Kilitli bir kapının ardına gizlenmiş veriler… Ve saldırganın elinde binlerce anahtar. Kaba kuvvet saldırısı, siber güvenlikte sıkça karşımıza çıkan, basit ama zaman zaman ölümcül etkiler yaratabilen bir saldırı yöntemidir. Brute Force olarak bilinen bu teknik; parola, kullanıcı adı, dizin yapıları gibi hedef bilgileri sistematik olarak deneme yoluyla ele geçirme amacını taşır.
2024 yılında gerçekleşen birçok veri ihlalinin ardında, aslında bu kadar basit çalışan bir yöntem vardı. Çünkü sistemlerin çoğu hâlâ tahmin edilebilir kombinasyonlarla korunuyor.
Bu yazıda brute force saldırılarını teknik detaylarıyla ele alacak, farklı türlerini inceleyecektir.
Yaygın Brute Force Saldırı Türleri
Dictionary Attack
Bu saldırı tipi özellikle kullanıcıların kolay ve yaygın şifreler tercih etmesi nedeniyle oldukça yaygındır. Saldırganlar genellikle internette erişilebilir büyük parola listelerini kullanır. Bu listeler, geçmiş veri sızıntılarından toplanan gerçek şifrelerden oluşabilir. Örneğin “12345678”, “password” şifreler kolaylıkla tahmin edilebilir şifrelerdir ve gerçek hayatta oldukça fazla kullanılır.
Bu yüzden, karmaşık ve tahmin edilmesi zor parolalar tercih edilmelidir.
Örnek saldırı senaryosu:
https://example.com/login?username=admin&password=123456
Saldırgan veri tabanına ulaşmak için parola listelerini sırasıyla kullanır.
Savunma yöntemi olarak güçlü parolalar oluşturulması önerilir içerisinde büyük küçük harf, semboller ve sayıların kullanılması gerekir ve çok faktörlü doğrulamamın kullanılması önerilir.
Tüm Kombinasyonların Denenmesi
Saldırgan, tüm olası karakter kombinasyonlarını deneyerek doğru kullanıcı adı ve parolaya ulaşmaya çalışır, bu işlem zaman alan bir saldırı türüdür. Saldırgan bütün karakterleri bir kombinasyon şeklinde dener. Örneğin ‘1’ den ‘8’ e bütün kombinasyonları dener.
Savunma yöntemi olarak uzun ve güçlü parolalar oluşturarak ve başarısız denemeler için oturum sınırlaması koymak gerekir.
Credential Stuffing
Saldırganlar, daha önce başka bir veri tabanından sızmış verilerle farklı sistemlere oturum açmaya çalışır. Örneğin önceden sızdırılmış “123@example.com” e-posta adresi ile “123pass” şifresini farklı bir web sitesinde oturum açamaya çalışır.
Savunma yöntemi olarak her sistemde farklı parola kullanılmalı ve çok faktörlü kimlik doğrulama aktif edilmelidir.
Brute Force Saldırılarından Korunma Yöntemleri
- Güçlü Parola Politikaları: Minimum uzunluk ve karmaşıklık kuralları uygulanmalıdır.
- Çok Faktörlü Kimlik Doğrulama (MFA): Ek bir güvenlik katmanı olarak kullanılmalıdır.
MFA : Çok faktörlü kimlik doğrulama yani Multifactor authentication (MFA), kullanıcıların bir sisteme veya hesaba erişmek için birden fazla kimlik biçimi sağlamasını gerektiren bir güvenlik önlemidir. MFA, yetkisiz kullanıcıların bir parola çalmış olsalar bile hesaplara erişmelerini zorlaştırır. Bu, hesapları siber saldırıya uğramaktan korumanın basit ve etkili bir yoludur.
- Oturum Sınırlamaları: Belirli sayıda başarısız giriş denemesinden sonra hesap geçici olarak kilitlenmelidir.
- CAPTCHA Kullanımı: Bot tabanlı saldırıları engellemek için CAPTCHA entegre edilmelidir.
CAPTCHA: reCAPTCHA v3, kullanıcı etkileşimi olmadan web sitenizdeki kötüye kullanım amaçlı trafiği tespit etmenize yardımcı olur. reCAPTCHA v3, CAPTCHA sorusu göstermek yerine bir puan döndürerek web siteniz için en uygun işlemi seçebilmenizi sağlar.
- IP Engelleme: Şüpheli IP adreslerinden gelen fazla sayıda başarısız giriş denemesi engellenmelidir.
Yukarıdaki önlemler, brute force saldırılarına karşı temel bir savunma hattı oluşturur.
Ancak bir sistemin bu tür saldırılara gerçekten dayanıklı olup olmadığını görmek için aktif testler yapılmalıdır.
İşte burada cURL ve ffuf gibi araçlar devreye girer.
Bu araçlar, bir saldırganın brute force saldırısını nasıl gerçekleştireceğini anlamamızı sağlar.
Aynı zamanda kendi sistemimizi bu tür saldırılara karşı deneyimleyerek test etme imkânı sunar. Gelin şimdi bu araçları yakından tanıyalım.
Aktif Test Araçları: curl ve ffuf
- ffuf (Fuzz Faster U Fool):
Go diliyle yazılan bu araç, hızlı ve esnek bir fuzzing (bulanıklaştırma) aracıdır. URL parametrelerini, HTTP başlıklarını, dizin ve dosya adlarını brute force yöntemiyle bulmak için kullanılır.
Örnek Kullanım:
ffuf -u https://example.com/FUZZ -w /path/to/wordlist.txt
- -u: Hedef URL’yi belirtir.
- -w: Kullanılacak kelime listesini belirtir.
- curl:
curl, çeşitli protokolleri kullanarak sunucularla veri alışverişi yapmayı sağlayan bir komut satırı aracıdır. HTTP, HTTPS, FTP gibi birçok protokolü destekler.
Örnek Kullanım:
curl https://example.com/login?username=admin&password=123456
Bu komut, belirtilen URL’ye bir HTTP isteği gönderir ve sonucu görüntüler.
Sonuç
Brute Force saldırıları, basit ancak etkili yöntemlerle sistemlere zarar verebilir. Güçlü parola politikaları, çok faktörlü kimlik doğrulama ve aktif güvenlik testleri gibi önlemlerle bu saldırıların önüne geçmek mümkündür. curl ve ffuf gibi araçlar, sistemlerin güvenlik açıklarını tespit etmek ve saldırı senaryolarını simüle etmek için kullanışlıdır. Bu araçları doğru şekilde kullanarak, sistemlerinizi Brute Force saldırılarına karşı daha dirençli hale getirebilirsiniz.
Bu makale, Brute Force saldırılarını anlamak ve savunma stratejileri geliştirmek isteyenler için temel bir rehber niteliğindedir. Unutmayın, siber güvenlik sürekli gelişen bir alandır ve proaktif önlemler almak her zaman en iyi savunma yöntemidir.
