Sıfır Gün İstismarı: Bilmeniz Gereken Her Şey

Sıfır gün güvenlik açıkları, BT sistemlerinde keşfedilmemiş güvenlik kusurlarıdır. Tehdit aktörleri böyle bir güvenlik açığını herkesten önce keşfederse, sistemi manipüle edecek bir açık bulma (ör. yetkisiz erişim elde etme, kod yürütme, veri çalma, uzaktan kontrolü ele geçirme vb.) şansları vardır.

Bu arada, kurbanların bir yama çıkana kadar ihlali durdurmalarının hiçbir yolu yok; bu da birkaç günden birkaç aya kadar sürebilir.

Bu makale, sıfır gün istismarlarına ve şirketlerin BT sistemlerinde keşfedilmemiş güvenlik açıkları tehlikesiyle başa çıkma yöntemlerine ilişkin eksiksiz bir kılavuzdur. Sıfır gün saldırılarının genellikle nasıl gerçekleştiğini açıklıyoruz ve bilgisayar korsanlarının sistemlerinizdeki bilinmeyen güvenlik açıklarından yararlanmasını önlemenin en etkili yollarını sunuyoruz.

Sıfır Gün İstismarı Nedir?

Sıfır gün istismarı, bilgisayar korsanlarının, güvenlik açığını düzeltmekten sorumlu ekip tarafından bilinmeyen bir yazılım, donanım veya ürün yazılımı kusurundan yararlanmak için kullandıkları bir yöntemdir. "Sıfır gün" terimi, ilk saldırı ile satıcının güvenlik açığını öğrendiği an arasında herhangi bir süre olmadığını belirtir.

Sıfır gün istismarı, güvenlik açığı ve saldırı birbirinin yerine geçebilecek terimler değildir. Bu terimlerin her birinin neyi temsil ettiği aşağıda açıklanmıştır:

• Sıfır gün güvenlik açıkları, yazılım satıcısı sorunu öğrenmeden önce birileri tarafından keşfedilen güvenlik kusurlarıdır.
• Sıfır gün istismarı, bir BT sistemini tehlikeye atmak için sıfır gün güvenlik açığını kullanmaya yönelik özel bir teknik veya taktiktir.
• Sıfır gün saldırıları, hedef sistemi ihlal etmek veya ona zarar vermek için sıfır gün istismarına dayanan siber saldırılardır.

Sıfır gün istismarı genellikle bir bilgisayar korsanı için amaca yönelik bir araçtır. Açıklardan yararlanma, bir tehdit aktörünün bir sisteme yetkisiz erişim elde etmesine veya sistemi manipüle etmesine olanak tanır; bunun ardından suçlu gerçek hedefe doğru ilerler (ör. veri çalmak, fidye yazılımı enjekte etmek, APT kurmak vb.).

Sıfır gün saldırılarının neredeyse %75'i, tehdit aktörlerinin aşağıdakileri manipüle etmesine olanak tanıyan bellek bozulması sorunlarından yararlanır:

• Arabellek taşması.
• Sınırların dışında okuma/yazma.

İkinci en yaygın neden ise (%14 civarında) korumalı alandan kaçışlara ve uzaktan ayrıcalık yükseltmelerine izin veren mantık ve tasarım hatalarıdır.

İdeal bir senaryoda, sıfır gün güvenlik açığını keşfeden kişi, satıcıyı sorun hakkında bilgilendiren etik bir bilgisayar korsanıdır. Satıcı kusuru öğrendiğinde kodu düzeltir ve bir düzeltme dağıtır.

Yama kullanıma sunulduğunda kullanıcıların sistemlerini hemen güncellemeleri gerekir. Ancak birçoğu bunu başaramıyor, bu nedenle suçlular genellikle satıcı bir yama sağladıktan uzun süre sonra da aynı istismarı kullanmaya devam ediyor.

Sıfır Gün İstismarının En İyi Örneği Nedir?

