KoçSistem SOC ekibi tarafından hazırlanan aylık güvenlik bültenidir. Bu ay konumuz güvenlik açıkları ve korunma yöntemleri

1. BiZ’denHaberler
YapıKredi’ninSOCMerkeziOluyoruz!
NO.07•Nisan2016
Editör:ÖzgeÇELİK
socKoçSistem
KoçSistemSecurityOperationCenter
www.kocsistem.com.tr
2016MartAyında
KayıtlaraGeçenAtaklar
GüvenlikAçıkları
YönetimHizmeti
MARTAYINAAİT
KRİTİKAÇIKLAR
KİMEKARŞI
KORUNMAK
GEREKİR?

2. DROWN (Decrypting RSA withObsoleteand
Weakened eNcryption), HTTPS, internet
güvenliğiiçingereklibazıkriptografikprotokol-
leriveSSLveTLS’yedayanandiğerservisleriet-
kileyenciddibirgüvenlikaçığıdır.Buprotokoller
herkese internette gezinti,e-posta kullanımı,
onlinealışverişve3.partikişilerdenbağımsız
anlık mesaj gönderme gibi imkanlar
sağlamaktadır.
DROWN,saldırganlaraşifrelemeyikırma,parola,
kredikartnumaraları,ticaretsırlarıveyafinansal
verilerdahilolmaküzerehassasverileriiçeren
iletişimleriokumaveyaçalmaimkanlarınısağlar.
Ölçümler,HTTPSsunucularının%33’ününatak
riskitaşıdığınıgöstermektedir.
Pekisaldırganlarınkazancıne?
KKomünikasyon,sunucu ile kullanıcıarasında
gerçekleşir.Builetişim,tipikolarakkullanıcıadı,
parola,kredikartınumaraları,e-postaadresleri,
anlıkmesajlarvehassasdokümanlariçersede
sadece bunlarla sınırlıdeğildir.Bazıyaygın
senaryoları düşünecek olursak, saldırganlar
güvenlibirwebsitesikimliğinedebürünebilirve
kullanıcıkullanıcıgörünümünüveiçeriğinidurdurabilir
veyadeğiştirebilir.
Kimlerriskaltında?
Websiteleri,mailsunucularıvediğerTLSser-
visleriDROWN atak riskialtında ve birçok
popülersite(https://goo.gl/qiu0PR)etkilendi
bile. İnternette geniş çaplı tarama
gerçekleştirilen sitelerin güvenirliklerine
bakıldığında ise aşağıdaki yüzdeler elde
edilmiştir.
Savunmasız sunucuların operatörleri bazı
aksiyonlarıalmak durumundalar.Tarayıcıların
veyasonkullanıcılarınbusaldırıyakarşıkendile-
rinikorumakiçinyapabileceğibirşeyyok.
Sitenizsavunmasızmı?
ModernsunucuveclientlarTLSşifrelemeproto-
kolü kullanmaktadır. Ancak yanlış
yapılandırmalarnedeniyle,çoğu sunucu hala
1990’lıyıllardaTLSiçinkullanılanSSLv2destek-
lemektedir. SSLv2, up-to-date clientlarınca
kullanılmadığındanberibudestekleme,uygula-
malardaönemliolmadı.Bunedenle,SSLv2her
nekadargüvensizbilinsedeşimdiyekadarbir
güvenlikproblemiolarakdüşünülmedi,çünkü
clientlartarafındankullanılmıyor.
DROWN,SSLv2’yimodernsunucuveclientlar
için tehditolarak göstermektedir.Bu durum
saldırganların up-to-date clientlarve sunucu
arasındakimodernTLSbağlantınındecryptet-
mesineizinvermektedir.

3. “GüvenlikAçıklarınızSaldırıyaDönüşmedenÖnleminiziAlın”https://drownattack.com/
izin veren herhangi sunucu yazılımlarında
kullanılmadığındaneminolmasıgerekmektedir.
Buweb,SMTP,IMAPvePOPsunucularınıve
diğerSSL/TLSdestekleyenyazılımlarıiçerebilir.
