Hedef, yüzey, zayıf nokta

Bir saldırı, filmdeki gibi tek tuşla başlamaz. Kimse klavyeye rastgele vurup içeri girmez.

Saldırgan önce bir hedef seçer. Sonra o hedefin dışarıya ne kadar açıldığını çıkarır. Bu iki adım kalan her şeyin zeminidir.

Hedef seçimi çoğu zaman fırsatçıdır: değeri yüksek ve savunması zayıf olan öne geçer. Bu derste yüzeyin üç türünü tanıyacaksın. Hedefe dokunmadan yüzey çıkarmayı, unutulmuş varlıkları bulmayı ve envanter tutmayı göreceksin. Ayrıca saldırganın her kararını belirleyen tek ölçüyü, yani maliyeti çözeceksin.

Hedefin dışa açıklığının adı saldırı yüzeyidir (attack surface). OWASP yüzeyi şöyle tanımlar: uygulamaya giren ve çıkan tüm veri yollarının, bu yolları koruyan kodun ve değerli verinin toplamı. NIST daha kısa söyler: saldırganın girmeyi, etki bırakmayı ya da veri çekmeyi deneyebileceği sınır noktaları. İki tanım da aynı yere bakar.

Web sitesi, e-posta sunucusu, uzaktan erişim paneli ve mobil uygulama bu yüzeye girer. İnsan da girer. Kendini herkese açık tanıtan bir çalışan, oltalama için hazır bir hedeftir.

Yüzeyi üç kümeye ayırmak işini kolaylaştırır. Dijital yüzey ağ üzerinden ulaşılan her şeydir: alan adları, web uygulamaları, API'ler, açık portlar ve bulut depoları. Fiziksel yüzey elle dokunulan kısımdır.

Bina girişi, kilitsiz bir dizüstü bilgisayar ve otoparkta bulunan bir USB bellek buraya girer. İnsan yüzeyi ise çalışanlar ve onların paylaştıklarıdır. Kurumsal e-posta biçimi, iş ilanındaki yazılım listesi ve ofisten paylaşılan bir fotoğraf bu kümededir.

Üç küme birbirini besler. İş ilanında adı geçen VPN ürünü dijital yüzeyi ele verir. Bir çalışan profili, oltalama e-postasının kime gideceğini söyler.

Yüzeyi bir binanın dış cephesi gibi düşün. Kapılar, pencereler, havalandırma, bodrum kapağı. İçeride kaç oda olduğu hırsızı ilgilendirmez. O yalnız dışarıdan görüp ulaşabildiğiyle çalışır.

MITRE ATT&CK bu gözlem işini Keşif taktiğinde tek tek sayar. T1590 (Gather Victim Network Information) ağ bilgisini toplamaktır: IP aralıkları, alan adları, DNS kayıtları. T1591 (Gather Victim Org Information) kurumun yapısına bakar: birimler, iş ortakları, çalışan rolleri. Bu numaraları tanımak işine yarar, çünkü tespit kuralları ve olay raporları aynı dili konuşur.

Şemadaki her durak ayrı bir yüzey parçasıdır. DNS yanlış yapılandırılır, güvenlik duvarında fazladan bir port açık kalır, web sunucu eski sürümle çalışır. Saldırgan hattı soldan sağa okur ve en zayıf durağı işaretler.

Tek bir durak bile tüm zinciri açabilir. Aynı okuma insan yüzeyinde de geçerlidir. Resepsiyon, destek hattı ve ortak e-posta kutusu da birer duraktır. Parolayı telefonla sıfırlayan bir destek hattı, yamalı bir sunucudan daha kolay açılır.

Yüzeyi çıkardıktan sonra saldırgan zayıf nokta arar. Zayıf nokta, yüzeyin savunması eksik kalmış parçasıdır. Üç biçimde karşına çıkar. Birincisi yazılım açığıdır: güncellenmemiş bir sürüm ya da girdiyi denetlemeyen bir arama kutusu.

İkincisi yanlış yapılandırmadır: varsayılan parolayla bırakılmış bir panel ya da herkese açık bir bulut deposu. Üçüncüsü insan hatasıdır: tekrar kullanılan bir parola ya da sahte bir e-postaya verilen yanıt. Saldırgan üçüne de aynı gözle bakar. Hangisi daha az emekle kapıyı açıyorsa ona yönelir.

