Honeypotlar: Temel Kavramlar ve Çalışma Prensibi

Honeypot, honeynet, honeywall ve honeytokenlar, yetkisiz erişim girişimlerini tespit etmek ve bu tür müdahalelerin yöntemlerini incelemek amacıyla tasarlanmıştır. 1990'larda ortaya çıkan honeypotlar, siber güvenlik önlemlerinin en tanınmış şekli olarak ortaya çıkmıştır. Potansiyel saldırganları değerli ağ kaynaklarından uzaklaştırmak için onları cezbeden tek bir ana bilgisayar veya ağ cihazıdır. Bir honeypot, keşfedilmesi, saldırıya uğraması veya ihlal edilmesiyle değer kazanan bir güvenlik mekanizması olarak tanımlanır. Bunlar gerçek bir hedefi taklit eden ve gerçek bir hedefmiş gibi davranan bir kaynaktır. Güvenlik açıklarına doğrudan bir çözüm olmasa da, honeypotlar, siber saldırıların doğası hakkında veri toplayarak güvenlik sorunlarının çözümüne katkıda bulunur. Ana hedefleri, potansiyel saldırganları dağıtmak ve saldırganın yöntemleri ve kimliği hakkında içgörüler elde etmektir.

Honeypotlar Nasıl Çalışır?

Honeynet

Honeynet, saldırılara davet eden tüm bir ağı simüle etmek üzere tasarlanmış birçok honeypotun bir araya gelmesinden oluşur. Honeypotlara benzer şekilde honeynetin amacı siber saldırılar için bir hedef olmaktır. Taklit edilen ortamların aksine, honeynet, gerçekçiliğini artırmak için operasyonel bir sistemin doğrudan bir kopyası olabilir. Honeynetler, honeypot tiplerinin zirvesi olarak kabul edilir, geniş öğrenme fırsatları sunan yüksek etkileşimli ortamlar olarak işlev görürler. Ancak en yüksek riski de beraberinde getirirler. Temel amaçları araştırma yapmak ve online topluluk içindeki mevcut siber tehditler hakkında bilgi toplamaktır. Honeynetin bileşenlerine minimal değişiklikler uygulanır, gerçek ağın inandırıcı bir taklidini oluşturma amacı güdülür. Bu yaklaşım, saldırganlara sömürmek için geniş bir sistem, uygulama ve işlevsellik yelpazesi sunar. Bu tür etkileşimlerden, saldırganların araçları ve stratejileri hakkında değerli bilgiler edinilebileceği gibi, iletişim teknikleri, organizasyon yapıları ve saldırı altında yatan nedenler hakkında da bilgi sahibi olunabilir.

Honeytoken

Honeypot ve honeynetlerden farklı olarak, honeytokenlar dosyalar, dosya içindeki girişler veya özel dizgiler şeklinde sadece veriden oluşur. Bu veriler tamamen kurgusal olmalarına ve herhangi bir pratik kullanıma sahip olmamalarına rağmen, geçerli ve gerçek görünmek üzere tasarlanmıştır. Bu dosyalar, değişiklik olması durumunda izlenir. Veriler ve dizgiler de, örneğin Google Alerts aracılığıyla, gözetim altında tutulur. Bu hizmet, belirli bir dizginin Google'ın arama sonuçlarında belirmesi durumunda kullanıcıları uyarır. Yani, yayımlanan bir honeytoken hakkında bir uyarı alınırsa, bu honeytoken'ın ele geçirildiğine ve başarılı bir sızma işleminin gerçekleştiğine dair güçlü bir işaret olur. Honeytokenların birkaç özelliği şu şekilde tanımlanabilir:

• Sahici: Honeytokenlar ikna edici bir şekilde gerçek veriyi taklit eder.
• Cezbedici: Saldırganları çekmek için tasarlanmışlardır.
• Dikkat Çekici: Kolayca bulunabilirler.
• Algılanabilir: Honeytoken ile etkileşim, bir uyarı tetikler.
• Çeşitlilik: Honeytokenlar farklı bilgiler içerir, aralarında tanınabilir bir bağlantı oluşturmazlar.
• Müdahale Etmez: Normal veri veya sistem işlemlerini bozmazlar.
• Ayırt Edilebilir: Meşru kullanıcılar honeytoken ile gerçek veriyi ayırt edebilirken, sızan kişiler edemez.

E-mail Tuzakları

Öte yandan, e-mail tuzakları veya spam tuzakları da farklı bir strateji kullanır. Bu tuzaklar, yalnızca otomatik adres toplayıcıların bulabileceği gizli bir konumda sahte bir e-posta adresi yerleştirir. Adres yalnızca spam tuzağına yönelik kullanıldığı için, bu adrese gelen herhangi bir postanın kesinlikle spam olduğu anlaşılır. Spam tuzağına gönderilenlerle aynı içeriği içeren tüm mesajlar otomatik olarak engellenebilir ve gönderenlerin kaynak IP adresleri bir yasak listesine eklenebilir.

