Tünel açma

Saldırganlar tünellemeyi bir ağ protokolünü başka bir ağ protokolü içinde kapsüllemek için bir yöntem olarak kullanarak güvenlik kontrollerini atlamalarına, tespit edilmekten kurtulmalarına ve tehlikeye atılmış sistemlerle kalıcı iletişim kurmalarına olanak tanır. Tünelleme, saldırganların verileri, komutları veya malware adresini, aksi takdirde bu tür trafiği kısıtlayacak veya izleyecek olan ağ sınırları boyunca gizlice iletmelerini sağlar.

Saldırganların tünelleme tekniklerini kullanmasının belirli nedenleri şunlardır:

Güvenlik duvarlarını ve ağ kısıtlamalarını atlama

• Güvenlik politikalarından kaçmak: Güvenlik duvarları ve ağ filtreleri genellikle belirli trafik türlerine izin verirken diğerlerini engeller. Saldırganlar, bu kısıtlamaları aşmak için yasaklanmış protokolleri izin verilen protokoller içinde kapsüllemek için tünellemeyi kullanır (örneğin, kötü amaçlı trafiği HTTP veya DNS protokolleri içine sarmak).
• Kısıtlı hizmetlere erişim: Tünelleme, saldırganların trafiği izin verilen kanallar üzerinden yönlendirerek dış ağa açık olmayan dahili hizmetlere ulaşmasını sağlar.

Gizlilik ve kaçınma

• Kötü niyetli faaliyetleri gizleme: Saldırganlar, meşru protokollerin içine kötü niyetli iletişimler yerleştirerek saldırı tespit sistemleri (IDS) ve saldırı önleme sistemleri (IPS) tarafından tespit edilmekten kaçınabilirler.
• Şifreleme ve gizleme: Tünelleme, yükü şifreleyerek güvenlik araçlarının trafiğin içeriğini incelemesini zorlaştırabilir.

Veri sızıntısı

• Gizli veri hırsızlığı: Saldırganlar, güvenlik uyarılarını tetiklemeden hassas verileri tehlikeye atılmış bir ağdan dışarı sızdırmak için tünellemeyi kullanır.
• Tespit edilmekten kaçınma: Saldırganlar, dışarı sızan verileri normal trafik düzenleriyle harmanlayarak fark edilme olasılığını azaltır.

Kalıcı bağlantıların sürdürülmesi

• Command and Control (C2) iletişimi: Tünelleme, güvenlik önlemlerinin varlığında bile tehlikeye atılmış sistemler ile saldırganların sunucuları arasında kalıcı iletişim kanallarını kolaylaştırır.
• Ağ değişikliklerine karşı esneklik: Tüneller ağ değişikliklerine uyum sağlayarak iletişimin bozulmadan kalmasını sağlar.

Anonimlik ve atıflardan kaçınma

• Kaynak IP adreslerini gizleme: Tünelleme, saldırganın kaynağını gizleyerek savunucuların saldırıyı kaynağına kadar takip etmesini zorlaştırabilir.
• Ara ana bilgisayarları kullanma: Saldırganlar, ilişkilendirmeyi daha da zorlaştırmak için trafiklerini birden fazla katman veya güvenliği ihlal edilmiş ana bilgisayarlar üzerinden yönlendirir.

Protokol istismarı

• İzin verilen protokollerden yararlanma: Saldırganlar, kötü niyetli faaliyetler gerçekleştirmek için güvenlik duvarlarında yaygın olarak izin verilen protokollerden (ör. HTTP, HTTPS, DNS) yararlanır.
• Zayıflıklardan yararlanma: Bazı protokollerin doğal zayıflıkları vardır veya saldırganlar için bir fırsat sağlayan daha az incelenmiştir.

Saldırganlar Tarafından Kullanılan Yaygın Tünelleme Teknikleri

DNS Tünelleme

DNS tünelleme, verilerin DNS sorguları ve yanıtları içinde kapsüllenmesini içerir. DNS trafiği alan adı çözümlemesi için gerekli olduğundan ve genellikle sıkı bir inceleme yapılmadan güvenlik duvarlarından geçmesine izin verildiğinden, saldırganlar DNS paketlerinin içine kötü niyetli veriler veya komutlar yerleştirmek için bu protokolden yararlanır. Bu teknik, güvenlik önlemlerini fark edilmeden atlamak için izin verilen DNS trafiğinden yararlanarak veri sızıntısı gerçekleştirmelerini ve güvenliği ihlal edilmiş sistemlerle komuta ve kontrol iletişimini sürdürmelerini sağlar.

‍

‍

HTTP/HTTPS Tünelleme

HTTP/HTTPS tünelleme, kötü amaçlı trafiğin standart HTTP veya HTTPS istekleri ve yanıtları içine gömülmesini gerektirir. Saldırganlar, iletişimlerini gizlemek için web trafiğinin yaygın kullanımından ve kabul görmesinden yararlanırlar. Verilerini HTTP protokolleri içinde kapsülleyerek, genellikle web trafiğine sıkı kontroller olmadan izin veren güvenlik duvarlarından geçebilirler. HTTPS kullanmak ekstra bir şifreleme katmanı ekleyerek güvenlik araçlarının içerik incelemesini engeller ve kötü niyetli faaliyetleri normal şifrelenmiş web trafiği içinde gizler.

‍

‍

SSH Tünelleme

SSH tünelleme, ağ trafiğini güvenli bir şekilde iletmek için Secure Shell (SSH) bağlantılarını kullanır. Saldırganlar, verileri ve komutları uçtan uca şifrelenmiş olarak iletmek için SSH tünelleri kurar, böylece ağ izleme araçları tarafından içerik analizini ve müdahaleyi önler. Bu yöntem, ağ kısıtlamalarını atlamalarına ve tehlikeye atılmış ana bilgisayarlarla kalıcı, şifreli iletişim kanallarını sürdürmelerine olanak tanır ve genellikle şüphe uyandırmamak için meşru SSH hizmetlerini kullanır.

‍

‍

ICMP Tünelleme

ICMP tünelleme, ping komutları gibi ağ tanılamaları için yaygın olarak kullanılan yankı istekleri ve yanıtları gibi verilerin İnternet Kontrol Mesajı Protokolü (ICMP) paketleri içinde kapsüllenmesini içerir. Saldırganlar, ağ sorunlarını gidermeyi kolaylaştırmak için ICMP trafiğine genellikle güvenlik duvarları üzerinden izin verilmesinden yararlanarak, verilerini ICMP paketlerinin içine gömerek bu durumdan faydalanırlar. Bu teknik, ICMP trafiğinin yakından incelenme olasılığı daha düşük olduğundan, güvenlik duvarı kurallarını atlamalarına ve verileri gizlice aktarmalarına olanak tanır.

‍

‍

VPN ve Şifreli Tüneller

Saldırganlar, trafiklerini güvenli kanallar içinde kapsüllemek için Sanal Özel Ağlar (VPN'ler) veya özel şifrelenmiş tüneller oluşturur. Standart protokoller veya özel şifreleme yöntemleri kullanarak VPN bağlantıları kurarak, gizliliği ve bütünlüğü korurken ağ sınırları boyunca veri, komut veya malware iletebilirler. Bu yaklaşım, ağ izleme araçlarının trafiği incelemesini veya analiz etmesini zorlaştırarak saldırganların anonimliğini korumasına, tespit edilmekten kaçınmasına ve meşru şifreli bağlantılar kisvesi altında tehlikeye atılmış sistemlerle sürekli iletişim kurmasına olanak tanır.

‍