Cloud Firewall, kötü amaçlı trafiği gerçek zamanlı olarak tespit edip engelleyerek madencilik solucanlarına karşı koruma sağlar. Bu konu, bulut ortamınızı önleme, tespit ve olay müdahalesi yoluyla korumak için Cloud Firewall ve Security Center'ın nasıl kullanılacağını açıklar.
Sınırlamalar
-
Cloud Firewall sürümü
Madencilik solucanı tespiti ve savunması yalnızca Cloud Firewall'ın Premium, Enterprise veya Ultimate sürümlerinde mevcuttur. Daha fazla bilgi için bkz. Cloud Firewall Satın Alma.
-
Security Center sürümü
Security Center'da kullanılabilen özellikler sürüme göre değişir. Daha fazla bilgi için bkz. Özellikler.
Madencilik solucanlarının yayılma şekli
Alibaba Cloud güvenlik ekibinin 2018 tarihli Bulut Kripto Para Madenciliği Analiz Raporu'na göre, büyük çaplı 0-day güvenlik açığı dalgalarını genellikle madencilik solucanlarının hızlı salgınları izler. Bu solucanlar sistem kaynaklarını tüketerek iş süreçlerini aksatır. XBash gibi bazı solucanlar fidye yazılımlarıyla birlikte paketlenerek finansal kayıplara ve veri kaybına neden olur.
Alibaba Cloud güvenlik ekibi, buluttaki madencilik solucanlarının öncelikli olarak aşağıdaki güvenlik açıklarından yararlanarak yayıldığını tespit etmiştir:
-
Yaygın güvenlik açıklarının istismarı
Madencilik solucanları, yanlış yapılandırmalar ve zayıf parolalar gibi yaygın uygulama güvenlik açıklarından yararlanır. Ayrıca SSH, RDP ve Telnet gibi hizmetlere karşı kaba kuvvet saldırıları kullanarak yeni sunucuları tarar ve enfekte eder.
-
0-day ve N-day güvenlik açıklarının istismarı
Madencilik solucanları, 0-day ve N-day güvenlik açıklarının keşfi ile yamanması arasındaki süreden yararlanarak hızlı ve geniş ölçekli enfeksiyonlara yol açar.
Savunma stratejisi
|
Aşama |
Çözüm |
Eylemler |
|
Önleme |
Yalnızca güvenilir trafiğe izin vermek için Cloud Firewall'da erişim kontrol ilkeleri oluşturun. |
Trafiğin güvenilir genel IP adreslerine izin verilmesi ve diğer tüm trafiğin engellenmesi için giden erişim kontrol ilkesi oluşturun. Daha fazla bilgi için bkz. Erişim kontrol ilkeleri. |
|
Madencilik faaliyetlerini engellemek için Cloud Firewall'da Tehdit Motorunu etkinleştirin. |
Madencilik solucanlarına karşı savunmak için Cloud Firewall kullanma |
|
|
Saldırı trafiğini tespit etmek ve engellemek için Cloud Firewall'ın Saldırı Önleme özelliğini kullanın. |
||
|
ECS örneklerinizde madencilik olaylarını önlemek amacıyla virüsleri, kötü amaçlı bağlantıları ve web kabuklarını otomatik olarak engellemek için Security Center'ın antivirüs özelliğini kullanın. |
||
|
ECS örneklerinizdeki madencilik programlarını ve madencilik havuzlarıyla iletişimi tespit etmek için Security Center'da güvenlik uyarılarını yönetin. |
||
|
Tespit ve müdahale |
Madencilik solucanlarını hızla tespit etmek için Cloud Firewall'ın İhlal Farkındalığı özelliğini kullanın. |
Breach Detection sayfasında belirli olayları ve bunların bağlandığı harici adresleri belirleyebilirsiniz. Daha fazla bilgi için bkz. Madencilik solucanlarını tespit etmek için Cloud Firewall kullanma. |
|
Hızlı tehdit sınırlaması sağlamak için Cloud Firewall'ın Saldırı Önleme özelliğini kullanın. |
Kötü amaçlı dosya indirmelerini engellemek için Cloud Firewall'da Basic Protectionyı etkinleştirin. Daha fazla bilgi için bkz. Bir ihlalden sonra hızlı tehdit sınırlaması yapmak için Cloud Firewall kullanma. |
