Şifre Püskürtme Nedir ve Nasıl Durdurulur?

Basit bir ifadeyle, parola püskürtme saldırısı, saldırganın bir hesaba erişebilme umuduyla yaygın olarak kullanılan parolaları uzun bir süre boyunca tüm kuruluşa "püskürtmeye" çalışmasıdır.

Bilgisayar korsanlığıyla ilgili ihlallerin %81'inin parolayla ilgili olduğu gerçeğine rağmen, birçok şirket hâlâ güçlü parola güvenliğinin önemini gözden kaçırıyor. Siber suçluların zayıf veya çalınmış kimlik bilgilerinden yararlanabilmesinin birçok yolu vardır. En yaygın yaklaşım, tek bir hesaba veya cihaza erişim sağlamak için mümkün olduğunca çok sayıda farklı şifre kombinasyonunu denemeyi içeren kaba kuvvetle şifre tahmin etmektir.

Diğer yaygın teknikler arasında aşağıda daha ayrıntılı olarak açıklanan keylogger saldırıları, kimlik bilgileri doldurma, kimlik avı ve trafiğe müdahale yer alır.

Keylogger Saldırıları: Bu, saldırganın kurbanın cihazına, tuş vuruşlarını kaydeden kötü amaçlı yazılım yüklemenin bir yolunu bulduğu zamandır. Saldırgan daha sonra kimlik bilgilerini elde etmek için tuş vuruşlarını izleyecektir.

Kimlik Bilgisi Doldurma: Bu saldırılar, saldırganın daha önce güvenliği ihlal edilmiş hesapların bir listesini karanlık ağdan veya başka bir kaynaktan elde etmesi durumunda mümkündür. Listeyi aldıktan sonra şifreleri kaba kuvvetle tahmin etmeye çalışacaklar.

Kimlik avı: Kimlik avı saldırıları, bir saldırganın, hiçbir şeyden haberi olmayan bir kurbanı kimlik bilgilerini teslim etmesi için kandırmak amacıyla güvenilir bir üçüncü taraf gibi görünmesidir. Bu genellikle mağdura, aşina olduğu bir sayfaya benzeyen, gayri meşru bir giriş sayfasına bağlantı gönderilerek gerçekleştirilir. Saldırgan daha sonra giriş formuna girilen kimlik bilgilerini izleyecek ve çıkaracaktır.

Parola Püskürtme Saldırılarının Diğer Parola Saldırılarından Farkı Nedir?

Parola püskürtme saldırısı, belirli hesapları ve cihazları hedeflemek yerine mümkün olduğunca çok sayıda farklı hesabı hedef alacak ve bunu yavaş ve kontrollü bir şekilde yapacaktır. Birçok BT sistemi, birden fazla başarısız oturum açma girişimini tespit etmek ve engellemek için ilkel çözümlere sahip olacaktır. Birden fazla hesaba yavaş ve sürekli olarak giriş yapmaya çalışmak, saldırganın bir hesabın kilitlenmesi olasılığını azaltır. Diğer şifre saldırısı vektörlerinde olduğu gibi, saldırgan bir hesaba erişim sağladığında, ağ boyunca yanal olarak hareket etmek amacıyla bu erişimi keşif faaliyetlerinde bulunmak için kullanmaya çalışacaktır.

Parola Püskürtme Saldırısının Anatomisi

Saldırganların parola püskürtme saldırısını başarılı bir şekilde gerçekleştirmek için genellikle üç adım atması gerekir;

1. Kullanıcı adlarının bir listesinin alınması

Saldırganlar öncelikle çeşitli yollarla kullanıcı adlarının bir listesini elde etmeye çalışacaktır. Şirketler genellikle kullanıcı adları için resmileştirilmiş bir kural kullanır; bunlar genellikle kullanıcıların e-posta adresleridir. Örneğin, yaygın olarak kullanılan bir e-posta biçimi şöyledir: ad.soyadı@şirket.com. Saldırganlar bu bilgileri genellikle şirketin web sitesindeki ipuçlarını arayarak veya LinkedIn gibi sosyal medya web sitelerine göz atarak bulabilirler. Bazı durumlarda saldırganlar karanlık ağdan bir kullanıcı adı listesi satın alabiliyor. Saldırganlar genellikle bir saldırı gerçekleştirmeden önce kullanıcı adlarının doğruluğunu doğrulayabilen yazılımlar kullanır.

