SSH Tuzak Sistemleri ve Bir Saldırının Ayak İzleri

<br /><div class="separator" style="clear: both; text-align: center;"><a href="http://3.bp.blogspot.com/-PxNMgsAZ-qU/Uj4XZ2V6eqI/AAAAAAAAAbw/S3BQdsJM5p0/s1600/honeypot.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="118" src="http://3.bp.blogspot.com/-PxNMgsAZ-qU/Uj4XZ2V6eqI/AAAAAAAAAbw/S3BQdsJM5p0/s200/honeypot.jpg" width="200" /></a></div><div style="text-align: justify;">Bu yazıda <a href="http://www.securityfocus.com/infocus/1876">http://www.securityfocus.com/infocus/1876</a> adresinde yayınlanan makale temel alınmıştır. Hazırlık aşamasında; SSH sunucu sistemi için tuzak sistem kurularak, sisteme gerçekleştirilen sızma denemelerinin detaylı analizi gerçekleştirilmiştir. Kurulan SSH tuzak sistemi yaklaşık bir ay kadar canlı olarak gözlemlenmiştir. Bu bir aylık süreç içerisinde sisteme erişim için denenen kullanıcı adları, şifreleri, kullanıcı adı/şifre ikilisi ve son olarak hangi ülkelerden erişim denemelerinin gerçekleştirildiği incelenmiştir.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">SSH ( Secure Shell ) iki ağ cihazı arasında verinin güvenli bir biçimde iletilmesini sağlayan protokolün ismidir. Bu protokolün açık kaynak kod olarak Linux/Unix sistemlerde de kullanılan hali ise OpenSSH’dir. OpenSSH ile ilgili daha fazla bilgi için<a href="http://www.openssh.com/">http://www.openssh.com/</a> adresine başvurulabilir.<br /><a name="more"></a></div><br /><div style="text-align: justify;">Kurulan SSH tuzak sistem ile sisteme erişim sağlamak için yapılan denemelere ait detaylar incelenerek, SSH sunucu sistemleri için mevcut tehditler ele alınmaya çalışılmıştır. Makalenin son bölümünde ise SSH tuzak sistemlere başarılı bir şekilde erişim gerçekleştiren kullanıcıların, sistemler üzerindeki kayıt bilgileri incelenmiştir.</div><br /><div><b>Toplam Yetkisiz SSH Erişimi</b><br /><br />SSH tuzak sisteminin canlı olduğu süre içerisinde toplam olarak 9366 kullanıcı adı, şifre denemesi ile sisteme sızma girişimi gerçekleştirilmiştir. Daha öncede belirtildiği üzere bu denemeler SSH tuzak sistemin canlı olduğu bir aylık süre içerisinde gerçekleştirilen verileri içermektedir.</div><div><br /><b>En Çok Denenen Kullanıcı Adları ve Şifreleri</b><br /><br /><div style="text-align: justify;">Şekil 1’de görüldüğü üzere sisteme sızmak için en çok tercih edilen kullanıcı adı root olmuştur. Linux/Unix sistemlerde en yetkili kullanıcının root kullanıcısı olduğu göz önüne alındığında, sisteme gerçekleştirilen sızma denemeleri için tercih edilen ve edilecek kullanıcı adının root seçilmesi muhtemel görünmektedir. Bu noktada SSH sunucu servisi için alınabilecek güvenlik önlemlerinden bir tanesi, root kullanıcısının sisteme direkt giriş yapmasına izin vermemek olmalıdır. Önce sisteme yetkisiz bir kullanıcı olarak oturum açılmalı ve ardından root kullanıcı kimliğine bürünülmesi sağlanmalıdır. Bu şekilde sisteme root kullanıcı kimliği ile sızma denemeleri de önlenmiş olacaktır.</div></div><div><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/ekil_1.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 1 En çok denenen 10 kullanıcı adı</span></td></tr></tbody></table>Yine aynı şekilde en çok denenen şifreler ise Şekil 2’de görülmektedir. Buradan da görüleceği üzere seçilecek şifrelerin kolay tahmin edilemeyecek olmasına dikkat edilmesi gerekmektedir.</div><div><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/ekil_2.