DoS/DDoS Saldırı ve Tespit Araçları

Merhabalar,

Bir önceki yazımda Dos/DDoS, DRDoS, IP Spoofing, Botnet, Zombiler hakkında bilgiler verdim. DDos yapılmış örnekleri, DoS/DDoS hakkında yanlış bilinen bilgileri ve yapılan saldırıların anayasamızda suç sayılan kanun maddelerini aktardım. Bu yazımda ise Dos/DDoS Saldırı ve Tespit Araçları hakkında bilgiler vereceğim.

 1.) SYN Flood ve Tespiti

à İnternet üzerinde kullanılmayan IP adreslerini kullanarak birçok SYN paketi hedef makineye yollanır.

    à Hedef makine, alınan her SYN paketi için kaynak ayırır ve bir onay paketini(SYN-ACK), SYN paketinin geldiği IP adresine yollar.

      à Hedef makine, kullanılmayan IP adresinden yanıt alamayacağı için SYN-ACK paketini defalarca tekrarlar.

        à Saldırgan bu yöntemi üst üste uyguladığında hedef makine ayırdığı kaynaklardan ötürü yeni bir bağlantıyı kaldıramaz duruma gelir ve bu sebepten makineye bağlanılamaz.

*** Syn Floof nasıl anlaşılır?

Terminale " netstat -an -p " tcp komutu çalıştırıldığında ekranda çok fazla sayıda SYN_RECEIVED görülüyorsa Syn Flood saldırısı altındasınız diyebiliriz.

2. LAND Flood Saldırısı

à Saldırganlar (hacker) hedef sistemin IP adresini, source (kaynak) IP adresi olarak kullanarak networkü SYN paketleri ile istila ederler.

   à Bu durumda host bilgisayar sanki paketleri kendi kendine göndermiş gibi görünür.

       à Hem dışarıdan paket almış, hem de kaynak kendisi olduğundan kendisine cevap vermiş olur.

         à Böylece hedef sistem bir paket alması gereken birim zamanda iki paket alır ve saldırının boyutu da iki katına çıkar. 

            à Yani hedef sistem kendi kendine yanıt vermeye çalışırken sistem kullanılamaz duruma gelir.

3. Treadrop Saldırıları

à Bir bilgisayara internet üzerinden gelen paketler, bilgisayarda bölünerek aktarılır.

à Paket verilere ayrıştırılırken, pakette bulunan ofsetler kullanılır.

à Bu ofset bilgilerinin çakışmaması gerekmektedir.

à Teardrop saldırılarında, paketi gönderen saldırgan, pakete üst üste gelecek ofsetler ekler.

à Paketi alan bilgisayar, böyle bir durumu kontrol edebilecek mekanizmaya sahip değilse sistem çöker.

4. Smurf Saldırıları

à Saldırgan hedef bilgisayardan ping isteğinde bulunur.

à Ancak ping paketi, hedef makinenin IP’sinden geliyormuş gibi görünecek şekilde hazırlanmıştır.

à Bu durumda ağ üzerindeki bütün makineler, hedef makineye ping atar.  Hedef makine bu trafiği karşılayamaz ve bağlantı kesilir.

5. UDP Flood Saldırısı

à UDP taşma saldırıları, uzak erişim noktalarındaki rastgele portlara büyük UDP paketleri yollanılarak gerçekleştirilir.

à Burada en önemli nokta, paketlerin sahte IP adresleri üzerinden yollanması gerekliliğidir.

à Dolayısıyla IP Spoofing tekniğinin kullanılmasının zaruri olduğu söylenebilir.

à Örneğin, bu yöntemle taşma saldırısı gerçekleştirildiğinde önemli olan, verinin karşıya ulaşıp ulaşmadığı değil, verinin karşıya ne kadar hızlı aktarıldığıdır.

hping3 Kullanımı

Aşağıdaki örnekte 192.168.150.145 ip adresine rastgele kaynaklardan SYN paketlerinin gönderildiği komut satırı vardır.