İşte son birkaç yıldaki yıkıcı sıfır gün istismarlarının birkaç örneği:

• 2019'da bilgisayar korsanları, kullanıcı cihazlarına casus yazılım yüklemek için WhatsApp'ın sesli arama özelliğindeki bir güvenlik açığından yararlandı. Sonuç olarak saldırganlar binlerce cihazı ele geçirdi ve çağrıları ve mesajları gözetledi.
• 2020 yılında tehdit aktörleri, ZOOM'da, Windows'un eski bir sürümünü çalıştıran herhangi bir kullanıcının bilgisayarına uzaktan erişmelerine olanak tanıyan bir güvenlik açığı keşfetti.
• Mart 2020'de Microsoft, kullanıcılarını yerleşik Adobe Type Manager (ATM) kitaplığında iki sıfır günlük istismar konusunda bilgilendirdi. Hedeflenen uzaktan kod yürütme (RCE) kusurlarından yararlanır ve saldırganların komut dosyaları çalıştırmasına ve savunmasız cihazlara bulaşmasına izin verir.
• Nisan 2020'de suçlular SQL enjeksiyon güvenlik açığından yararlanmayı başardı ve Sophos'un yerleşik PostgreSQL veritabanı sunucusunu hedef aldı. Saldırganlar bu kusuru veritabanına kod eklemek, güvenlik ayarlarını değiştirmek ve kötü amaçlı yazılım yüklemek için kullandı.
• 2020'nin sonlarında tehdit aktörleri, Pegasus casus yazılımını sıfır tıklama saldırısı (yani kurbanın herhangi bir eylemde bulunmasını gerektirmeyen bir saldırı) aracılığıyla yüklemek için iMessage'deki bir güvenlik açığından yararlandı. Kötü amaçlı yazılımlar, bilgisayar korsanlarına iOS aygıtlarına uzaktan erişim olanağı sağladı ve suçluların verileri çalmasına ve çağrıları dinlemesine olanak sağladı.
• Nisan 2021'de LinkedIn, tehdit aktörlerinin sıfır gün saldırısı yoluyla 700 milyondan fazla kullanıcı hesabının güvenliğini ihlal ettiğini keşfetti. Bilgisayar korsanları, halka açık verileri (isimler, e-posta adresleri, telefon numaraları, iş unvanları vb.) içeren bir arşivden verileri kazıdı. Suçlular bu bilgiyi Dark Web'de spam veya kimlik avı kampanyaları yürütmekle ilgilenen herkese sattı.
• Ağustos 2021'de Microsoft, kullanıcılarını Netlogon protokolündeki bir güvenlik açığına yönelik düzeltme içeren bir güvenlik güncellemesini hızlı bir şekilde yüklemeye çağırdı. Bu sıfır gün istismarı, bilgisayar korsanlarının alan adı yöneticisi ayrıcalıkları kazanmasına olanak sağladı.

Sıfır Gün Suistimali Nasıl Çalışır?

Tüm sıfır gün istismarları, istismar edilebilir bir kusurun keşfedilmesiyle başlar. Tehdit aktörlerinin güvenlik açıklarını keşfetmesinin iki yaygın yolu vardır:

• Bir uygulamayla etkileşim kurma ve deneme yapma.
• Dark Web'deki güvenlik açıkları hakkında bilgi satın almak.

Bilgisayar korsanları bir kusuru öğrendiklerinde, bu güvenlik açığından nasıl yararlanacaklarını bulurlar. Çoğu durumda bu adım, kötü amaçlı yazılım oluşturulmasını içerir. Bilgisayar korsanları, sıfır gün istismarının beklendiği gibi çalışıp çalışmadığını kontrol etmek için sıklıkla birkaç kavram kanıtlama istismarı gerçekleştirir.