SSSSLv2’yidevredışıbırakmakkarmaşıkveözel
sunucuyazılımlarınabağlıolabilir.Birkaçyaygın
kullanılanürüniçinaşağıdakiaçıklamalarıdik-
katealabilirsiniz:
OpenSSL
OpenSSL,çoğu sunucu ürününde kullanılan
kriptografik bir kütüphanedir. OpenSSL’in
kullanıcılarıiçin en kolayveönerilen çözüm
OpenSSL’insonsürümüneyükseltilmesidir.
OpenSSLOpenSSL1.0.2kullanıcıları,1.0.2g’ye;OpenSSL
1.0.1kullanıcılarıise1.0.1s’eyükseltmelidir.Daha
eskiversiyonlarıkullananlardabuversiyonlar-
danbirineyükseltmelidir.
Detaylıbilgiiçin:https://goo.gl/ZnyMuF
MicrosoftIIS(WindowsServer)
*10Mart’tagüncellendi
SSL2.0,sunucukullanımıiçinvarsayılanolarak
etkinbırakılır.
Detaylıbilgiiçin:https://goo.gl/Xh5M9c;
https://goo.gl/rBO89G
NetworkSecurityServices(NSS)
NSS,NSS,çoğusunucuürünündeyerleşikolarakbu-
lunanyaygınbirkriptografikkütüphanedir.NSS
3.13 ve üzerisürümlerinde SSLv2 varsayılan
olarakdevredışıolmalıdır.Dahaeskisürümleri
kullananlarson sürümeyükseltmelidir.Ayrıca
özelşifrenizinbaşkayerdeolupolmadığınıkont-
roletmenizitavsiyeederiz.
Aşağıdakidurumlar geçerliyse sunucunuz
DROWN’akarşısavunmasızolabilir:
--EğerSSLv2bağlantısınaizinveriliyorsavebu
bağlantıyanlış yapılandırma veya uygunsuz
varsayılan ayarlar nedeniyle aşırı derecede
yaygınsa sunucu DROWN’a karşısavunmasız
olabilir.Veriler,HTTPSsunucularının%17’sinin
halaSSLv2bağlantısınaizin verdiğinigöster-
mektedir.
--Özelşifre,SSLv2bağlantısınaizinverendiğer
sunucular hatta başka protokoller için
kullanılıyorsarisklidir.Örneğinçoğuşirket,web
vee-postasunucularındaaynısertifikaveşifreyi
yenidenkullanmaktadır.Budurumda,e-posta
sunucusuSSLv2destekliyorsavewebsunucusu
desteklemiyorsa saldırgan,web sunucusunun
TLSTLSbağlantılarınıkırmakiçine-postasunucu-
sundanyararlanabilir.Hesabıyenidenkullanmak
içinşifrealındığındaHTTPSsunucusuextradan
%16savunmasızhalegelerek%33riskaltında
kalır.
Sunucunuzunasılkorursunuz?
SunucuyuDROWN’akarşıkorumakiçinsunucu
operatölerinin,özelşifrelerinSSLv2bağlantısına

4. “IBM X-ForceInteractiveSecurityIncidents” http://goo.gl/Yxgc5
W-2 verilerivergikaçakçılığıvediğerkimlik
hırsızlığıiçinkullanılabilir.
Amerika’da bir anda geçersiz olan IOS
uygulamasının veritabanının hala çevrimiçi
olduğuveyanlışyapılandırıldığıtespitedildive
kamuyaklaşık200.000kullanıcınınkişiselverile-
rineerişimsağladı.
16Mart2016
Amerika’da bir Payday Lending şirketi
çalışanlarının W-2 verilerinin çalınmasıyla
sonuçlanan phishing saldırısının hedefioldu.
ÇalınanW-2verilerivergikaçakçılığıvediğer
kimlikhırsızlığıiçinkullanılabilir.
17Mart2016
KanadaKanada’da bir kumarhane, çalışan ve
müşterilerinverilerininyetkisizkişilerceortaya
çıkarıldığı bir "sofistike saldırının" kurbanı
olduğunubildirdi.
AmerikaAmerika’dakorsanlargemigümrükbildirimleri,
taşımasenedi,GPSkoordinatlarısağlayanbir
gemicilikfirmasındaCMSsisteminiihlaletmiş,
milyon dolarlardeğerinde elmasve değerli
kargolarıiçerenyarımdüzinegemikaçırılmıştır.
