Toplam Yetkisiz SSH Erişimi

SSH tuzak sisteminin canlı olduğu süre içerisinde toplam olarak 9366 kullanıcı adı, şifre denemesi ile sisteme sızma girişimi gerçekleştirilmiştir. Daha öncede belirtildiği üzere bu denemeler SSH tuzak sistemin canlı olduğu bir aylık süre içerisinde gerçekleştirilen verileri içermektedir.

En Çok Denenen Kullanıcı Adları ve Şifreleri

Şekil 1’de görüldüğü üzere sisteme sızmak için en çok  tercih edilen kullanıcı adı  root olmuştur. Linux/Unix sistemlerde en yetkili kullanıcının root kullanıcısı olduğu göz önüne alındığında,  sisteme gerçekleştirilen sızma denemeleri için tercih edilen ve edilecek kullanıcı adının root seçilmesi muhtemel görünmektedir. Bu noktada SSH sunucu servisi için alınabilecek güvenlik önlemlerinden bir tanesi, root kullanıcısının sisteme direkt giriş yapmasına izin vermemek olmalıdır. Önce sisteme yetkisiz bir kullanıcı olarak oturum açılmalı ve ardından root kullanıcı kimliğine bürünülmesi sağlanmalıdır. Bu şekilde sisteme root kullanıcı kimliği ile sızma denemeleri de önlenmiş olacaktır.

Şekil 1 En çok denenen 10 kullanıcı adı
Yine aynı şekilde en çok denenen şifreler ise Şekil 2’de görülmektedir. Buradan da görüleceği üzere seçilecek şifrelerin kolay tahmin edilemeyecek olmasına dikkat edilmesi gerekmektedir.

Şekil 2 En Çok Denenen 10 Şifre

En Çok Denenen Kullanıcı Adı/Şifre İkilisi

Daha öncede belirtildiği üzere sisteme sızmak için en çok tercih edilen kullanıcı adı olarak root seçilmiştir. Bu bağlamda sisteme sızmak için denenen en çok kullanılan kullanıcı adı/şifre ikilisi root kulanıcısı için olacaktır. Bu durum Şekil 3’de gösterilmiştir.

Şekil 3 En Çok Denenen Kullanıcı Adı/Şifre İkilileri
Sisteme sızmak için gerçekleştirilen kullanıcı adlarının, sistemde var olan kullanıcılara oranı ise %68 olarak göze çarpmaktadır. Bunun için alınabilecek önlemlerden bir tanesi  kullanıcılar için kabuk ortamının sisteme oturum açmasını engelleyecek şekilde yapılandırılması, eğer  kullanıcı sistemde kullanılmıyor ise kaldırması şeklinde olmalıdır.

Denemelerin Ne Kadarı Botlar Tarafından Gerçekleştirildi ?

SSH tuzak sisteme gerçekleştirilen toplam 9366 demeden 2 tanesi  gerçek sisteme sızma denemesi olarak tespit edilmiştir. Bu orandan da görüleceği üzere denemelerin çok büyük bir kısmı otomatik araçlar tarafından gerçekleştirilmiştir. Bu tarz otomatik tarama araçları ile gerçekleştirilen sızma denemelerini önlemek için alınabilecek önlemlerden bir tanesi de SSH servisinin hizmet verdiği ön tanımlı port numarasının değiştirilmesi olmalıdır.

Denemelerin En Çok Gerçekleştirildiği Ülkeler

Kurulan tuzak sistemin Amerika Birleşik Devletleri lokasyonlu olduğu göz önünde bulundurulacak olursa, en çok sızma denemesi sırası ile Amerika Birleşik Devletleri, Çin ve Mısır’dan gerçekleştirilmektedir. Bu duruma ait istatiksel ve yüzdesel bilgiler Tablo 2 ve Şekil 5’ de gösterilmektedir.

Tablo 2 Yetkisiz Erişim Denemelerinin Gerçekleştirildiği Ülke İsimleri ve Deneme Sayıları

Şekil 4 Yetkisiz Erişim Denemelerinin Gerçekleştirildiği Ülke İsimleri ve Deneme Yüzdeleri

Bir Saldırının Ayak İzleri

SSH tuzak sistemine başarılı bir şekilde erişim sağlayan kullanıcıların, sistem üzerinde kullandıkları komutlar incelenmiş ve olası senaryolar üzerinde durulmuştur. Sisteme erişim sağlayan kullanıcıların ilk olarak en çok denedikleri komutun wget olduğu gözlemlenmiştir. wget,  ftp,  lynx, curl vb. gibi komut satırından çalışan, uzak sistemlerden dosya temin etmek için kullanılan komutlar yardımı ile sistem üzerinde zararlı kod çalıştırarak yetkili kullanıcı haklarına sahip olunmaya çalışılmıştır. Yine bunun yanında uname, uptime ve ps gibi komutlarla sistem çalışma durumu , sistem üzerinde çalışan süreçler ve  çekirdek hakkında bilgi toplanmaya çalışılmıştır.
Gökhan ALKAN, TÜBİTAK-UEKAE

SSH Tuzak Sistemleri ve Bir Saldırının Ayak İzleri yazısı ilk önce Ertan Dönmez üzerinde ortaya çıktı.