APT nedir?
APT (Advanced Persistent Threat, gelişmiş kalıcı tehdit), belirli bir hedefi uzun süre, planlı ve sessiz biçimde ele geçirmeyi amaçlayan, genellikle kaynakları güçlü gruplarca yürütülen siber saldırı kampanyasıdır. Hedef hızlı kazanç değil; erişimi sürdürmek, veri toplamak ve fark edilmeden kalmaktır.
“Gelişmiş” ifadesi saldırganın birden fazla yöntemi birleştirmesini, “kalıcı” ise tespit edilse bile erişimi yeniden kazanmaya çalışmasını anlatır. Bu tür saldırılar kamu kurumları, finans, enerji ve altyapı sağlayıcılarını sık hedef alır.
Nasıl çalışır?
Bir APT kampanyası genellikle aşamalıdır. Önce hedef hakkında bilgi toplanır, ardından hedefe özel hazırlanmış oltalama e-postası veya bir yazılım açığı ile ilk erişim sağlanır. Saldırgan sistemde kalıcılık kurar, kimlik bilgilerini toplar, ağda yatay hareket eder ve nihayetinde hedeflediği veriye ulaşır. Veri çoğu zaman küçük parçalar halinde, normal trafiğe benzetilerek dışarı çıkarılır.
Tespiti zorlaştıran şey, saldırganın meşru araçları ve geçerli hesapları kullanarak sıradan bir yönetici gibi görünmesidir.
Sunucu ve hosting ortamında
Hosting ve sunucu tarafında APT, çoğunlukla ele geçirilmiş bir yönetim hesabı, güncel olmayan bir uç servis veya tedarik zinciri üzerinden gelir. Saldırgan bir sunucuya arka kapı yerleştirir, yönetim paneli (cPanel, Plesk, DirectAdmin) ya da SSH kimlik bilgilerini toplar ve aynı altyapıdaki diğer sunuculara geçer.
Belirtiler ince olur: olağandışı saatlerdeki oturumlar, yeni oluşturulmuş yönetici hesapları, değişmiş SSH anahtarları, düzenli aralıklarla dışarı yapılan bağlantılar ve günlük kayıtlarında boşluklar. Bu nedenle merkezi günlük ve davranış izleme önem taşır.
Nasıl korunulur?
- Yönetim erişiminde iki aşamalı doğrulama ve anahtar tabanlı SSH kullanın
- Hesapları en az yetki ilkesine göre tanımlayın, yönetici hesaplarını ayırın
- Ağı bölümleyin; bir sunucunun ele geçirilmesi diğerlerine yayılmasın
- Günlükleri merkezi bir yerde toplayıp anormallikleri izleyin
- Yamaları düzenli uygulayın ve internete açık servisleri azaltın
- Olay müdahale planı hazırlayıp tatbikat yapın
Sık yapılan hatalar
- Yalnızca çevre güvenliğine güvenip iç ağı korumasız bırakmak
- Günlükleri tutmamak ya da yeterince uzun saklamamak
- Bir zararlıyı temizleyip kampanyanın diğer izlerini aramamak
- Parolaları sistem temizlendikten sonra yenilemeyi unutmak
Sık sorulan sorular
APT saldırısı nedir ve neden bu kadar tehlikelidir?
APT, uzun süreli ve hedefe özel yürütülen bir saldırı kampanyasıdır. Tehlikesi, uzun süre fark edilmeden kalıp hassas verilere sistematik olarak erişebilmesinden gelir.
APT ile sıradan saldırı arasındaki fark nedir?
Sıradan saldırılar çoğunlukla fırsatçıdır ve kitlesel yapılır. APT ise belirli bir hedefe odaklanır, sabırlı ilerler ve tespit edilmemek için özel çaba harcar.
Küçük bir site APT hedefi olabilir mi?
Doğrudan hedef olmak nadirdir, ancak küçük sitelerin ve sunucuların daha büyük bir hedefe ulaşmak için basamak olarak kullanılması mümkündür. Bu yüzden temel güvenlik önlemleri herkes için gereklidir.
Bu terimin geçtiği rehberler
- Linux’ta disk doluluk sorunu giderme (df, du, inode, silinmiş-açık dosyalar)Linux’ta disk doluluk sorununu adım adım giderin: df ve du ile büyük dizinleri bulun, inode tükenmesini ve silinmiş ama açık dosyaları tespit edip güvenle alan açın.
- auditd ile denetim kaydı: kritik dosya ve komutları izlemeauditd ile Linux sunucuda denetim kaydı tutun: kritik dosya değişikliklerini ve komutları izleyen kurallar yazın, ausearch ve aureport ile kayıtları sorgulayın.
- LVM ile disk yönetimi: birim oluşturma, büyütme ve anlık görüntüLVM ile disk yönetimini öğrenin: fiziksel birim, birim grubu ve mantıksal birim oluşturma, çalışırken büyütme, yeni disk ekleme ve anlık görüntü (snapshot) alma.
- Proxmox VE’de LXC konteyner oluşturma ve yönetme (pct)Proxmox VE’de LXC konteyneri pct komutuyla oluşturun, başlatın ve yönetin: şablon indirme, kaynak ayarı, anlık görüntü, yedek ve ayrıcalıksız konteyner güvenliği.
İlgili terimler
- Arabellek taşması (buffer overflow)Programın ayrılan bellek alanının dışına yazması.
- Arka kapı (backdoor)Saldırganın sisteme sonradan gizlice yeniden girmesini sağlayan mekanizma.
- BotnetUzaktan yönetilen, ele geçirilmiş cihazlar ağı.
- ClickjackingKullanıcıyı farkında olmadan görünmez bir öğeye tıklatmak.
- CSRF (Siteler arası istek sahteciliği)Oturum açmış kullanıcının haberi olmadan istenmeyen bir işlemi tetiklemek.
- CVEHerkese açık güvenlik açıklarına verilen ortak kimlik.