Nmap’in yeni sürümü (nmap-4.85BETA5) , Conficker solucanını tespit edebiliyor. Bilindiği gibi solucanın 1 Nisan 2009 tarihinde yeniden aktive olacağı söylenmekte. Bu nedenle kontrollerinizi yapmanız yararınızadır.

Aşağıdaki komutu kullanarak kontrol yapabilirsiniz.

# nmap -PN -T4 -p139,445 -n -v --script=smb-check-vulns --script-args safe=1 IP_ADDRS

Not: IP_ADDR yerine 192.168.1.0/24 gibi bir class belirtebilirsiniz. Bu şekilde ilgili ip networkündeki tüm makineler taranacaktır. Komutun sonuna > /sonuc.txt gibi bir ifade eklerseniz de çıktılar /sonuc.txt dosyasına yazılacaktır.

Temiz bir host için alacağınız sonuç aşağıdaki gibidir.

Host script results:
|  smb-check-vulns:
|  MS08-067: NOT RUN
|  Conficker: Likely CLEAN

Eğer taradığınız sunucuda solucanın bulunması durumunda sonuç şu şekilde görünür.

Yazinin devami icin tiklayin.

Modsecurity olarak da bilinen ve bir apache modülü olarak çalışan mod_security, web uygulamalarının güvenliğini sağlamak amacıyla geliştirilmiş bir web application firewall (WAF) yazılımıdır.Bilindiği gibi bir web sunucusu üzerinde çalıştırılan web uygulamalarının kodsal bakımdan ne kadar güvenli olup olmadığını bilmek herzaman için kolay olabilen bir şey değildir; buna rağmen çalışan bu uygulamalar herhangi bir açık içeriyorsa bu durumun can sıkan sonuçları olabilir. İşte bu gibi durumların önüne geçebilmek için mod_security isimli apache modülünü kullanmak oldukça yerinde olacaktır. Kuruluma geçmeden önce konuyla ilgili biraz detay vermek istiyorum.

Herhangi bir açık içeren kod parçasına sahip bir yazılım nedeni ile sunucunuz ciddi anlamda risk altında olabilir. Yazinin devami icin tiklayin.

Bilindiği gibi squid web sayfalarının birer kopyasının kendisine alarak cache’ler ve bu şekilde daha önceden cachelenmiş herhangi bir web sayfası bir kullanıcı tarafından ikinci bir defa görüntülenmek istendiği zaman sonuçlar kullanıcıya squid’den döndürülür. Bu şekilde ilgili web sitelerine erişim hızlanmış olacağı gibi internet trafiğini de belli bir oranda azaltmış olursunuz. Ancak squid’in kullanım alanı bunla sınırlı değildir, squid kullanarak belli domain name’lere, dosya tiplerini, ip adreslerine erişimi de engelleyebilirsiniz. Hatta regex desteği ile içerisinde belli kelimelerin geçtiği alan adlarına ya da dosya tiplerine erişimin engellenmesi gibi işlemleri gerçekleştirebilirsiniz.

Ben normalde yasaklama konularından pek hazzetmeyen biri olsam da bazen bir okul, hastane vs. gibi kuruluşların networklerinde bir erişim mekanizmasına ihtiyaç duyulması pek doğal. İşte böyle bir kurum için bir adet proxy sunucusu gerekti ve ben de çok uzun bir aradan sonra bir squid kurulumu yaptım. Bu yazıda ilgili kurulama ait notları bulabilirsiniz.

Yazinin devami icin tiklayin.

26 Eylül’de US-CERT tarafından Flash Player’lar için ClickJacking denilen saldırı tipine olanak sağlayan bir güvenlik açığının varlığı duyurulmuştu. Detaylarına US-CERT’in ilgili raporundan ulaşabileceğiniz bu açık, kısaca temiz olduğunu düşündüğünüz ya da tuzak olarak hazırlanmış web sitelerindeki herhangi bir linke tıkladığınızda “aslında başka bir kaynaktaki bir linke tıklamış olmanızın” sağlanması şeklinde cereyan ediyor. Yani saldırgan, web sitelerindeki linkleri istediği şekilde yönetebiliyor ve bilgisayarınızda zararlı kodlar çalıştırılmasını sağlayabiliyor.

Flash Player, hemen tüm browserlarla uyumlu olarak çalıştığı ve internet üzerinde flash content barındıran yığınla site olduğundan dolayı bu açığın kapsama alanı epey geniş. Ayrıca, çok kolay ve çok çeşitli yöntemlerle uygulanabilecek bir saldırıya zemin hazırladığından dolayı önemi daha da artıyor. Bu açığın giderilmesi için bir kaç gün öncesine kadar (15 Ekim 2008) herhangi bir patch vs. yayınlanmamıştı. Sadece flash player’in ayarlarından erişim için bir takım yasaklamalar yapmak öneriliyordu.

Yazinin devami icin tiklayin.

