Giriş
Bu yazımızda; internet sitelerine yönelik gerçekleştirilen yetkisiz erişimler sonucu olayın çözümlenmesi ve şüpheli/şüphelilerin tespitine yönelik çalışmaların yapılması hakkında bilgilere değinilecektir.

Olay Oldu Ama Nasıl Olmuş Olabilir?
Bir internet sitesinin hacklendiğini ve bu konuyla ilgili inceleme yapılması istendiğini düşünelim. Peki bu işleme nereden başlayacağız? Nerelere bakmamız gerekiyor? Tüm bu sorulara doğru cevap verebilmek için öncelikle bir internet sitesinin hangi yöntemlerle hacklenmiş olabileceğini bilmemiz akabinde ise doğru kayıtlara göz atılması gerekmektedir.
Bu nedenle hacklendiği belirtilen internet sitesi ile ilgili inceleme işlemine başlamadan önce başlangıçta;
  • Saldırının ne zaman fark edildiği ?
  • Sitede ne tür bir değişikliğin olduğu ?
    • Siteye erişim sağlanamaması (dos/ddos saldırıları)
    • Siteye index atılması, içeriğin, dosyaların vb. değiştirilmesi
    • Sitenin başka bir yere yönlendirilmesi vb.
vb. soruların cevaplarının alınması ilk tespit noktasında oldukça önemlidir.
Sitedeki değişiklik bilgisini önce kendi analizlerimiz sonucu ve sonrasında site sahibinin beyanı doğrultusunda edindikten sonra ilgili log kayıtlarının incelenmesi ya da şüphelinin tespitine yönelik diğer bilgilerin tespitine yönelik çalışmaların yapılması gerekmektedir. Tam bu noktada internet sitesinin nasıl hacklendiği konusunu netleştirmek oldukça önemlidir. Fakat erişim log kayıtlarının analizi noktasında da dikkat edilmesi gereken önemli hususlar bulunmaktadır. Bu hususlara yazımızın sonunda detaylı bir şekilde değineceğiz.

İnternet Sitesi Nasıl Hacklenmiş Olabilir?
Bir internet sitesine yetkisiz erişim gerçekleştirmek için pek çok yöntem bulunmaktadır. Günümüzde en sık görülen yöntemlerden bahsedecek olursak;
  • Web uygulamasındaki zafiyetlerden faydalanılarak,
  • Sunucuya sızılması, (Sunucunun ya da sunucuda barınan başka bir sitenin zafiyetinden faydalanılarak)
  • Yönetim panelinin (admin/parola) ele geçirilmesi sonucu,
  • FTP kullanıcı adı ve şifrelerinin ele geçirilmesi sonucu,
  • Siteye dışarıdan dahil edilen dosyalar (js vb.),
  • Alan adı kayıt firmasının ya da firmada bulunan üyeliğinizin ele geçirilmesi sonucu (ns değiştirilerek vb.)
vb. yöntemler ile bir internet sitesi hacklenmiş olabilir. Tüm bu durumlar göz önünde bulundurulduğunda; ftp kullanıcı adı ve şifreleri başkasının eline geçmesi sonucu hacklenen bir internet sitesi ile ilgili erişim log kayıtlarından ziyade FTP log kayıtlarına bakılması gerekmektedir.

Ya da alan adı kayıt firmasındaki üyelik bilgilerinin başkasının eline geçmesi sonucu name server bilgileri değiştirilerek başka bir sayfaya yönlendirilen bir internet sitesinin erişim log kayıtlarını incelemekden ziyade; alan adı kayıt firmasına girerek name server bilgilerini değiştiren kullanıcının tespiti oldukça önemlidir.


Son bir örnek verecek olursak; dışarıdaki bir siteden sitemize dahil ettiğimiz bir dosyada yapılan değişiklik sonucu sayfamız hacklenmiş gibi gözükebilir.


Ki bunun en güzel örneğini 2014 yılında görüldü. Dünyada birçok kullanıcısı olan sosyal giriş servisi Gigya’ya Suriye Elektronik Ordusu tarafından gerçekleştirilen saldırıda yerleştirilen javascript kodu sebebiyle yemeksepeti, Ferrari, Forbes, The Telegraph, Al Jazeera gibi bir çok platform saldırıdan nasibini aldı.