Bu istismara sahip olan kişiler daha sonra kimi hedef alacaklarına karar verirler. Bilgisayar korsanlarının keşfettiği istismara bağlı olarak iki genel strateji türü vardır:

• Hedefli saldırılar: Bilgisayar korsanları bir istismar keşfeder ve bunu belirli bir kuruluşa veya kişiye karşı kullanmak ister.
• Hedeflenmeyen saldırılar: Bilgisayar korsanları bir açık bulur ve mümkün olduğu kadar çok sisteme bulaşmayı planlar. Suçlular, keşfedilen kusura sahip kurbanları tespit etmek için genellikle botları ve otomatik tarayıcıları kullanır.

Daha sonra bilgisayar korsanları hedef cihazlara bulaşır. Sıfır gün kusuru erişim sağlamalarına olanak vermediği sürece bilgisayar korsanları aşağıdakiler gibi standart enfeksiyon yöntemlerine yönelir:

• Virüslü e-posta ekleri.
• Drive-by indirmeler gerçekleştiren kötü amaçlı web siteleri.
• Kötü amaçlı reklamcılık.
• Doğrudan ağ saldırıları.

Bilgisayar korsanları sisteme girdikten sonra sıfır gün güvenlik açığı, onların aşağıdaki gibi kötü amaçlı bir etkinlik gerçekleştirmesine olanak tanır:

• Uzaktan Kod Yürütme (RCE).
• Kötü amaçlı kod enjeksiyonu.
• Ayrıcalık artışı.
• Kimlik doğrulama mekanizmalarının atlanması.
• Veri hırsızlığı (oturum açma bilgileri, finansal veriler, fikri mülkiyet vb.).
• Ağ trafiğinin kesilmesi veya gizlice dinlenmesi.
• Ağ altyapısının manipülasyonu.
• Kalıcı erişim ve arka kapıların kurulumu.
• Uzaktan kumandanın devralınması.

Saldırgan, hedefler kötü amaçlı etkinlikleri tespit edip rapor edene kadar bu güvenlik açığından yararlanmaya devam eder; bunun ardından satıcının kusuru düzeltmesi ve bir güncelleme dağıtması gerekir. Bu zaman dilimi, sorunun karmaşıklığına bağlı olarak büyük ölçüde değişiklik gösterir, ancak ortalama olarak yaklaşık 97 gün sürer.

Sıfır Gün İstismar Saldırganları Kimlerdir?

Saldırganlar kimliklerini gizlemek için aşağıdaki gibi farklı teknikler kullandıklarından, sıfırıncı gün saldırılarını ilişkilendirmek zordur:

• Saldırıları güvenliği ihlal edilmiş birden fazla sistem üzerinden yönlendirmek.
• Çeşitli şifreleme tekniklerini kullanma.
• Anonimleştirme hizmetlerinden yararlanma.

2020, 2021 ve 2022'deki sıfır gün istismarlarının %40'ından fazlası ilişkilendirilmemiş ve hak talebinde bulunulmamış durumda. Sıfır gün istismar saldırganlarının bazı yaygın kategorileri şunlardır:

• Finansal kazanç amacıyla motive olan siber suçlu bireyler ve gruplar (doğrudan hedefleri ihlal ederek veya açıkları diğer bilgisayar korsanlarına satarak).
• Casusluk, gözetleme veya saldırgan siber operasyonlar için sıfır gün istismarları geliştiren ulus devletler ve özel istihbarat teşkilatları.
• Sosyal veya politik amaçları teşvik etmek için bilgisayar sistemlerini hackleyen Hacktivizm grupları.
• Uygun izin olmadan veya kişisel kazanç için açıkları test eden siber güvenlik araştırmacıları.

Sıfır Gün Exploit Saldırılarının Hedefleri Kimlerdir?

Sıfır gün istismarları, aşağıdakiler de dahil olmak üzere çeşitli sistemlerdeki güvenlik açıklarından yararlanır:

• İşletim sistemleri.
• İnternet tarayıcıları.
• Ofis uygulamaları.
• Ağ protokolleri.
• Açık kaynaklı ve ticari araçlar.
• Anti-virüs ve kötü amaçlı yazılım araçları.
• Donanım ve ürün yazılımı.
• Donanım bileşenleri.
• Nesnelerin İnterneti (IoT) cihazları.

