Güvenlik temelleri: CIA, tehditler ve saldırılar

Dersin ikinci yarısı burada başlıyor. İlk sekiz haftada paketlerin nasıl taşındığını öğrendin; şimdi aynı paketlerin nasıl kötüye kullanıldığına bakacağız. Bu hafta kelime haftası gibi görünür ama sınavda iki tür soru çıkar: tanımı doğru seçme (bu bir zafiyet mi, tehdit mi?) ve küçük risk hesapları (risk skoru, ALE, DDoS trafiği). Beş altın kural:

1. Zafiyet içeride, tehdit dışarıda. Zafiyet sistemin zayıflığıdır; tehdit onu kullanabilecek olay ya da kişidir. Saldırı ikisinin buluşmasıdır.
2. Her saldırıyı CIA’dan birine bağla. Okuma → gizlilik, değiştirme → bütünlük, erişememe → erişilebilirlik.
3. Risk = olasılık × etki. Parasal versiyonu: $ALE = SLE \times ARO$.
4. DDoS’ta trafiği çarparak bul. Bot sayısı × bot hızı, ya da saldırgan hızı × amplifikasyon katsayısı.
5. Saldırı yüzeyi ne kadar küçükse o kadar iyi. Açık her port, her servis, her kullanıcı bir giriş kapısıdır.

Temel kavramlar

Güvenlik dilinde kelimeler birbirine çok yakın, sınavda tam bunlar sorulur. Bir bankanın internet şubesi üzerinden düşünelim.

Zincir şöyle: tehdit aktörü, bir zafiyet üzerinden saldırı yapar, varlığa zarar verir. Karşı önlem bu zincirin bir halkasını kırar: zafiyeti kapatır, saldırıyı tespit eder ya da zararı sınırlar.

TUZAK · zafiyet ile tehdidi karıştırmak. “Yamanmamış sunucu” bir tehdit değil, zafiyettir. “Bu sunucuyu tarayan bir botnet” tehdittir. Kendine sor: bu benim sistemimin bir özelliği mi (zafiyet), yoksa dışarıdan gelebilecek bir şey mi (tehdit)?

CIA üçlüsü

Bilgi güvenliğinin üç temel hedefi var. Kısaltması CIA (CIA triad):

• Gizlilik (confidentiality): Bilgiyi sadece yetkili kişiler okur. Araçlar: şifreleme, erişim kontrolü.
• Bütünlük (integrity): Bilgi yetkisiz biçimde değiştirilmez; değiştirilirse fark edilir. Araçlar: hash, MAC, dijital imza.
• Erişilebilirlik (availability): Yetkili kullanıcı bilgiye ihtiyaç anında ulaşır. Araçlar: yedeklilik, yedekleme, DDoS koruması.

Bunlara sık eklenen iki hedef: kimlik doğrulama / özgünlük (authenticity), yani mesajın gerçekten iddia edilen kişiden gelmesi, ve inkâr edilemezlik (non-repudiation), yani gönderenin “ben göndermedim” diyememesi.

Risk hesabı

Her riski aynı anda kapatacak bütçe yoktur. Önce riskleri sıralarsın. En basit yöntem nitel ölçek: olasılık (likelihood) ve etki (impact) 1 ile 5 arasında puanlanır, çarpılır.

$R = L \times I$

Önce 20 puanlı risk ele alınır. Sırayı belirleyen çarpım; etki 5 olan iki risk aynı önemde değildir.

Parasal risk: SLE ve ALE

Nicel yöntem riski paraya çevirir:

• AV (asset value): varlığın değeri.
• EF (exposure factor): tek bir olayda kaybedilen oran (0 ile 1 arası).
• SLE (single loss expectancy): tek olay kaybı, $SLE = AV \times EF$.
• ARO (annualized rate of occurrence): yılda beklenen olay sayısı. “4 yılda bir” ise 0.25.
• ALE (annualized loss expectancy): yıllık beklenen kayıp, $ALE = SLE \times ARO$.

Çözümlü örnek. Değeri 400 000 USD olan bir veri tabanı, bir ihlalde değerinin %30’unu kaybediyor. İhlal iki yılda bir bekleniyor.

SLE = AV × EF   = 400000 × 0.30 = 120000 USD
ARO = 1 / 2     = 0.5
ALE = SLE × ARO = 120000 × 0.5  = 60000 USD / yıl

Bir kontrolün alınıp alınmayacağına şöyle karar verilir: (ALE önce − ALE sonra) − yıllık kontrol maliyeti. Sonuç pozitifse kontrol kendini öder. Negatifse riski kabul etmek (risk acceptance) ya da sigortayla devretmek (risk transfer) daha mantıklıdır. Dört strateji: kaçın (avoid), azalt (mitigate), devret (transfer), kabul et (accept).

Saldırı türleri

Önce büyük ayrım: pasif saldırı sadece dinler (eavesdropping, trafik analizi); sistemi değiştirmediği için tespiti zordur, önlemi şifrelemedir. Aktif saldırı bir şeyi değiştirir: mesajı değiştirir, tekrar oynatır (replay), kimliğe bürünür (masquerade) ya da hizmeti durdurur. Aktif saldırıyı önlemek zordur, ama tespit edilebilir.

