Lateral Movement Nedir? Saldırgan Kurum Ağı İçerisinde Nasıl İlerler?

Bir saldırganın kurum ağına ilk erişimi sağlaması, çoğu zaman nihai hedefe ulaştığı anlamına gelmez.

İlk ele geçirilen sistem genellikle sıradan bir çalışan bilgisayarı, sınırlı yetkili bir kullanıcı hesabı veya belirli bir uygulamadır. Kritik veriler, yönetici hesapları, veritabanları, dosya sunucuları ve iş açısından önemli sistemler ise ağın başka noktalarında bulunur.

Bu nedenle saldırganın bir sistemden diğerine ilerlemesi gerekir.

Siber güvenlik literatüründe bu davranış Lateral Movement – Yanal Hareket olarak adlandırılır.

Lateral Movement, bir tehdit aktörünün ele geçirdiği ilk sistem veya kullanıcı hesabını kullanarak kurum ağı içerisindeki başka sistemlere, hesaplara veya servis kaynaklarına doğru hareket etmesi sürecidir.

Bu hareket;

geçerli kullanıcı hesapları,

yanlış yetkilendirmeler,

uzak yönetim servisleri,

paylaşımlı yönetici hesapları,

zayıf ağ segmentasyonu,

servis hesapları,

kimlik bilgisi maruziyetleri

gibi farklı faktörlerden yararlanılarak gerçekleştirilebilir.

Red Team operasyonlarında Lateral Movement, saldırı zincirinin en kritik aşamalarından biridir.

Çünkü asıl soru şudur:

Bir saldırgan ilk sistemi ele geçirdiğinde kurum ağı içerisinde ne kadar ilerleyebilir?

Bu sorunun cevabı yalnızca endpoint güvenliğini değil; Active Directory, Identity Security, Network Segmentation, PAM, EDR/XDR ve SOC görünürlüğünü de doğrudan ilgilendirir.

Lateral Movement Nedir?

Lateral Movement, saldırganın ilk erişim sağladığı sistemden başka sistemlere geçerek erişim alanını genişletmesini ifade eder.

Örneğin saldırgan ilk olarak bir standart kullanıcı bilgisayarını ele geçirmiş olabilir.

Bu noktada kritik ERP sunucusuna veya Domain Controller'a doğrudan erişimi olmayabilir.

Ancak ele geçirilen kullanıcının;

başka sunuculara erişimi,

paylaşımlı klasör yetkileri,

uzak masaüstü hakkı,

yerel yönetici yetkisi,

servis hesabı bağlantıları

bulunabilir.

Saldırgan bu ilişkileri değerlendirerek ağ içerisindeki başka sistemlere geçmeye çalışır.

Basit bir saldırı yolu şöyle görülebilir:

Kullanıcı Bilgisayarı

↓

Dosya Sunucusu

↓

Uygulama Sunucusu

↓

Servis Hesabı

↓

Yönetim Sunucusu

↓

Kritik Sistem

Bu zincirin tamamı Lateral Movement sürecinin parçası olabilir.

Lateral Movement Neden Bu Kadar Tehlikelidir?

İlk erişim çoğu zaman sınırlıdır.

Lateral Movement ise saldırganın etki alanını büyütür.

Bir saldırgan tek bir kullanıcı bilgisayarında kalıyorsa risk sınırlı olabilir.

Ancak aynı saldırgan;

dosya sunucularına,

veritabanlarına,

yedekleme sistemlerine,

domain yönetim altyapısına,

ERP sunucularına,

cloud yönetim platformlarına

ulaşabiliyorsa olayın etkisi ciddi şekilde büyür.

Bu nedenle saldırının gerçek riski çoğu zaman ilk erişimde değil, saldırganın ne kadar yatay hareket edebildiğinde ortaya çıkar.

Lateral Movement ile Privilege Escalation Arasındaki Fark Nedir?

Bu iki kavram sıklıkla birbirine karıştırılır.

Privilege Escalation – Yetki Yükseltme, saldırganın mevcut hesabından daha yüksek yetki elde etmeye çalışmasıdır.

Lateral Movement – Yanal Hareket ise saldırganın başka sistemlere veya hesaplara geçmesidir.

Örneğin;

standart kullanıcıdan local administrator olmak Privilege Escalation olabilir.

