Windows Sunucularda Gerçek Zamanlı SYN-Flood Tipi Saldırı Tespiti - Nass oluyor da oluyor?

Bu yazıda network ya da güvenlik ekibinden gereken ilgi ve alakayı bulamayan ve kendi göbeğini kendisi kesmek isteyen Windows sistem yöneticileri için özellikle SYN-Flood tipindeki saldırıları gerçek zamanlı nasıl tespit edebileceklerini anlatacağım.Daha önce ziyaret etmemiş olanlar için hatırlatayım, blogun düstur'u mümkün olduğunca "az bilineni anlatmak",bu nedenle Syn Flood nasıl bir saldırı tipidir,felsefesi nedir, hangi araçlarla yapılır gibi kolay erişilebilir bilgiler için bu linki tıklayabilirsiniz. :)

İlk paragrafta belirttiğim gibi saldırıyı gerçek zamanlı tespit etmek amacımız.Dolayısıyla

netstat -ano | find "SYN_RECEIVED"

gibi komutlar pek işinize yaramaz (bu komut ve türevlerine SYN saldırı tespit etme komutu diyenler bile var ),ağır bir saldırı anında komut satırını bile açmakta zorlanırsınız, netstat komut çıktısını almak dakikalar bile sürebilir.Bu nedenle başka bir yol izleyeceğiz, performans ölçütleri ( counters ).

Siber Güvenlik Kurulu Üzerine

Bir kulağınız BT güvenlik sektöründeki haberlerdeyse eğer, yakın zamanda Ulaştırma Denizcilik ve Haberleşme Bakanlığı başkanlığında "Siber Güvenlik Kurulu" isimli bir kurulun kuruluşundan da haberdarsınızdır. Uzun süredir yokluğu hissedilen ve dillendirilen böyle bir yapının bu sene içerisinde hayat bulmasında çeşitli hacktivist grupların özellikle kamu kurumları bilgi sistemleri üzerindeki başarılı sızma,ele geçirme,servis dışı bırakma saldırılarının etkisi olmuştur mutlaka. Eksiklik o derece hissediliyordu ki, haberin duyulmasıyla "oh be nihayet" sesleri yükseldi. Böyle bir yapının/otoritenin gerekliliği tartışılmaz ve kesindir ama "Çamurdan da olsa bir kurul olsun" düşüncesiyle resmi gazetede yayınlanan 2 sayfalık karar bile yeterli geldi sanıyorum birçoğuna.
İlişkili kararda insanı gülümseten ve "kurulun güvenlik belgesi verecek olması" gibi güldürürken düşündüren, aynı zamanda yerli güvenlik pazarını teşvik edici ve destekleyici maddeler var. Ulaştırma Denizcilik ve Haberleşme bakanımızın bulut bilişimle ilgili söylemlerinden sonra (bkz youtube) kurulun kamu kurumları bilgi sistemleri güvenliğine kazandıracağı değeri merakla bekliyorum.

IIS 7,7.5'de Maximum Query String değeri ve önemi - Nass oluyor da oluyor?

IIS 7 (Windows 2008) ve 7.5 (Windows 2008 R2) ile birlikte gelen "Request Filtering" isimli güzel bir ek özellik daha doğrusu Role Service var daha önceki yazıları takip edenler hatırlayacaktır. Windows 2008 ve 2008 R2 işletim sistemlerine IIS rolü kurmaya çalıştığınızda bu rol hizmeti de varsayılan olarak yüklenecekler listesine eklenir tabi siz özellikle kutucuktaki "tick" işaretini kaldırmazsanız.Bu rol hizmeti temel olarak daha önceki IIS versiyonlarına uygulanabilen URLScan aracındaki fonksiyonları ve daha fazlasını kullanılabilir hale getirir. Bu fonksiyonlardan biri de dinamik web sayfalarınıza gönderilen query stringleri sınırlama özelliğidir.
Request Filtering rol hizmetini yükleseniz de yüklemeseniz de IIS sunucunun loglarında "cs-uri-query" sütununda dinamik sayfalar için görebileceğiniz "Query String" uzunluğu 4096 karakterdir.Dinamik sayfalarınıza gelen query string uzunluğu 4096 karakterden uzunsa IIS "cs-uri-query" sütununa karşılık gelen alana Resim 1'de gösterildiği gibi  3 nokta ( "..." ) karakteri ekler.