|
|
Kripto para madenciliği bağlantılarını engellemek için Cloud Firewall erişim kontrol ilkelerini kullanın. |
Trafiğin güvenilir genel IP adreslerine izin verilmesi ve madencilik havuzu adreslerine yönelik trafiğin eyleminin Deny olarak ayarlanması için bir giden erişim kontrol ilkesi oluşturun. |
|
|
ATT&CK çerçevesine dayalı Cloud Firewall en iyi uygulamalarını takip edin. |
Cloud Firewall, ATT&CK çerçevesindeki çeşitli riskleri kapsayan temel kurallar, sanal yamalama ve tehdit istihbaratı gibi özellikler sunar. Ağ güvenliğinizi artırmak için ATT&CK çerçevesine dayalı Cloud Firewall en iyi uygulamalarını takip etmenizi öneririz. |
|
|
İhlal sonrası |
Madencilik virüsünün saldırı kaynağını izlemek için Security Center'ı kullanın. |
Saldırı kaynağı analiz sonuçlarını görüntüleme Yedi gün içinde ilgili iletişim tespit edilmez veya uyarı oluşturulmazsa madencilik virüsü veya truva atı kaldırılmış demektir. Sorgu sonuçlarının nasıl görüntüleneceği hakkında daha fazla bilgi için bkz. İhlal Farkındalığı. |
Cloud Firewall ile madencilik solucanlarına karşı savunma
Yaygın güvenlik açıklarına karşı savunma
SSH ve RDP gibi hizmetlere yönelik kaba kuvvet saldırılarına karşı korunmak için Cloud Firewall'ın Basic Protection özelliği geleneksel kaba kuvvet saldırısı tespiti içerir. Oturum açma denemeleri ve başarısızlık eşiklerini hesaplar; bir IP adresi bu eşiği aşarsa engeller. Bu özellik, meşru erişimi kesintiye uğratmadan anormal oturum açmaları engellemek amacıyla erişim alışkanlıklarınıza dayalı davranış modellerini kullanır.
Redis kullanarak cron job'ları yazma veya veritabanı UDF'lerini komut yürütme için kullanma gibi yaygın istismarlara karşı Temel Koruma özelliği, Alibaba Cloud'un kapsamlı saldırı örneği kitaplığını kullanarak hassas savunma kuralları oluşturur.
Temel Korumayı etkinleştirmek ve yaygın güvenlik açıklarına karşı korunmak için şu adımları izleyin:
Cloud Firewall konsolu nda oturum açın.
Sol gezinme bölmesinde seçeneğini tıklayın.
Internet Border sekmesinde Threat Engine Mode nu Blocking Mode - Loose olarak ayarlayın.
sekmesinde Basic Protection anahtarını açın.
Sol gezinme bölmesinde seçeneğini tıklayın. IPS sayfasında listedeki ayrıntılı engelleme günlüklerini görüntüleyin.
0-day ve N-day güvenlik açıklarına karşı savunma
Popüler 0-day ve N-day güvenlik açıkları zamanında yamanmadığında madencilik solucanlarıyla enfeksiyon riski önemli ölçüde artar. Cloud Firewall, dağıtılan bal kümesi ağını kullanarak şüpheli saldırı trafiğini analiz eder ve Alibaba Cloud Güvenlik Kitle Kaynak Platformu'ndan güvenlik açığı istihbaratı toplar. Bu süreç, istismarların zamanında keşfedilmesini, PoC'lerin elde edilmesini ve sanal yamaların oluşturulmasını sağlayarak saldırganlara karşı kritik bir avantaj sunar.
0-day ve N-day güvenlik açıklarına karşı korunmak için sanal yamalamayı etkinleştirebilirsiniz. Bunu yapmak için aşağıdaki adımları uygulayın:
Cloud Firewall konsolu nda oturum açın.
Sol gezinme bölmesinde seçeneğini tıklayın.
-
Virtual Patching sekmesinde Virtual Patching anahtarını açın. Ardından listedeki sanal yamalama kurallarını görüntüleyebilir ve yönetebilirsiniz.
