Living-off-the-Land (LotL) Saldırılarından Korunma Yöntemleri Neler?

Siber güvenlikte, "Living-off-the-land" (LotL) hücumlarının tespiti giderek zorlaşıyor. Bu taarruzlar, harici makus gayeli yazılımlara güvenmek yerine PowerShell, WMI yahut Office makroları üzere legal sistem araçlarını kullanıyor ve saldırganların bir ağ içinde gizlice hareket etmesini sağlıyor. Klasik güvenlik tedbirleri, sağlam, dijital olarak imzalanmış araçlar kullandıkları için bu hücumları tespit etmekte zorlanıyor. LotL akınları, tespit edilmekten kaçındıkları ve izlenme riskini de azalttıkları için siber hatalılara cazip geliyor. Bu yaklaşım, saldırganların daha uzun müddet bâtın kalmasını sağladığı için başarılı bir ihlal bahtını da arttırıyor. WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, LotL ataklarında kullanılan yaygın teknikleri ve bu tıp hücumlara karşı korunma yollarını açıklıyor.

Siber güvenlik dünyasında "Living-off-the-land" (LotL) atakları, giderek artan bir telaş kaynağı haline geliyor. Bu hücum tipi, siber hatalıların mevcut sistem araçlarını kullanarak gayeye saldırmalarını ve ağlarda fark edilmeden dolaşmalarını sağlıyor. Hali hazırda bulunan mevcut sistemler, olağan işleyişin bir modülü olarak kabul edildiğinden tespit edilme mümkünlüğü da büyük oranda azalıyor. Böylece amaç sistemde uzun müddet kalabilme imkanı doğuyor. Sistem üzerinde denetim sağlamak, bilgilerin çalınması ve prestij zedelenmesi üzere birçok gayesi olabilen bu taarruz, maksada sistem içerisindeki kaynakları kullanarak ulaştığından kuşku oluşturmuyor. WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, siber güvenlik alanında muvaffakiyet elde etmek için Living-off-the-land hücumlarının yaygın tekniklerini ve korunma yollarını açıklarken bu taarruzlara karşı hep hazırlıklı olunması ve proaktif savunma stratejileri geliştirmesi gerektiğini vurguluyor.

LotL Hücumlarındaki Yaygın Teknikler Neler?

1. PowerShell: Sistem yöneticileri tarafından faal bir biçimde kullanılan ve Windows sistemleri için güçlü bir komut satırı olan PowerShell, siber saldırganlar tarafından makûs hedefli komut evraklarını indirmek ve çalıştırmak, uzak irtibatlar kurmak yahut sistem ayarlarını besbelli izler bırakmadan değiştirmek için kullanılır. 

2. WMI: Windows işletim sistemleri için bir idare altyapısı olan WMI, sistem bilgilerini toplamak ve idare vazifelerini yerine getirmek için kullanılır. Kullanıcı erişimi olmaksızın uzaktan komutları yürütmek, zayıf noktaları belirlemek için sistem datalarını toplamak yahut sistemde kalıcılığı sağlamak için kullanılır. 

3. Uzaktan İdare Araçları: PsExec üzere araçlar, berbat hedefli komutları uzaktan yürüterek gaye sistem üzerinde değişiklik yapmak için yine kullanılabilir. 

4. Office Makroları: Office evraklarına yerleştirilen makus maksatlı makrolar, açıldığında kodu çalıştırarak kullanıcı inancını suistimal eder ve sistemlere sızabilir.

Living-off-the-land Taarruzlarına Karşı Korunmanın 4 Yolu

1. Uygulama Kontrolü: PowerShell ve WMI üzere araçları makul kullanıcılar ve süreçlerle sınırlayın.

2. Remote Shell ile Soruşturma ve Süratli Müdahalenin Genişletilmesi: WatchGuard Advanced EPDR'nin yeni sürümü, evrakları almak, süreçleri incelemek ve hatta Windows, Linux yahut macOS olsun uç noktada direkt aksiyonda bulunmak için uzak bir kabuk açma yeteneğini içeriyor.

3. Risk Oluşturan İrtibatlar Konusunda Dikkat: Ağ segmentasyonu kullanılarak farklı ağ segmentleri yahut uç noktaları ortasındaki irtibatın sonlandırılması, saldırganların LotL tekniklerini kullanarak yanal olarak hareket etmesini önleyebilir.

4. Eğitim ve Farkındalık: Çalışanlara makroların riskleri ve idare araçlarının inançlı kullanımı konusunda eğitim verilmesi, makûs hedefli komut evraklarının ezkaza yürütülmesinin önlenmesine yardımcı olabilir.

5. İzleme ve Otomatik Davranış Analizi: Yalnızca imzalara yahut uç nokta teknolojisine güvenmek yerine, olağandışı sistem etkinliklerini tespit etmek için bulutta davranış analitiğini kullanın. Stratejilerin başarılı bir biçimde uygulanması için, güvenilmeyen uygulamaları engelleyen ve sırf güvenilirliklerini doğruladıktan sonra yürütülmelerine müsaade veren Sıfır İtimat Uygulama Hizmeti ve Tehdit Avı Hizmetinin yanı sıra, WatchGuard Advanced EPDR, güvenlik analistlerinin LotL tekniklerini kullanarak bir saldırganın varlığını süratle tespit edip cevap vermesini sağlayan fonksiyonlar sunuyor. 

Kaynak: (BYZHA) Beyaz Haber Ajansı