Kategori arşivi: Teknik

Teknik

Siber Tehdit İstihbaratının gözdesi: OpenCTI nedir?

Yorum yapın

Siber Tehdit İstihbaratının gözdesi: OpenCTI nedir?Günümüzde hemen hemen her işletme, şirket, kurum ve kuruluşun teknolojiye entegre olmasıyla söz konusu teknolojilere tehdit aktörlerinin gerçekleştirdiği saldırılar da artıyor. Maddi veya manevi hasara yol açan bu saldırıları engellemenin önemli yollarından biriyse Siber Tehdit İstihbaratı (CTI) olarak göze çarpıyor.

Bu yazıda olası tehditlerin ve istenmeyen olayların önüne geçebilme yetenekleriyle maddi ve manevi kayıplara ulaşmadan önce ortaya çözüm koyabilen siber tehdit istihbaratı ve analistlerinin işlerini daha da kolaylaştıracak bir platformdan, OpenCTI’dan bahsedeceğiz.   

TEHDİT İSTİHBARATI NEDEN ÖNEMLİDİR?

Öncelikle siber tehdit istihbaratının öneminden bahsetmek, OpenCTI kullanımının neden kritik olduğuna dair fikir sunmaya yardımcı olacaktır.

Kabaca siber tehdit istihbaratı, kurumunuzun içerisinde gerçekleşebilecek olaylara karşı farkındalık kazandırma ve bu olaylara müdahale edebilme amacı güder. Güvenlik önlemlerini üst düzeye çıkararak veri kaybı, veri ihlâli, olası olaylara yanıt verebilmeyi, size yönelik tehditlerin analizini ve tehdit istihbarat paylaşımını sağlar.

OpenCTI platformuysa gerek siber güvenlik tehditleriyle uğraşan siber güvenlik uzmanlarına gerekse siber tehdit analizlerine geniş çaplı fayda sağlaması açısından oluşturulmuştur. Bu platform aracılığıyla analist veya uzmanlar kendi taktiklerini iyileştirebilir, tehditler arası bağlantı kurabilir, tehditlerle nasıl başa çıkacaklarını etkin bir şekilde öğrenebilir.

OpenCTI NEDİR?

OpenCTI, her şeyden önce açık kaynaklı bir tehdit istihbarat yönetimi ve paylaşım platformudur. Söz konusu platform, kurumların siber tehdit istihbaratlarını tek bir çatı altına entegre etmek, depolamak, yönetmek, görselleştirmek ve paylaşmak için oluşturuldu.

BT yöneticileri açık kaynak yazılımları tuttu: “Diğer yazılımlardan çok daha fazlasını sunuyor”

OpenCTI platformunun temel amacı, tehdit trendlerini, tehditlerin yaşandığı ülkeleri, aktörlerin raporlarını, aktörlerin hedef aldığı sektörleri, aktörlerin kullandıkları yöntemleri ve analizleri, zararlı yazılımları etkin bir şekilde birbirleriyle bağlayarak, uzman veya analistlerin olası çözümlere daha rahat ulaşmasını amaçlıyor.

OpenCTI HANGİ ÖZELLİKLERE SAHİPTİR?

OpenCTI’ın kullanıcılarına sunduğu birbirinden farklı özellikleri bulunur. OpenCTI kurulumundan sonra sizleri karşılayan Dashboard’da, toplam raporlar, saldırı türleri, gözlemlenebilir dağıtımlar, hedeflenen ülkeler ve tehdit aktörlerinin olduğu gruplar bulunmakla birlikte buradaki veriler girilen raporlara ve saldırılara göre değişkenlik gösterir.

  • Analysis kısmında çeşitli kaynaklardan raporlar, fikirler ve dış referanslar,
  • Events kısmında olaylar, gözlemler ve gözlemlenebilir veriler,
  • Oberservations kısmında gözlemlenebilirler, göstergeler ve altyapılar,
  • Threats kısmında tehdit aktörleri, tehdit aktörlerinin kullandığı araçlar, zararlı yazılım türleri ve kampanyalar,
  • Arsenal kısmında zararlı yazılımlar, saldırı düzenleri, araçlar, zafiyetler,
  • Entities kısmında sektörler, ülkeler, şehirler, coğrafi konumlar, organizasyonlar, sistemler,
  • Data kısmında OpenCTI içindeki veri ve veri yönetimi bulunur.