Erişim Log Kayıtlarının Analizinde Dikkat Edilmesi Gereken Hususlar
  • Loglar dosyaları sistemler üzerinde farklı şekillerde tutulabilir. Log dosyasının yanlış veya eksik tutulması, sonrasında birçok probleme yol açabilir. Bu nedenle log dosyalarının eksiksiz ve düzenli bir şekilde tutulması gerekmektedir.
  • Log dosyalarında encode edilmiş karakterler ile karşılaşılabilir. Bu tarz durumlarda sağlıklı tespit yapılabilmesi için bu tarz satırların normale çevrilmesi gerekmektedir.(base64,hex,url,html vb.)
  • Log dosyalarında inceleme işlemleri gerçekleştirirken çeşitli program ve uygulamalardan yararlanabilirsiniz. Fakat en sağlıklısı kesinlikle bir linux dağıtımında komutlardan faydalanarak manuel kendi inceleme işleminizi yapmanızdır.
  • İnceleme esnasında gereksiz satırları dosyadan temizleyerek işleminizi kolaylaştırabilirsiniz. Örnek: gif, jpg, png vb. gibi.
  • 404 satırları bazı sistem yöneticileri tarafından gereksiz olarak görülmektedir. Ama unutmayınız ki bazı 404 satırları sizlere çok önemli bilgiler verebilir.
  • Erişim log kayıtlarında POST isteklerinden gelen veri (payload) kısmı tutulmamaktadır. Bu yüzden web sunucu log dosyalarında POST isteklerine bakarak saldırı tespit etmeniz mümkün değildir. POST ile gönderilen veriler üzerinde herhangi bir saldırı tespiti yapabilmek için WAF, Load Balancer ve IPS/IDS sistemleri tarafından tutulan log kayıtlarının incelenmesi gerekmektedir. Network üzerinden POST isteğinin detayları incelenerek saldırı izleri tespit edilebilir.
    • WAF (Web Application Firewall): Bu sistemler sayesinde internet trafiğinde analizler yapılır herhangi bir farklılık tespit edildiğinde engelleme işlemi gerçekleştirilmektedir.
    • Load Balancer: Adından da anlaşılacağı üzere network üzerindeki trafiği dengeleme işlemidir. İstemciden hedef web sunucusuna yapılan isteklerin/bağlantıların bant genişliği vb. kriterlere göre dağıtılarak yollanılmasına Load Balancing denmektedir.
    • IDS (Intrusion Detection Systems): Saldırı tespit sistemi olan IDS sistemleri sayesinde ağda kötü niyetli bağlantılar tespit edilir ve log kayıtları tutulur.
    • IPS (Intrusion Prevention Systems): Saldırı önleme sistemi olan IPS İle ağdaki kötü niyetli bağlantılar tespit edilir ve doğrudan engellenir.
  • GET istekleri URL adres satırında yer aldığı için web sunucu loglarında oldukça önemlidir. Siteniz URL adreslerine yapılan istekleri detaylı bir şekilde web sunucu log dosyalarında görebilirsiniz.Örneğin; GET istekleri üzerinden basit sql, xss saldırı ataklarına ait izler tespit edilebilir.
  • Log dosyaları incelenirken yönetimsel vb. kritik dizinlere erişim sağlayan IP adreslerinin tespit edilmesi oldukça önemlidir. Bu gibi durumlarda hazır sistemler kullanıldığı takdirde yönetimsel dizinlerinin bilinmesi oldukça fayda sağlayacaktır. Saldırıya maruz kalan site kendine özgü bir script kullanıyor ya da yönetimsel dizini değiştirdiyse mutlaka incelemeye başlamadan önce öğrenilmesi fayda sağlayacaktır.
  • IP adresleri tespit edilirken mutlaka tarih, saat, dakika ve saniye bilgisi daha da önemlisi zaman dilimi mutlaka belirtilmelidir. Sunucu saatinin doğru olup olmadığının sistem yöneticisi ile görüşülerek netleştirilmesi faydalı olacaktır.
    • Kayıtlarda port bilgisi var mı?
  • Bir log dosyasının sağlıklı bir şekilde analiz edilebilmesi için inceleyen kişinin deneyimli ve web zafiyetleri/saldırıları hakkında bilgi sahibi olması gerekmektedir.
  • Proxy/çeşitli VPN uygulamalarının kullanımı ya da doğrudan sunucuya gerçekleştirilen yetkisiz erişim vb. yöntemlerin kullanılması sonucu saldırgan şahsın tespiti erişim log kayıtlarının incelenmesi ile mümkün olmayabilir.
  • Sistem yöneticisi ile görüşülerek saldırının hangi tarihte ya da hangi tarihler arasında gerçekleştirilmiş olabileceği netleştirilmelidir. Fakat gelen bilgiye bağlı kalmadan log kayıtlarında saldırı tarihinden 1 ay öncesi ve 10 gün sonrasına kadar sürecin incelenmesi faydalı olacaktır.
  • Örnek: Kamu internet sitesinin Cuma günü hacklenmesi bilgi işlemcinin saldırıyı Pazartesi günü siteyi açıp fark etmesi ve saldırı tarihinin Pazartesi olarak beyan etmesi.
    • Zone-h
    • Açık Kaynak
    • Log Kayıtları
Sonuç
Yazımızda belirtilen hususlar göz önünde bulundurularak saldırı öncesi, olayın nasıl gerçekleştiğinin netleştirilmesi oldukça önemlidir. Olayın netleşmesinin akabinde ilgili log kayıtlarının incelenmesi mi, yoksa komple sunucunun imajının alınarak mı incelenmesi gerektiğine karar verilebilir. Belki de sorun, dışarıdaki bir servisten dahil edilen bir dosyadan kaynaklandığı için incelemeye gerek kalmadan tedbir almak yeterli olacaktır.

Kaynak :