Aynı hesabı kullanarak başka bir sunucuya geçmek ise Lateral Movement olabilir.

Gerçek saldırılarda bu iki süreç çoğu zaman birbirini besler.

Saldırgan yeni sisteme geçer.

Yeni sistemde daha yüksek yetki elde eder.

Bu yetkiyle başka bir sisteme geçer.

Ardından yeni kimlik bilgileri toplar.

Böylece saldırı zinciri büyür.

Saldırgan Lateral Movement Öncesinde Ne Arar?

Bir saldırgan genellikle rastgele sistemlere bağlanmaz.

Önce ortamı anlamaya çalışır.

Bu aşama Discovery – Keşif olarak adlandırılır.

Saldırgan şu sorulara cevap arayabilir:

Hangi domain içerisindeyim?

Ağda hangi sistemler bulunuyor?

Hangi kullanıcı hesabına sahibim?

Bu kullanıcı hangi kaynaklara erişebiliyor?

Hangi sunucular kritik?

Hangi sistemlerde yönetici yetkim var?

Hangi kullanıcılar yüksek yetkili?

Hangi uzak yönetim servisleri kullanılabilir?

Bu bilgiler Lateral Movement için bir rota oluşturur.

Bu nedenle Discovery aktiviteleri SOC açısından erken uyarı işareti olabilir.

Valid Accounts Lateral Movement İçin Neden Kritiktir?

MITRE ATT&CK içerisinde Valid Accounts, yani geçerli kullanıcı hesaplarının kötüye kullanılması, birçok saldırı zincirinde önemli rol oynar.

Saldırgan gerçek kullanıcı hesabına sahip olduğunda başka sistemlere yapılan bağlantılar ilk bakışta meşru görünebilir.

Örneğin kullanıcı;

bir dosya sunucusuna,

bir uygulama sunucusuna,

bir uzaktan yönetim sistemine

erişebiliyor olabilir.

Saldırgan da aynı kimliği kullanabilir.

Buradaki zorluk şudur:

Teknik olarak kimlik doğrulama başarılıdır.

Ancak erişimi yapan kişi gerçek kullanıcı olmayabilir.

Bu nedenle Identity Security, davranış analizi ve Conditional Access gibi kontroller sadece ilk erişimde değil Lateral Movement sırasında da önemlidir.

Remote Services Neden Önemlidir?

Kurumsal ortamlarda yönetim ve erişim amacıyla birçok uzak servis kullanılabilir.

Örneğin;

Remote Desktop Protocol – RDP,

Windows Remote Management – WinRM,

SMB,

SSH,

uzak yönetim araçları

meşru IT operasyonlarının parçasıdır.

Ancak bu servisler yanlış yapılandırıldığında veya gereğinden geniş erişime açıldığında saldırgan açısından Lateral Movement aracı haline gelebilir.

Bu nedenle güvenlik açısından temel soru:

“Bu servis açık mı?”

değildir.

Daha önemli soru şudur:

“Kim, hangi sistemden, hangi servis üzerinden nereye erişebiliyor?”

RDP Lateral Movement Riski

Remote Desktop Protocol – RDP, Windows sistemlerine uzaktan erişim için yaygın olarak kullanılan bir protokoldür.

Kurumsal yapılarda yöneticiler veya destek ekipleri RDP kullanabilir.

Ancak;

çok geniş kullanıcı gruplarına RDP yetkisi verilmesi,

MFA kullanılmaması,

network segmentasyonu yapılmaması,

yüksek yetkili hesapların standart sistemlerde kullanılması

riski artırabilir.

Saldırgan geçerli bir kullanıcı hesabı elde ettiğinde RDP üzerinden başka sistemlere erişmeye çalışabilir.

Bu nedenle RDP erişimleri mümkün olduğunca sınırlandırılmalı ve izlenmelidir.

SMB Neden Lateral Movement Açısından Önemlidir?

Server Message Block – SMB, Windows ortamlarında dosya ve kaynak paylaşımı için yaygın olarak kullanılan protokollerden biridir.

SMB kurumsal operasyonlar için gerekli olabilir.

Ancak yanlış yetkilendirmeler;

paylaşımlı klasörlere,

administrative share'lere,

uzak sistem kaynaklarına

beklenmedik erişimler oluşturabilir.