Burada çoğu kişi yanılır. Saldırgan en gösterişli açığı seçmez. En ucuzunu seçer. Ucuz demek hem kolay hem sessiz demektir.

Sıfırıncı gün açığı, yani üreticinin henüz bilmediği bir açık için istismar yazmak haftalar alır. Sızdırılmış bir parolayı denemek birkaç saniye sürer. İki yol aynı kapıyı açıyorsa ucuz olan kazanır. Ucuzluğun bir yanı da tekrar kullanımdır.

Hazır bir araç binlerce hedefte aynı anda çalışır. Bu yüzden çoğu saldırı sana özel değildir. Otomatik bir tarama, zayıf noktanı başka yüzlerce kurumla birlikte bulur.

Maliyet hesabı savunmanın işini kolaylaştırır. Saldırıyı imkânsız yapmak zorunda değilsin. Pahalı yapman yeter. CISA'nın anlatımıyla, çok adımlı doğrulama açıkken çalınan parola tek başına kapıyı açmaz.

Saldırgan ikinci bir engelle karşılaşır ve maliyeti birden yükselir. Küçük bir siteye kimse özel açık yazmaz; aynı siteye sızdırılmış parola listesiyle girilir. Her savunma kararını tek bir soruyla sına: bu önlem saldırganın en ucuz yolunu pahalı hâle getiriyor mu? Cevap evetse bütçen doğru yere gidiyor.

Saldırgan yüzeyi çıkarırken önce hedefe dokunmayan kaynaklara bakar. En verimlisi sertifika şeffaflık (Certificate Transparency, CT) kütükleridir. Bir alan adı için TLS sertifikası alınınca sertifika herkese açık kütüklere yazılır.

Sertifikada hangi adlar varsa kütükte de onlar görünür. crt.sh bu kütükleri arayan ücretsiz bir servistir. MITRE bu yöntemi T1596.003 (Digital Certificates) olarak listeler.

Sorgu hedefin sunucusuna değil, üçüncü taraf bir veritabanına gider. Hedefin loglarında tek satır oluşmaz. Aşağıdaki sorgu, hedef.example alan adını kullanan şirketin bütün alt adlarını ister.

$ curl -s "https://crt.sh/?q=%25.hedef.example&output=json" \
    | jq -r '.[].name_value' | sort -u
*.hedef.example
api.hedef.example
hedef.example
kampanya2024.hedef.example
mail.hedef.example
test-eski.hedef.example
vpn.hedef.example
www.hedef.example

Komutu parça parça oku. curl -s isteği sessiz modda yollar ve ilerleme çubuğunu gizler. Adresteki %25, yüzde işaretinin adres içindeki yazımıdır.

crt.sh bu işareti joker olarak okur, yani hedef.example ile biten her adı getirir. output=json yanıtı makinenin okuyacağı biçimde ister. jq -r '.[].name_value' her kaydın ad alanını düz metin olarak çeker.

sort -u listeyi sıralar ve tekrarları atar, çünkü aynı ad onlarca sertifikada geçer. Çıktıdaki *.hedef.example bir joker sertifikadır. Onun kapsadığı alt adları bu listede göremezsin.

Şimdi listeyi saldırgan gözüyle oku. api ve vpn ilgi çeker, çünkü ikisi de giriş kapısıdır. test-eski ve kampanya2024 ise daha değerlidir.

Birinci addaki eski sözcüğü ve ikinci addaki yıl, bakımın çoktan bittiğini ima eder. Liste bir kanıt değil, bir yapılacaklar listesidir. Adların bir kısmı artık çözülmez, bir kısmı başka sunucuya taşınmıştır.

Savunan için ders nettir: bu listeyi saldırgandan önce sen çıkar. Aynı komutu kendi alan adınla düzenli çalıştır ve tanımadığın her adı sahibine sor.

curl -s "https://crt.sh/?q=%25.hedef.example&output=json" | jq -r '.[].name_value' | sort -u

Yüzeyin bir de zamanla büyüyen yanı var. Şirket yeni bir kampanya sitesi açar. Bir geliştirici test ortamını dışarı açık bırakır.

Bir ekip, BT birimine sormadan bir bulut hizmetine üye olur. Bu sonuncusuna gölge BT (shadow IT) denir. Satın alınan başka bir şirketin ağı da içeri bağlanır.