Resim 1

Low Orbit Ion Cannon ( LOIC ) ve Http Redirection Yanılsaması - Nass oluyor da oluyor?

Türkçe

Başlığı okuyup da şaşırmayın/umutlanmayın, HTTP protokolünü hedef alan DoS-DDoS-Get Flood (ya da ne derseniz deyin) saldırılara kurum imkanlarıyla karşı koymada, kansere olduğumuz kadar aciz ve çaresiziz. Bana bir zamanlar çokça vakit geçirdiğim O-Game'i hatırlatan arayüzüyle Low Orbit Ion Cannon aracı da bu çaresizliği yüze vuran,Praetox firmasınca stres test aracı olarak tasarlanmış,açık kaynak kodlu ve C# ile geliştirilmiş,yurdum yeni yetme kımıllarınca uzaktan yakından alakası olmamasına rağmen Hacking aracı olarak algılanan bir uygulama.2010 yıllarında Anons tarafından Wikileaks'e rest çeken kredi kartı dağıtıcılarına yapılan saldırılarda kullanılmışlığı ve üne kavuşmuşluğu var.
Ekran görüntülerinden ( Resim 1) görülebileceği gibi araç UDP ve TCP portlarına flood tipi saldırı yapabiliyor ama bizi ilgilendiren HTTP portuna yapılan saldırının karakteristiği ve önlenip önlenemeyeceği. Araç hala geliştirme desteği bulduğu için bu yazıda anlatılanlar bundan x gün sonraki y sürümünde geçerli olmayabilir. Test ve inceleme için kullandığım versiyon 1.0.7.42. Test ortamı da aşağıdaki gibi;

Ağ ve Sunucu Güvenliğinde Yapılan Yanlışlar & Hurafeler

Bir süredir anlatmaya değer ve az bilinir teknik bir konu bulamıyorum.Bu sebeple bu yazıda kurumlarda ağ,sistem ve altyapı güvenliği konusunda sıkça yapılan yanlışlardan ve yanlış inanışlardan bahsedeceğim.Parola uzunluğunun kısa olması,güncelleme yapılmaması,servislerin portların kapatılmaması gibi basit yanlışlardan ziyade mümkün olduğunca üzerinde çok durulmayan,unutulmuş ve kafa yorulmamış ama ciddi risk oluşturan yanlışlar ve yanlış inanışlar yazıda ele alınacak.Unuttuklarım,gözümden kaçanlar mutlaka olacaktır.Hatırladıkça bu yazıyı güncelleyeceğim, siz de eklemek istediklerinizi yorum olarak yazabilirsiniz zaman zaman bu blogu ziyaret ederek yeni hurafelerden ve yanlışlardan haberdar olabilirsiniz.