2. Şifreleri Püskürtmek

Kullanıcı adlarının bir listesini aldıktan sonra, en sık kullanılan şifrelerin bir listesini alacaklar ve püskürtmeye başlayacaklar. Ayrıca listeyi, kullanıcıların bulunduğu coğrafi bölge gibi bölgesel lehçeleri, popüler bölgesel spor takımlarını/oyuncularını vb. dikkate alabilecek belirli faktörlere göre de özelleştirebilir. Herhangi bir alarmın tetiklenmesini önlemek için saldırganlar tekrar denemeden önce genellikle en az 30 dakika bekleyeceklerdir.

3. Keşif

Püskürtme saldırısının başarılı olduğunu ve saldırganın artık bir veya daha fazla hesaba erişimi olduğunu varsayarsak, hangi sistemlere, verilere ve uygulamalara erişime sahip olduklarını içeren erişim türünü araştırmaya başlayacaklardır. Ayrıca ayrıcalıklarını yükseltmek için erişimlerini kullanmaya çalışacaklardır; bu genellikle yazılımdaki güvenlik açıklarından, yanlış yapılandırmalardan yararlanmayı veya zayıf erişim kontrollerini tanımlamayı içerir. Artık "kendi" e-posta hesapları da dahil olmak üzere ağa meşru erişime sahip oldukları göz önüne alındığında, ayrıcalıklı hesaplara sahip iş arkadaşlarına e-posta göndererek ve onları kimlik bilgilerini vermeleri için kandırmaya çalışarak ayrıcalıklarını yükseltmeye çalışabilirler. Temel olarak, ağ hakkında elde edebilecekleri her türlü ek bilgi, onlara hedeflerine ulaşma şansını artıracaktır.

Parola Püskürtme Saldırısına Nasıl Yanıt Verilir?

Böyle bir planınız olduğunu varsayarsak, bir parola püskürtme saldırısı tespit ettiğiniz anda olay müdahale planınızı uygulamanız gerekecektir. En azından olay müdahale planınız sizi aşağıdaki önlemleri almaya teşvik etmelidir;

Şifreleri değiştir

Atılacak ilk adım, tüm çalışanları saldırı hakkında bilgilendirmek ve onlardan şifrelerini değiştirmelerini istemek olacaktır. Bazıları, kullanıcılara şifrelerini sıfırlamalarını periyodik olarak ve otomatik olarak hatırlatabilecek bir çözümü benimsemenin iyi bir uygulama olduğunu savunuyor. Güçlü şifrelerin kullanımını zorunlu kılamıyorsanız, en azından çalışanlarınızı yeterince karmaşık bir şifrenin nasıl oluşturulacağı konusunda belirli kurallara uymaya teşvik etmelisiniz. Alternatif olarak onlara bir şifre oluşturma aracı da sağlayabilirsiniz.

Tüm yazılımı güncelleyin/yama yapın

Daha önce de belirtildiği gibi, saldırganlar ayrıcalıklarını yükseltmek için sıklıkla yazılımdaki güvenlik açıklarından yararlanmaya çalışırlar. Bu nedenle, tüm yazılım güncellemelerinin ve yamaların kullanıma sunulduğu anda yüklendiğinden emin olmalısınız.