Dashboard altındaki tablardaysa;

  • Overview kısmında varlık hakkında genel bilgi
  • Knowledge kısmında varlıklar arasındaki ilişkiler, gözlemlenebilirler ve göstergeler arasındaki ilişkiler,
  • Entities kısmında varlıklarla bağlantılı diğer varlıklar
  • Observables kısmında IP adresi, alan adları, karmalar gibi gözlemlenmiş olabilecek teknik unsurlar,
  • Data kısmında varlıklarla ilişkili dosyalar
  • Sightings kısmında gözlemlenebilir veya göstergelerin görüldüğü yer
  • Analysis kısmında varlığı içeren raporlar,
  • Indicators kısmındaysa kötü niyetli davranışlar için tespit kuralları bulunuyor.

Kullanıcılar OpenCTI platformunu kullanarak platform içerisinde bulunan her bir bilgi parçasının birincil kaynağına, bilgiler arasındaki bağlantılara, ilk ve son görülen tarihlere, güven seviyelerine, verileri yapılandırmaya, veri kümeleri uygulamaya kadar birçok işlem gerçekleştirebilir.

Kendi girdiğiniz veriler de dâhil olmak üzere tüm veriler OpenCTI analistleri tarafından aktifleştirilip işlendikten sonra, bu bilgilerin anlaşılması ve temsil edilmesini kolaylaştırması için mevcut olan verilerden yeni ilişkiler üretebilir. Bu sayede kullanıcılar, ham verilerden anlamlı bilgiler çıkarabilir ve bunlardan yararlanabilir.

Ayrıca OpenCTI, MISP, TheHive, MITRE ATT&CK gibi diğer araçlar ve uygulamalarla entegre edilebilir.

OpenCTI, yalnızca içe aktarmaya değil, aynı zamanda farklı biçimlerdeki verilerin dışa aktarılmasına da izin verir. 

OPENCTI NASIL KURULUR?

OpenCTI kurulumu için izlenebilecek çeşitli yöntemler olsa da genellikle önerilen Docker kullanılarak kurulmasıdır. Bunun yanı sıra VM üzerinde, manuel olarak veya Terraform’u kullanarak da OpenCTI kurabilirsiniz. 

Linux ve Windows’un desteklediği OpenCTI için ihtiyacınız olan bilgilere buradan erişebilirsiniz.

Teknik

BT yöneticileri açık kaynak yazılımları tuttu: “Diğer yazılımlardan çok daha fazlasını sunuyor”

Yorum yapın

Şirketlerin BT yöneticileri açık kaynaklı yazılımların diğer yazılımların sağladığı avantajların çok daha fazlasını verdiğini düşünüyor.

Açık kaynak çözümleri geliştiren Red Hat firması, binden fazla müşterisinin, analistlerin ve sektörde çalışan kişinin görüşleriyle hazırlanan dördüncü The State of Enterprise Open Source Raporu’nu paylaştı.

Bu yıl da dünyanın dört bir yanındaki orta ve büyük ölçekli şirkette çalışan 1300’den fazla BT karar vericisinin katıldığı bir anket düzenleyen Red Hat, öne çıkan bulguları şöyle sıraladı:

Red Hat geçen yıl ankete katılanlara kurumsal açık kaynak sağlayıcılarının açık kaynak projesine katkıda bulunmasının bir önemi olup olmadığını sordu. Önceki yıllarda aldığı cevaplara baktığında ise müşterilerinin genellikle iyi bir yazılımı daha uygun maliyete elde etmek için açık kaynağı tercih ettiğini gördü.

Ancak kurumsal açık kaynak yazılımının tercih edilme sebepleri artık sahip olma maliyetinin daha düşük olmasıyla sınırlı kalmıyor; zaman içinde, açık kaynağın yüksek kalitesi, güvenliği ve inovasyonlara erişim gibi özellikleri de öne çıktı. Katılımcıların yüzde 82’si de katkıda bulunan bir satıcıyı seçme olasılıklarının en azından biraz daha yüksek olduğunu söylemişti.

Teknoloji devleri gözünü 2021’de start-up’lara dikti

Bu yıl da aynı yüzdelik bir kesim projelere katkıda bulunan sağlayıcıları tercih etme ihtimalinin yüksek olduğunu belirtiyor. Red Hat de buradan yola çıkarak bu tercihin nedenini inceledi. Bu incelemeye başlarken cevabın, ihtiyaç duyulan özelliklerin geliştirilmesini desteklemek gibi sağlayıcıya olan faydalar etrafında şekilleneceğini düşünüyordu.

