Kaba Kuvvet Saldırısı Nedir?

Kaba kuvvet saldırısı, bir sisteme veya hassas verilere yetkisiz erişim elde etmek için kullanıcı adlarını ve parolaları tahmin etmeyi içeren popüler bir kırma yöntemidir. Nispeten basit olsa da, kaba kuvvet yöntemleri yüksek bir başarı oranına sahip olmaya devam ediyor ve web uygulamalarına yapılan saldırıların %80'inden fazlasını oluşturuyor.

Bazı saldırganlar manuel kaba kuvvet saldırıları gerçekleştirmeye devam ederken, çoğu, kimlik doğrulama işlemlerini atlamak veya doğru oturum kimliğini arayarak şifrelenmiş verilere erişmeye çalışmak için yaygın olarak kullanılan parola kombinasyonlarından yararlanan otomatik araçlar ve komut dosyaları kullanır. Kaba kuvvet saldırıları için diğer yaygın hedefler API anahtarları ve SSH oturum açma bilgileridir.

Saldırganlar giderek artan bir şekilde veri sızıntılarından, veri ihlallerinden veya karanlık ağdan elde edilen gerçek kullanıcı kimlik bilgilerini kullanıyor.

Kaba Kuvvet Saldırısının Amacı Nedir?

Kaba kuvvet saldırılarının amacı, kişisel bilgileri çalmaktan ve hizmeti kesintiye uğratmaktan web sayfası ziyaretçilerine kötü amaçlı yazılım veya fidye yazılımı bulaştırmaya kadar değişebilir.

Kaba kuvvet saldırıları, daha karmaşık siber saldırıların erken aşamalarında, tipik olarak bir keşif biçimi veya ilk güvenlik katmanına ilk sızma olarak da ortaya çıkabilir.

Bir siber saldırı başlatmak için saldırganların bir giriş noktası kazanması gerekir. Kaba kuvvet teknikleri, erişim elde etmek için bir "ayarla ve unut" yöntemidir.

Kaba kuvvet saldırısı işe yararsa, saldırganlar ek erişim elde etmek için ayrıcalık yükseltmeyi kullanabilir veya zayıf erişim kontrolünü kötüye kullanabilir. Bu nedenle güçlü parolalar, derinlemesine savunma ve en az ayrıcalık ilkesi, herhangi bir siber güvenlik stratejisinin önemli parçalarıdır.

Ek olarak, kaba kuvvet saldırıları, farklı adreslerin bilinen güvenlik açıkları nedeniyle yararlanılabilecek geçerli web sayfaları döndürüp döndürmediğini test etmek için kullanılabilir.

Kaba Kuvvet Saldırısı Nasıl Görünür?

Üçüncü taraf bir satıcıdan veya hizmet sağlayıcıdan, birisinin hesabınıza rastgele bir konumdan giriş yapmaya çalıştığını söyleyen bir e-posta almak alışılmadık bir durum değildir.

Bu olduğunda, kaba kuvvet saldırısının kurbanı olduğunuzun bir göstergesi olabilir. Bu sizin başınıza gelirse, şifrelerinizi hemen güncellemenizi öneririz.

Aslında, güvenlik bilincine sahip birçok kuruluş, tespit edilemeyen veya bildirilmeyen kaba kuvvet saldırıları riskini en aza indirmek için parolaları düzenli olarak döndürür veya değiştirir.

Kuruluşunuzun veya kullanıcılarınızın saldırı altında olduğundan şüpheleniyorsanız, aramanız gereken bazı şeyler şunlardır:

  • Aynı IP adresinden birden fazla başarısız oturum açma girişimi
  • Aynı IP adresinden birden fazla kullanıcı adıyla giriş denemeleri
  • Farklı IP adreslerinden gelen tek bir kullanıcı adı için birden fazla oturum açma denemesi
  • Başarısız oturum açma girişimlerinde sıralı, alfabetik veya sayısal desenler gibi olağandışı bir model
  • Başarılı bir oturum açma girişiminden sonra, birinin hassas verileri indirdiğini gösterebilecek anormal miktarda bant genişliği kullanılıyor

Kaba Kuvvet Saldırısı Örnekleri

Kaba kuvvet saldırıları her zaman olur ve çok sayıda yüksek profilli örnek vardır:

  • Alibaba: 2016 yılında saldırganlar, Alibaba'nın e-ticaret sitesi TaoBao'daki yaklaşık 21 milyon hesabı büyük bir kaba kuvvet saldırısında ele geçirmek için 99 milyon kullanıcı adı ve şifreden oluşan bir veritabanı kullandı.
  • Magento: 2018'de 1.000'e kadar açık kaynaklı hesap, bilgi çalmak ve kötü amaçlı yazılım dağıtmak için zayıf parolalardan yararlanan kaba kuvvet saldırılarından etkilendi.
  • Kuzey İrlanda Parlamentosu: 2018'de Kuzey İrlanda Parlamentosu'nun birkaç üyesi kaba kuvvet saldırılarının kurbanı oldu.
  • Westminster Parlamentosu: 2017'de bir kaba kuvvet saldırısı, 90'a kadar e-posta hesabının ele geçirilmesine yol açtı.
  • Firefox: 2018'de Firefox'un ana şifre özelliğinin kolayca kaba kuvvetle kullanılabileceği ortaya çıktı.

Kaba Kuvvet Saldırısı Türleri Nelerdir?

  • Basit kaba kuvvet saldırıları: Olası parolaları tahmin etmek için farklı, sistematik yaklaşımlar kullanabilen ancak altta yatan herhangi bir mantık uygulamayan genel bir saldırı türü. Bu genellikle yerel dosyalarda kullanılır, çünkü deneme sayısında bir sınırlama yoktur
  • Sözlük saldırıları: Bu tür kaba kuvvet saldırısı, rastgele yinelemek yerine yaygın kelimelerin ve parolaların bir listesini kullanır. Bu, saf kaba kuvvet parola kırmaya göre başarı oranını artırabilir, ancak genellikle doğru parolayı tahmin etmek için olası hedeflere karşı çok sayıda deneme gerektirir.
  • Karma kaba kuvvet saldırıları: Karma saldırı hem sözlük saldırısı hem de normal yinelemeli desenler kullanır. Tüm olası kombinasyonları denemek yerine, sözlükteki kelimelerde özel karakterler eklemek veya harflerin büyük/küçük harflerini değiştirmek gibi küçük değişiklikler yapacaktır.
  • Gökkuşağı tablosu saldırıları: Sınırlı bir karakter kümesinden oluşan belirli bir uzunluğa kadar bir işlevi tahmin etmek için kullanılan, kriptografik karma işlevleri tersine çevirmek için önceden hesaplanmış bir tablo
  • Ters kaba kuvvet saldırısı: Erişim elde etmek için birçok olası kullanıcı adına karşı ortak parolalardan oluşan bir koleksiyon kullanır. Genellikle zayıf parolalar kullandığı bilinen kullanıcıları hedefler
  • Kimlik bilgisi doldurma: En büyük veri ihlallerinde, veri sızıntılarında veya kimlik avı dolandırıcılıklarında ortaya çıkan kullanıcı adı-parola kombinasyonlarını kullanır ve bunları birden çok web sitesinde dener. İnsanlar web uygulamalarında aynı kullanıcı adını ve parolayı yeniden kullandığından, kimlik bilgisi doldurma iyi bir başarı oranına sahip olabilir.

Kaba Kuvvet Saldırıları Nasıl Önlenir?

Kaba kuvvet saldırıları güvenlik açıklarına veya açıklardan yararlanmalara dayanmadığından, yazılımı güncel tutmak kendinizi korumak için yeterli değildir. Kaba kuvvet saldırılarını önlemek için kullanabileceğiniz birkaç yaygın yöntem:

  1. Güçlü parolalar kullanın
  2. Kimlik doğrulama URL'lerine erişimi kısıtlama
  3. Giriş denemelerini sınırlayın
  4. CAPTCHA'ları kullanın
  5. İki faktörlü kimlik doğrulamayı (2FA) veya çok faktörlü kimlik doğrulamayı (MFA) zorunlu kılın

Güçlü Parolalar Kullanın

Kaba kuvvet saldırıları, yeniden kullanılan veya zayıf parolalara dayanır. Aşağıdaki özelliklere sahip parolalar kaba kuvvet saldırılarını önleyebilir:

  • Benzersiz: Web sitelerinin güvenliği ihlal edilebileceği ve şifrelerin kırılabileceği için karmaşık şifreler olsalar bile şifreleri yeniden kullanmaktan kaçının. Parolaları yeniden kullanarak, saldırganlara diğer web sitelerindeki hesaplarınıza yetkisiz erişim elde etmenin kolay bir yolunu vermiş olursunuz.
  • Uzun: Diğer her şey eşit, daha uzun parolaları kırmak, daha kısa parolaları kırmaktan daha zordur. Örneğin, dokuz karakterli bir parolanın deneme yanılma yöntemi sekiz karakterli bir paroladan çok daha uzun sürer ve sekiz karakterli bir parolanın yedi karakterli bir paroladan önemli ölçüde daha uzun sürmesi gerekir. Karakter sayısı belirli bir noktanın ötesine geçtiğinde, düzgün bir şekilde rastgele seçilmiş bir parolayı kaba kuvvetle zorlamak gerçekçi olmaz.
  • Karmaşık: Basit parolaların hatırlanması kolay olsa da, kırılması da genellikle kolaydır. Sizin için sağlam parolalar oluşturmak için bir parola yöneticisi kullanmanızı öneririz.

Güçlü bir parolanın nasıl oluşturulacağına ilişkin kılavuzumuzu buradan okuyun.

iOS kullanıcıları, parolalarının gücünü nasıl kontrol edeceklerini buradan öğrenebilirler.

Kimlik doğrulama URL'lerine erişimi kısıtlama

Deneme yanılma saldırısının çalışması için, kimlik bilgilerini bir oturum açma sayfasında test edebilmesi gerekir. Birçok otomatik URL, varsayılan oturum açma sayfası URL'sini kullanır ve kurbanlar için web'i tarar.

Örneğin, bir kaba kuvvet saldırı aracı, WordPress siteleri için web'i tarayabilir ve WordPress'in varsayılan oturum açma sayfası olan /wp-login.php'a gidebilir.

/wp-login.php öğesini /siteniz-girişi olarak değiştirmek, birçok otomatik saldırı riskini azaltmak için yeterli olabilir. Ne yazık ki, bu daha fazla hedefli saldırı için veya sayfa sitenizin diğer bölümlerinden bağlantı verilmişse işe yaramaz.

Giriş Denemelerini Sınırla

Kaba kuvvet saldırıları, tek bir oturumda birden fazla parola ve hesap deneyebilmeye dayanır. Yanlış bir oturum açmanın test edilme sayısını kısıtlamak için kilitleme işlevini kullanmayı düşünün.

Bunu yapmanın yaygın bir yolu, bir IP adresinin üç başarısız denemeden sonra oturum açmasını geçici olarak yasaklamaktır, bu da sonraki hataların daha uzun ve daha uzun süreler boyunca yasaklanmasıdır.

CAPTCHA'ları kullanın

CAPTCHA, kullanıcının insan olup olmadığını belirlemek için bilgi işlemde kullanılan bir tür meydan okuma-yanıt testidir. Bir CAPTCHA çözümü kullanarak, botların ve otomatik araçların, formu göndermeden önce bir sorgulamayı tamamlamaya zorlayarak web sitenizdeki kullanıcı adı ve şifre kombinasyonlarını test etmesini engelleyebilirsiniz.

reCAPTCHA, web sitelerinizi Google tarafından sağlanan spam, kötüye kullanım ve kaba kuvvet saldırılarından koruyan ücretsiz bir güvenlik hizmetidir.

İki Faktörlü Kimlik Doğrulamayı Zorunlu Kılın

İki faktörlü kimlik doğrulama, tek bir kimlik doğrulama faktörünün (parola gibi) güvenliğinin aşılmasını önler. Mekanizma tipik olarak geleneksel oturum açma bilgilerini talep ederek ve ardından bir cihaza, genellikle bir akıllı telefona metin, telefon görüşmesi veya uygulama içi güvenlik doğrulama ekranı gibi bir onay göndererek çalışır.

>

İdeal olarak, yalnızca yetkili kişi akıllı telefona sahip olur ve daha sonra kimlik doğrulama isteklerini gerektiği gibi kabul edebilir veya reddedebilir. Daha gelişmiş mekanizmalar, kaybolan veya çalınan telefonların yanlış onay vermek için kullanılmasını önleyen parmak izi kaydırma gibi biyo-kimlik doğrulama gerektirebilir.

