Microsoft Exchange Sunucularınızı ProxyLogon İstismarından Korumak İçin On Adım

Microsoft, Microsoft Exchange Server'ın şirket içi sürümlerine saldırmak için birden fazla sıfır gün açığının kullanıldığını tespit etti. Raporlara göre, kritik güvenlik açıklarından yararlanan saldırılara ilişkin gözlemler hızla artıyor. Birkaç gün içinde ABD çapında 30.000'den fazla kuruluş (küçük işletmeler ve belediyeler dahil) saldırıya uğradı.

O zamandan beri Microsoft, güvenlik kusurlarını gidermek için acil durum bant dışı yamalar yayınladı. Bu arada kuruluşların, istismar girişimlerini hızlı bir şekilde tespit etmek ve bunlara etkili bir şekilde yanıt vermek için uygun önlemleri alması kritik önem taşıyor.

Siber suçlular bu güvenlik açıklarından aktif olarak yararlanıyor ve bu güvenlik açıklarının ele alınmaması, e-postaların sızması/kaybolması, ağınızda yanal hareket veya fidye yazılımının çalıştırılması dahil olmak üzere çok zarar verici olabilir. Açıklardan yararlanmayı ve ağınızı savunmak için yapmanız gereken 10 somut eylemi daha iyi anlamak için bu kılavuzu kullanın.

Etkisi Nedir?

Bu güvenlik açıklarından başarıyla yararlanılması, kimliği doğrulanmamış bir saldırganın güvenlik açığı bulunan Exchange Sunucularında rastgele kod yürütmesine olanak tanıyarak, saldırganın kalıcı sistem erişiminin yanı sıra sunucudaki dosyalara, posta kutularına ve bu sistemde depolanan kimlik bilgilerine erişmesine olanak tanır. Başarılı bir şekilde yararlanma, saldırganın savunmasız bir ağda güveni ve kimliği tehlikeye atmasına da olanak tanıyabilir. Başarılı yararlanma faaliyetlerinden sonra saldırganlar e-posta hesaplarına erişebilir ve ağda kalıcı kalabilmek için ek kötü amaçlı yazılım/tarama araçları yükleyebilir.

Not: Bu, Microsoft Exchange Server'ın şirket içi sürümlerini etkiler ve Exchange Online'ı etkilemez.

Ne Oldu?

Gelişmiş Kalıcı Tehdit (APT) grubu HAFNIUM, ProxyLogon olarak adlandırılan dört sıfır gün güvenlik açığından oluşan bir zincirden yararlandı. O zamandan bu yana, en az 10 APT daha dünya çapındaki sunucuları hedeflemek için aynı yolu izledi. Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) olarak da adlandırılan bu güvenlik açıkları şunlardır:

  • CVE-2021-26855, kimliği doğrulanmamış saldırganın rastgele HTTP istekleri göndermesine olanak tanır.
  • CVE-2021-26857, CVE-2021-26858 ve CVE-2021-27065, uzaktan kod yürütülmesine olanak tanır

Şimdi Ne Yapmalısınız?

Netsurion'un Güvenlik Operasyon Merkezi (SOC), müşteri ağlarını ProxyLogon gibi Tehlike Göstergeleri (IOC'ler) açısından aktif olarak izler. Bu tehditle ilgili halihazırda harekete geçen bir yönetilen güvenlik hizmeti sağlayıcısı tarafından korunmuyorsanız, SOC'miz aşağıdaki acil eylem planını yapmanızı önerir:

  1. Her şeyden önce, güncellemenin şirket içi Exchange Sunucularını anında etkilemesi gerekir.
  2. Exchange Server'da bilinmeyen görev ve hizmetlerin mevcut olup olmadığını doğrulayın ve bilinmeyen görevleri devre dışı bırakın, ardından güncellenmiş imzayla tam bir kötü amaçlı yazılımdan koruma taraması çalıştırın.
  3. Tüm Exchange Server hesaplarında Parola Sıfırlama işlemi gerçekleştirin.

  4. Bilinmeyen .aspx, .bat ve bilinmeyen yürütülebilir dosyaları aşağıdaki yollardan doğrulayıp kaldırın ve dosyaları, virüs bulaşmamış bir yedek dosyadan geri yükleyin:

    • C:ExchangeFrontEndHttpProxyowaauth
    • C:inetpubwwwrootaspnet_client
    • C:inetpubwwwrootaspnet_clientsystem_web
  5. Güçlü bir şifre politikasının yürürlükte olduğundan emin olun.
  6. Exchange hesabı oturum açma işlemleri için Multi-Factor Authentication'ın (MFA) etkinleştirildiğinden emin olun.
  7. İstenmeyen uygulamaları sunucudan kaldırın.
  8. İşletim sistemlerini en son sürüme yükseltin.
  9. Ana bilgisayarda güvenlik açığı taramaları çalıştırın ve tüm kritik güvenlik açıklarını düzeltin.
  10. Herkese açık sunucular için düzenli yedekleme işleminin ve uygun ağ bölümlendirmesinin yapıldığından emin olun.

Uzun Vadede Ne Yapmalısınız?

Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) AA21-062A Uyarısından daha ayrıntılı bilgi bulabilirsiniz.

Son olarak önerimiz, personel kaynaklarınızın uzmanlık ve kullanılabilirliği konusundaki boşlukları kapatmak için yönetilen bir güvenlik hizmeti sağlayıcısına (MSSP) kapsamlı 7/24 güvenlik izleme, tehdit algılama ve yanıt yetenekleri aşılamanızdır.

Netsurion müşterileri, Yönetilen Tehdit Koruması hizmetimiz ve EventTracker tehdit koruma platformumuz kapsamında gerçekleştirilen eylemlerle ilgili olarak bu Güvenlik Danışmanlığı'nda güncel olarak tutulur.

İlgili makaleler