Bir saldırgan açısından SMB yalnızca dosya erişim protokolü değildir.

Ağ içerisindeki sistemler ve erişim ilişkileri hakkında bilgi sağlayan bir bileşen de olabilir.

Bu nedenle SMB erişimlerinin segment bazlı ve kullanıcı bazlı sınırlandırılması önemlidir.

WinRM Nedir?

Windows Remote Management – WinRM, Windows sistemlerinin uzaktan yönetilmesine olanak sağlayan bir teknolojidir.

IT ekipleri tarafından meşru yönetim amacıyla kullanılabilir.

Ancak bir saldırgan geçerli kullanıcı veya yönetici yetkisine sahipse WinRM gibi servisler ağ içerisinde ilerlemek için değerlendirilebilir.

Bu nedenle uzak yönetim servislerinin güvenliği yalnızca firewall kuralıyla sınırlı değildir.

Kimlik yönetimi,

yetkilendirme,

PAM,

loglama,

SOC monitoring

birlikte düşünülmelidir.

Pass-the-Hash ve Lateral Movement

Windows ağlarında tarihsel olarak önemli saldırı tekniklerinden biri Pass-the-Hash yöntemidir.

Bu yaklaşımda saldırgan her zaman açık metin parolaya ihtiyaç duymadan kimlik doğrulama materyallerini kötüye kullanmaya çalışabilir.

Bu tip tekniklerin Lateral Movement açısından önemli olmasının nedeni, saldırganın aynı kimliği farklı sistemlerde kullanabilmesidir.

Özellikle aynı local administrator parolasının birden fazla sistemde kullanılması riski ciddi biçimde artırabilir.

Bu nedenle modern Windows ortamlarında Windows LAPS – Local Administrator Password Solution gibi çözümler önemlidir.

Her endpoint için farklı yerel yönetici parolası kullanılması saldırganın tek bir credential ile onlarca sisteme ilerleme kabiliyetini azaltabilir.

Shared Local Administrator Accounts Neden Tehlikelidir?

Birçok kurumda geçmişten kalan kritik hatalardan biri aynı yerel yönetici hesabının birden fazla bilgisayarda kullanılmasıdır.

Örneğin yüzlerce bilgisayarda aynı:

localadmin

hesabı ve aynı parola bulunabilir.

Bir saldırgan tek bir bilgisayarda bu kimlik bilgisini elde ederse diğer sistemlerde de denemeye çalışabilir.

Bu durumda tek bir sistemin ele geçirilmesi çok sayıda endpoint'in risk altına girmesine neden olabilir.

Bu nedenle;

benzersiz local administrator parolaları,

LAPS,

minimum yetki,

yerel admin erişiminin sınırlandırılması

Lateral Movement riskini azaltmada kritik öneme sahiptir.

Credential Dumping Neden Lateral Movement ile İlişkilidir?

Bir saldırgan ele geçirdiği sistem üzerinde yeni kullanıcı kimlikleri bulmaya çalışabilir.

Bu süreç Credential Access kapsamına girer.

Amaç;

parola,

hash,

token,

ticket,

oturum bilgisi

gibi kimlik doğrulama materyallerine ulaşmaktır.

Eğer saldırgan başka bir kullanıcıya ait credential elde ederse yeni sistemlere erişim fırsatı doğabilir.

Bu nedenle Credential Access ve Lateral Movement çoğu saldırı zincirinde birbirine bağlıdır.

Savunma açısından endpoint üzerindeki kimlik bilgisi maruziyetini azaltmak son derece önemlidir.

High-Privilege Users Neden Standart Bilgisayarlarda Oturum Açmamalıdır?

Bir Domain Admin veya yüksek yetkili sistem yöneticisi günlük kullanıcı bilgisayarında oturum açarsa bu cihazın ele geçirilmesi durumunda ciddi risk oluşabilir.

Bu nedenle yüksek yetkili hesapların;

e-posta,

internet tarayıcısı,

standart ofis işlemleri

için kullanılmaması gerekir.

Yüksek yetkili yönetim işlemleri mümkünse;

Privileged Access Workstation – PAW

veya özel yönetim sistemleri üzerinden gerçekleştirilmelidir.