Popüler Kaba Kuvvet Saldırı Araçları

Bir dizi popüler kaba kuvvet saldırı aracı vardır:

  • THC-Hydra: Basit kaba kuvvet veya sözlük tabanlı saldırılar yoluyla çok sayıda parola kombinasyonundan geçer ve 50'den fazla protokole ve birden çok işletim sistemine saldırabilir.
  • Aircrack-ng: 802.11 kablosuz LAN'lar için bir dedektör, paket dinleyicisi, WEP ve WPA/WPA2-PSK kırıcı ve analiz aracından oluşan bir ağ yazılım paketi. Windows, Linux, iOS ve Android'de kullanılabilir ve ağ güvenliğini ihlal etmek için yaygın olarak kullanılan parolalardan oluşan bir sözlük kullanır.
  • John the Ripper: Ücretsiz bir şifre kırma yazılım aracı. Başlangıçta Unix işletim sistemi için geliştirilmiş olup, on beş farklı platformda çalışabilir.
  • L0phtCrack: Sözlük, kaba kuvvet, karma ve gökkuşağı tablosu saldırıları kullanarak parola gücünü test etmek ve kaybolan Microsoft Windows parolalarını kurtarmak için kullanılan bir parola denetleme ve kurtarma uygulaması.
  • Hashcat: 2015 yılında açık kaynaklı hale gelene kadar tescilli bir kod tabanı olan bir şifre kurtarma aracı. Hashcat tarafından desteklenen karma algoritmalara örnek olarak Microsoft LM karmaları, MD4, MD5, SHA ailesi, Unix Crypt biçimleri, MySQL ve Cisco PIX verilebilir.
  • DaveGrohl: MacOS için kaba kuvvet şifre kırıcı. OS X Lion'dan bu yana kullanılan tüm standart Mac OS X kullanıcı parola karmalarını (MD4, SHA-512 ve PBKDF2) destekler ve ayrıca bunları John the Ripper gibi diğer popüler parola kırıcılar için biçimlendirilmiş olarak çıkarabilir.
  • Ncrack: Sistem yöneticilerinin bir sözlük saldırısına karşı savunmasız zayıf parolalara sahip olabilecek kullanıcıları bulmasına izin vermek için tasarlanmış bir Unix parola kırma programı.

UpGuard BreachSight'ın kimlik ihlalleri modülü, açık, derin ve karanlık ağda üçüncü taraf veri ihlallerini arar ve size bir çalışanın kimlik bilgilerinin nerede açığa çıktığını gösterir. Bir eşleşme bulursak, ihlal adını, riski, maruz kalan verileri, ihlal tarihini, yayınlanma tarihini, bildirim durumunu ve UpGuard hesabınıza maruz kalan çalışan sayısını ekleyeceğiz.

Bir ihlalin önem derecesi, açığa çıkan verilerin türüne ve miktarına bağlıdır. Örnek olarak, parolaları içeren bir veri ihlali, saldırganların açığa çıkan kimlik bilgilerini kullanarak kuruluşunuza yetkisiz erişim elde etmesine neden olabilir. Bu örnek, çalışanların parolaları hizmetler arasında yeniden kullanmasını gerektirir ve bu alışılmadık bir durum değildir.

Ayrıca, kuruluşunuzu basit, anlaşılması kolay bir güvenlik derecelendirmesi ve S3 klasörlerinde, Rsync sunucularında, GitHub depolarında ve daha fazlasında otomatik olarak veri açıkları sağlayan 70+ güvenlik denetimi için izleyerek diğer güvenlik denetimlerinizi değerlendirmenize yardımcı olabiliriz.

UpGuard Satıcı Riski, satıcı anketlerini otomatikleştirerek ve satıcı anket şablonları sağlayarak kuruluşunuzun ilgili ve üçüncü taraf bilgi güvenliği kontrollerini değerlendirmek için harcadığı süreyi en aza indirebilir. Ayrıca, mevcut ve potansiyel satıcılarınızı sektörleriyle anında karşılaştırmanıza yardımcı olabiliriz, böylece nasıl yığıldıklarını görebilirsiniz.

UpGuard ve diğer güvenlik derecelendirme sağlayıcıları arasındaki en büyük fark, veri ihlallerini ve veri sızıntılarını önleme konusundaki uzmanlığımıza dair çok açık kanıtlar olmasıdır.

Uzmanlığımız The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters ve TechCrunch gibi dergilerde yer aldı. Müşterilerimizin neler söylediği hakkında daha fazla bilgiyi Gartner incelemelerinde okuyabilirsiniz.

Kuruluşunuzun güvenlik derecelendirmesini görmek isterseniz, ücretsiz Güvenlik Derecelendirmenizi talep etmek için buraya tıklayın.