ZERO-DAY VULNERABILITY (SIFIR GÜN GÜVENLİK AÇIĞI)

Zero day zafiyeti yani sıfır gün güvenlik açığı nedir? Bunu açıklamadan önce güvenlik açığı yani zafiyetin ne olduğunu öğrenelim.

  Zafiyet Nedir?

Siber güvenlik dünyasında güvenlik açıkları yazılım programlarında veya işletim sistemlerinde bulunan istenmeyen kusurlara zafiyet denir. Zafiyet sayesinde siber suçlular sistemlere sızarlar. Sisteme yetkisi olmadan girip, sistem üzerinde değişiklikler yapabilir ve gizli verilere ulaşabilme imkanına sahip olur.

 Peki Zero Day Zafiyeti Nedir?

Yazılım satıcısı veya geliştiricisi çok kısa bir süre önce öğrendiği zafiyetin düzeltecek bir yaması olmamasından dolayı bu güvenlik açığına zero day zafiyeti diyoruz. Bu zafiyetlerin tespit edilmesi çok güçtür. Saldırıya uğramadan tespit edilemeye de biliniyor. Yazılım geliştiricisi veya satıcısı bu zafiyeti düzeltemediği için siber suçlular tarafından istismar etme olasılığı oldukça da yüksektir.

Zero day zafiyeti ortaya çıktığı anda o yazılımı kullanan tüm bilgisayar ve tüm bilgisayar kullanıcıları riskte demektir. 

Yazılım geliştiricileri sürekli sistemlerde zafiyet ararlar. Sisteme zarar gelmesin diye eğer zafiyet var ise korsanlardan önce bulup yamalarlar. Zafiyeti yamaladıktan sonra yeni bir güncelleştirme yayınlarlar.

Cihazınıza veya kullandığınız uygulamalara güncelleme geldiğinde hemen güncelleştirmenizi öneririm. Her güncelleştirme yalnızca yeni özellik için değildir. Sistemde bulunan güvenlik açığını iyileştirmek için de olabilir. 

Bazen korsanlar veya kötü amaçlı kişiler yazılım geliştiriciler güvenlik açıklarını onlardan önce fark edip istismar kodları yazıp uygularlar. Buna exploit kodu da denir.

Exploit kodları dijital güvenlik açısından büyük bir risktir. Exploit kodlar sistemin zayıf noktalarından yararlanarak amaca göre hizmet eder. Exploit kodlarla sistemlere izinsiz giriş yapma, sistemleri devre dışı bırakma, kimlik hırsızlığı vs. siber suçlar işlenilebilir.

Zero Day Saldırıları Kimler Tarafından Gerçekleştiriliyor?

Hacktivistler: Sosyal ve siyasi olaylara dikkat çekmek için saldırıda bulunan korsanlardır.

Siber Suçlular: Finansal kazançlar için saldırıda bulunan korsanlardır.

Siber Savaş: Bir devletin başka bir devlete yaptığı siber saldırı ve casusluk.

Kurumsal Casuslar: Bir şirketin tüm verilerini başka şirket için toplayan casus korsanlardır.

Zero Day Zafiyeti Nasıl Tespit Edilir?

Zero day zafiyetin ortaya çıkmasında birçok etmen etkilidir. Bu yüzden zafiyetin bulunması oldukça güçtür. Zero day zafiyeti veri şifrelemelerde, parola güvenliklerinde, hatalı algoritmalarda, yetkilendirilmelerde vs. geniş bir alanı kapsayan hatalardır.

IDS/IPS, güvenlik açığı tarama araçları, anti-malware ve antivirüs gibi güvenlik araçları tehditleri, açıkları denetleyen geleneksel yöntemlerdir. Fakat zero day zafiyeti çoğu zaman bu yöntemle tespit edilemiyor. En kullanışlı yöntem olarak davranış bazlı (behavior-based) araçlar kullanılır. Davranış bazlı analiz araçlarında Hidden Modeli ve istemci bir honeypot sistemi kullanılmaktadır.

Bir de zero day zafiyetinin algılanmasında çeşitli stratejiler kullanılır; istatistik tabanlı algılama, imza tabanlı algılama, davranışa dayalı algılama.

Kendimizi Zero Day Saldırısından Koruyabilir Miyiz?

Varlığında haberimiz olmayan zafiyete karşı kendimizi kesin korumak mümkün olmaz elbette. Fakat riski azaltmak için önlemler alabiliriz.

Proaktif ve reaktif güvenlik önlemleri almalıyız. İlk savunma hattı olarak bilinen ve bilinmeyen tehditlere karşı koruma sağlayan kapsamlı güvenlik yazılımlarını kullanarak proaktif güvenlik önlemi almış oluruz. İkinci savunma hattı olarak yazılımımızı güncel tutarak reaktif güvenlik önlemi almış oluruz. 

Zero Day Saldırı Olayına Örnekler

2010 - Stuxnet

İran'da gerçekleşmiş olup en çok bilinen saldırı örneğinden biridir. 2010 yılında keşfedilmiş fakat 2005 yılına kadar uzanan bir kötü amaçlı bilgisayar solucanı, programlanabilir mantıksal denetleyici (PLC) yazılımı çalıştıran üretim bilgisayarını etkiledi. 

İran'ın nükleer programına zarar vermek amacıyla İran'ın uranyum zenginleştirme santralleri hedef alındı. Solucan, PLC'lere Siemens Step7 yazılımındaki güvenlik açıklarıyla sızarak PLC'lerin montaj hattı makinelerinden beklenmeyen komutlar gerçekleştirmelerine yol açtı ve nükleer malzemeyi işlemek için kullanılan santrifüjleri bozdu. 

2017 - Microsoft Word

2017 yılında " uzak içeriği yükle " adlı bir windows word belgesi kullanılara bir zero day istismarı gerçekleştirildi. Harici erişim isteyen açılır pencere sayesinde kurbanlar " evet " seçeneğine tıkladığında bu belge, kullanıcıların cihazlarına banka kimlik bilgilerini yakalayabilen kötü amaçlı bir yazılım yükleniyordu.

2019 - Microsoft Windows

Bu saldırıda Doğu Avrupa'daki kurumlar hedef alındı. Burada zero day istismarı; Microsoft Windows'ta rastgele kod çalıştırılması, uygulamaların yüklenmesi, güvenliği aşılmış uygulamalardaki verileri görüntülenmesi ve değiştirilmesi.

2020 - Apple iOS

2020 yılında iki tane iOS zero day zafiyeti çıktı. Bu zafiyetler saldırganların Iphonları uzaktan ele geçirmesini sağladı.

2020 - Zoom

Bu zero day saldırısında korsanlar Windowsun eski sürümünü kullanan kullanıcıların bilgisayarına uzaktan erişmeyi başarmıştır. Hedefin bir sistem yöneticisi olması durumunda, korsanlar kullanıcının bilgisayarını tamamen ele geçirip tüm dosyalarına erişebilmiştir.

2021 - Chrome

Chromedeki zafiyet sebebi, web tarayıcısında kullanılan V8 JavaScript motorundaki bir hataydı.