Honeypotların Özellikleri

Honeypotlar, saldırganları kritik varlıklardan uzaklaştırmak, potansiyel tehditler hakkında erken uyarılar sağlamak ve saldırı sırasında ve sonrasında düşmanların detaylı bir şekilde incelenmesini kolaylaştırmak için tasarlanmış araçlar olarak tanımlanır. Savunmacılar için ideal senaryo, bir saldırganın honeypot ile bir süre boyunca etkileşimde bulunmasıdır. Honeypotlar çeşitli biçimlerde gelir ve her biri farklı uygulamalara sahiptir. Her tür honeypot çeşitli senaryolara uyum sağlayabilirken, kullanılan yapılandırmaya bağlı olarak benzersiz avantajlar ve dezavantajlar sunar.

Farklı Honeypot Tipleri

• Düşük etkileşimli bir honeypot, saldırganlara sadece çok sınırlı bir komut seti sunar, bu da onlar hakkında derinlemesine bilgi toplama kapasitesini sınırlar. Bu durum, aynı zamanda, honeypot üzerinden başarılı bir saldırı sonucu üretim sistemlerinin zarar görme riskini de önemli ölçüde azaltır. 
• Diğer uçta, yüksek etkileşimli bir honeypot, sistemin kullanılmasına, değiştirilmesine veya zarar görmesine izin vererek saldırgan hakkında mümkün olduğunca çok bilgi toplamayı amaçlar. Bu tür honeypotlar, genellikle gerçek üretim sunucularının klonlarıdır ve ana hedefleri yeni saldırı tekniklerini keşfetmektir.
• Orta etkileşimli bir honeypot, düşük ve yüksek etkileşimli honeypotlar arasında bir yerdedir. Düşük etkileşimli bir honeypot yalnızca sınırlı sayıda komut sağlar ve yüksek etkileşimli bir honeypot ise işletim sistemine erişim izni verir. Orta etkileşimli bir honeypot ise bir hizmeti taklit eder.

Kullanım Örnekleri

Honeypot bir saldırıyı teşvik ederek saldırgan hakkında bilgi toplar. Burada temel amaç, saldırganların yeni tekniklerini ve kullandıkları araçları ortaya çıkarmaktır, saldırganlara karşı sistemi savunma gibi bir özellikleri yoktur.

Bir honeypot kurarken, birkaç önemli konu göz önünde bulundurulmalıdır:

• Veri Tipleri: Veriler, saldırganların dikkatini çekecek kadar gerçekçi görünmelidir ancak bu verilerle şirkete zarar verilmesi mümkün olmamalıdır.
• Yukarı Bağlantı Sorumluluğu: Honeypotlar tehlikeye açıktır ve bir saldırganın diğer sistemlere saldırı yapmasını sağlayabilir. Bu, honeypotların ayrı ağlarda veya şirketin ana işletim ağının farklı bir IP aralığında dikkatlice planlanması gerektiğini gösterir.
• Gizlilik: Bir honeypotun bariz bir şekilde honeypot olarak görünmemesi gerekir. 

Gerçek Hayat Honeypot Örnekleri

Çeşitli sektörler, honeypot sistemlerini benimsemiş ve bunları farklı şekillerde kullanmışlardır. Honeypotların kullanımı genellikle şirketler tarafından açıklanmasa da bu sistemler güvenlik altyapılarına entegre edilmeye devam etmektedir. Honeypot sistemlerinin kesin yapılandırmaları ve sürümleri gibi detaylar ise gizli tutulmaktadır. Özellikle, telekomünikasyon sağlayıcıları ve güvenlikle ilgili işletmeler sayısız honeypot kurmaktadır. Bunlar, tehditler hakkında istihbarat toplamak, saldırı görselleştirmesi için veri derlemek gibi amaçlar taşır. Organizasyonlar, temel hizmetlerini honeypot sistemleri ile gizleyerek elde edilen içgörülerle güvenlik stratejilerini geliştirmektedir. Ayrıca, sağlık sektörü gibi alanlar, personelin güvenilirliğini değerlendirmek için sahte hasta kayıtları (örneğin, “John F. Kennedy” etiketli bir honeytoken) kullanmaktadır.

Bu örnekte "John F. Kennedy" adında sahte bir tıbbi kayıt oluşturulur ve veri tabanına yüklenir. Bu tıbbi kaydın gerçek bir değeri yoktur çünkü bu isimde gerçek bir hasta yoktur. Herhangi bir çalışan ilginç hasta verileri arıyorsa, bu kayıt kesinlikle öne çıkacaktır. Çalışan bu kayda erişmeye çalışırsa, büyük olasılıkla hasta mahremiyetini ihlal eden bir çalışan olduğu anlamına gelir.

Bir honeypot, uygulamaları ve verileri ile gerçek bir bilgisayar sistemine benzeyerek, siber saldırganları geçerli bir hedef olduğuna inandırmak için tasarlanmıştır. Örneğin, kredi kartı numaralarını bulmak isteyen suçluların sık sık hedef aldığı bir şirketin müşteri faturalama sistemini taklit edebilir. Saldırganlar honeypota girdiğinde, izlenebilir ve gerçek ağın güvenliğini artırmak için taktikleri üzerine ipuçlarını değerlendirilebilir.

Sonuç olarak honeypotlar, siber güvenlik alanında etkili araçlar olarak ortaya çıkmaktadır. Bu sistemler, saldırganların yöntem ve stratejilerini derinlemesine anlamak, kritik sistemleri korumak ve güvenlik önlemlerini geliştirmek için değerli bilgiler sunar, hazırlıklı olma konusunda şirketlere yardımcı olur.