18Mart2016
İsviçİsviçre demiryoluna aitweb sitesine yapılan
DDoSsaldırısısonucusiteyeerişim birkaçsaat
kesilmiştir.
Amerika’da bir Kentucky hastanesi, bazı
sunucularının birkaçgün boyunca elektronik
kayıtlaraerişimiengelleyenRamsomwaremal-
wareetkisialtındakalmasıüzerinekendiiçinde
1Mart2016
AmerikaAmerika’dabirveri depolamaşirketi,mevcut
durumdavegeçmiştekibinlerceçalışanınınW-2
verilerinin çalınmasıyla sonuçlanan phishing
saldırısının hedefioldu.Çalınan W-2 verileri
vergikaçakçılığıvediğerkimlikhırsızlığıiçin
kullanılabilir.
8Mart2016
NebraskaNebraska’daki ayak bakım kliniğinin
açıklamasınagöregöre,bazıhastalaraaitPII
verileri3.PartiElectricMedicalRecords(EMR)
satıcılarındakiveriihlalinemaruzkaldıve5883
verisızdırıldı.
11Mart2016
AmerikaAmerika’daanti-DDoShizmetisağlayanbirISP,
müşterileriiçinserviskesintilerinenedenolabi-
lecekgenişçaplıbirDDoSsaldırısınınhedefi
oldu.Şirketiyibilinenbirırksalnefretgrubuna
hizmet sağladığından dolayı hacktivistler
tarafındanhedefalındı.
15Mart2016
AmerikaAmerika’da birkaç yüksek profillihaber ve
eğlencesitesininmilyonlarcamasumziyaretçile-
rinekötüamaçlıreklamlararacılığıylaendpoint
sistemlerdemalwareyüklemekiçinAdobeFlash,
MicrosoftSilverlightvediğertarayıcıeklentile-
riningüvenlikaçıklarındanyararlananAnglerEx-
ploitKityüklenmiştir.
ABD’ninenbüyükotoparkşirketlerindenbirinin
mevcut durumda ve geçmişteki binlerce
çalışanınınW-2verilerininçalınmasıylasonuçla-
nanphishingsaldırısınınhedefioldu.Çalınan

5. “IBM X-ForceInteractiveSecurityIncidents”http://goo.gl/Yxgc5
acildurumilanetmişvesonrasındasistemlerre-
store edilerek yeniden çevrimiçi hale
getirilmiştir.
Birİsviçrelisiyasipartininveritabanıihlaledilmiş
vedestekçilerininisim veadresbilgileriniiçeren
50.000kişiselverisızdırılmıştır.
21Mart2016
Kanada’daeskibirCMSsistemiileçalışanbir
hastaneninwebsitesininziyaretçileriAnglerEx-
ploitKitveRansomware’emaruzkalmıştır.
23Mart2016
PhoenixArizonamerkezlibirsüpermarketzinciri
çalışanlarının W-2 verilerinin çalınmasıyla
sonuçlanan phishing saldırısının hedefioldu.
ÇalınanW-2verilerivergikaçakçılığıvediğer
kimlikhırsızlığıiçinkullanılabilir.
24Mart2016
AmerikaAmerika’daveriihlalleriniinceleyeniyibilinenbir
danışmanlıkşirketi,müsterilerinin iletişim bil-
gilerini içeren 1.500.000 verinin kaybıyla
sonuçlanan bir güvenlik olayının kurbanı
olmuştur.Şirketihlalinkendikurumsalmüşteri
portalıüzerindebirweb sitesindekigüvenlik
açığısonucuolduğunuaçıkladı.
ABDABDFBI,saldırganlarınFortune500şirketlerive
WallStreetbankalarınavekaletedenavukatlık
firmalarınınkurumsalcasuslukveiçticaretiçin
derlediğihassasverilerisızdırmayıhedeflediğini
raporlamıştır.
25Mart2016
MaMaryland’da bir restoranıntta iç sunucu,
dosyalarınkilidiniaçmakiçin$10,000fidyeiste-
nenbirransomwareetkisialtındakalmıştır.FBI,
restorantıno gündışülkelerdekisaldırganlar
tarafından hedeflenen 8 işletmeden biri
olduğunubildirdi.Sahibiödemeyireddederek
sunucusıfırdantekrarkuruldu.