Bu yaklaşım Lateral Movement riskini önemli ölçüde azaltabilir.

Network Segmentation Lateral Movement'ı Durdurur mu?

Network Segmentation – Ağ Segmentasyonu, Lateral Movement riskinin azaltılmasında en önemli güvenlik kontrollerinden biridir.

Amaç kurum ağını tek ve düz bir yapı olmaktan çıkarmaktır.

Örneğin;

kullanıcı VLAN'ları,

sunucu network'leri,

yönetim network'leri,

veritabanı segmentleri,

OT/ICS network'leri,

yedekleme sistemleri

birbirinden ayrıştırılabilir.

Bu segmentler arasında yalnızca gerekli trafiğe izin verilmelidir.

Saldırgan bir kullanıcı bilgisayarını ele geçirdiğinde bütün network'e doğrudan erişememelidir.

Flat Network Nedir ve Neden Risklidir?

Flat Network – Düz Ağ, farklı sistemlerin çok az segmentasyonla birbirine erişebildiği network yapısını ifade eder.

Bu tür yapılarda saldırgan ilk erişim sonrasında çok geniş bir sistem grubunu görebilir.

Örneğin kullanıcı bilgisayarından;

sunucular,

veritabanları,

yedekleme altyapısı,

yönetim servisleri

doğrudan erişilebilir olabilir.

Bu durum Lateral Movement'ı kolaylaştırır.

Modern güvenlik mimarilerinde mikro segmentasyon ve Zero Trust Network Access gibi yaklaşımlar bu nedenle önem kazanmıştır.

Network Segmentation Tek Başına Yeterli mi?

Hayır.

Bu önemli bir noktadır.

Bir kurum mükemmel network segmentasyonuna sahip olabilir.

Ancak aynı yüksek yetkili kullanıcı hesabı farklı segmentlerdeki sistemlere erişebiliyorsa saldırgan kimlik üzerinden ilerleyebilir.

Bu nedenle yalnızca network segmentasyonu değil, Identity Segmentation – Kimlik Segmentasyonu da gereklidir.

Örneğin;

kullanıcı hesapları,

sunucu yönetim hesapları,

Domain Admin hesapları,

backup administrator hesapları

birbirinden ayrıştırılmalıdır.

Bu yaklaşım saldırganın tek bir credential üzerinden geniş çaplı hareket etmesini zorlaştırır.

PAM Lateral Movement Riskini Nasıl Azaltır?

Privileged Access Management – PAM, yüksek yetkili hesapların kontrollü şekilde yönetilmesini sağlayan güvenlik yaklaşımıdır.

PAM sayesinde;

yönetici parolaları merkezi olarak korunabilir,

erişimler süreli hale getirilebilir,

oturumlar kayıt altına alınabilir,

yüksek yetkiler sürekli kullanıcı üzerinde tutulmayabilir,

yetkili aktiviteler izlenebilir.

Lateral Movement açısından PAM'ın önemi büyüktür.

Çünkü saldırganın en çok aradığı varlıklardan biri yüksek yetkili credential'lardır.

PAM bu credential'ların endpoint'lerde veya kullanıcıların günlük aktivitelerinde gereksiz yere dolaşmasını azaltabilir.

Just-in-Time Access Nedir?

Just-in-Time – JIT Access, kullanıcılara yüksek yetkilerin sürekli verilmesi yerine yalnızca ihtiyaç duyulan süre boyunca sağlanması yaklaşımıdır.

Örneğin bir sistem yöneticisinin 7/24 Domain Admin olması yerine, belirli bir işlem için 30 dakikalık yetki alması mümkündür.

Bu yaklaşım saldırı yüzeyini azaltır.

Çünkü saldırgan ele geçirdiği hesap üzerinde sürekli yüksek yetki bulamaz.

Bu nedenle JIT Access ve PAM modern privileged access mimarisinin önemli parçalarıdır.

Zero Trust Lateral Movement'ı Nasıl Etkiler?

Zero Trust yaklaşımının temel prensibi:

Never Trust, Always Verify.

Yani bir kullanıcı veya cihaz network içinde bulunduğu için otomatik olarak güvenilir kabul edilmez.

