Saldırganları Kendi Tuzağına Düşürmek: Honeypot (Bal Küpü) Nedir ve Nasıl Çalışır?
Sunuculara saldıran botları, port tarayıcılarını ve hacker'ları anlamak için kurulan sahte 'açık kapılar' (Honeypot). Saldırganın denediği şifreleri, çalıştırdığı komutları ve exploit araçlarını onu hiç uyandırmadan kaydedip savunmamızı güçlendirmenin yolları.
Siber güvenlikte savunma yapmak çoğu zaman karanlıkta bekleyen görünmez bir düşmana karşı kalkan tutmaya benzer. Güvenlik duvarınızın kapısına vuranların kim olduğunu, hangi silahları kullandığını ve ne aradığını bilmeden sadece gelen darbeleri savuşturmaya çalışırsınız. İşte bu dengesizliği tersine çeviren, savunucuyu avcıya, saldırganı ise ava dönüştüren en zekice siber savunma stratejilerinden biri 'Honeypot' yani 'Bal Küpü' teknolojisidir. Tıpkı ayıları yakalamak için ormana bırakılan bir bal çanağı gibi, siber alemde de saldırganları içine çeken sahte ve tuzak sistemler inşa edilir.
Honeypot'un temel çalışma mantığı şudur: Sunucunuzda gerçekte hiçbir hayati veri barındırmayan, ancak dışarıdan bakıldığında savunmasız, zayıf şifreli veya güncellenmemiş gibi görünen sahte bir servis çalıştırırsınız. Örneğin; standart SSH portunuzu güvenli bir porta taşırken, varsayılan 22 numaralı portta sahte bir SSH Honeypot'u (örneğin Cowrie) yayına alırsınız. Dünyanın dört bir yanından interneti rastgele tarayan otomatik botlar ve saldırganlar bu açık kapıyı gördüklerinde hemen içeri sızmaya çalışırlar.
Bir saldırgan bu sahte sisteme giriş yaptığında, karşısında gerçek bir Linux terminali olduğunu sanır. 'ls', 'whoami', 'uname -a' gibi komutlar çalıştırır, dışarıdan zararlı yazılım indirmeye çalışır veya sunucuyu bir botnet zombisine dönüştürmek için komutlar verir. Ancak işin gerçeğinde saldırgan, güvenli bir sanal kum havuzunda (sandbox) izole edilmiştir. Bastığı her bir tuş vuruşu, denediği her şifre, sunucuya yüklemeye çalıştığı her zararlı dosya (malware) milisaniyelik olarak kaydedilir ve saldırganın IP adresiyle birlikte güvenlik veritabanımıza işlenir.
Honeypot kullanmanın sağladığı en büyük kazanım 'Tehdit İstihbaratı' (Threat Intelligence) elde etmektir. Günümüzde siber saldırganların hangi kullanıcı adlarını en çok denediğini, popüler kaba kuvvet şifre listelerini ve yeni çıkan sıfırıncı gün açıklarını sahada canlı olarak gözlemleme fırsatı bulursunuz. Bu sayede, asıl gerçek sistemlerinizde hangi açıkları kapatmanız gerektiğini saldırganın kendi taktiklerinden öğrenmiş olursunuz. Bal küpüne takılan IP adresleri doğrudan Fail2ban ve ana güvenlik duvarı kurallarına aktarılarak gerçek sistemler için aşılmaz bir kalkan oluşturulur.
Bir sistem yöneticisi ve yazılımcı olarak savunmayı sadece pasif duvarlar örmekten ibaret görmemeliyiz. Düşmanınızı tanımak, onun davranış kalıplarını çözmek ve saldırganın kendi cephanesini ona karşı bir savunma bilgisine dönüştürmek siber güvenliğin en üst seviyesidir. Kendi sunucumda aldığım güvenlik önlemlerinde ve log analizlerinde bu aktif savunma prensibini uygulamak, sistemlerimi dijital dünyanın fırtınalarına karşı her gün bir adım daha dayanıklı kılıyor.