DoS ve DDoS

Hizmet engelleme (denial of service, DoS) erişilebilirliği hedefler. Tek kaynaktan gelirse DoS, binlerce ele geçirilmiş makineden (botnet) gelirse dağıtık DoS (DDoS) denir. Üç ana sınıf:

• Hacim (volumetric): bağlantıyı trafikle doldurur. Örnek: UDP flood, amplifikasyon.
• Protokol: sunucunun durum tablolarını tüketir. Örnek: SYN flood.
• Uygulama katmanı: pahalı istekler yollar. Örnek: arama sayfasına saniyede binlerce sorgu.

Botnet hesabı. 5000 bot, her biri 2 Mbps gönderiyor: $5000 \times 2 = 10000$ Mbps $= 10$ Gbps. 1 Gbps’lik bir bağlantı on kat aşılır.

Amplifikasyon (reflection/amplification). Saldırgan küçük bir isteği, kaynak adresini kurbanın adresi yaparak (spoofing) açık bir sunucuya yollar. Sunucu çok daha büyük cevabı kurbana gönderir. İstek 64 bayt, cevap 3200 bayt ise:

katsayı       = 3200 / 64     = 50
saldırgan     = 10 Mbps sahte istek
kurbana giden = 10 × 50       = 500 Mbps

SYN flood. TCP’nin üçlü el sıkışmasını hatırla (7. hafta). Sunucu SYN alınca SYN-ACK yollar ve son ACK gelene kadar yarı açık bağlantıyı bir kuyrukta (backlog) tutar. Saldırgan sahte adreslerden SYN yollar, ACK hiç gelmez. Kuyruk 2048 kayıt, zaman aşımı 60 s ise kuyruğu dolu tutmak için $2048 / 60 \approx 34.1$ SYN/s yeter. Çok düşük bir hız. Savunma SYN cookies: sunucu durum tutmaz, bilgiyi SYN-ACK’in sıra numarasına kodlar.

İPUCU · DDoS soruları hep çarpma. Bot × hız, saldırgan hızı × katsayı, backlog / timeout. Birimlere dikkat et: Mbps’i Gbps’e çevirirken 1000’e böl.

Ortadaki adam (MITM)

Saldırgan iki tarafın arasına girer, her birine karşı ötekiymiş gibi davranır. Trafiği okuyabilir (gizlilik) ve değiştirebilir (bütünlük). Yerel ağda tipik yolu ARP zehirlemesidir (4. hafta): saldırgan “ağ geçidinin MAC adresi benim” diye sahte ARP cevabı yayar. Önlem: uçtan uca şifreleme ve sertifikayla sunucu doğrulama (TLS), statik ARP kayıtları, switch’te dinamik ARP denetimi.

Spoofing (kimlik taklidi)

Bir kimliği sahtelemek. IP spoofing: paketin kaynak adresini değiştirmek; DDoS yansıtmada kullanılır. ARP spoofing: sahte MAC eşleştirmesi. DNS spoofing: sahte DNS cevabıyla kullanıcıyı başka sunucuya yönlendirmek. E-posta spoofing: “From” alanını sahtelemek; SPF, DKIM ve DMARC ile azaltılır.

Phishing (oltalama)

Kullanıcıyı sahte bir mesajla parola girmeye ya da dosya açmaya ikna etmek. Hedefli olanı spear phishing, yöneticileri hedefleyeni whaling, SMS ile olanı smishing, telefonla olanı vishing. Teknik olmaktan çok insan zafiyetini kullanır; 11. haftadaki sosyal mühendisliğin bir türüdür. Önlem: farkındalık eğitimi, çok faktörlü kimlik doğrulama (MFA), e-posta filtreleri.

Zararlı yazılım (malware)

Saldırı yüzeyi

Saldırı yüzeyi (attack surface), saldırganın sisteme dokunabileceği bütün noktaların toplamıdır. Üç bileşen: ağ yüzeyi (açık portlar, servisler), yazılım yüzeyi (girdi alan her fonksiyon, API, eklenti) ve insan yüzeyi (oltalamaya düşebilecek her çalışan). Küçültmenin yolları: kullanılmayan servisi kapatmak, portları firewall ile kısıtlamak, gereksiz kodu ve hesapları silmek, her bileşene en az yetkiyi vermek.

Kimlik doğrulama da yüzeyin parçası. Zayıf parolalar kaba kuvvete (brute force) açıktır:

8 karakter, sadece küçük harf: 26^8 = 208 827 064 576
saniyede 10^9 deneme        →   ~209 s (3.5 dakika)
8 karakter, 62 sembol:       62^8 ≈ 2.18 × 10^14
saniyede 10^9 deneme        →   ~2.5 gün

Uzunluk ve sembol kümesi büyüdükçe süre üstel artar. Yine de çevrimdışı saldırıya karşı asıl önlem yavaş ve tuzlu (salted) parola özetidir.

Sık yapılan hatalar