Her erişim;

kimlik,

cihaz durumu,

konum,

risk seviyesi,

kaynak hassasiyeti

gibi faktörlere göre değerlendirilir.

Bu yaklaşım özellikle Lateral Movement riskini azaltmak açısından önemlidir.

Çünkü saldırganın iç ağa girmiş olması her kaynağa erişebileceği anlamına gelmez.

Lateral Movement ve Active Directory İlişkisi

Microsoft tabanlı yapılarda Lateral Movement çoğu zaman Active Directory ilişkileri üzerinden şekillenir.

Saldırgan;

grup üyeliklerini,

local admin ilişkilerini,

servis hesaplarını,

delegasyonları,

ACL'leri,

oturum ilişkilerini

analiz ederek farklı sistemlere erişim yolları arayabilir.

Bu nedenle Attack Path Analysis yalnızca privilege escalation için değil, Lateral Movement için de önemlidir.

Bir saldırganın teorik olarak hangi sistemden hangi sisteme geçebileceğini bilmek savunma açısından büyük avantaj sağlar.

BloodHound Lateral Movement Analizinde Nasıl Kullanılır?

BloodHound gibi grafik tabanlı Active Directory analiz araçları kullanıcılar, bilgisayarlar ve yetki ilişkileri arasındaki bağlantıları görünür hale getirebilir.

Örneğin;

User A

bir bilgisayarda local admin olabilir.

Aynı bilgisayarda;

User B

yüksek yetkili oturum açmış olabilir.

User B ise başka bir sunucu üzerinde yönetici olabilir.

Bu ilişki manuel olarak anlaşılması zor olabilir.

Grafik tabanlı analizler saldırı yolunun daha kolay görülmesini sağlar.

Bu nedenle bu tür araçlar yalnızca Red Team tarafından değil, savunma ekipleri tarafından da Attack Path Management amacıyla kullanılmalıdır.

SOC Lateral Movement'ı Nasıl Tespit Eder?

Lateral Movement davranışlarının tespit edilmesi kolay değildir.

Çünkü saldırgan çoğu zaman kurumda zaten kullanılan meşru protokolleri kullanabilir.

RDP normaldir.

SMB normaldir.

WinRM normaldir.

PowerShell normaldir.

Problem protokolün varlığı değil, alışılmadık şekilde kullanılmasıdır.

SOC açısından şu sinyaller değerli olabilir:

bir kullanıcının normalde bağlanmadığı sunucuya erişmesi,

kısa sürede çok sayıda sisteme authentication,

normal bir çalışanın yönetim protokollerini kullanması,

workstation'dan kritik sunucuya doğrudan bağlantı,

alışılmadık administrative share erişimleri,

yüksek yetkili hesabın beklenmeyen endpoint üzerinde görülmesi.

Bu nedenle Lateral Movement detection çoğunlukla davranış analizi gerektirir.

EDR/XDR Lateral Movement'ı Nasıl Görür?

Modern EDR ve XDR çözümleri endpoint üzerindeki;

process davranışlarını,

network bağlantılarını,

authentication aktivitelerini,

script kullanımını,

credential erişimlerini

analiz edebilir.

Ancak EDR'nin kurulu olması tek başına saldırının durdurulacağını garanti etmez.

Policy yapılandırması,

telemetry kalitesi,

SOC entegrasyonu,

Detection Engineering

birlikte değerlendirilmelidir.

Red Team operasyonlarında bu nedenle yalnızca “EDR var mı?” sorusu sorulmaz.

“EDR bu saldırgan davranışını gördü mü?”

sorusu sorulur.

SIEM ve Correlation Neden Kritik?

Lateral Movement saldırılarında tek bir olay her zaman anlamlı olmayabilir.

Örneğin;

bir RDP bağlantısı normal olabilir.

Bir SMB bağlantısı normal olabilir.

Bir authentication olayı normal olabilir.

Ancak aynı kullanıcı;

beş dakika içerisinde on farklı sunucuya bağlanıyorsa,

daha sonra kritik bir yönetim sistemine erişiyorsa,

ardından beklenmeyen yetkili aktiviteler gerçekleştiriyorsa

bu olaylar birlikte daha anlamlı hale gelir.

SIEM'in temel gücü burada ortaya çıkar:

Correlation – Olay Korelasyonu.