PopülerbirAvusturalyalıseriilan sitesizi-
yaretçilerinekötüamaçlıreklam yayınlandığını
keşfetmişti.Saldırganlar reklam dolaşımında
olan süreyi arttırmak için birçok hileye
başvurmuşlardır.
28Mart2016
Filipinlerdekihackerlar,ülkeninelektronikseçim
websitesinden300GB’ınüzerindeseçmen
verisiyayınlamıştır.
Taylandhükümetiwebsitesindenisim,adresve
ülkedekibinlercegurbetçininpasaportbilgilerini
içerenşahsiverileryanlışlıklakısabirsüreiçin
yayınlandı.
MaMaryland’detgenişbirsağlıkağındamalware
nedenliaksamalarişleyişibozmuşveelektrome-
dikal kayıtlara erişimi birkaç günlüğüne
30Mart2016
Amerika’dapopülerbirwebforumyazılımısatan
şirket, yetkisiz 3. Parti kişilerin sunucuya
eriştiğinikeşfettiktensonrakendimüşterilerinin
web sitesinde karşıkarşıya kaldığında tüm
kullanıcışifrelerinisıfırlamıştır.

6. CVE-2016-0800
SummaSummary:TheSSLv2protocol,asusedin
OpenSSLbefore1.0.1sand1.0.2before1.0.2g
andotherproducts,requiresaservertosenda
ServerVerifymessagebeforeestablishingthata
clientpossessescertainplaintextRSAdata,
whichmakesiteasierforremoteattackersto
decryptTLSciphertextdatabyleveraginga
BleichenBleichenbacherRSApaddingoracle,akaa
"DROWN"attack.
Published:3/1/20163:59:00PM
CVSSSeverity:v3-5.9MEDIUM v2-4.3
MEDIUM
Özet:Sunucuların,plaintextRSAveriyesahip
olanistemciileiletişimkurmadanönce
ServerVerifymesajıgöndermesigerekmektedir.
Buolaydauzaksaldırganlarınşifrelimetinver-
ilerininşifresiniçözmesinikolaylaştırmaktadir.
BunaDROWN(DecryptingRSAusingObsolete
andWeakenedeNcryption)atakdenmektedir.
DDrowngüvenlikzafiyetiileSSLv2yidestekleyen
sunuculardaSSLşifresielegeçirilebilmektedir.
Çözüm:SSLv3yadaTLS(versiyon1.0-1.2)'eyük-
seltilmesiönerilmektedir.
Detaylıbilgiiçin:https://drownattack.com/
https://access.redhat.com/security/vulnerabiliti
es/drown
CVE-2016-0114
SummaSummary:MicrosoftInternetExplorer11allows
remoteattackerstoexecutearbitrarycodeor
causeadenialofservice(memorycorruption)
viaacraftedwebsite,aka"InternetExplorer
MemoryCorruptionVulnerability,"adifferent
vulnerabilitythanCVE-2016-0102,CVE-2016-
0103, CVE-2016-0106, CVE-2016-0108, and
CVE-2016-0109
Published:3/9/20166:59:23AM
CVSSSeverity:v3-7.5HIGH v2-7.6HIGH
Özet:MicrosoftInternetExplorer 11,uzak
saldırganlarıngelişigüzelkodçalıştırmalarınaya
da web sitesi üzerinden denial of
service(memory corruption) 'a olanak
sağlamaktadır.
Detaylıbilgiiçin:https://technet.microsoft.co
m/library/security/ms16-023
BUNUBİLİBUNUBİLİYORMUYDUNUZ?
Hackerlar,yeniçıkanbirgüvenlikaçığınıiçinde
bulunduransunucularınneredeyseyarısına,açık
çıktıktansonrakiilkdörthaftadaulaşırlarkenbir
senesonunda%99,9’unaulaşmışoluyorlar.