Bu teknolojileri kullanan herkes sıfır gün saldırılarının hedefi olabilir; bu da internete bağlanan herkesin potansiyel bir kurban olduğu anlamına gelir. Saldırganlar ya belirli bir hedefin peşine düşer ya da mümkün olduğu kadar çok sayıda kurbana bulaştırmaya çalışır:

• Hedefli sıfır gün saldırıları, potansiyel olarak değerli hedeflerin (KOBİ'ler, büyük kuruluşlar, devlet kurumları, yüksek profilli kişiler, sağlık kuruluşları, teknoloji şirketleri vb.) peşine düşer.
• Hedefli olmayan saldırılar, güvenlik açığı içeren bir cihaza sahip olan herkesin peşine düşer. Bu kampanyalar, saldırganların kişisel verileri (şifreler, kredi kartı bilgileri veya sağlık verileri gibi) toplamasına veya cihazları DDoS saldırıları için botlara dönüştürmesine olanak tanır.

Sıfır Gün İstismarları Ne Kadar Yaygındır?

Bu tekniklerin doğası gereği bilinmeyen güvenlik açıklarına dayanması nedeniyle şu anda kaç sıfır gün istismarının aktif olduğunu tahmin etmek imkansızdır. Fikir birliği, sıfır gün istismarlarının, bilinen güvenlik açıklarından yararlanmalara kıyasla nispeten nadir olduğu yönündedir.

2022'de tehdit aktörleri toplam 55 sıfır gün güvenlik açığı keşfetti ve bunlardan yararlandı (bunlardan 53'ü bilgisayar korsanlarının ayrıcalıkları yükseltmesine veya uzaktan kod yürütmesine olanak sağladı). Bu rakam bir önceki yıla göre daha düşük (2021'de en az 66 farklı sıfır gün saldırısı yaşandı), ancak saldırıların genel sayısı artıyor.

Sıfır Gün Exploit Saldırıları Nasıl Tespit Edilir?

Sıfır gün istismarının standart kötü amaçlı yazılımdan koruma yazılımı ve güvenlik duvarlarıyla tespit edilmesi zordur. Sıfır gün saldırılarının bilinen imzaları (belirli bayt veya talimat dizileri gibi araçların tehditleri tanımasını sağlayan kalıplar) yoktur, dolayısıyla bir istismarı tanımlamanın en iyi yolu davranış analitiğine güvenmektir.

Şirketlerin sıfır gün istismarlarını tespit etme şanslarını şu şekilde artırıyor:

• Anormallikler ve şüpheli etkinlikler açısından ağ trafiğini ve davranışlarını analiz eden araçlarla ağ izlemeyi güçlendirin. Olağandışı ağ modellerini ve beklenmeyen veri trafiğini belirlemek için İzinsiz Giriş Tespit Sistemi (IDS) kullanın.
• Sistem süreçlerini, kullanıcı davranışını ve uygulama etkinliklerini izleyen davranış tabanlı analiz araçlarını kullanın. Bu araçlar normal davranışın temelini oluşturur ve normdan sapan tüm faaliyetleri işaretler.
• Uç noktalardaki kötü amaçlı etkinlikleri tespit etmek ve durdurmak için davranış tabanlı analiz, makine öğrenimi ve yapay zeka kullanan araçlarla uç nokta güvenliğini iyileştirin.
• Yetkisiz varlıkları (ör. gölge BT cihazları veya hileli bulut örnekleri) bulmak için saldırı yüzeyinizi sürekli izleyen bir saldırı yüzeyi yönetimi (ASM) aracı dağıtın.

Çalışan eğitimi aynı zamanda sıfır gün açıklarını tespit etme yeteneğinizi de geliştirir. İş gücünüzün sıfır gün tehditlerine ilişkin farkındalığını artırın ve onları sosyal mühendislik teknikleri ve güvenli bilgi işlem uygulamaları konusunda eğitin.