Saldırı öncesi Windows Görev Yöneticisindeki Performans Sekmesinden CPU Kullanım grafiklerini incelediğimizde aşağıdaki gibi sonuçlar ekrandadır.

Komut satırındaki hping3 komutumuzu çalıştırdığımızda süreç aşağıdaki görüntüdeki gibi ilerlemektedir;

Çalıştırdığımız komut sonrası hedefe gerçekleşen saldırı ve aşağıdaki ekran görüntüsünde gördüğünüz gibi %82 lere ulaşan bir grafik karşımıza çıkmıştır.

HTTP Flood Araçları

•DosHTTP

•Netstress

•Ab

•Skipfish

•Jmeter

•Siege

    AB(ApacheBenchmark)

      POST Flood

•#ab –c 100 –p post.txt – T application/x-www-form-urlencoded –n 10000 –r –q websitesi

GET Flood

•#ab –c 100 –n 10000  websitesi

NetStress

Netstress Linux sistemler üzerinde çalışmaktadır ve donanıma bağlı olarak kapasitesi değişmektedir. Netstress 4 CPU’lu bir sistemde 5.000.000 SYN paketi(diğer TCP/UDP paketleri de aynı sayıda), 3,5 Gb trafik oluşturabilmektedir.

# ./netstress -d hedef_dns_ip_adresi -P 53 --attack dns -n 3 --buffer 35 --dnsqname dns.txt --dnsqtype A

# ./netstress –t randow –d 192.168.150.131 –a dns –q a –n 2 –P 53

Web Sunucularına Yönelik Saldırı

   Web Sunucularına yönelik yapılacak DDoS saldırı Testi Araçlarından birtanesi de DoSHTTP dir. Target URL kısmına hedefin ip adresini veya url adresini, User Agent kısmına sisteminde uyumlu seçeneği seçip, Socket Sayısını belirleyip, Requests (İstek) sayısını seçtikten sonra Start Flood butonuna basarak testi gerçekleştirebilirsiniz. Teste başlamadan önce hedefinizi doğru girdiğinizi tespit etmek için Verify URL butonuna basabilir ve çıkan ekrandan hedefi teyit edebilirsiniz.

Saldırı sonrası aşağıdaki ekranla karşılaşabilirsiniz veya CPU Kullanımını kontrol edebilirsiniz.

Macof Saldırıları

 Macof rastgele mac adresleriyle birlikte switche yapılan saldırıdır.

 Bu mac adresleriyle switch in CAM tablosu dolar ve yeni mac adresleri kaydedilemez.

 Bunun sonucunda switch hub gibi davranmaya başlar ve bütün paketleri bütün portlara  göndermeye başlar.

 Bizde geçen bütün trafiği izleyebiliriz.

Syntax: macof [-i interface] [-s src] [-d dst] [-e tha] [-x sport] [-y dport] [-n times]

-i   interface Specify the interface to send on.

-s   src Specify source IP address.

-d   dst Specify destination IP address.

-e   Specify target hardware address.

-x   sport Specify TCP source port.

-y   dport Specify TCP destination port.

-n   times Specify the number of packets to send.

Macof Saldırı Örneği;

THC-SSL-DOS

Thc-ssl-dos aracı client ile server arasında oluşturduğu trafik ile sunucunun ssl isteklerine cevap verebilme performansını ölçmektedir. SSL/HTTPS servera sürekli istekler gönderir ve cevap veremediği durumda ise servis dışı kalacaktır, sistem “down” gözükecektir.

Kullanımı;

thc-ssl-dos 192.168.1.1 443  - - accept

LOIC Low Orbit Ion Cannon

    

    Diğer bir saldırı test aracımız ise low orbit ion cannon dur. Programı çalıştırdığımızda hedefe ait url adresini "URL" kısmına veya hedefin ip adresini "IP" kısmına yazıp sağ taraftaki "LOCK ON" tuşuna bastığımızda hedefimize yöneldiğimizi SelectedTarget kısmında ip veya URL adresimizi görünce emin oluyoruz. Sonraki adımda hedefe test yapacağımız "Port" numarasını ve "Method" u belirleyip sağ üst köşedeki "IMMA CHARGIN MAH LAZER" butonuna basıp testimizi gerçekleştirebiliriz.