Bu özelliği etkinleştirdikten sonra sayfanın üst kısmında toplam kural sayısı, etkin/devre dışı bırakılan kural sayısı, yüksek riskli güvenlik açığı sayısı ve şu anda engellenen saldırı sayısı gibi kural istatistiklerinin yanı sıra kural kitaplığı sürümü görüntülenir. Kuralları Risk Seviyesi, Saldırı Türü, Saldırı Hedefi, Durum, Desteklenen Motor Modu ve Geçerli Eylem gibi kriterlere göre filtreleyebilirsiniz. Kural listesinde Kural Kimliği, Kural Adı, CVE Kimliği, Risk Seviyesi, Geçerli Eylem ve Durum gibi bilgiler yer alır.
Cloud Firewall ile madencilik solucanlarını tespit etme
Genel ağ sınırında güçlü saldırı önleme önlemleri alınsa bile sistemler yine de madencilik solucanlarıyla enfekte olabilir. Örneğin, bir madencilik solucanı VPN üzerinden geliştirme makinesinden üretim ağına yayılabilir veya operasyonlarda kullanılan sistem ya da Docker görüntüleri önceden madencilik virüsüyle enfekte olmuşsa büyük ölçekli bir enfeksiyon gerçekleşebilir.
Cloud Firewall, madencilik solucanı enfeksiyonlarını hızlı ve etkili bir şekilde tespit etmek için Ağ Trafiği Analizi (NTA) tarafından desteklenen Breach Detection özelliğini sunar. Tehdit istihbaratı ağını kullanarak madencilik havuzu adreslerini belirler, madencilik truva atı indirmelerini tespit eder, madencilik iletişim protokollerini tanır ve ana bilgisayarlarınızda gerçekleşen madencilik faaliyetleri için gerçek zamanlı uyarılar gönderir.
Madencilik solucanlarını tespit etmek ve madencilik truva atıları ile madencilik havuzları arasındaki iletişimi ağ düzeyinde engellemek için Breach Detection sayfasındaki Quick Blocking özelliğini kullanabilirsiniz. Otomatik engellemeyi etkinleştirmek için şu adımları izleyin:
Cloud Firewall konsolu nda oturum açın.
Sol gezinme bölmesinde seçeneğini tıklayın.
-
Breach Detection sayfasında listeden belirli bir olayı bulun ve Actions sütununda Details seçeneğini tıklayın.
Event Details panelinde madencilik programının bağlandığı harici adresi görüntüleyebilirsiniz.
Etkilenen sunucuda oturum açın, madencilik işlemini bulun ve kaldırın.
Hızlı tehdit sınırlaması
Bir sunucu zaten madencilik solucanıyla enfekte olduysa Cloud Firewall; kötü amaçlı dosya indirmelerini engelleyerek, C&C iletişimini keserek ve kritik iş bölgeleri için erişim kontrolünü güçlendirerek tehdidi sınırlamaya ve iş ile veri kaybını en aza indirmeye yardımcı olabilir.
-
Kötü amaçlı dosya indirmelerini engelleme
Bir ana bilgisayar madencilik solucanıyla enfekte olduktan sonra genellikle ek kötü amaçlı dosyalar indirmeye çalışır. Cloud Firewall'ın Basic Protection özelliği kötü amaçlı dosya tespiti içerir. Yaygın madencilik solucanları için benzersiz imzaların ve bulanık hash'lerin gerçek zamanlı güncellemelerini kullanır. Enfekte bir ana bilgisayar yeni saldırı yükleri indirmeye çalıştığında Cloud Firewall, trafiği üzerinde dosya yeniden yapılandırma ve imza eşleştirme dahil güvenlik kontrolleri gerçekleştirir. Kötü amaçlı bir dosya indirme işlemi tespit ederse uyarı oluşturur ve indirmeyi engeller.
Kötü amaçlı dosya indirmelerini engellemek için IPS Configuration sayfasının sekmesindeki Temel Koruma anahtarını etkinleştirebilirsiniz.
-
C&C iletişimini kesme
Bir ana bilgisayar enfekte olduktan sonra madencilik solucanı, daha fazla kötü amaçlı komut almak veya hassas verileri dışarı sızdırmak için Komuta ve Kontrol (C&C) sunucusuyla iletişim kurmaya çalışabilir. Cloud Firewall'ın Temel Koruma özelliği aşağıdaki yöntemlerle bu C&C iletişimini gerçek zamanlı olarak keser:
Ağ genelindeki solucan verilerini ve C&C sunucu trafiğini analiz ederek ve izleyerek anormal trafik için imzalar oluşturur. Zamanında tespit sağlamak amacıyla C&C iletişimindeki değişiklikleri sürekli olarak izler ve saldırı kalıplarını çıkarır.