Sıfır Gün Açıklardan Yararlanma Saldırılarına Karşı En İyi Savunmalar Nelerdir?

Her sıfır gün istismarı bilinmeyen bir güvenlik açığını hedef aldığından, şirketler belirli istismarlara karşı koruma sağlayamaz. Ancak kuruluşların risk seviyelerini azaltmak için aldığı bazı genel önlemler vardır; işte yapmanız gerekenler:

• Kuruluştaki herkesin tüm yamaları kullanılabilir hale gelir gelmez uygulamasını sağlayın. Bu strateji, saldırganların yakın zamanda keşfedilen güvenlik açıklarından yararlanma fırsat penceresini en aza indirir.
• Programları otomatik güncellemeye ayarlayın (mümkünse).
• Anormallikleri ve olağandışı etkinlikleri tespit etmek için davranış tabanlı analitiklere sahip araçları dağıtın.
• Antivirüs aracınızı güncel olmayan yazılımları işaretleyecek şekilde ayarlayın.
• Çalışanların asla güvenilmeyen kaynaklardan yazılım indirip yüklemediğinden emin olun.
• Sosyal mühendislik ihlallerinin olasılığını azaltmak için çalışanları en iyi güvenlik uygulamaları konusunda eğitin.
• Kablosuz tabanlı saldırılara karşı korumayı artırmak için bir güvenlik şeması (örn. Wi-Fi Korumalı Erişim 2) kurun.
• Saldırganın yatay olarak hareket etme ve ağın kritik bölümlerine ulaşma yeteneğini sınırlamak için ağınızı bölümlere ayırın.
• Anormal kod yürütmeyi izleyen ve buna otomatik olarak yanıt veren bir uç nokta güvenlik aracı kullanın.
• Başarılı sıfır gün saldırılarının potansiyel etkisini azaltmak ve saldırganların aşırı kontrol veya erişim elde etmesini önlemek için sıfır güven güvenliğini uygulayın.
• Sahte makinelerin kritik görev sistemlerine uzaktan erişim kazanmasını önlemek için ağ erişim kontrollerini sıkılaştırın.
• Bilgisayar korsanlarının giriş alanlarıyla deneme yapmasını önlemek için giriş doğrulama ve temizleme işlemlerini gerçekleştirin.
• Ağ trafiğine aktarım sırasında şifreleme ve kimlik doğrulama uygulamak için IPsec'i (IP güvenlik protokolü) kullanın.
• Kullanılabilir kusurları keşfetmek için düzenli güvenlik açığı değerlendirmeleri yapın.
• Sistemlerinizin etik bilgisayar korsanlarına karşı nasıl ayakta kaldığını görmek için penetrasyon testi hizmetlerini dış kaynak olarak kullanmayı düşünün.
• Sıfır gün açıklarından yararlanma ve saldırılara hızlı ve etkili bir şekilde yanıt vermek için bir olay müdahale planı geliştirin.

Savunma stratejinizde proaktif kalmayı unutmayın. Zayıf noktaları ve kör noktaları tehdit aktörlerinden önce bulun, yöneticilerin ağ trafiği üzerinde tam şeffaflığa sahip olmasını sağlayın ve işletim sistemlerine ve uygulamalara yönelik yamaları asla göz ardı etmeyin.

Sıfır Gün İstismarlarıyla Sıfır Şansı Yakalayın

Kötü amaçlı yazılım ve virüslerle karşılaştırıldığında nispeten nadir olmasına rağmen, sıfır gün istismarları kuruluşlar için önemli bir endişe kaynağı olmaya devam ediyor. Kimseyi uyarmadan tüm savunmaları atlayan bir tehdit aktörü felakete davetiye çıkarır; bu nedenle herhangi bir güvenlik bütçesinde proaktif yama yönetimi, güvenlik açığı değerlendirmeleri ve davranış tabanlı tehdit algılama için yer bulunmalıdır.