Vekilin Demek Sen Demek

Kurumsal bir portalın testini yapıyoruz. Portalın en dikkat çeken özelliği bir başka üyeye vekalet verebilme yeteneği. Bununla ilgili menü butonuna bastığımda yetkim olmadığı uyarısını alıyorum. Ancak tam arada bir ekran görünüp kayboluyor.

Bu durum benim dikkatimi çekiyor. Burpsuite üzerinden aynıtrafiği kesip adım adım gidiyorum. Kullanıcı_ID değeri üzerinden kullanıcı sorgusu olduğunu, eğer bir kişi mevcutsa onun bilgisinin çok kısa süreli ekrana geldiğini anlıyorum. Bu durumu Intruder ile ardışık olarak sorguladığımda kurumdaki personelin kullanıcı_ID, ad ve soyad’larının dökümünü alabildiğimi görüyorum.

Bu esnada ekibimizin aynı zamanda sahne sanatçısı olan üyesi vekalet verebilme özelliğini daha da derinden inceliyor. Trafiği kesince vekalet kaynağını değiştirebildiğini farkediyor. Bu şekilde başkası adına yine bir başkasına vekalet verebiliyor. Bu ise sonuçta tam yetkili vekalet neticesinde özünde şifre değiştirmeye ve hesabı ele geçirebilmeye kadar gidiyor. Müşterimizi arayarak raporu beklemeden durum hakkında bilgilendirme yapıyoruz.

Müşterimizin sahadaki Endüstriyel Kontrol Sistemlerini (EKS) inceliyoruz. Modbus trafiğinin oldukça hassas bir Windows makine üzerinden aktığını gözlemliyoruz. Trafiği dinlemek istiyoruz. İlk aklımıza gelen Wireshark kurmak ancak özellikle makinede restart istediği için çekiniyoruz.

Bazı EKS sistemlerinde sistemin aksamaması çok önemli. Müşterimiz herhangi bir ayarın bozulmasından ve çalışan sistemin bozulmasından fazlasıyla çekiniyor. Dolayısıyla makineye restart vermemizi istemiyorlar. Biz de alternatif bir çözüm geliştirmek durumundayız.

Biraz araştırma yaptıktan sonra doğrudan Windows’un kendi yetenekleriyle bunu yapabileceğimizi gözlemliyoruz:

Öncelikle komut satırından “netsh trace start capture=yes” komutu ile trafiği çekmeye ve kaydetmeye başlıyoruz. Ancak ortaya çıkan dosya uzantısı .etl. Bunu pcapng formata dönüştürmek için ise yine MS tarafından geliştirilmiş etl2pcapng aracını kullanıyoruz. Evet artık başka bir ortamda pcapng paketini inceleyebiliyoruz.

EKS testinde en önemli olarak EKS ağlarının ve bileşenlerinin mimari yapılandırması olduğunu gözlemliyoruz. Kurumsal bilişim sistemleri (KBS) ile EKS ağlarının içiçe olduğu, TCP tabanlı sunucu sistemlerin bile oldukça eski olduğu ve uygun şekilde kurgulanmadığı senaryoların oldukça yaygın olduğunu görüyoruz.

Müşterimize sağlam bir EKS mimarisi için Purdue Enterprise Reference Architecture (PERA) modelinin referans olarak alınabileceğini ve bu mimari kurumların EKS altyapısına göre özelleştirilebileceğini öneriyoruz.