Yanlışlar

• Asla ve asla DMZ segmentini, iç ağ segmentiyle aynı domaine dahil etmeyin.Exchange sunucu gibi çeşitli Microsoft ürünleri nedeniyle sistem yöneticiniz bunu yapmaya yanaşmayabilir.Ama siz DMZ segmentinde ayrı bir domain kurulması, DMZ ile iç ağ domainleri arasındaki iletişimin sağlıklı yürümesi için sadece domain controller'lar arasında port açmanızın yeterli olacağı konusunda ikna edebilirsiniz.
• DMZ segmentinizdeki uygulamalarınızın kullandığı veritabanlarını iç ağınızda bulundurmayın,bu veritabanlarını da DMZ segmentinde konuşlandırın.
• DMZ segmenti ile iç ağınız arasındaki trafik için sadece gerekli portları açın.DMZ kurum dışından yapılan saldırılara ilk maruz kalınan yerdir.Bu nedenle bu segmentte ele geçirilen herhangi bir servis ya da sunucunun diğer ağ segmentlerine sınırsız erişimi olması,saldırganın iç ağda olması anlamına gelir.
• Backplane kapasitesi düşük cihazı ( güvenlik cihazı dahi olsa ), backplane kapasitesi yüksek cihazın önüne koymayın.Aksi halde darboğaz ( bottleneck ) oluşturur,kendinizi düşük kapasiteli cihazın kapasitesiyle sınırlandırmış olursunuz.
• Rulebase terimiyle ifade edilen, güvenlik duvarının kurallar tablosunu mümkün olduğunca kısa tutun.Gereksiz kurallar tanımlamayın, tek bir kuralda birleştirilebilecek kurallarınız varsa bu kuralları birleştirin,kural sayısını azaltın.Daha da önemlisi sık erişime izin veren kuralları ilk sıralara yerleştirin. Örneğin; DMZ'deki web sunucunuza firma dışından erişim için illa ki 80 portundan erişimin verildiği kuralınız vardır.İşte bu kuralı DMZ güvenlik duvarınızda mümkün olduğunca ilk sıralara yerleştirin.Engelleyen ya da izin veren olup olmadığı farketmez, en fazla hit alan kurallar ilk sıralara.Bu hem güvenlik duvarında yapacağınız denetimleri kolaylaştırır hem de güvenlik duvarının performansını artırır.

Windows 2008 R2 Firewall Derin Dalış ve Sorun Giderme - Nass oluyor da oluyor?

Türkçe

Lokal bilgisayar ya da Grup politikasının "Advanced Audit Policy Configuration" kısmında "Object Access" altında "Audit Filtering Platform Packet Drop" özelliğini denetim kaydı tutacak şekilde ayarladıysanız şayet bir süre sonra Güvenlik olay kayıt dosyanızın ( Security Event Log ) sizi çıldırma noktasına getiren 5152 Olay numaralı ( Event ID ) "Filtering Platform Packet Drop" kategorisindeki olaylarla dolup taştığını görürsünüz. Kimi zaman engellenen trafikle ilgili olay kaydı detayında verilen bilgiler yani hedef-kaynak IP adresleri,port numaraları engellenmemesi gereken bir iletişimin parçasıdır.
Anlatmak istediğim konu için oluşturduğum test ortamının kahramanları şöyle;
10.10.10.1 : istemci
10.10.10.4 : sunucu ( Windows 2008 R2 Ent. Server)
Sunucu üzerinde SSH portu ya da servisi kullanımda değil ama ben güvenlik duvarı etkin sunucunun 22 numaralı portuna erişmeye çalıştığımda almam gereken RST bayraklı cevap paketi almıyorum,aslına bakarsanız sunucudan hiç bir cevap almıyorum.( Resim 1 )

WinHTTP Proxy Ayarı - Nass oluyor da oluyor?

Bu yazı güvenlik konusuyla alakalı değil, beni çileden çıkarmak üzere olan bir sorunun çözümü ile ilgili. Eminim birçok sistem yöneticisi de benzer sorunla karşılaşmıştır. Sunuculardan bir tanesinde uygulama aracılığıyla üreticinin sağladığı bir takım scriptleri çalıştırma ihtiyacı doğdu. Scriptler dijital olarak imzalandığı (signed script) için Windows Script Host scripti çalıştırmadan önce imzanın geçerliğini doğrulamak için verisign sunucularına http protokolüyle bağlanmak istiyordu. Ama dediğim gibi scripti GUI aracılığıyla çalıştırmaya kalktığımda Windows Script Host'un (cscript.exe) "System" kullanıcı hesabıyla çalıştırılıyor olması internet explorer ayarlarıyla yaptığım proxy tanımını geçersiz kıldı (yaptığım ayar oturum açtığım kullanıcı hesabıyla ilişkili olduğundan), WSH internet erişimi sağlayamadı ve bunun sonucu olarak 1-2 saniyede çalışması gereken scriptin çalışması yaklaşık bir dakikayı buldu. Sorunu Microsoft HTTP servisin (WinHTTP) proxy ayarını

