Sizi Uyutmayacak Rakamlar

Önce dikkatinizi çekecek bir sayıyla başlayalım: Tarama yapılan 2.931 açık MySQL veritabanından 2.930'u ransomware operatörleri tarafından zaten işaretlenmişti. Bu bir tahmin değil. "Olabilir" ihtimali değil. Doğrulanmış bir hedeflenme durumu.

Yüzde kaç? Korkutucu bir şekilde %99,96.

Eğer açıkta kalan veritabanlarının fark edilmeyebileceğini, kimse bulana kadar sessizce bekleyeceğini düşünüyorsanız, bu veri o yanılsamayı paramparça ediyor. Tehdid行为的 aktörleri beklemiyor. Çoktan izliyorlar.

Hâlâ İşe Yaran Altı Yıllık Yöntem

Rahatsız edici olan şu ki: Kullanılan yöntemler son derece sofistike, sıfırıncı gün exploit zincirleri değil. Esasında 2019-2020 civarında ortaya çıkan ve o zamandan beri dolaşımda olan temel bir metodoloji bu.

Konuştuklarımız şunlar:

• Otomatik tarama — açık veritabanı portlarını (MySQL örneğinde 3306) tarayan botlar
• Credential stuffing — varsayılan veya zayıf şifrelerle giriş denemeleri
• Veritabanı numaralandırma — yüksek değerli hedefleri belirleme
• Sessiz veri sızdırma — şifrelemeden önce verileri çekme
• Ransomware yerleştirme — gitgide daha kısa zaman dilimlerinde

Araçlar olgunlaştı. Otomasyon gelişti. Ama temel giriş noktası? Yanlış yapılandırma. Açıkta kalan portlar. Prod ortamına bağlı bırakılan test ortamları.

Bu, sofistike devlet destekli aktörlerin bir yansıması değil. Veritabanı sızıntısını verimli bir iş modeline dönüştürmüş grupların endüstriyel ölçekte yürüttüğü fırsatçı tarama operasyonları bunlar.

Açıkta Kalan Veritabanları Neden Hedef Tahtasında

Belki merak ediyorsunuzdur: Bu bu kadar biliniyorsa, veritabanları neden hâlâ açıkta?

Cevap aldatıcı derecede basit:

1. Geliştirici kolaylığı — Lokal geliştirme sırasında erişim kolay olsun diye portlar açık bırakılır. Üretime geçerken bazen bu ayarlar yerinde kalır.

2. Bulut yanlış yapılandırmaları — Public bulut instance'ları genellikle "test için" güvenlik grupları açık şekilde başlatılır.

3. Unutulan test ortamları — 2022'den kalma staging sunucusu mu? Hâlâ çalışıyor. Hâlâ internete açık.

4. Görünürlük eksikliği — Ekipler hangi sistemlerin internete baktığını bilmiyor.

5. Güvenlik through obscurity yanılgısı — "Kim bizi hedef alacak ki?" Cevap: Hiç ayrım yapmayan otomatik botlar.

Altyapınız İçin Ne Anlama Geliyor

MySQL veritabanları çalıştırıyorsanız — uygulamanız için, analitiğiniz için veya müşteri verileriniz için — sızıntı kanıtı görmemiş olsanız bile açıkta kalan instance'ları tehlike altında olarak değerlendirmeniz gerekiyor.

Saldırganların oyun planı şunu varsayıyor:

• Veritabanları yetersiz izleniyor
• Yedekler aynı tehlike altındaki sistemde tutuluyor
• Kuruluşlar doğrulanmış yedeklerden restore etmek yerine panikle ödeme yapacak
• Tespit ve müdahale süreleri şifreleme yapmaya değecek kadar yavaş

Çoğu durumda haklılar.

Hemen Yapılması Gerekenler

Açıklığınızı denetleyin:

• Shodan, Censys veya BinaryEdge gibi araçlarla IP'lerinizin internet tarama veritabanlarında görünüp görünmediğini kontrol edin
• Bulut sağlayıcınızın güvenlik gruplarını ve network ACL'lerini gözden geçirin
• Hiçbir veritabanı portunun 0.0.0.0/0'dan erişilebilir olmadığından emin olun

Kimlik doğrulamayı güçlendirin:

• Tüm veritabanı hesapları için güçlü ve benzersiz şifreler kullanın
• Mümkün olan yerlerde IP allowlisting uygulayın
• Doğrudan maruz kalma yerine VPN veya bastion host üzerinden bağlantı tüneli kullanmayı düşünün

Yedekleme stratejinizi doğrulayın:

• Yedekler çevrimdışı veya ayrı bir güvenlik bölgesinde mi saklanıyor?
• Son başarılı geri yükleme testi ne zaman yapıldı?
• Point-in-time recovery yeteneğiniz var mı?

Loglama ve izlemeyi etkinleştirin:

• Veritabanı denetim logları bağlantı girişimlerini, sorguları ve yönetimsel işlemleri kaydetmeli
• Olağandışı erişim kalıpları veya toplu veri dışa aktarımı için uyarılar kurun
• Database activity monitoring (DAM) çözümlerini değerlendirin

Büyük Resim: Güvenlik Altyapının Kendisi

Bu sadece bir veritabanı sorunu değil. Güvenliğin bir sonradan düşünce değil, temel altyapı olarak ele alınması gerektiğinin hatırlatıcısı.

NameOcean'da bu kalıbı tekrar tekrar görüyoruz — hızlı hareket eden, özelliklerini shipping yapan girişimler ve geliştiriciler, farkında olmadan altyapılarını açıkta bırakıyorlar. Hızlı iterasyon baskısı gerçek, ama bir ransomware olayının veya veri ihlalinin maliyeti, baştan itibaren her şeyi düzgün güvence altına almak için gereken mühendislik saatlerinden çok daha fazla.

Domain kayıt şirketiniz, hosting sağlayıcınız, DNS yapılandırmanız — bunların hepsi veritabanı katmanınıza uyguladığınız özeni hak eden giriş noktalarıdır.

Sonuç: İzleniyor Olduğunuzu Varsayın

İşaretlenen 2.930 veritabanı istisna değil. Daha geniş bir gerçekliğin temsilcisi: Veritabanınız internete açıksa, zaten birinin radarında.

Yöntem altı yıl öncesinden kalma çünkü hâlâ işe yarıyor. Bu saldırı yöntemlerine aşinalık sizi rehavete sürüklemesin. Bunun yerine harekete geçmeniz için motivasyon kaynağı olsun.

Açıklığınızı denetleyin. Erişimi kapatın. Yedeklerinizi doğrulayın. Ve şunu unutmayın: Mevcut tehdit ortamında görünmezlik bir güvenlik stratejisi değil.

Güvenle kalın.

Veritabanı altyapınızı veya hosting ortamınızı güvence altına alma konusunda sorularınız mı var? Yorumlarda bize yazın — sizi temelden güvenli bir şekilde inşa etmenize yardımcı olmak için buradayız.