“NationalVulnerabilityDatabase”https://goo.gl/ZtmN76

7. Güvenlik açıkları yönetim hizmeti, müşteri
sistemlerinde oluşan güvenlik açıklarının be-
lirlenmesi,raporlanmasıvekapatmayöntem-
lerinin açıklanmasını kapsar. Müşterinin
KoçSistem Bulutyapısıiçerisindeyeralanyada
kendiyerleşkesindekisistem vebilgisayarları,
alınanhizmetşeklidoğrultusunda,engeçaylık
olaraktaranırveraporlanır.Butaramalarnet-
work cihazları açıklıkları, işletim sistemleri
yapılandırmaaçıklıkları,kullanılanişletimsistemi
veuygulamalaraaiteksikyamalar,alındığıtak-
dirdeweb uygulamalarınaaitaçıklıklarbaşta
olmaküzeregerçekleştirilir.Taramalarsistemler
üzerine hiç bir kurulum gerektirmeden
yapılmaktadır.
Hizmetalımısırasındaverilecekolanözellikler
hizmetalımısırasında belirlenen hizmetpa-
ketine göre yapılır.Bu hizmet kapsamında
müşterininvarlıklarınınyönetimi,buvarlıkların
güvenlikaçıklıklarınınbelirlenmesi,Teknik,BT
YöneticisiyadaÜstYönetim gibifarklıbakış
açılarına sahip kişilere farklı raporlarının
çıkarılması,çıkarılması,yapılançalışmalarınanalizraporu,
yapılan belirli tarihlerdeki taramaların
karşılaştırılması,belirlenenaçıklarıkapatmakla
yükümlü kişilere çağrı açılması, Windows
sunucularınçalışanservislerininsüreklikontrolü,
planlıtaramalaroluşturmak,istenilen tarzda
taramaprofilioluşturulması,ağadahiledilenya
dadaağdançıkarılanbilgisayarlarınbelirlenmesi
işlemleriyapılmaktadır.
Hizmet donanım ve yazılım seviyesinde
paylaşımlı,veriseviyesindeisemüşteriözeldir.
Herbirmüşteri,kendibaşına birağ olarak
alındığından,paylaşımlıortamdanhizmetitercih
etmeyenmüşterileriçin,ayrıbiryapıyaratılarak,
müşteriyeözelpolitikaveobjelerinvelogların
saklanabileceğibiryönetim seçeneğisunulabi-
lecelecektir.
HizmetkapsamındasağlananGüvenlikAçıkları
Tarama Yazılımları’nın bakımları,müşteriiçin
devreyealınması,yönetimiveaylıkraporlaması
KoçSistemtarafındangerçekleştirilir.

8. YapıKredi’ninSOCMerkeziOluyoruz
TTürkiyefinanssektörünün ikigüçlü veköklü
kurumu olan Yapıve KrediBankasıA.Ş.ve
Koçbank A.Ş.'nin güçlerini,tecrübelerinive
kaynaklarınıbiraraya getirerek daha iyisini
sunmak için yarattığı birliktelikle yeni
oluşumunu2006yılındatamamlayanYapıKredi,
bugün her ikikurumun tarihinive ortak
değerlerinideğerleriniiçerenbirfinansdevihalinegelmiştir.
Sadecefinanssektöründedeğil,gerçekleştirdiği
sosyalsorumlulukprojeleri,kültürve sanata
verdiğiönem ilebirlikteTürkiye’ninenbüyük
bankaları arasında yer alan Yapı Kredi
Bankası’nınSOCmerkezioluyoruz.
Giderekartansiberolaylarnedeniyledahada
önem kazanangüvenlikkonusu,özelliklefinans
sektörünün gündeminde oldukça büyük yer
kaplıyor.
GüvenliğiileriseviyedetutmakadınaYapıKredi
Bankasıile 7x24 güvenlik izleme ihtiyaçları
hizmetalım görüşmelerininsonunabaşarılıbir
şekildeulaşmışbulunuyoruz.
KKoçSistem ileriseviyeSOChizmetisağlayacak
olduğumuzYKBiçin7x24güvenlikizlemeve
olayyönetimihizmetivereceğiz.Küreselistih-
baratvebilgianlamındaIBM ileişbirliğimod-
elindesağlanacakbuhizmettipindeIBM Global
SOCmerkezlerindendeeşzamanlıolarakizleme
sağlanıyorolacak.
Türkiye’de ilk olduğumuz SOC hizmetinde
ulaştığımız12.müşteriolanYapıKrediBankası
ileyürütülecekbuprojeninKoçSistemiçinhayırlı
olmasınıdileriz.