Zafiyet Taraması ve Hacking Uygulaması
Herhangi bir "Web Sitesi" veya "SQL Server"ın bütünüyle elde edilerek hedeflenen sisteme sızılıp tüm yönleriyle amaçlanan zararın verilebilmesi zor göründüğü kadar aslında bir o kadar çok da kolaydır. Burada önemli olan hedeflediğimiz sisteme saldırı düzenlerken temel amacımızın ne olduğudur.
Örneğin;
Amacımız bir server'da ki hizmeti geçici süreyle işlem yapamaz hale getirmek ise mutlaka kullanacağımız araçların başında "DDos Atak Araçları" (Denial Of Service Attack) gelmektedir. Bu araçlar genellikle veri trafiğinin yoğun yaşandığı banka, blok siteleri vb. sektörlerin hizmet akışını sekmeye uğratmak maksadıyla kullanılır. Bu tür "DDos Atakları" kısa süreli ve etkili ataklar olması nedeniyle birçok kişi ve kurumun korkulu rüyasıdır. Saldırıya niyetlenmiş bir hacker'ın kullanacağı bir çok yöntem mevcuttur;
* Hacim Odaklı Saldırılar (Protocol Based DDoS)
* Uygulama Katmanlı Saldırılar (Application Layer DDoS)
* Ardı ardına TCP Paket Saldırıları (SYN Flood DDoS)
* Ağ Protokolüne Uygulanan Saldırılar (UDP Flood DDoS)
* Hatalı Biçimlendirilmiş veya Büyük Boyutlu Ping Paket Saldırıları (Ping of Death PoD)
* Giden/Gelen Bant Genişliğine Uygulanan Saldırı (Ping Flood)
Bu saydığımız Hack saldırılarından kalıcı olarak korunabilmenin herhangi bir yolu yoktur. Ancak yine de bazı güvenlik önlemleri ve yöntemleri sayesinde saldırı öncesinde kendimizi veya sistemimizi bir nevi koruyabiliriz. Belirli ölçekte korunabildiğimiz bu yöntemleri şu şekilde özetleyebiliriz;
Router Düzeyinde Koruma
Servis sağlayıcı sorumluluğunda olan Router?lar DDos Atakları'nı karşılayan ilk servis olma özelliğini barındırmaktadır. Server'a gelen ilk verileri ilgili iç servis ve bölmelere yönlendirmekten sorumludur. Eğer bu router'lar da gelen paketleri incelemek ve değerlendirmek adına bir "Hizmet Protokolü" oluşturulursa DDos Atakları'ndan bir nevi korunma sağlayabiliriz.
Güvenlik Duvarı Düzeyinde Koruma
Eğer kiraladığımız veya hizmet aldığımız sunucu "Rate Limiting" (Paket Sınırlama) desteğini alabiliyorsa; belirli bir IP adresinden gelebilecek maksimum paket sayısı tespit edilerek, maksimum gelen paket değerini aşan IP'nin engellenmesi sağlanarak korunma oluşturulabilir.
Bir başka örnek ise;
Diyelim ki hedefimizde kurumsal bir web sitesi var. Üstelik bu web sitesinin bağlı olduğu server'da çok yüklü miktarda önemli bilgiler mevcut. Bizim amacımız ise bu server'ı ele geçirme yöntemlerini belirlemek ve server'a sızıp ilgili dosyaları sömürmek.
Böyle bir senaryoda ilk yapacağımız işlem ==> bir plan ve iş akış şeması oluşturmaktır. Çünkü faaliyetlerimizi sistemli ve düzgün gerçekleştiremezsek hata yapma olasılığımız dolayısıyla yakalanma olasılığımız çok yüksek olur.