FİRMALAR AÇIK KAYNAK GELİŞTİRME MODELİ KONUSUNDA BİLİNÇLİ

Ankette bu tür seçenekler sıkça işaretlenmiş olsa da dikkat çeken başka seçenekler de oldu. Katılımcılar, açık kaynak projelerine katkı veren sağlayıcıları açık kaynak süreçlerini iyi bildiği ve açık kaynak topluluklarının sağlıklı bir şekilde gelişebilmesine yardımcı olduğu için de tercih ettiğini paylaşıyor. Bu da açık kaynak gelişim modelinin iyi bir şekilde anlaşıldığını gösteriyor.

Açık kaynak geliştirme modelinin daha etkili olması için açık kaynak projelerini kullanarak oluşturulan ürünler, oluşturduğu değerin bir kısmını açık kaynak topluluklarına geri veriyor. BT karar alıcılarının “neden” sorusuna verdiği bu yanıtlar, birçok şirketin kurumsal açık kaynaklı ürünleri kapalı kaynak ürünlerle aynı görmediğinin altını çiziyor.

Aksine daha farklı ve genellikle daha iyi bir geliştirme sürecinin ürünü olarak yorumluyor. Bu durum, kurumsal açık kaynağın kapalı kaynak yazılım karşısında neden daha başarılı olduğuna da ışık tutuyor.

Katılımcıların açık kaynağı neden güvenli gördüğü sorusuna verdiği cevap, birçok kişinin kodu inceleyebilmesi etrafında şekilleniyor. Her zaman kodları inceleyecek yeterli sayıda kişinin olmaması ve inceleyen kişilerin de gerekli beceriye sahip olmaması ise bu cevabın beraberinde getirdiği bir sorun oluyor. Ancak aynı zamanda açık kaynağın yeterince güvenli olmadığına dair sunulan “ama kötü adamlar kaynak kodunu görebilir” argümanını da boşa çıkartıyor.

Bu argümanlar, açık kaynağın güvenliğine dair bilgilerin sınırlı olduğu zamanlardan kalma görüşleri temsil ediyor.

GÜVENLİK YAMALARININ İNCELENEBİLMESİ TERCİH SEBEBİ

Günümüzde ise kurumsal açık kaynağın güvenliğinin neden daha iyi olduğu sorulduğunda “birçok kişinin kodu inceleyebilmesi”, verilen cevaplar arasında alt sıralarda yer alıyor. Şirketlerin kodu kendilerinin inceleyebilmesi ise daha da alt sıralarda yer alıyor.

Çünkü katılımcıların yüzde 55’i bu sorunun cevabını “ekiplerinin detaylıca test edilmiş açık kaynak kodu şirket içi uygulamalarda kullanabilmesi” olarak veriyor. Ayrıca yazılım tedarik zinciri güvenliğinin önemini artırdığı bu dönemde BT liderleri, kurumsal açık kaynağı şirket içinde kullanabilme imkanının hala büyük bir net fayda olduğunu söylüyor. Çünkü uygulama geliştiren birçok şirket, bu yöntemi tercih ediyor.

Yazılımların kullanıcılara hızlıca ulaştırılabilmesi, detaylıca belgelenebilmesi ve güvenlik yamalarının incelenebilmesi ise kurumsal herhangi bir yazılımda olduğu gibi kurumsal açık kaynak yazılımların da başta gelen diğer tercih edilme sebepleri arasında yer alıyor.

Özetle, kurumsal açık kaynak, açık kaynak lisanslamanın esnekliğinden ve açık kaynak geliştirme modelinden elde edilen faydaları sunuyor ve kapalı kaynak yazılımla aynı olumlu özelliklerin çoğunu barındırıyor. Bu sayede kullanımı da gün geçtikçe artıyor.

Teknik

Küba fidye yazılım çetesi ABD’yi hedefliyor!

Yorum yapın

Siber güvenlik şirketi Mandiant, son iki yılda operasyonlarını artıran ve ABD’li 49 kritik altyapının güvenliğini ihlal eden “Küba” fidye yazılım operasyonuyla ilgili araştırma raporunu yayımladı.

Küba fidye yazılımı operasyonu, kurumsal ağları ilk erişim elde etmek ve cihazları şifrelemek için Microsoft Exchange zafiyetlerini istismar ediyor.

Fidye yazılım çetesi kendilerini COLDDRAW olarak tanımlarken siber güvenlik firması Mandiant, çeteyi UNC2596 olarak isimlendirdi. Buna rağmen çete daha çok “Küba” olarak biliniyor.

Küba fidye yazılımı, 2019’un sonlarında yavaş yavaş ortaya çıkarken 2020 ve 2021 yıllarında pik yaptı. Küba fidye yazılım çetesinin artan faaliyetleri FBI’ın dikkatini çekmiş ve 2021 yılının aralık ayı sonunda Küba fidye yazılım çetesinin ABD’deki 49 kritik altyapıyı ihlal ettikleri hakkında uyarı yazısı yayımlamıştı.

