ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), dünya genelinde Fortinet cihazlarını hedef alan siber saldırılara karşı kritik bir uyarı yayınladı. FortiBleed olarak adlandırılan bu saldırı dalgasında, yaklaşık 74.000 Fortinet cihazına ait kullanıcı adı ve şifrelerin sızdırıldığı tespit edildi. Saldırganların, özellikle kamu kurumları ve özel sektör kuruluşlarında kullanılan internet erişimli FortiGate güvenlik duvarları ile SSL VPN ağ geçitlerini hedef aldığı belirtiliyor. CISA, etkilenen tüm Fortinet kullanıcılarını derhal harekete geçmeye çağırıyor.
CISA'nın yayınladığı acil eylem planına göre, kuruluşların ilk olarak tüm aktif SSL VPN ve yönetici oturumlarını sonlandırması gerekiyor. Ardından, özellikle internet üzerinden erişime açık sistemlerdeki tüm Fortinet VPN ve yönetici şifreleri sıfırlanmalı ve güçlü şifre politikaları uygulanmalıdır. Şifrelerin güvenli bir şekilde saklanması da kritik önem taşıyor. Fortinet, yönetici hesaplarının şifrelerini saklamak için PBKDF2 algoritmasına geçilmesini ve eski, zayıf hash'lerin kaldırılmasını öneriyor. Bu adım, FortiOS v7.2.11 ve sonraki sürümlerde mümkün.
Saldırı tespiti için kapsamlı bir log incelemesi yapılması şart. Güvenlik duvarı, VPN, kimlik doğrulama ve etki alanı denetleyicisi logları, yanal hareket, şüpheli erişim, olağandışı hesaplar veya yetkisiz yapılandırma değişiklikleri açısından taranmalıdır. Ayrıca, tüm uzaktan erişim ve yönetici hesaplarında kimlik avına dayanıklı çok faktörlü kimlik doğrulama (MFA) zorunlu hale getirilmelidir. MFA, tüm harici ağ geçitleri ve yönetici arayüzlerinde etkinleştirilmelidir.
Teknik Analiz
Saldırı yüzeyini azaltmak için yönetim erişiminin kısıtlanması da hayati önem taşıyor. Fortinet cihazlarının yönetim arayüzleri, kamu internetinden erişilemez hale getirilmeli ve yalnızca güvenilir iç ağlarla sınırlandırılmalıdır. Ayrıca, yetkisiz veya gereksiz hesaplar tespit edilerek derhal kaldırılmalı veya devre dışı bırakılmalıdır. Bu adımlar, saldırganların cihazlara tam erişim sağlamasını engelleyecektir.
FortiBleed saldırısı, kuruluşların siber güvenlik duruşunu ciddi şekilde tehdit ediyor. Sızdırılan kimlik bilgileri, saldırganların ağlara sızmasına, hassas verilere erişmesine ve fidye yazılımı gibi ikincil saldırılar düzenlemesine olanak tanıyabilir. Bu nedenle CISA, etkilenen kuruluşların yukarıdaki adımları ivedilikle uygulamasını ve Fortinet'in yayınladığı rehber dokümanları takip etmesini öneriyor. Ayrıca, kuruluşların kendi ağlarında herhangi bir güvenlik ihlali belirtisi olup olmadığını kontrol etmek için adli bilişim incelemesi yapması da faydalı olacaktır.
Bu olay, siber güvenlikte sürekli izleme ve proaktif önlemlerin önemini bir kez daha gözler önüne seriyor. Kuruluşların, güvenlik açıklarını kapatmak için düzenli güncelleme ve yama yönetimi yapması, güçlü kimlik doğrulama yöntemleri kullanması ve ağ segmentasyonu gibi savunma katmanları oluşturması gerekiyor. CISA'nın uyarıları, tüm Fortinet kullanıcıları için bir eylem çağrısı niteliği taşıyor. Unutmayın, siber güvenlik bir lüks değil, iş sürekliliği için bir zorunluluktur.
Kaynak: cisa.gov
