Çalınan VPN kimlik bilgileri fidye yazılımı ve silici yazılımlar için nasıl giriş noktası hâline geldi
Kaspersky, Rus kuruluşlarını hedef alan üç farklı tehdit kümesini tanımlayan yeni bir araştırma yayımladı ve hepsinde ortak olan nokta, basitliğiyle rahatsız edici: ele geçirilmiş VPN kimlik bilgileri. Bu kampanyaların arkasındaki saldırganların yalnızca sıfır gün açıklarına veya karmaşık kötü amaçlı yazılım geliştirmeye bel bağlamak yerine, kurumsal ağların ön kapısından girmek için çalınmış ya da kötüye kullanılmış VPN giriş bilgilerini kullandıkları bildiriliyor. Oradan itibaren arka kapılar, fidye yazılımları ve yıkıcı silici yazılımlardan oluşan bir karışım konuşlandırdılar.
Bu örüntü, güvenlik araştırmacılarının sektör genelinde işaret ettiği daha geniş bir eğilimi yansıtıyor. Ele geçirilmiş VPN kimlik bilgileri saldırısı, yeni bir açığın sofistikeliğini gerektirmez. Yalnızca bir geçerli kullanıcı adı ve parola gerektirir; bunlar da genellikle kimlik avı, kimlik bilgisi doldurma veya yeraltı pazarlarından satın alma yoluyla elde edilir. Bir saldırgan bu erişimi elde ettiğinde, yabancıları dışarıda tutmak için tasarlanmış bir VPN, meşru uzaktan çalışan trafiğinden ayırt edilemeyen, doğrudan ağa uzanan güvenilir bir tünele dönüşür.
Üç tehdit kümesinin kurumsal VPN güvenlik açıkları hakkında ortaya koydukları
Kaspersky'nin bulgularına göre, üç kümenin her biri farklı nihai hedefler izledi: kalıcı arka kapı erişimi sağlamaktan fidye için verileri şifrelemeye ve yalnızca sistemleri yok etmek için tasarlanmış, ödeme elde etmeyi amaçlamayan silici yazılımlar konuşlandırmaya kadar. Onları birbirine bağlayan şey, ortak araçlar ya da tek bir gruba atıf değil, ortak bir ilk erişim yöntemi: bir yabancının asla kullanamaması gereken VPN kimlik bilgileri.
Bu örtüşme önemli. Rus kuruluşlarının da başka yerlerdeki kuruluşlar gibi aynı yapısal zayıflıkla karşı karşıya olduğunu gösteriyor: VPN erişimi genellikle sürekli izlenen bir güven ilişkisi yerine tek seferlik bir kimlik doğrulama olayı olarak ele alınıyor. Bir kimlik bilgisi seti geçerli olduğunda, birçok VPN yapılandırması ek doğrulama, segmentasyon veya davranış izleme olmaksızın geniş ağ erişimi veriyor. Bu açığı kullanan saldırganların geleneksel anlamda bir güvenlik duvarını aşması gerekmiyor. Yalnızca döndürülmemiş, işaretlenmemiş veya çok faktörlü kimlik doğrulamayla korunmamış bir parolaya ihtiyaçları var.
Bu tür kimlik bilgisi tabanlı izinsiz girişler, manşetlere taşınan ihlallere kıyasla genellikle radarın altında kalır. Yakın tarihli bir Rus Zimbra casusluğu ve Stadler Rail haraç olayları derlemesinde ele alındığı üzere, en önemli sonuçlar doğuran saldırıların çoğu, Kaspersky'nin raporunda görülen aynı altyapı düzeyindeki zayıflıklara dayanmalarına rağmen hiçbir zaman ön sayfa haberi olmuyor. Kimlik bilgisi ve erişim tabanlı saldırılar, tam da tek bir dramatik açığın yarattığı heyecandan yoksun oldukları için sıklıkla yeterince raporlanmıyor, ancak verdikleri zarar aynı derecede büyük.
VPN tabanlı ihlalleri önleyen kimlik bilgisi hijyeni uygulamaları
İyi haber şu ki, ele geçirilmiş VPN kimlik bilgileri saldırısı, kuruluşlar VPN erişimine diğer ayrıcalıklı sistemlerle aynı titizlikle yaklaştığı sürece, önlenebilir izinsiz giriş kategorilerinden biridir. Birkaç uygulama bu riski tutarlı biçimde azaltır:
- Yalnızca yönetici hesapları için değil, her VPN girişinde çok faktörlü kimlik doğrulamayı zorunlu kılın
- Kimlik bilgilerini düzenli olarak ve şüpheli herhangi bir kimlik avı olayının hemen ardından döndürün
- VPN günlüklerini olağandışı konumlardan, cihazlardan veya normal çalışan davranışından sapan zamanlardan yapılan girişler açısından izleyin
- Tek bir VPN girişinin iç sistemler genelinde geniş ve kısıtlanmamış hareket sağlamaması için ağ erişimini segmentlere ayırın
- Kullanılmayan veya atıl VPN hesaplarını derhal devre dışı bırakın; çünkü unutulmuş kimlik bilgileri genellikle saldırganların yararlanmakta en kolay bulduğu kimlik bilgileridir
Bu önlemlerin hiçbiri sıra dışı değil. Bunlar, birçok kuruluşun hâlihazırda bildiği ancak özellikle son yıllarda VPN kullanımının hızla arttığı uzaktan çalışma ortamlarında tutarlı biçimde uygulamakta başarısız olduğu standart kimlik ve erişim yönetimi uygulamalarıdır.
Bu Sizin İçin Ne Anlama Geliyor
Bu sitenin çoğu okuyucusu kurumsal VPN altyapısı işletmiyor, ancak Kaspersky'nin araştırmasından çıkan ders kişisel VPN kullanımına da aynı ölçüde doğrudan uygulanabilir. Hizmetler arasında parolaları yeniden kullanıyorsanız, çok faktörlü kimlik doğrulamayı atlıyorsanız veya artık kullanmadığınız eski VPN hesaplarını elinizde tutuyorsanız, bu üç tehdit kümesinin Rus kurumsal ağlarına girmesine izin veren aynı temel zayıflığa maruz kalıyorsunuz. Bir VPN, yalnızca onu koruyan kimlik bilgileri kadar güvenlidir.
İşletmeler için bu rapor, VPN güvenliğinin "kur ve unut" bir araç olmadığının hatırlatıcısıdır. Özellikle uzaktan ve hibrit çalışmanın günlük operasyonlar için VPN erişimine yoğun biçimde bel bağlamaya devam ettiği bir dönemde, etkin kimlik bilgisi yönetimi, izleme ve düzenli gözden geçirme gerektirir.
Uygulanabilir Çıkarımlar
- Kişisel veya profesyonel, kullandığınız herhangi bir VPN hesabında çok faktörlü kimlik doğrulamayı etkinleştirin
- VPN kimlik bilgilerini birden çok hizmette yeniden kullanmaktan kaçınmak için bir parola yöneticisi kullanın
- Artık kullanmadığınız VPN hesaplarını veya cihazlarını düzenli olarak denetleyin ve kaldırın
- Kurumsal sistemleri yönetiyorsanız, VPN giriş anormalliklerini diğer tüm izinsiz giriş uyarıları kadar ciddiye alın
- Kimlik bilgisi tabanlı saldırı eğilimleri hakkında bilgi sahibi olmaya devam edin; çünkü ele geçirilmiş VPN kimlik bilgileri saldırısı, çok daha az gösterişle olsa da genellikle sofistike bir açık kadar zarar verir