Potansiyel bilinmeyen madencilik solucanlarını keşfetmeye yardımcı olan anormal trafik tespit modeli oluşturmak için geçmiş trafik verilerinden otomatik olarak öğrenir.
Ağ genelindeki IP erişim davranışını profillemek için büyük veri görselleştirmesini kullanır. Anomali içeren IP adreslerini ve erişim alanlarını belirlemek için makine öğreniminden yararlanır, bu verileri ağ genelindeki saldırı bilgileriyle ilişkilendirir ve bir C&C tehdit istihbaratı kitaplığı tutar. Bu sayede sunucu trafiğiyle gerçek zamanlı eşleştirme yaparak kötü amaçlı C&C bağlantılarını engelleyebilir.
C&C iletişimini kesmek için sayfasında Basic Protection özelliğini etkinleştirebilirsiniz.
-
Kritik iş bölgeleri için sıkı erişim kontrolünü etkinleştirme
Kritik hizmetler genellikle internete açık olmak zorundadır ancak internetten gelen taramalar ve saldırılar varlıklarınız için tehdit oluşturur ve ince ayarlı harici erişim kontrolünü zorlaştırır. Bununla birlikte, bir ECS örneği, esnek IP adresi veya dahili ağdan başlatılan giden bağlantılar için hedef alan adlarının veya IP adreslerinin sayısı genellikle kontrol edilebilir durumdadır ve meşru hizmetlerle sınırlıdır. Giden alan adı veya IP tabanlı erişim kontrolü uygulamak, güvenliği ihlal edilmiş bir ECS ana bilgisayarının madencilik truva atıları yerleştirmesini veya C&C sunucularıyla iletişim kurmasını önleyebilir.
Cloud Firewall, hedef alan adlarına (joker karakterli alan adları dahil) ve IP adreslerine dayalı erişim kontrol kuralları ayarlamanıza olanak tanır. Kritik iş hizmetlerini korumak için sıkı bir Outbound erişim kontrol ilkesi yapılandırabilirsiniz. Bu ilke, kritik hizmetlerinizin yalnızca belirli hedef alan adlarına veya IP adreslerine bağlanmasına izin verirken diğer tüm giden bağlantıları reddeder. Bu yaklaşım, madencilik solucanlarının indirilmesini ve yayılmasını etkili bir şekilde önler ve ihlal sonrası kalıcılık ile gelir elde etme faaliyetlerini durdurur.
Örneğin, dahili ağınız toplam altı IP adresine giden bağlantı kurar; burada NTP hizmetlerinin tamamı Alibaba Cloud ürünleri olarak tanımlanır ve DNS sunucusu 8.8.8.8 gibi bilinen bir adrestir. Cloud Firewall'ın güvenlik önerilerini takip ederek bu altı IP adresine yönelik trafiğe izin veren ve diğer tüm giden bağlantıları reddeden bir ilke oluşturabilirsiniz. Bu yapılandırma, normal iş operasyonlarını etkilemeden kötü amaçlı yazılım indirme ve C&C iletişimi gibi kötü amaçlı faaliyetleri önler.
Cloud Firewall konsolunun sayfasındaki Outbound sekmesinde, trafiğin güvenilir genel IP adreslerine izin verilmesi ve diğer tüm giden trafiğin reddedilmesi için bir giden erişim kontrol ilkesi oluşturabilirsiniz.
Madencilik solucanlarının kitlesel yayılması, kalıcı uygulama güvenlik açıkları, 0-day güvenlik açıklarının sıkça ortaya çıkması ve kripto para madenciliği yoluyla gelir elde etmenin yüksek verimliliği tarafından tetiklenmektedir. Cloud Firewall'ı sorunsuz bir şekilde entegre ederek uygulamalarınızı geniş bir internet tabanlı saldırı yelpazesine karşı koruyabilirsiniz. Geniş hesaplama gücü ve ağ genelindeki tehdit istihbaratını kullanarak yeni tehditleri hızla tespit eder ve sizi madencilik solucanlarına karşı korur. Cloud Firewall ayrıca işinizle birlikte esnek şekilde ölçeklenerek güvenliğiniz konusunda endişelenmeden büyümeye odaklanmanızı sağlar.