Güvenilir Bir Güncelleme Nasıl Siber Silaha Dönüştü? SolarWinds SUNBURST Saldırısı
Güvendiğin Güncelleme Seni Hackleyebilir mi?
Bilgisayarınıza bir yazılım güncellemesi geliyor.
Ekranda tanıdık bir şirketin logosu var.
Güncelleme resmi sunucudan geliyor ve normal bir yazılım güncellemesi gibi görünüyor.
Peki ya o güncellemenin içine saldırganlar daha önce kötü amaçlı kod yerleştirdiyse?
2020 yılında ortaya çıkan SolarWinds SUNBURST saldırısı, tam olarak bu senaryonun gerçek hayatta ne kadar ciddi sonuçlar doğurabileceğini gösterdi.
SolarWinds Nedir?
SolarWinds, kurumların IT altyapılarını yönetmek ve izlemek için kullanılan yazılımlar geliştiren bir şirketti. Bunlardan biri de Orion Platform'du.
Orion, büyük kuruluşların ağ ve sunucularını izlemek için kullanılıyordu.
Bu nedenle Orion yazılımına yapılacak bir saldırı, yalnızca SolarWinds'i değil, bu yazılımı kullanan çok sayıda kuruluşu etkileyebilirdi.
Ve saldırganların yaptığı tam olarak buydu.
Saldırı Nasıl Gerçekleşti?
Saldırganlar SolarWinds'in geliştirme ortamına eriştikten sonra Orion yazılımının build sürecine kötü amaçlı kod enjekte etti.
Bu kötü amaçlı bileşene daha sonra SUNBURST adı verildi.
SolarWinds'in soruşturmasına göre kötü amaçlı kod, Mart 2020 ile Haziran 2020 arasında yayınlanan belirli Orion sürümlerine yerleştirildi.
Buradaki en tehlikeli nokta şuydu:
Kullanıcılar saldırganlardan bir dosya indirmedi.
Korsan bir yazılım kullanmadılar.
Şüpheli bir e-posta ekine tıklamadılar.
Bunun yerine, kullandıkları yazılımın normal ve güvenilir görünen güncellemesini yüklediler.
Saldırı böylece yazılım tedarik zinciri üzerinden müşterilere ulaştı.
SUNBURST Ne Yapıyordu?
SUNBURST doğrudan kendisini belli eden agresif bir malware değildi.
Saldırganlar mümkün olduğunca uzun süre fark edilmeden kalmaya çalıştı.
CISA'nın analizine göre saldırganlar, ele geçirilen Orion yazılımını kullanarak belirli kuruluşların ağlarına ilk erişimi sağladı ve daha sonra yalnızca seçilmiş hedeflerde saldırının sonraki aşamalarına geçti.
Bu önemli bir ayrıntı.
Çünkü amaç:
“Herkese saldır.”
değildi.
Daha çok:
“Önce çok sayıda sisteme ulaş, sonra değerli hedefleri seç.”
mantığı vardı.
Bu yaklaşım, saldırının tespit edilmesini daha zor hale getirdi.
Neden Bu Kadar Büyük Bir Olaydı?
Çünkü SolarWinds'in müşterileri arasında çok sayıda büyük kuruluş ve kamu kurumu bulunuyordu.
CISA, olayın federal, eyalet ve yerel hükümet ağlarının yanı sıra kritik altyapı ve özel sektör kuruluşlarını da etkileyen ciddi bir APT faaliyeti olduğunu açıkladı.
Daha da önemlisi saldırı sadece bir sunucunun ele geçirilmesiyle sınırlı değildi.
Saldırganlar bazı hedeflerde:
- ağ içerisinde keşif yaptı,
- kimlik bilgilerine erişmeye çalıştı,
- ayrıcalıkları yükseltti,
- kalıcılık sağlamaya çalıştı,
- kurumların e-posta ve diğer sistemlerine erişti.
CISA, saldırganların seçilmiş hedeflerde uzun süreli ve kapsamlı erişim elde ettiğini belirtti.
Saldırının En İlginç Tarafı
SolarWinds saldırısının en dikkat çekici tarafı aslında malware'in kendisi değil.
Güven kavramının saldırıya dönüştürülmesiydi.
Normalde bir kurum şöyle düşünür:
“Yazılımı resmi üreticisinden alıyorsam güvenlidir.”
Fakat saldırganlar bu güven zincirinin en kritik noktasını hedefledi:
Yazılımın üretildiği ve müşteriye gönderildiği süreç.
Kullanıcının bilgisayarında antivirüs olması saldırıyı tek başına engellemeyebilirdi.
Çünkü malware, kullanıcıya ulaştığında zaten güvenilir yazılım paketinin içerisinde bulunuyordu.
Peki Bundan Ne Öğrenebiliriz?
SolarWinds vakası, yazılım geliştiren şirketler için özellikle önemli birkaç güvenlik gereksinimini ortaya çıkardı:
Build ortamları izole edilmeli.
CI/CD sistemlerine erişim sıkı şekilde kontrol edilmeli.
Kaynak kodu ve build süreçleri izlenmeli.
Yazılım paketlerinin bütünlüğü doğrulanmalı.
İmzalama anahtarları güvenli şekilde saklanmalı.
Üçüncü taraf yazılımlar ve bağımlılıklar sürekli denetlenmeli.
Ve en önemlisi:
Bir yazılımın güvenli olması, yalnızca kaynak kodunun güvenli olmasına bağlı değildir. O yazılımın üretim zincirinin tamamı güvenli olmalıdır.
Sonuç
SolarWinds SUNBURST saldırısı siber güvenlik dünyasında önemli bir gerçeği ortaya çıkardı:
Saldırganın hedefi bazen sizin bilgisayarınız değil, güvendiğiniz yazılım olabilir.
Bir saldırgan binlerce şirkete tek tek saldırmak yerine kullandıkları ortak bir yazılımı hedeflerse, tek bir saldırı zinciri üzerinden çok sayıda kuruluşa ulaşabilir.
Bu nedenle günümüzde siber güvenlik yalnızca:
Firewall + Antivirus + EDR
üçlüsünden ibaret değil.
Yazılımın nerede geliştirildiği, nasıl derlendiği, kim tarafından imzalandığı ve kullanıcıya nasıl ulaştığı da güvenliğin bir parçası.
SolarWinds olayının bıraktığı en önemli soru ise hâlâ geçerli:
“Güvendiğimiz yazılım gerçekten güvenli mi, yoksa sadece güvenli göründüğü için mi ona güveniyoruz?”
🔎 Kaynaklar
CISA'nın SolarWinds olayıyla ilgili resmi güvenlik uyarısı ve analizleri: CISA – SolarWinds Orion Security Alert · CISA – SolarWinds ve Active Directory/M365 Compromise