Dos/DDoS Saldırı, Test, Tespit  ve kullanılabilecek birkaç araç hakkında bilgiler vermeye çalıştım. Umarım konu hakkında faydalı bilgiler vermişimdir.

Saygılarımla



siberhat@gmail.com

Site Güvenliği

Türkiye'de gün içerisinde tehlike ve şiddetle karşı karşıya kalma ihtimalimiz her geçen yıl artmaktadır. Artan bu tehditlere karşı önlemler alınması ve caydırıcı cezai yaptırımların yapılması gerekir. Yaşadığımız yerin güvenliğini arttırıcı önlemler alınmalı; güvenlik kamerası, alarm ve giriş-çıkışları kontrol eden sistemler takılmalıdır. Site içerisinde yaşayanların diğer yerlerde yaşayanlara göre ise daha güvenli yerde yaşadığı tespit edilmiştir.

Yaşadığımız alanı, iş yerimizi, okul, üniversite vb eğitim-öğretim yerlerimizin güvenliğini arttırmak için teknolojik sistemlerden yardım alınmaktadır. Bu sistemlerden karşımıza en çok çıkanı ise TURNİKE lerdir. Kapı giriş-çıkış sistemlerini şu şekilde sıralayabiliriz:

• Kart ile,
• Retina algılayıcı,
• Parmak izi okuyucu,
• Avuç içi okuyucu, 
• Şifre ile,
• Ses taramalı,
• Uzaktan kumandalı sistemler, 
• Çipli anahtarlar ile giriş-çıkış sistemlerine daha birçok örnek verebiliriz.

Teknolojinin ilerlemesiyle yukarıda gördüğünüz sistemlerde değişime uğramaktadır. Peki bu değişimlerle birlikte güvenlik cihazlarının güvenliği ne boyutta gelişmektedir? İleride neler olur bilemeyiz ancak günümüzdeki bazı sistemleri atlatma ve güvenlik açıklıkları hakkında bilgileri sıralayacağım.

1.) Kimlik bilgileri girilerek geçiş yapılabilen sistemler(Örn. TC Kimlik Nosunun son 6 rakamı, sicil no, öğrenci numarasının ilk 5 hanesi vs.)

2.) Bu daha çok filmlerde karşımıza çıkar ama söylemeden de olmaz, retina algılayıcılı sistemleri atlatmak için geçiş yetkisine sahip birinin retinasını ele geçirerek sisteme giriş yapılabilinir.

3.) Ses taramalı sistemleri ise güvenlik sistemlerini atlatmanın en kolay yolu diyebiliriz. Ses tanıma sistemi, geçiş/erişim hakkına sahip bir kişinin ses kaydı kullanılarak kolayca aldatılabilir.

4.)Uzaktan kumandalı bazı sistemlerin yöntemi uygun android programı yükleyerek hedef hakkında kontrolü ele geçirmeye çalışır.

5.) Kişilerin kartını unutması, kaybetme veya çaldırma olasılıkları güvenlik zafiyeti doğurur.

6.) Sosyal medya üzerinden bilgileri açık şekilde paylaşması. ( Doğum tarihi, öğrenci kimliğinin fotoğrafı, aile bilgileri, yeni aldığı evin heyecanıyla adresini söylemesi vs.)