Farklı kaynaklardan gelen güvenlik verilerinin ilişkilendirilmesi saldırı zincirinin görünür hale gelmesini sağlar.

Detection Engineering ile Lateral Movement

Detection Engineering ekipleri belirli Lateral Movement tekniklerine yönelik tespit senaryoları geliştirebilir.

Örneğin;

RDP kullanım paterni,

SMB bağlantıları,

remote service aktiviteleri,

authentication davranışları,

yüksek yetkili hesap hareketleri

analiz edilebilir.

MITRE ATT&CK mapping kullanılarak kurumun hangi Lateral Movement tekniklerini tespit edebildiği ölçülebilir.

Bu yaklaşım Detection Coverage oluşturulmasına yardımcı olur.

Red Team Lateral Movement Testinde Neyi Ölçer?

Profesyonel bir Red Team operasyonunda amaç yalnızca başka bir sunucuya geçmek değildir.

Şu sorular da ölçülmelidir:

Network segmentasyonu hareketi engelledi mi?

PAM yüksek yetkili hesabı korudu mu?

EDR davranışı gördü mü?

SIEM anlamlı alarm üretti mi?

SOC saldırıyı fark etti mi?

Identity Security anormal authentication'ı tespit etti mi?

Hangi noktada saldırı durduruldu?

Saldırgan hangi sistemlere ulaşabildi?

Bu sorular Lateral Movement testini gerçek bir Security Validation çalışmasına dönüştürür.

Lateral Movement Riskini Azaltmak İçin Ne Yapılmalı?

Kurumların Lateral Movement riskini azaltmak için tek bir ürüne güvenmemesi gerekir.

Katmanlı bir yaklaşım gereklidir.

Özellikle;

Network Segmentation

Kullanıcı, sunucu ve kritik sistem ağları ayrıştırılmalıdır.

Identity Segmentation

Standart ve yüksek yetkili hesaplar ayrılmalıdır.

Least Privilege

Kullanıcılara yalnızca ihtiyaç duydukları yetki verilmelidir.

PAM

Yüksek yetkili hesaplar merkezi ve kontrollü yönetilmelidir.

LAPS

Local administrator parolaları sistem bazında benzersiz olmalıdır.

MFA

Kritik yönetim erişimleri güçlü authentication ile korunmalıdır.

EDR/XDR

Endpoint davranışları izlenmelidir.

SIEM

Authentication ve network aktiviteleri ilişkilendirilmelidir.

Active Directory Hardening

Attack path ve privilege ilişkileri düzenli analiz edilmelidir.

Red Team / Purple Team

Kontrollerin gerçek saldırı tekniklerine karşı çalışıp çalışmadığı test edilmelidir.

Microsegmentation Nedir?

Geleneksel network segmentasyonu genellikle VLAN ve firewall kuralları üzerinden gerçekleştirilir.

Microsegmentation ise segmentasyonu daha granüler seviyeye taşır.

Örneğin aynı sunucu network'ünde bulunan iki sistemin birbirine doğrudan erişmesi gerekmeyebilir.

Microsegmentation yaklaşımı sistemler arasında yalnızca ihtiyaç duyulan trafiğe izin verir.

Bu model saldırganın bir sunucuyu ele geçirdikten sonra diğer sunuculara serbestçe ilerlemesini zorlaştırabilir.

Özellikle büyük data center ve cloud ortamlarında önemli bir güvenlik yaklaşımıdır.

Lateral Movement ve Ransomware

Fidye yazılımı saldırılarında Lateral Movement özellikle kritik bir aşamadır.

Saldırganın yalnızca bir kullanıcı bilgisayarını şifrelemesi sınırlı etki oluşturabilir.

Ancak saldırgan;

domain ortamına,

dosya sunucularına,

yedekleme sistemlerine,

kritik uygulamalara

ulaşabiliyorsa saldırının etkisi çok daha büyük olabilir.

Bu nedenle birçok gelişmiş ransomware operasyonunda saldırganlar şifreleme aşamasından önce ortam içerisinde uzun süre keşif ve Lateral Movement gerçekleştirebilir.

Bu durum ransomware readiness assessment ve Red Team çalışmalarında Lateral Movement testlerini önemli hale getirir.

Backup Sistemleri Neden Lateral Movement Hedefidir?