Olay günlüklerini inceleyin

Tam olarak ne olduğunu, nasıl ve ne zaman olduğunu bildiğinizden emin olmak için olayla ilgili ayrıntılı bir adli tıp soruşturması yürütmek iyi bir fikir olacaktır. Olay müdahale planınızı geliştirmek için araştırmanızdan toplanan bilgileri kullanabilirsiniz. Gerçek zamanlı bir denetim çözümü kullanıyorsanız, sezgisel bir arayüz aracılığıyla olay günlüklerini inceleyerek bu bilgilere kolayca ulaşabileceksiniz. Aksi takdirde olay kayıtlarını manuel olarak incelemeniz gerekecektir, bu da yavaş ve zahmetli bir süreç olacaktır. Bazı gerçek zamanlı denetim çözümlerinin, önceden tanımlanmış bir eşik koşuluyla eşleşen olayları otomatik olarak algılayıp yanıt verebildiğini ve bazılarının, parola püskürtme saldırılarını tanımlamaya yardımcı olacak yerleşik ayarlara sahip olabileceğini belirtmekte fayda var.

Parola Püskürtme Saldırıları Nasıl Önlenir?

Parola güvenlik ayarlarını yapılandırma

Hangi platformu kullanıyor olursanız olun, mevcut tüm şifre güvenliği ayarlarını dikkatlice incelediğinizden ve yapılandırdığınızdan emin olun. Örneğin Microsoft Azure kullanıyorsanız ve yalnızca bulut ortamı kullanıyorsanız Azure AD Şifre Korumasından ücretsiz olarak yararlanabilirsiniz. Azure AD Parola Koruması, bilinen zayıf parolaları algılayıp engelleyeceği gibi kuruluşunuza özel terimleri de engelleyebilir. Azure AD Parola Koruması şirket içi ve hibrit ortamlarla da çalışabilir ancak bu senaryoda bir lisans gerekli olacaktır.

Simüle edilmiş saldırılar gerçekleştirin

Saldırı simülasyon yazılımını kullanarak simüle edilmiş bir şifre püskürtme saldırısı gerçekleştirin veya bunu sizin için yapması için bir üçüncü taraf kullanın. Bu size şifre güvenliği duruşunuz hakkında daha iyi bir fikir verecektir. Bir şifre listesini test ederken çalışanlarınızın şifreleri için kullanabileceği bölgesel veya sektöre özel terimleri dikkate alın.

Çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin

Bir hesaba erişim sağlamak için yalnızca parolanın yeterli olmadığından emin olmak amacıyla çok faktörlü kimlik doğrulamayı etkinleştirmek her zaman iyi bir fikirdir. Ekstra güvenli olmak istiyorsanız biyometrik veya sesle etkinleştirilen kimlik doğrulamasına izin veren teknolojiyi uygulamayı düşünün.

Gerçek zamanlı bir denetim çözümü kullanın

Gerçek zamanlı bir denetim çözümü, birden fazla başarısız oturum açma girişimini veya birisinin etkin olmayan bir kullanıcı hesabında oturum açmaya çalışmasını içerebilecek anormal olayları tespit etmek ve bunlara yanıt vermek için makine öğrenimi tekniklerini kullanacaktır. Daha önce de belirtildiği gibi, bazı gerçek zamanlı denetim çözümleri, önceden tanımlanmış bir eşik koşuluyla eşleşen olayları tespit edip bunlara yanıt verebilir. Parola püskürtme saldırılarıyla ilişkili koşulların farkında olduğunuzu varsayarsak, koşulları belirleyebilir ve buna göre yanıtı otomatikleştirebilirsiniz. Bu, bir kullanıcı hesabının devre dışı bırakılmasını, belirli bir işlemin durdurulmasını, güvenlik duvarı ayarlarının değiştirilmesini veya etkilenen sunucunun kapatılmasını içerebilir.

Lepide Veri Güvenliği Platformunun şifre püskürtme saldırısının işaretlerini tespit etmenize nasıl yardımcı olabileceğini görmek istiyorsanız mühendislerimizden biriyle bir demo planlayın veya ücretsiz denemenizi bugün başlatın.