Saygılarımla

Omuz Sörfü

Omuz sörfü sosyal mühendislik yöntemlerinden biridir. Sosyal Mühendisliği açıklamak gerekirse; insanlar arasındaki iletişimdeki ve insan davranışındaki açıklıkları tanıyıp, bunlardan faydalanarak güvenlik süreçlerini atlatma yöntemine dayanan müdahalelere verilen isimdir. [1]

Omuz sörfü denildiğinde aklınıza ilk ne gelir? Kısa bir süre düşündüğümüzde omuz sörfü aslında aklımıza gelen şeyden çokta farklı değil. Omuz sörfünü araştırdığımızda tanımlarda "Şifre yazılırken ya da erişim kısıtlı sistemlere erişilirken saldırıların izlenmesi" diye açıklamalarla karşılaşmaktayız.

Peki günlük hayatta omuz sörfüne nasıl maruz kalıyoruz?

1. İşyerinde illaki meraklı ya da kötü niyetli olarak omuz sörfü gerçekleştirmeye çalışan insanlar vardır. Bu kişiler; iş arkadaşlarımız, amir ve müdürlerimiz, işyerine dışarıdan gelen kişiler vb. olabilir.

2. Cafede otururken, restaurantta yemek yerken, bankta arkadaşınızı beklerken, otobüste yolculuk ederken yanınızda oturan yada arkanızdaki kişiler tarafından size omuz sörfü yapılabilir. Çoğunluk anlık mesajlaşmalarınızı okumaya çalışırlar, facebookta incelediğiniz bildirilere, twitterdan okuduğunuz tweetlere göz atarlar. İletişim bilgilerinizi, facebooktaki adınızı, telefon numaranızı, mesajlaştığınız kişinin adını (acaba sevgilisiyle mi konuşuyor merakından dolayı) öğrenmeye çalışır. Ayrıca omuz sörfü ile kötü niyetli kişilerin elde edebileceği daha kritik bilgilerde olabilir.

     

3. Kredi kartı veya bankamatik kartı hırsızlığı öncesi kartın şifresini öğrenmek için denenen yöntemlerden biri de omuz sörfüdür.ATM lere para çekmeye gittiğimizde ya da işlem yapmaya çalıştığımızda yanımızdaki atmde işlem yapmaya çalışan ya da arkamızda sıra bekleyen kişi tarafından omuz sörfüne maruz kalabiliriz. Bu kişiler bizim kart bilgilerimizin yanı sıra kart şifremizi, hesabımızdaki para miktarını ve diğer bilgilerimizi öğrenebilir.

Omuz sörfüyle ilgili daha birçok örnekler vardır. Peki omuz sörfüne karşı ne gibi önlemler alabiliriz?

1. Sizden başka birinin ortamda bulunduğu durumlarda şifrenizi girmeyin. Zaruri durumlarda hızlı bir şekilde tuşlara basınız.[2]

2. Yanınıza gelen kişiler olduğunda ve başkasının görmemesi ya da paylaşmamanız gereken şeyler olduğunda önlemler almanız gerekir. Eğer ekranı değiştirmeye zamanınız yok ise monitörü tamamen kapatabilir, masanızdaki evrakların ters yüzünü çevirebilir ya da nazikçe müsaade etmesini isteyebilirsiniz.

3. ATM lerde işlem yapmak için gireceğiniz şifrenizi elinizle saklamaya çalışabilir ya da atm ye daha da yaklaşarak diğer kişilerin görüş açısını daraltabilirsiniz. 

4. Aşağıdaki resimdeki gibi kendi yaratıcılığınız doğrultusunda önlemler alabilirsiniz.

Saygılarımla

[1] https://www.bilgiguvenligi.gov.tr/sosyal-muhendislik/sosyal-muhendislik-saldirilari-3.html
[2] Granger S., Social Engineering Fundamentals, Part I: Hacker Tactics, SecurityFocus Infocus, Article No: 1527. 2001.

Siber Güvenlik Yaklaşımlarımız

       

         Ülkemizde Siber Güvenlik Algısı Ne Durumda?