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 2 En Çok Denenen 10 Şifre</span></td></tr></tbody></table><b>En Çok Denenen Kullanıcı Adı/Şifre İkilisi</b></div><div><br />Daha öncede belirtildiği üzere sisteme sızmak için en çok tercih edilen kullanıcı adı olarak root seçilmiştir. Bu bağlamda sisteme sızmak için denenen en çok kullanılan kullanıcı adı/şifre ikilisi root kulanıcısı için olacaktır. Bu durum Şekil 3’de gösterilmiştir.</div><div><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/ekil_3.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 3 En Çok Denenen Kullanıcı Adı/Şifre İkilileri</span></td></tr></tbody></table><span style="text-align: justify;">Sisteme sızmak için gerçekleştirilen kullanıcı adlarının, sistemde var olan kullanıcılara oranı ise %68 olarak göze çarpmaktadır. Bunun için alınabilecek önlemlerden bir tanesi kullanıcılar için kabuk ortamının sisteme oturum açmasını engelleyecek şekilde yapılandırılması, eğer kullanıcı sistemde kullanılmıyor ise kaldırması şeklinde olmalıdır.</span></div><div style="text-align: justify;"><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/ekil_4.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Tablo 1 Sistem Kullanıcıları İçin Yetkisiz Erişim Deneme Sayıları</span></td></tr></tbody></table><b>Denemelerin Ne Kadarı Botlar Tarafından Gerçekleştirildi ?</b></div><div><br /><div style="text-align: justify;">SSH tuzak sisteme gerçekleştirilen toplam 9366 demeden 2 tanesi gerçek sisteme sızma denemesi olarak tespit edilmiştir. Bu orandan da görüleceği üzere denemelerin çok büyük bir kısmı otomatik araçlar tarafından gerçekleştirilmiştir. Bu tarz otomatik tarama araçları ile gerçekleştirilen sızma denemelerini önlemek için alınabilecek önlemlerden bir tanesi de SSH servisinin hizmet verdiği ön tanımlı port numarasının değiştirilmesi olmalıdır.</div></div><div><b>Denemelerin En Çok Gerçekleştirildiği Ülkeler</b><br /><br /><div style="text-align: justify;">Kurulan tuzak sistemin Amerika Birleşik Devletleri lokasyonlu olduğu göz önünde bulundurulacak olursa, en çok sızma denemesi sırası ile Amerika Birleşik Devletleri, Çin ve Mısır’dan gerçekleştirilmektedir. Bu duruma ait istatiksel ve yüzdesel bilgiler Tablo 2 ve Şekil 5’ de gösterilmektedir.</div></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/tablo_1.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Tablo 2 Yetkisiz Erişim Denemelerinin Gerçekleştirildiği Ülke İsimleri ve Deneme Sayıları</span></td></tr></tbody></table></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ssh/ekil_5.jpg" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 4 Yetkisiz Erişim Denemelerinin Gerçekleştirildiği Ülke İsimleri ve Deneme Yüzdeleri</span></td></tr></tbody></table></div><div><b>Bir Saldırının Ayak İzleri</b><br /><br /><div style="text-align: justify;">SSH tuzak sistemine başarılı bir şekilde erişim sağlayan kullanıcıların, sistem üzerinde kullandıkları komutlar incelenmiş ve olası senaryolar üzerinde durulmuştur. Sisteme erişim sağlayan kullanıcıların ilk olarak en çok denedikleri komutun wget olduğu gözlemlenmiştir. wget, ftp, lynx, curl vb. gibi komut satırından çalışan, uzak sistemlerden dosya temin etmek için kullanılan komutlar yardımı ile sistem üzerinde zararlı kod çalıştırarak yetkili kullanıcı haklarına sahip olunmaya çalışılmıştır. Yine bunun yanında uname, uptime ve ps gibi komutlarla sistem çalışma durumu , sistem üzerinde çalışan süreçler ve çekirdek hakkında bilgi toplanmaya çalışılmıştır.</div></div>

SSH Tuzak Sistemleri ve Bir Saldırının Ayak İzleri

Bu yazıda http://www.securityfocus.com/infocus/1876 adresinde yayınlanan makale temel alınmıştır. Hazırlık aşamasında; SSH sunucu sistemi i...

Read more »