Kimse bu varlıkları listeden silmez, çünkü liste çoğu yerde hiç tutulmaz. Gerçek olayların önemli kısmı bu unutulmuş varlıklardan çıkar. Bakımsız bir panel, bakımlı ana sistemden çok daha kolay hedeftir. Yamasızdır, izlenmez ve sahibi çoktan başka işe geçmiştir.

En sinsi unutulmuş varlık, sahipsiz kalmış bir DNS kaydıdır. Desen gerçek olaylarda sık görülür. Pazarlama ekibi bir kampanya için kampanya2024.hedef.example adını açar.

Ad, bir bulut barındırma hizmetindeki sayfaya CNAME kaydıyla bağlanır. Kampanya biter, buluttaki sayfa silinir. DNS kaydı ise yerinde kalır.

Başka biri aynı hizmette aynı sayfa adını kendi hesabına alırsa, senin alan adın onun içeriğini gösterir. Buna alt alan devralma (subdomain takeover) denir. Ana site yamalı ve izlenirken bu ad kimsenin listesinde yoktur. Oltalama sayfası artık güvenilir bir alan adının altında durur.

$ dig +short CNAME kampanya2024.hedef.example
kampanya2024.bulutsayfa.example.
$ dig +short A kampanya2024.bulutsayfa.example
$ curl -s https://kampanya2024.hedef.example | head -1
<h1>404: Bu sayfa hesabı bulunamadı</h1>

Çıktıyı satır satır yorumla. İlk komut, adın hâlâ bulut hizmetindeki bir adrese yönlendiğini gösterir. İkinci komut boş döner, yani o bulut adının artık bir IP adresi yok.

Üçüncü komut hizmetin hesap bulunamadı sayfasını getirir. Üç işaret birlikte sahipsiz kayıt (dangling DNS) demektir. Çözüm ya kaydı silmek ya da kaynağı yeniden sahiplenmektir.

OWASP'ın web güvenliği test rehberi bu kontrolü ayrı bir test olarak sayar. Bu kontrolü yalnız kendi alan adlarında ya da yazılı iznin olan hedefte yap. Kampanya kapatma listene de bir satır ekle: sayfa silinmeden önce DNS kaydı silinir.

Savunmanın cevabı saldırı yüzeyi yönetimidir (Attack Surface Management, ASM). ASM yüzeyi bir kez değil, sürekli çıkarır. Yeni bir ad, yeni bir port ya da yeni bir sertifika görünce uyarı üretir. Temeli sade bir envanterdir.

CIS Controls listesinin ilk iki kontrolü tam bunu ister. Birinci kontrol kurumun bütün varlıklarını listeleyip izlemeyi ister: kullanıcı cihazları, ağ cihazları, nesnelerin interneti (IoT) cihazları ve sunucular. Varlık fiziksel, sanal, uzaktan bağlı ya da bulutta olabilir.

İkinci kontrol aynı işi yazılım için ister. Aşağıdaki tablo küçük bir dış envanterin nasıl göründüğünü gösterir. Sahip sütunu en önemli sütundur, çünkü sahibi olmayan varlığı kimse yamamaz.

VARLIK                      DIŞA AÇIK        SAHİP        KRİTİKLİK   SON GÖRÜLME
www.hedef.example           443/tcp          Web ekibi    Yüksek      2026-09-27
vpn.hedef.example           443/tcp          BT altyapı   Yüksek      2026-09-27
api.hedef.example           443/tcp          Mobil ekip   Yüksek      2026-09-26
test-eski.hedef.example     22/tcp, 80/tcp   ?            Bilinmiyor  2026-09-02
kampanya2024.hedef.example  CNAME, IP yok    Pazarlama?   Orta        2024-12-15

Tabloyu iki gözle oku. Savunan göz sahip ve son görülme sütunlarına bakar. test-eski satırında sahip yok, kampanya2024 satırında IP yok. İkisi de bu hafta kapanmalı.

Saldırgan gözü ise maliyet, gürültü ve değer sorar. Onun için en ucuz satır, sahibi olmayan ve 22. portu açık bırakan test sunucusudur. Savunmanın ilk işi kahramanlık değil, envanterdir.

Kendi yüzeyini saldırgandan önce çıkarırsan kapatacağın kapıların listesi elinde olur. Çıkarmazsan o listeyi senin adına saldırgan hazırlar.