          Siber güvenlik denildiğinde konuyla pek ilgisi olmayan birinin aklına iki şey gelir. Birincisi sosyal medya  hesaplarının şifreleri (facebook,twitter,instegram vs) nasıl hacklenir, ikincisi ise korku ve endişedir. Çünkü teknolojiyi özellikle bilgisayarı çok sık kullanan birisi bilgisayarına, maillerine, sosyal medya hesaplarına sızıldığı/sızılacağı endişesi duyar. Hemen gidip kendisine o basit brute force ataklarına karşılık daha karmaşık bir şifre belirler. Webcaminin önüne bant çeker, oturum şifresi koyar daha da abartırsa fiziksel sızma korkusu ile evinin kapı kilidini bile değiştirebilir. Tabi bu örnekler gün geçtikte değişmekte ülke olarak yaşadığımız olaylar sonucu siber güvenlik alanına yönelik çalışmalar artmıştır. 

         Siber Olaylarda Ne Durumdayız?

         Son dönemde hem dünya genelindeki birçok ülkenin hemde ülkemizin kamu kurum ve kuruluşlarına yönelik siber saldırılar olmuştur. Bu saldırılar sonucu hackerlar çok gizli belgeleri, kişilerin bilgileri ve şifrelerini ele geçirdiği gibi maddi zararlar da verdi. 

Devletimiz ise bu konuda ülkemizin siber güvenliğine karşı siber ortamda ortaya çıkan tehditlerin belirlenmesi, muhtemel saldırı ve olayların etkilerini azaltılması veya ortadan kaldırılmasına yönelik önlemlerin geliştirilmesi ve belirlenen aktörlerle paylaşılması için ulusal ve uluslararası düzeyde çalışmak üzere Ulusal Siber Olaylara Müdahale Merkezi (USOM, TR-CERT) kurdu.. [1]

     USOM, ulusal ve uluslararası seviyede siber ortamda ortaya çıkan tehditler ile ilgili kendisine ulaştırılan ihbarları da değerlendirerek, söz konusu tehditlerin tespit ve bertaraf edilmesi için Kamu Kurumları ve özel kişiler ile koordinasyonunu sağlamaktadır. Bu itibarla gelen ihbar ilk aşamadan başlanarak, çözüm sürecine kadar takip edilerek değerlendirilmektedir.[1]

     Sadece devletimiz mi siber güvenlik konusunda çalışmalar yapmaktadır? Hayır tabi ki gerek sektörde gerekse  de akademik alanlarda çalışmalar yürütülmektedir. Bu çalışmaların yanı sıra insanları bilinçlendirmek, siber güvenlik alanında kendini geliştirmek isteyenleri teşvik ve eğitimler düzenlemek vb gibi konularda etkinlikler düzenlenmektedir. Bildiğim kadarıyla ülkemizde düzenli bir şekilde organize edilen bu etkinliklerin sayısı çok az. Sebeplerini araştırmak adına aklıma takılan soruları sizlerle paylaşıyorum.

•        Her sene-ay-hafta düzenli olarak gerçekleşen etkinlik, konferans, söyleşi vs. oluyor mu?

•        Yapılıyor ise ne sıklıkta yapılıyor bu etkinlikler?

•        Yeterli-tatmin edici katılım oluyor mu? 

•        Etkinliğe konuşmacı olarak davet edilen misafirlerin niteliği ne alemde? (bir kaç site hackledim - geçmişte yaptık işte bir şeyler abi - İstesem yaparım uğraşmak zor geliyor - iyi niyetli hackerım ben açığı bulur haber veririm - iyi niyetli profesyonel çalışan sızma testi uzmanıyım ....)

•        Etkinlikler faydalı oluyor mu ve öğrenilenler etkinlik sonrası unutulup kenarda mı duruyor? 

         Hem bu soruların cevapları hakkında yazmak hem de yılın geri kalan kısmında bildiğiniz gerçekleşmesi planlanan etkinlikleri paylaşmak isterseniz siberhat@gmail.com adresine mail atabilirsiniz.  Teşekkürler.

          Saygılarımla

         

[1] www.usom.gov.tr