haftalık özet: helpdesk sıfır-günler, sahte sertifikalar ve diğer belalı şeyler

arkadaşlar, bu hafta güvenlik dünyasında iyice karışıklık yaşandı. kısacası, saldırganlar açıklanmış zafiyetleri saniye cinsinden test etmeye başladılar. yani bir toplantı bitirmeden bile sistemleriniz tehlikede olabilir. spoiler: bundan da kötüsü var.

neler oldu bu hafta?

helpdesk yazılımlarında sıfır-gün açıkları

agalar, popüler helpdesk çözümlerinde ciddi ciddi açıklar bulunmuş. saldırganlar bu açıkları saatler içinde test etmeye başlamışlar. yani microsoft patch tuesday’den çok daha hızlı hareket ediyorlar.

spoiler: bu açıklar uzaktan kod çalıştırmaya (RCE) izin veriyor. kısacası, saldırgan direkt sisteminize giriyor, ne isterse yapıyor.

ne yapacaksınız:

• helpdesk yazılımınızın versiyonunu kontrol edin
• vendor’ın advisory sayfasını takip edin
• eğer yaması varsa acil acil uygulayın
• yaması yoksa, şimdilik ağ seviyesinde erişimi kısıtlayın

sahte SSL sertifikaları (rogue certificates)

arkadaşlar, şu hafta birkaç tane sahte sertifika bulunmuş. yani saldırganlar “ben google’ım” diyerek sertifika aldırmışlar. secure connection görmek artık yeterli değil*, sertifika zincirini de kontrol etmek lazım.

etkilenen taraf:

• HTTPS bağlantılarına güvenenler (yani hepimiz)
• enterprise ortamlarında SSL inspection yapanlar

ne yapacaksınız:

# sertifikayı kontrol edin
openssl s_client -connect example.com:443 -showcerts

# sertifika zincirini doğrulayın
openssl verify -CAfile ca-bundle.crt cert.pem

# certificate transparency loglarını kontrol edin
# https://crt.sh adresine gidip domain'inizi arayın

ShinyHunters yakalandı

spoiler: daha önceki büyük veri hırsızlıklarından sorumlu olan ShinyHunters grubu tutuklandı. bu grup T-Mobile, Oasis, Zomato gibi şirketleri hacklemiş. işte sonunda bir iyi haber. ama tabii ki bu tür gruplar hep vardır, başkası çıkar yerine.

AI’yi kandıran malware

edit: bu hafta en ilginç olanı: yapay zeka tabanlı tehdit algılama sistemlerini kandıran malware bulunmuş. yani malware yazılımcılar artık AI’ye karşı da savaşıyor. kısacası, machine learning tabanlı güvenlik çözümlerine güvenmek yeterli değil.

ne yapacaksınız:

• sadece AI’ye güvenmeyin
• davranışsal analiz (behavioral analysis) ekleyin
• sandbox ortamında testler yapın
• endpoint detection and response (EDR) çözümleri kullanın

etkilenen sistemler

yapmanız gerekenler (acil sırayla)

1. Helpdesk yazılımlarını yamalayın

# helpdesk uygulamanızın versiyonunu kontrol edin
# vendor sayfasına gidip en son yamasını indirin
# production'a koymadan önce test ortamında deneyin

# eğer yaması yoksa:
# - ağ seviyesinde erişimi kısıtlayın
# - sadece güvenilir IP'lerden erişime izin verin
iptables -A INPUT -p tcp --dport 8080 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j DROP

2. SSL sertifikalarınızı kontrol edin

# tüm sertifikalarınızı listeleyin
find /etc/ssl -name "*.crt" -o -name "*.pem" | while read cert; do
  echo "=== $cert ==="
  openssl x509 -in "$cert" -noout -issuer -subject -dates
done

# certificate transparency'yi kontrol edin
# https://crt.sh adresine gidip domain'inizi arayın
# beklenmedik sertifika varsa hemen raporlayın

3. EDR çözümünü güncelleyin

# endpoint detection and response yazılımınızı güncelleyin
# sadece signature'lara güvenmeyin
# behavioral rules ekleyin

4. Yedek alın

# helpdesk veritabanının yedeklemesini yapın
# sistemin snapshot'ını alın
# sonra yamalama işine başlayın

geçici çözümler (yaması yoksa)

helpdesk yazılımları için:

• Ağ seviyesinde erişimi VPN’e kısıtlayın
• WAF (Web Application Firewall) kuralları ekleyin
• Şu anki bağlantıları loglayin (forensics için)
• Vendor’ın acil advisory’sini takip edin

SSL sertifikaları için:

• Certificate Transparency loglarını izleyin
• HPKP (HTTP Public Key Pinning) kullanın (eski ama etkili)
• Sertifika değişikliklerinde alert alacak sistem kurun

kaynaklar

• The Hacker News - Weekly Recap
• Certificate Transparency Search
• CISA Alerts
• NVD - National Vulnerability Database

son söz

arkadaşlar, bu hafta öğrendiğimiz şey şu: hızlı davranmak lazım. saldırganlar açıklanmış zafiyetleri saatler içinde test ediyor. siz de öyle yapmalısınız. yamasını çıktığı gün uygulamak artık opsiyonel değil, zorunlu.

edit: yedek almadan bu işlere girişmeyin. sonra ağlarsınız.

spoiler: gelecek hafta da benzer haberler görmeye hazırlansın. bu artık normal.

Bu içerik yapay zeka tarafından oluşturulmuştur.