Mitm(Man in the middle) – ortadaki adam saldırısı – TCP/IP ağlarda uygulanan ve başarı oranı oldukça yüksek bir saldırı tipidir.
Ağ güvenliği konusunda kulaktan dolma bilgisi olanların bile hakkında bilgi sahibi olduğu bu saldırı tipi hep bilinip hiç koruma alınmayan saldırı tiplerinin de en iyi örneği. Konu hakkında çeşitli koruma yöntemleri ele alınıyor fakat hemen hemen hepsi bir yerde etkisiz kalabiliyor(Switch seviyesinde alınmayan önlemler+veri şifreleme).
Bu tip araya girip veri çalma/değiştirme saldırılarının başarısı saldırganın hedef sistem ile sizin sisteminizin iletişimi esnasında(başlangıcında, ortasında vs.) araya giren birilerinin kendilerini hedef sistemmiş gibi gösterebilmesidir. L2 seviyesinde trafiği üzerine alan biri bilgi ve becerileri seviyesinde trafik üzerinde her tür işlemi yapabilir. Buna “https” trafiği ve çeşitli sistemlere login olurken kullanılan OTP(one time password) sistemler de dahil. Zira trafik üzerimizden akıyordur ve %100 müdahele imkanımız vardır.
Bugüne kadar bu tip basit ama hala önemini koruyan saldırı tiplerine karşı koruma yöntemi olarak genelde statik ARP kayıtları kullanılması öneriliyor. Yani hedef sistem(genelde router)in MAC adresini kendi sisteminize sabit ve değiştirilemez olarak girmek.
Bu yöntem bir dereceye kadar koruma sağlayabilir ama saldırgan biraz kafayi çalıştırıp sizin sisteminiz ile Router/Gateway arasına değil de Gateway/Router ile sizin aranıza girerse devre dışı kalır. Yani kulağını düz tutmak yerine tersinden tutarsa sizin aldığınız önlem işe yaramayacaktır.
Sizin sisteminizden çıkan trafik doğrudan Router’a gidecek, oradan da hedefine. Fakat dönen trafik Router’a ordan da araya girmiş olan saldırgana, saldırgandan sonra da sizin sisteminize doğru gidecektir. Yani gidiş paketleri üzerinde değil ama dönüş paketleri üzerinde tam bir hakimiyet söz konusu. Yine kafasını çalıştıran bir saldırgan bunu kullanarak istediği bilgiyi alabilir ve değiştirebilir.
Korunma için her iki sistemde de statik MAC adresleri kullanmak gerekebilir. Fakat DHCP calıştıran ağlarda ip-mac sabitlemesi pek mümkün değildir(lease sürelerini çok uzun tutarak ya da dhpc’den mac adresine göre ip ataması yapilabilir). Dolayısıyla çözüm yine donanım seviyesinde çözmeye kalıyor.
About the author /
Mustafa Kaya
Threatpost | The first stop for security news
- Attack Uses Docker Containers To Hide, Persist, Plant Malware 27 Temmuz 2017Abuse of the Docker API allows remote code execution on targeted system, which enables hackers to escalate and persists thanks to novel attacks called Host Rebinding Attack and Shadow Containers.
- Trickbot Malware Now Targets US Banks 21 Temmuz 2017Researchers with IBM and Flashpoint warn the Trickbot Trojan is growing more potent and now targeting U.S. banks.
- US, European Law Enforcement Shutter Massive AlphaBay Market 20 Temmuz 2017U.S. authorities along with law enforcement Europe and Asia announced today the takedown of the dark web’s largest illicit market, AlphaBay.
- Bad Code Library Triggers Devil’s Ivy Vulnerability in Millions of IoT Devices 19 Temmuz 2017Tens of millions of products ranging from airport surveillance cameras, sensors, networking equipment and IoT devices are vulnerable to a flaw that allows attackers to remotely gain control over devices or crash them.
- CoinDash Hacked During its ICO 18 Temmuz 2017Hackers hijacked CoinDash’s initial coin offering Monday, stealing $7.7 million in cryptocurrency from the nascent trading platform.
- NemucodAES Ransomware, Kovter Click-Fraud Malware Spreading in Same Campaigns 14 Temmuz 2017Researchers have spotted malicious email campaigns using Zip archives to spread NemucodAES ransomware and the Kovter click-fraud Trojan, simultaneously distributing both pieces of malware.
Leave a reply