgileri açığa çıkarabilir:

• Kullanıcı adları
• Adres
• İletişim bilgileri
• İş sektörü bilgileri

NetBIOS Numaralandırma

Ağ Temel Giriş Çıkış Sistemi (NetBIOS), uç noktaların LAN kaynaklarına erişmesini sağlayan bir API olarak kullanılır.

Her NetBIOS protokolü, TCP/IP üzerinden ağ aygıtlarını tanımlayan 16 karakterlik benzersiz bir dizeden oluşur.

NetBIOS numaralandırma saldırılarını kolaylaştırmak için yazıcı ve dosya hizmetlerinin etkinleştirilmesi gerekir. Bu saldırılar, Microsoft İşletim Sistemi'ndeki 139 numaralı bağlantı noktası aracılığıyla gerçekleşir.

Başarılı bir NetBIOS numaralandırma saldırısı, güvenliği aşılmış makinede aşağıdaki saldırıların gerçekleştirilmesini sağlayabilir.

• Güvenliği ihlal edilmiş uç nokta bir Botnet'e alınabilir ve DDoS saldırılarını başlatmak için kullanılabilir.
• Siber suçlular, hassas kaynaklara erişim elde etmek için daha fazla ayrıcalıklı erişim hesabı yürütebilir.

SNMP Numaralandırma

Basit Ağ Yönetimi Protokolü (SNMP), ağa bağlı cihazlarda bilgi istemek veya değiştirmek için bir çerçevedir. SNMP yazılımdan bağımsızdır, yani ağa bağlı cihazlar, çalıştırdıkları yazılım türünden bağımsız olarak erişebilir.

Siber saldırılar, aşağıdaki istihbaratı toplamak için uzak cihazlarda SNMP'yi numaralandırır:

• Trafik davranışı
• Uzak cihaz tanımlayıcıları
• Ağa bağlı cihazlar ve kaynaklar hakkında tanımlama bilgileri

Numaralandırma Saldırıları Nasıl Engellenir?

Her türlü numaralandırma saldırısını önleyebilecek bazı siber güvenlik kontrolleri aşağıda listelenmiştir.

• Çok Faktörlü Kimlik Doğrulama (MFA) - Her oturum açma girişiminde MFA'yı zorunlu kılarak, cybecriminal'lar önce doğru kimlik doğrulama belirteçlerini göndermeden herhangi bir sunucu yanıtına erişemez. Siber saldırganların bu belirteçleri alan ayrı uç noktaları da tehlikeye atmış olması pek olası değildir.
• CAPTCHA'yı tüm formlarda kullanın - CAPTCHA'lar MFA kadar etkili değildir, ancak otomatik numaralandırma saldırılarını etkili bir şekilde engeller.
• Oturum açma girişimlerini sınırlayın - CAPTCHAS ve MFA, her oturum açma girişimine gecikme ekleyerek siber saldırıları rahatsız eder. Bu hayal kırıklığı, oturum açma işlemi aynı IP adresinden belirli sayıda başarısız denemeden daha fazla engellendiğinde, hız sınırlaması ile daha da artırılabilir.
• Bir Web Uygulaması Güvenlik Duvarı (WAF) kullanın - WAF'ler, tek bir IP adresinden gelen şüpheli oturum açma girişimlerini engelleyebilir.
• Siber farkındalık eğitimi uygulayın - Personeli, sosyal mühendislik ve kimlik avı gibi numaralandırma yöntemlerinin dışında hassas bilgileri çalmak için kullanılan yaygın taktikleri belirlemeleri için eğitin.
• API yanıtlarını gizle - Bir oturum açma formu bir API'yi çağırıyorsa, bu iletilerin her bir alan girişinin geçerliliğini göstermediğinden emin olun.