Şöyle bir planlama algoritması düzenleyebiliriz;
1) Off-Shore ülkelerinde hızı iyi ve güçlü ping değerleri olan bir VDS veya Sunucunun kiralanması,
2) Kiralanan bu VDS veya sunuculara ilgili penetrasyon araçlarının (Acunetix, Nessus vb.) ve saldırı araçlarının (LOIC, HOIC, HULK, DDoSIM) yüklenmesi,
3) Hedeflenen sisteme yönelik penetrasyon işlemleri sonrası çıkan raporlarda mevcut açığın hangi sömürü yöntemlerinin kullanılacağının tespiti,
4) Saldırıya başlamadan önce izimizi kaybettirecek gizlenme metodlarının belirlenmesi (VPN vs.),
5) Saldırdığımız ve içeri sızdığımız anda "OPSEC" kayıtlarına yakalanmamak adına "Gust" moda geçiş yöntemlerinin belirlenmesi,
6) Kullanacağımız SQL Server komutlarının listelenmesi ve mümkünse sanal bir ortamda denenmesi,
7) Hedeflenen verilerin hızlı bir şekilde önceden belirlediğimiz değişik adreslere aktarım yaparken verilerin trafik izlerini kaybettirmek adına çeşitli yönlendirmeler yapılması,
8) İş bitiminde "Server Log Kayıt" bilgilerinden mevcut kayıtlarımızı temizleyerek veya geçmiş dönemde giriş yapan başka bir IP ile takas ederek hareket akışlarını maskelemek,
9) Kullandığımız IP adreslerimizden çok farklı başka bir IP ile sisteme temel basit düzeyde bir saldırı gerçekleştirerek asıl gerçekleştirdiğimiz saldırı verilerini maskelemek,
10) Kiraladığımız VDS veya sunucuları iptal ederek hizmet faaliyetini sonlandırmak,
11) Bir daha asla saldırdığımız server'a veya web sitesine uğramamak.
Önceden planlanmış bu ve benzeri bir algoritma üzerinde defalarca çalışarak, işi ince bir şekilde planlayıp her türlü saldırı, sızma ve sömürü yöntemlerini incelemeliyiz. Günümüzde birbirinden farklı hack uygulamaları ve yöntemleri olmasına karşın bazı ortak püf noktaların varlığını vurgulamak hayati önem teşkil etmektedir. Özetle bunlar;
* DDos Atakları kısa süreli sert saldırılardır. Bu tür saldırı senaryolarında birçok VDS veya sunucudan yararlanarak aynı anda, yüksek hızda saldırı yapmak elzemdir. Bu eylem türünde sürekliliğin yanı sıra zaman aralıklı yapılması da hayati önem teşkil eder. Saldırıda kullanılacak sistemlerin yüksek kapasiteli olması ve işlem hacminin mikro saniyeler ile ölçüldüğü bir zamanlama ile gerçekleşmesi mutlak nüans olmalıdır. Başarının bu kriterlere bağlı olduğu unutulmamalıdır.
* Penetrasyon (açık tarama) araçları sadece yukarıda bahsettiğimiz araçlar değildir. Günümüzde birçok çeşitli yönde profesyonel ücretli/ücretsiz açık tarama araçları vardır. Tüm bunlardan öte öyle bir püf nokta var ki; bir web sitesinde yazılımsal olarak mantıksal hatalardan kaynaklı oluşan açığı tespit edebilecek hiç bir penetrasyon aracı yok diyebiliriz. Bu nedenle ilgili yazılımcıların bu yönde kendilerini geliştirmeleri çok önemlidir. Bu aşamada bir ip ucu olarak "Yapay Zeka Penetrasyon Araçları"nı incelemelerini tavsiye ederim.
* Hedeflenen server'a sızmak önemli değildir. Önemli olan "OPSEC"e yakalanmamaktır.
* Günümüzde birçok hacker server'a sızıp sömürü faliyetlerini gerçekleştirdikten sonra "Server Log Record" (Server Log Kayıt) dosyasında kayıtlı IP numarasını silmeyi unutmaktadır. Unutulmamalıdır ki, saldırıya uğramış her admin'in ilk bakacağı yer ==> bu kayıt verilerinin saklandığı dosya olacaktır.
Belki de daha sayılabilecek çok yöntem vardır ancak konuyu genel olarak özetlediğimizde yukarıda ki püf noktalar hayati önem teşkil etmektedir. Bunlardan birini aksatarak yapacağımız bir hack eylemi muhakkak başarısızlıkla sonuçlanacaktır. İşte bu nedenle Planlama, Zamanlama, Doğru Araç Kullanımı ve Hedef Odaklı Saldırı yürütmek başarının altın anahtarıdır.
Tüm bunlardan öte "Kriptoloji ve Şifreleme" üzerine sürekli kendimizi yenilemeliyiz. Son gelişen penetrasyon test araçlarını takip etmeli hatta sürekli uygulayarak açık taramalıyız. Senaryoda bahsettiğimiz ve kiraladığımız VDS ve Sunuculardan her türlü veriyi kriptolayarak karşı tarafa iletmenin önemini kavramalıyız. Çünkü bu yoğun veri transferinde oluşacak olan trafiği dinleyenlerin olacağını unutmamalıyız. Kullanacağımız şifreleme türü mutlaka AES tipinde olup minimum 64 Bit seviyesinde olmalıdır.