Python Brute Force Girişimlerini Tespit Etme

Python Brute Force Girişimlerini Tespit Etme

Giriş noktalarına yönelik brute force (kaba kuvvet) girişimlerini tespit etmek, güvenliğin temel adımlarından biridir. Özellikle web uygulamaları, SSH, FTP gibi hizmetlerde başarısız oturum açma denemelerinin artması, saldırganın deneme sayısını hızla yükseltebileceğini gösterir. Bu yazı, teknik olarak nasıl çalıştığını, hangi verileri izlemek gerektiğini ve uygulanabilir yöntemleri somut adımlarla anlatır.

1) Girişimleri nasıl tanımlarsınız?

• Başarısız oturum açma olaylarının sayısındaki anormallikler: Belirli bir IP’den gelen artan başarısız deneme sayısı.
• Belirli kullanıcı adı kombinasyonlarının tekrarı: Sık kullanılan kullanıcı adıyla ardışık hatalar.
• Zaman penceresi yoğunluğu: Kısa sürede çoğalan hatalı denemeler, normal kullanıcı davranışından sapma olarak işaretlenir.
• Kaynak çeşitliliği: Tek bir hedef üzerinde farklı kaynaklardan gelen denemeler veya farklı hedef servisler üzerinden yoğunlaşma.

2) İzleme için hangi veriler gerekir?

• Oturum açma günlükleri: zaman damgası, IP adresi, kullanıcı adı, sonuç (success/failure), hata kodları.
• Uygulama katmanı olayları: auth logları, güvenlik duvarı ihlallerine dair bilgiler.
• Ağ katmanı verileri: bağlantı sıklığı, paket başına düşen hatalı deneme sayısı, kaynak portları.
• Hızlı uyarı için özet metrikler: 5 dk içinde 50 başarısız deneme gibi sınırlar önceden belirlenebilir.

3) Tespit yaklaşımı için pratik yöntemler

• Log tabanlı eşik temelli tespit: Belirlenen eşikleri aştığında alarm üretir. Örneğin, IP başına 10 başarısız deneme 5 dakikada.
• Akış tabanlı anomali analizi: Normal kullanıcı davranışının modelini çıkarıp, sapmaları belirlemek.
• Gece yarısı veya tatil gibi anlık düşük trafik dönemlerinde ani artışlar için otomatik uyarı.
• IP kara listelemesiyle birlikte gecikmeli engellemeler: Belirlenen şüpheli IP’leri birkaç dakika süreyle engelleme, ardından doğrulama.
• Çok faktörlü etkisizleştirme: Örneğin SSH için fail2ban benzeri araçlar veya güvenlik duvarı kuralları ile otomatik sınırlama.

4) Uygulama örnekleri ve dikkat edilmesi gerekenler

• Web uygulaması için: loglarınızı merkezi bir iletimin (ör. SIEM) üzerinden analiz edin; kullanıcı adı enumlama girişimlerini de izleyin.
• SSH için: yanlış kullanıcı adı denemelerini zaman damgası ile birleştirerek kısa süreli engellemeler uygulanabilir.
• Performans: tespit mekanizmaları yüksek hacimli trafiği bozmamalı; abonelikli veya orantılı sınırlar kullanın.
• Gizlilik ve doğruluk: uyarıların güvenilir olması için istatistiksel yöntemlerle yanlış pozitifleri azaltın; güvenlik politikalarıyla uyumlu hareket edin.

5) Sonuç ve güvenlik planı
Girişim tespiti, sadece olay alarmı değildir; aynı zamanda olay müdahalesi ve savunma mimarisinin bir parçasıdır. Proaktif olarak eşiklerin ve politika değişikliklerinin periyodik olarak gözden geçirilmesi, log bütünlüğünün korunması ve olay sonrası inceleme süreçlerinin kurulması gerekir. Çalışanların güvenli parola politikaları, MFA kullanımının yaygınlaştırılması ve servislerin en az ayrıcalık prensibiyle yapılandırılması ile bu girişimlerin etkisi azaltılabilir.

Bu konuyu kendi ortamınızda uygulamaya başladığınızda hangi araçları hangi hedeflerle kullanmayı planlıyorsunuz? Deneyimlerinizi paylaşabilir misiniz?[/quote]