Windows ortamları için geliştirilmiş olan Cain & Abel unutulan ya da kaybedilen şifreleri tekrar elde etmek için kullanılmanın bir password recovery yazılımı. Ancak şifreleri bulmak için kullandığı yöntemler ve ek özellikleri nedeni ile aslında sadece masum bir password recovery yazılımı demek pek mümkün değil. Çünkü sadece lokal bir bilgisayardaki şifreleri bulmanın ötesinde, network sniffer olarak çalışarak bir LAN üzerindeki herhangi bir bilgisayardan üretilen trafiğin içinde geçen hemen her şifreyi de bulabiliyor.

Hal böyle olunca, -her ne kadar sitesinde açıklama olarak, programın herhangi bir exploit ya da software açığını kullanmadığını, halihazırdaki protokol standartları, şifreleme metodları ve kaşeleme mekanizmalarındaki bilinen zayıf noktaları kullanarak sadece password recovery işlemleri için yazılmış olduğu belirtilse de- Cain & Abel’den masum bir password recovery yazılımıymış gibi bahsetmek pek mümkün değil.

Yazinin devami icin tiklayin.

Bilindiği gibi, *nix tabanlı işletim sistemlerine güvenli bir şekilde uzaktan erişmek için kullanılan SSH (Secure Shell), telnet ve rlogin gibi alternatiflerin tersine, bağlantı sırasında her türlü veri trafiğini şifreleyerek güvenliği had safhaya çıkarıyor. Bu nedenle de hemen her sistem yöneticisi remote erişim için SSH’ı tercih ediyor.

Bir SSH bağlantısını, bağlanılmak istenen sisteme direk olarak kullanıcı adı ve şifre göndermek sureti ile gerçekleştirebildiğimiz gibi bağlantıyı SSH Key-Based Authentication isimli yöntemle kullanıcı adı ve şifreye gerek kalmaksızın sağlayabiliyoruz. Yönetiminden sorumlu olduğunuz birden çok *nix tabanlı serverınız olması durumunda Key-Based kimlik doğrulama yöntemi elbette işleri epey kolaylaştırıyor.

Yazinin devami icin tiklayin.

Özellikle insanların önemli bilgilerini çalmak için kullanılan phishing yöntemi yüzünden epey kişinin başı yandı ve yanmaya devam ediyor. Genelde bir bankadan geliyormuş gibi görünen fake mailler ile insanların banka hesap bilgilerini, ilgili bankanın kendi sitesiymiş gibi görünen bir web sayfasına girmeye teşvik etmek ve bu suretle bilgileri çalmak için kullanılan bu yöntemin Türkçe karşılığı yemleme olarak geçiyor.

Bu gün posta kutuma, içeriğini aşağıda görebileceğiniz gibi bir mail aldım. Özetle, Western Union’dan geliyormuş gibi görünen ve Moskova’dan Maksim Zverev isimli bir kişiye gönderdiğim Western Union çekinin güvenlik servisi tarafından bloklandığını, ekteki dosya içerisinde bulunan faturanın çıktısını alarak en yakın Western Union şubesine başvurmamı tembihleyen bir mail düştü. Moskova’da Maksim isimli bir tanıdığım olmadığı ve olsa bile Western Union ile kendisine para göndermemiş olduğumdan dolayı ve ayrıca daha önceden -Akbank’ta bir hesabım bulunmamasına rağmen- Akbank tarafından geliyormuş gibi görünen ve hesap bilgilerimi güncellememi isteyen benzer maillerden dolayı, konu hakkında geçmiş tecrübem sayesinde ekteki zip dosyasına itibar etmedim :)

Mailin içeriği şu şekilde:

Yazinin devami icin tiklayin.

Geçenlerde, Huzeyfe Önal’ın bloğunda yeni yayınlanan bir güvenlik açığının haberini okudum ve ilgimi çektiğinden dolayı teknik detayları öğrenmek için biraz araştırdım. Hazır okumuş ve teknik detaylar konusunda fikir edinmişken paylaşmak istedim. DNS cache poisoning olarak geçen bu zafiyet önlem alınmamış DNS serverları kolayca etkileyebilecek türden bir açık. Bu nedenle önemsenmesi ve gerekli güvenlik önlemlerinin alınması gerekiyor. Ne gibi önlemler alınabileceğinden önce, bu zafiyetin tam olarak ne olduğu ve nasıl yapıldığına değinmek istiyorum. Zira, bir dns serverınız varsa ve gerekli önlemleri almamışsanız bu zafiyetten etkilenebilir ve dns serverınızı kullanan kişilere yanlış sorgu sonuçları dönmesine neden olabilirsiniz. İşte konunun teknik detayları:

DNS Cache Poisoning olarak adlandırılan bu zafiyet aslında ilk olarak 1993 yılında keşfedilmiş bir açık; geçenlerde yayınlanmış olanı ise yeni bir versiyonu. Geçenlerde yayınlanan veryion ile ilgili US-CERT sayfasına aşağıda belirtilen kaynakça bölümünden erişebilirsiniz.

Yazinin devami icin tiklayin.