Küba fidye yazılımı üzerine araştırma yapan Mandiant, fidye yazılımının işleyişine ve çetenin geçmişine dair önemli ayrıntılar sunduğu raporu paylaştı. Söz konusu raporda Mandian, Küba operasyonunun öncelik olarak ABD’yi sonrasında da Kanada’yı hedef aldığını ortaya çıkardı. 

FİDYE YAZILIM ÇETESİ NASIL ÇALIŞIYOR?

Küba fidye yazılım çetesi, Ağustos 2021’den beri hedef ağda yer edinip web shell’ler, RAT’lar ve arka kapılar dağıtmak için Microsoft Exchange zafiyetlerini istismar ediyor.

Mandiant araştırmacıları ayrıca çetenin, kritik Microsoft Exchange zafiyetlerinden olan ProxyShell ve ProxyLogon zafiyetlerini de kullandığını belirtti.

Çetenin yerleştirdiği arka kapılar Cobalt Strike ve NetSupport Manager adlı uzaktan erişim araçlarını içerse de grup ayrıca kendi “Bughatch, Wedgecut, eck.exe ve Brntcigar” araçlarını kullanıyor.

Wedgecut, Active Directory’yi PowerShell aracılığıyla sıralayan bir keşif aracı olan “check.exe” adlı yürütülebilir bir dosya şeklinde çalışıyor.

Bughatch’se C&C sunucusundan PowerShell dizi ve dosyalarını getiren bir indirici olarak işlev görüyor. Bughatch, algılamadan kaçmak içinse uzak bir URL’den belleğe yükleniyor.

Burntcigar’sa, genelde APT gruplarının ticari amaçlı zararlı yazılımlarında kullandığı, sürücülerdeki zafiyetleri istismar edip çekirdek veya kernel seviyesinde işlemleri sonlandıran “Bring Your Own Vulnerable Driver” saldırısı için kullanılan bir araç olarak biliniyor.

2021’in öne çıkan fidye yazılım saldırıları

Çete, birbirlerinden farklı işlevlerde olan bu araçların yanında Mimikatz ve Wicker araçları aracılığıyla da çalınmış hesap bilgilerini kullanarak ayrıcalık yükseltiyor.

Ardından Wedgecut ile ağ keşfi gerçekleştiren çete, RDP, SMB, PsExec ve Cobalt Strike ile de yanal hareket ediyor.

Küba fidye yazılım çetesi ayrıca kurbanlarına aşağıdaki fidye notunu bırakıyor.

 KÜBA ÇETESİ KABİLİYETLERİNİ GELİŞTİRİYOR

Mayıs 2021’de Küba fidye yazılımı, DocuSign kimlik avı e-postaları aracılığıyla kurumsal ağlara erişim sağlamak için Hancitor zararlı yazılımının operatörleriyle iş birliği içine girmişti.

O zamandan beri Küba, operasyonlarını Microsoft Exchange ProxyShell ve ProxyLogon zafiyetlerini hedef alacak şekilde geliştirdi.

Çetenin yaptığı bu değişiklik, saldırılarını daha güçlü hâle getirmesinin yanında istismar edilen zafiyetlerin güvenlik güncellemelerinin olması da çetenin engellenmesini kolaylaştırıyor.

Microsoft Exchange sunucuları için güvenlik güncellemelerini yapmayan kullanıcı kalmadığında Küba fidye yazılım operasyonunun dikkatini diğer güvenlik zafiyetlerine çevirmesi olası duruyor.

Söz konusu durum, ortaya çıkan zafiyetlerin ve yapılan güvenlik güncellemelerinin ne kadar kritik olduğunu gösteriyor.

Teknik

Microsoft, üç kritik 0-day zafiyetini giderdi

Yorum yapın

ABD’li teknoloji devi Microsoft, aralarında üç 0-day zafiyeti bulunan toplam 71 güvenlik açığını giderdi.

Firma yayımladığı güncellemelerle 25 Ayrıcalık yükseltme, 29 RCE, 3 Güvenlik Özelliği Atlama, 6 Bilgi İfşası, 4 Hizmet Reddi ve 3 de Spoofing zafiyetleri olmak üzere toplam 71 güvenlik zafiyetini onardı.

Ayrıca yayımladığı güncellemelerle birlikte Microsoft, Microsoft Edge’de bulunan 21 güvenlik zafiyetini de giderdi.

Söz konusu zafiyetlerin üçü kritik olarak sınıflandırılırken kalan 68 zafiyet de önemli olarak sınıflandırıldı.