Yeni Başlayanlar ve Bilmeyenler için Bilgi Güvenliği ve Bilişim Güvenliği

Uzun zamandır yazdığım teknik yazılara sadece yurdumun değil dünyanın kanayan yaralarından birine parmak basmak için ara veriyorum :) Bu yazı bilgi güvenliği uzmanı ile bilişim güvenliği uzmanı arasındaki farkı bilmeyenler ya da ayırd edemeyenler için. Başımdan geçen ve daha önce bahsettiğim bir mülakatı tekrar hatırlatarak başlamak istiyorum yazıya; memleketimin GSM operatörlerinden biriyle "Bilgi Güvenliği Uzmanı" başlıklı bir pozisyon için görüşmeye gittim. Görüşme Checkpoint Firewall üzerine kuruluydu ne yazık ki. Hatırladığım son şey de görüştüğüm kişinin "Bize Checpoint'te her yıl en az 2-3 bug bulacak biri lazım" demesi, ondan sonra bende deyim yerindeyse film koptu o saniye mülakat benim için bitti.
Bilgi güvenliği adından anlaşılabileceği gibi her nerede olursa olsun - yazılı,basılı,dijital ve hatta insanın kafasındaki - bilginin korunmasını kendine düstur edinmiş bir disiplin. Fiziksel güvenlik ( evet evet bildiğiniz güvenlik kameraları, projektörler, yangın söndürme sistemleri vb), Personel Güvenliği, Risk Yönetimi, Erişim Kontrolü, Kriptografi, İş Sürekliliği ve Felaketten Kurtarma, İletişim ve Ağ Güvenliği, Uygulama Güvenliği, Hukuki Yaptırımlar ve Mevzuatlara Uyum, Denetim ve yazmayı unutmuş olabileceğim birkaç alan daha bilgi güvenliği şemsiyesi ya da çatısı altında toplanan ve ele alınması gereken konulardır.

IIS 7 ve 7.5'i Slow Loris DOS Saldırısına Karşı Koruma - Nass oluyor da oluyor?

Türkçe

OSI modelinin yedinci seviyesine yönelik saldırılarla ilgilendiyseniz Slow Loris saldırı aracını da duymuşsunuz ya da kullanmışsınızdır mutlaka. Blogun düsturu "az bilineni,anlatılmayanı anlatmak" olduğu için bu yazıda aracın nasıl kullanılacağı ile ilgili çok az bilgi bulacaksınız. Benim anlatacaklarım aracın çalışma prensibi ve IIS 7-7.5 web sunucularda savunmayı artırıcı yöntemler olacak. Bu yazıda okuyacaklarınızın bir bölümü nette hiç bir yerde bulamayacağınız türden.

RFC 2616'da tanımlanan HTTP 1.1 protokolüne göre HTTP Request headerlar birbirinden CR ( Carriage Return ) ve LF (Linefeed) karakterleriyle ayrılır (kafanız karışmasın satır sonlarında alt satıra geçişi gösteren karakterler). Headerlar ile asıl verinin iletildiği Body kısmını ise boş bir satır birbirinden ayırır. Hernekadar GET Requestlerin body kısmı boş olsa da isteğin web sunucu tarafından alınması ve değerlendirilmesi için yine de headerların bitişini simgeleyen boş satıra ( CR + LF ) ihtiyaç duyulur. Sunucu bu karakterleri görmezse rahat edemez ve Request headerların tamamlanmadığını düşünür ,istemciden Request headerların tamamı gelene kadar beklemeye devam eder, bağlantıyı da işletim sistemine ve web sunucusuna göre farklılık gösteren zamanaşımı süresi (timeout) dolana kadar açık tutar. Olması gereken, iyi niyetli insanların tasarladığı şekliyle protokol bu şekilde çalışıyor. 

HTTP DDos - HTTP Get Flood saldırıları ve NGINX ile savunma

Nginx dünya genelinde popülerliği gittikçe artan ama güzel ülkemde hakettiği ilgiliyi pek görememiş açık kaynak kodlu bir web sunucu platformu.

Yazının devamı yakında...

İlgili Yazılarım
HTTP DoS'a Karşı Javascript'le Mücadele - Nass oluyor da oluyor?
Low Orbit Ion Cannon ( LOIC ) ve Http Redirection Yanılsaması - Nass oluyor da oluyor?