Saldırganların en kritik hedeflerinden biri yedekleme altyapısı olabilir.

Çünkü kurumun başarılı bir Incident Response gerçekleştirebilmesi çoğu zaman temiz yedeklere bağlıdır.

Eğer saldırgan backup yönetim sistemlerine ulaşabiliyorsa;

yedekleri silebilir,

erişilemez hale getirebilir,

recovery kabiliyetini bozabilir.

Bu nedenle backup yönetim ağı ve backup administrator hesapları diğer sistemlerden mümkün olduğunca ayrıştırılmalıdır.

Backup Security, artık yalnızca veri koruma konusu değil doğrudan siber dayanıklılık konusudur.

Lateral Movement ve Cyber Resilience

Lateral Movement yalnızca saldırganın hareket kabiliyetiyle ilgili değildir.

Aynı zamanda kurumun Cyber Resilience – Siber Dayanıklılık seviyesini gösterir.

İdeal güvenlik mimarisinde saldırgan ilk erişimi sağlasa bile;

network segmentasyonu,

kimlik ayrıştırması,

EDR,

PAM,

MFA,

SOC

gibi kontroller saldırganın ilerlemesini zorlaştırmalıdır.

Bu yaklaşım saldırının tamamen engellenemediği durumlarda etkisini sınırlar.

Buna çoğu zaman Blast Radius Reduction – Etki Alanını Daraltma yaklaşımı denilebilir.

Red Team Raporunda Lateral Movement Nasıl Gösterilmelidir?

Lateral Movement bulguları yalnızca teknik komutlar veya kullanılan araçlar üzerinden raporlanmamalıdır.

Yönetim açısından asıl önemli olan saldırı yoludur.

Örneğin raporda;

İlk Kullanıcı

↓

Workstation

↓

Local Admin Yetkisi

↓

Uygulama Sunucusu

↓

Servis Hesabı

↓

Backup Yönetim Sistemi

gibi görsel bir Attack Path gösterilebilir.

Her adım için;

hangi güvenlik kontrolünün eksik olduğu,

hangi noktada alarm oluştuğu,

hangi noktada SOC tarafından tespit edildiği,

hangi iyileştirmenin saldırı zincirini kırabileceği

açıklanmalıdır.

Bu yaklaşım raporun teknik ekiplerin yanı sıra yönetim tarafından da anlaşılmasını sağlar.

Sonuç: Saldırganı İçeride Durdurabiliyor musunuz?

Kurumların siber güvenlik yaklaşımı uzun yıllar boyunca büyük ölçüde çevre güvenliğine odaklandı.

Firewall ile dışarıyı içeriden ayırmak temel savunma modeliydi.

Bugün ise cloud, remote work ve identity-based access nedeniyle bu sınır giderek belirsiz hale geldi.

Bu nedenle kritik soru artık yalnızca:

“Saldırgan içeri girebilir mi?”

değildir.

Daha önemli soru şudur:

“İçeri girerse ne kadar ilerleyebilir?”

Lateral Movement bu sorunun cevabını verir.

Bir saldırgan ilk endpoint'i ele geçirse bile;

başka sistemleri göremiyorsa,

yüksek yetkili credential bulamıyorsa,

yönetim servislerine erişemiyorsa,

ağ segmentasyonu tarafından durduruluyorsa,

SOC tarafından erken tespit ediliyorsa

kurumun Blast Radius seviyesi önemli ölçüde azalır.

Bu nedenle güçlü bir kurumsal savunmanın amacı yalnızca Initial Access'i engellemek değildir.

İlk erişim gerçekleşse bile saldırganın kritik sistemlere ulaşmasını zorlaştırmaktır.

Red Team, Purple Team ve Lateral Movement testleri bu savunmanın gerçekten çalışıp çalışmadığını ölçmek için kullanılır.

Ancak saldırganın yeni sistemlere ulaşması yeterli değildir.

Bir sonraki adım çoğu zaman daha güçlü bir kimlik elde etmektir.

Standart kullanıcıdan local administrator'a, local administrator'dan privileged account'a veya kritik yönetim yetkilerine çıkılması saldırının etkisini katlayabilir.

Bu sürecin adı:

Privilege Escalation – Yetki Yükseltme.