KRİTİK ZAFİYETLER HALİHAZIRDA İSTİSMAR EDİLİYOR

Microsoft’un kapattığı üç 0-day’in istismar edilmediği biliniyor. Söz konusu 0-day’ler arasında bulunan CVE-2022-21990 kodlu ve 8,8’lik kritiklik seviyesine sahip 0-day Remote Desktop Client’ta bulunuyor ve RCE’ye imkân sağlıyor.

 

CVE-2022-24459 kodlu ve 7,8’lik kritiklik seviyesine sahip 0-day Windows Faks ve Tarama yazılımında bulunuyor ve ayrıcalık yükseltmeye imkân sağlıyor. CVE-2022-24512 kodlu ve 6,3’lük kritiklik seviyesine sahip 0-day de NET and Visual Studio’da bulunurken RCE’ye imkân sağlıyor.

Microsoft’un Outlook 0-day zafiyetlerini bulana 400 bin dolar ödül

Bunların yanında Microsoft, siber tehdit aktörleri tarafından hedeflenen bazı güvenlik zafiyetlerini giderdi. ,

Bunlar arasında CVE-2022-24508 kodlu ve 8,8’lik kritiklik seviyesine sahip Windows SMBv3 Client/Server’da bulunan ve RCE’ye olanak tanıyan zafiyetle CVE-2022-23277 kodlu ve 8,8’lik kritiklik seviyesine sahip Microsoft Exchange Server’da bulunan ve RCE’ye olanak tanıyan zafiyetler bulunuyor.

Windows kullanıcıları, ortaya çıkabilecek güvenlik risklerinden korunmak ve zafiyetleri gidermek için Mart ayı güncellemelerini yüklemeleri gerekiyor.

Teknik

Rusya, Ukrayna’ya yeni Data Wiper’la saldırıyor

Yorum yapın

Rusya’nın Ukrayna’daki bazı hedeflere karşı başarısız olunca, yeni siber silahlar geliştirerek saldırılarını devam ettiriyor.

Ukrayna’yı hedef alan siber saldırıları sonrası yeni bir data wiper zararlı yazılımı tespit edildi.

Daha önce Rusya’nın kullandığı HermeticWiper’dan etkilenmeyen bir kurumda, IsaacWiper adlı veri yok eden data wiper zararlı yazılımının 24 Şubat’ta başlayan saldırılarda devreye sokulduğu tespit edildi.

RUSLARIN SALDIRI ÖNCESİ ERİŞİMİ VARMIŞ

Rusya destekli olduğu tahmin edilen tehdit aktörleri söz konusu yazılımla, Ukrayna’daki devlet kurumlarının bilgisayar sistemlerini devre dışı bırakmayı hedefliyor.

IsaacWiper’ın Rusya’yla ilişkin olduğuna dair henüz somut bir kanıt bulunamazken, siber tehdit unsurlarının yazılımın bulaştığı sistemlerin Active Directory sunucularına önceden erişimi olduğu ortaya çıktı.

Tehdit aktörlerinin ayrıca IsaacWiper’la saldıp hedefine ulaşamadığı yerlerde yazılımın yeni bir versiyonunu 25 Şubat’ta kullanmaya başladığı anlaşıldı.

Ukraynalı hackerlar Rusya’ya saldıran oyun tasarladı

Saldırganların sistemlere erişmek için Impacket ve RemCom adlı uzaktan erişim yazılımlarını kullandığından şüpheleniliyor.

FARK EDİLMEMEK İÇİN KENDİSİNİ SİLİYOR

Ukrayna’da tespit edilen ilk datawiper olan HermeticWiper ile ilgili yapılan araştırmalarda zararlı yazılımın saldırı izlerini silmek için kendi dosyalarını ortadan kaldırdığı ve böylece fark edilmekten saklandığı belirlendi. 

Windows işletim sistemi kullanan cihazları hedef alan HermeticWiper, Windows’ta bulunan Master Boot Record (Ara Önyükleme Kaydı) özelliğini kullanarak sistemlerin boot hatasına vermesine neden oluyor. Bu yolla kritik bilgilerin bulunduğu sistemler erişilemez hale geliyor.

Ön yükleme kaydı bozulduktan sonra, sahte bir fidye yazılımı gönderiliyor ve dosyalar şifreleniyor.

Üç aşamalı olarak programlanan söz konusu yazılım, önce verileri silmek için HermeticWiper’ı kullanıyor sonra yerel ağda yayılmak amacıyla HermeticWizard çalışıyor. Son aşamada ise tuzak bir fidye yazılımı olarak da HermeticRansom devreye sokuluyor.