Yama çıktı, saat işlemeye başladı

Bir pazar gecesi, banka SOC'unda, ekranda tek bir satır: yama notu yayımlanmış. Yirmi dakika sonra aynı açığa dışarıdan ilk istek geliyor. O gece öğrendiğim şey, yamanın bir son değil, bir başlangıç saati olduğuydu. Bugünün sayısını okurken o geceyi hatırladım.

Üç haber var ve birbirlerine benzemiyorlar. PHP2Shell, GreyNoise'a göre en az altı kez başarıyla kullanılmış; Dream ise 24 güvenlik duvarında web kabuğu bulduğunu söylüyor. Oracle EBS'te yama 20 Ekim'de çıkmış, Defused'ın tuzak sistemleri 27 Ekim'de ilk denemeleri görmüş. WordPress'te yama 28 Ekim'de gelmiş, 24 saatte yaklaşık 63 bin deneme sayılmış. Ürünler başka, saldırganlar başka, ama saat aynı: yamanın duyulduğu andan sahaya inene kadar geçen süre günlerle, bazen saatlerle ölçülüyor.

Benim takıldığım yer şu: bu üç hikâyenin hiçbirinde kimse kilidi kırmıyor. Saldırgan, zaten herkese açık bir bilgiyle, yani 'şu sürümde şu açık var' cümlesiyle çalışıyor. Dream'in anlattığına göre saldırgan internete açık 19 bin güvenlik duvarını taramış, listeyi 240'a indirmiş. Bu iş, sabırlı bir sayım işi. Yama yönetimi de sayım işi, sadece karşı tarafta.

Dream'in Çin atfını şimdilik kendi değerlendirmesi olarak okuyorum; bağımsız teyit çıkana kadar da öyle okumaya devam edeceğim. Ama atıf tartışması bizi asıl sorudan uzaklaştırmasın. Kim yaptı sorusunun cevabı, sizin güvenlik duvarınızdaki web kabuğunu silmeyecek. Kim olduğunu bilmeden de o kabuğu bulabilirsiniz; bulmak için de tarihi bilmeniz yeter. Dream'e göre saldırıların çoğu 23-24 Ekim'de olmuş. Takvime bakın, loglara bakın.

Oracle tarafında bir şey daha dikkatimi çekti. Oracle açığı henüz sahada istismar edildi diye işaretlememiş; ortada 'keşif amaçlı denemeler' var, doğrulanmış bir ihlal yok. Bu, rahatlamak için bir gerekçe değil. ERP'nin altında bordro, tedarikçi ödemeleri, İK kayıtları dönüyor. 'Henüz KEV'de değil' cümlesi, benim eski mesai arkadaşlarımın en çok yanıldığı cümledir. Katalog bir sonuç listesi, öngörü değil.

Bu işin sıkıcı tarafını da söyleyeyim, çünkü vendor sunumlarında hiç anlatılmaz. Yama sürecinin en zayıf halkası çoğunlukla teknik değil, sahiplik sorusudur. Güvenlik duvarının yönetim arayüzü ağ ekibinin mi, güvenlik ekibinin mi? EBS'in önündeki servisi uygulama ekibi mi açtı, altyapı mı? Soru, kritik açık geldiği gün sorulursa iki saat kaybedersiniz; bir önceki hafta sorulduysa iki dakika. Gece vardiyalarında en çok zaman kaybettiren şey, bir sunucunun kime ait olduğunu bulmaktı. Bunu hâlâ yazılı bir tabloya dökmeyen çok kurum biliyorum.

Bir de WordPress var; hatta en kolay görünen o. Ama dar bir zaman penceresine bağlı bir yarış durumu, güncelleme sırasında açılan tahmin edilebilir bir dizin. Kurumsal pazarlama sitesini kimin güncellediğini sorun; çoğu yerde cevap 'ajans' olacak, ajansın cevabı da 'otomatik güncelleme açık sanıyorduk'.

Hüküm: yama yönetimi artık bir bakım işi değil, bir yarış. Pazartesi sabahı yapılacak iş çok basit ve sıkıcı: internete bakan her şeyin listesini çıkarın, listedeki her kalemin yanına yama tarihini yazın, yamadan sonraki ilk haftayı ayrı bir risk penceresi olarak izleyin. Yama çıktıysa ve sizde yoksa, saat zaten işliyor.