FortiBleed Veri Sızıntısı Sonrası Fortinet Cihazlarının Güvenliğinin Sağlanması

FortiBleed Veri Sızıntısı Nedir?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Fortinet kullanıcılarını 'FortiBleed' adı verilen bir veri sızıntısının ardından cihazlarını acilen güvenlik altına almaya çağırmaktadır. Bu sızıntıda, 74.000'den fazla Fortinet firewall ve VPN cihazının kimlik doğrulama bilgileri (kullanıcı adı, parola, API anahtarları vb.) açığa çıkmıştır. Sızıntı, Fortinet cihazlarının varsayılan yapılandırmalarında bulunan ve CVE-2023-27997 olarak tanımlanan bir güvenlik açığından kaynaklanmaktadır. Bu açıktan yararlanan saldırganlar, cihazların yönetim arayüzlerine uzaktan erişim elde edebilmekte ve hassas verileri ele geçirebilmektedir.

Etkilenen Cihazlar ve Sistematoloji

FortiBleed sızıntısından etkilenen cihazlar arasında aşağıdaki Fortinet ürünleri bulunmaktadır:

• FortiGate (tüm modeller)
• FortiManager
• FortiAnalyzer
• FortiAP
• FortiSwitch

Sızıntının boyutu, Fortinet kullanıcılarının acil önlemler almalarını zorunlu kılmaktadır. CISA, bu açıktan yararlanarak saldırı gerçekleştiren tehdit aktörlerinin kurumsal ağlara sızabileceğini ve veri hırsızlığı yapabileceğini vurgulamaktadır.

Sorun ve Riskler

Potansiyel Tehditler

Uyarı: FortiBleed sızıntısından kaynaklanan riskler aşağıdakileri içermektedir:

• Uzaktan Kod Yürütme (RCE): Saldırganlar, cihazların yönetici haklarına sahip olabilir.
• Veri Sızıntısı: Hassas kurumsal veriler, müşteri bilgileri veya ticari sırlar çalınabilir.
• Hizmet Aksatma (DoS): Cihazlar, saldırılar nedeniyle çalışmaz hale gelebilir.
• Yanlış Yönlendirme: Ağ trafiği, saldırganlar tarafından manipüle edilebilir.

Etkilenen Kuruluşlar

FortiBleed sızıntısından en çok etkilenen kuruluşlar şunlardır:

1. Devlet kurumları ve kamu hizmetleri sağlayıcıları
2. Finansal kuruluşlar (bankalar, sigorta şirketleri vb.)
3. Sağlık hizmeti sağlayıcıları (hastaneler, klinikler)
4. Eğitim kurumları (üniversiteler, okullar)
5. Büyük ölçekli şirketler (lojistik, üretim, perakende)

Çözüm Adımları

1. Cihazların Güncellenmesi

Adım 1: Fortinet cihazlarınızın en son güvenlik yamalarına sahip olduğundan emin olun. Bu, CVE-2023-27997 açıklığını kapatacaktır.

# FortiGate cihazlarında güncelleme kontrolü
execute update-now

# FortiManager/FortiAnalyzer için
execute update local

İpucu: Fortinet'in resmi web sitesinden (https://www.fortiguard.com/psirt/FG-IR-23-001) en son güvenlik bültenini kontrol edin ve ilgili yamaları indirin.

2. Varsayılan Kimlik Bilgilerinin Değiştirilmesi

Adım 2: Tüm Fortinet cihazlarının varsayılan kullanıcı adı ve parolalarını değiştirin. Bu, ilk kurulum sırasında genellikle 'admin/admin' veya 'admin/' gibi zayıf kimlik bilgileriyle yapılandırılır.

# FortiGate GUI üzerinden:
1. 'System > Admin > Administrators' bölümüne gidin.
2. Varsayılan kullanıcıyı seçin ve 'Edit' butonuna tıklayın.
3. Yeni bir kullanıcı adı ve güçlü bir parola belirleyin.
4. 'OK' butonuna tıklayarak değişiklikleri kaydedin.

# CLI üzerinden:
config system admin
    edit "admin"
        set password "YeniGüçlüParola123!"
    next
end

3. İki Faktörlü Kimlik Doğrulama (2FA) Etkinleştirme

Adım 3: Fortinet cihazlarında iki faktörlü kimlik doğrulama (2FA) etkinleştirin. Bu, saldırganların sadece parola ele geçirmesi durumunda bile sisteme erişimini engelleyecektir.

# FortiGate'de 2FA etkinleştirme (FortiToken kullanarak):
config system admin
    edit "admin"
        set two-factor-auth enable
        set fortitoken "FortiToken-Serisi"
    next
end

# FortiAuthenticator ile entegrasyon:
config system global
    set remoteauthtype radius
    set radius-server "FortiAuthenticator_IP"
end

4. Ağ Segmentasyonu ve Erişim Kontrolleri

Adım 4: Fortinet cihazlarının yönetim arayüzlerine erişimi yalnızca güvenilir IP adreslerinden sınırlayın. Bu, saldırganların cihazlara erişimini zorlaştıracaktır.

# FortiGate'de yönetim erişimini kısıtlama:
config system interface
    edit "port1"
        set allowaccess https ssh ping
        set trustedhosts "192.168.1.0/24" "10.0.0.5"
    next
end

Uyarı: Yönetim erişimini kısıtlamadan önce, güvenilir IP adreslerini doğru şekilde tanımladığınızdan emin olun. Aksi takdirde, yönetim erişimini kaybedebilirsiniz.

5. Logların ve İzleme Sistemlerinin Kurulması

Adım 5: Fortinet cihazlarından gelen logları merkezi bir SIEM sistemi (örneğin, Splunk, ELK Stack, FortiAnalyzer) ile izleyin. Anormal aktiviteleri tespit etmek için kurallar oluşturun.

# FortiGate loglarının FortiAnalyzer'a gönderilmesi:
config log fortianalyzer setting
    set status enable
    set server "FortiAnalyzer_IP"
    set ssl enable
end

# Anormal aktiviteler için uyarı kuralları:
config log eventfilter
    edit 1
        set severity high
        set filter "eventtime > '2024-01-01 00:00:00' and srcip != '192.168.1.0/24'"
    next
end

6. Yedekleme ve Kurtarma Planı

Adım 6: Fortinet cihazlarının konfigürasyon yedeklerini düzenli olarak alın ve güvenli bir yerde saklayın. Bu, bir saldırı durumunda cihazları hızlıca eski durumuna getirmenizi sağlayacaktır.

# FortiGate konfigürasyonunun yedeklenmesi:
execute backup config ftp "FortiFTP_IP" "kullanıcı_adı" "parola" "FortiGate_backup.conf"

# Yedekten geri yükleme:
execute restore config ftp "FortiFTP_IP" "kullanıcı_adı" "parola" "FortiGate_backup.conf"

Ek Güvenlik Önlemleri

Fortinet Cihazlarının Sertifikasyonu

Fortinet cihazlarınızda geçerli SSL/TLS sertifikaları kullanın. Bu, cihazlar arasındaki iletişimin şifrelenmesini sağlar ve Man-in-the-Middle (MitM) saldırılarını engeller.

# FortiGate'de SSL sertifikası oluşturma:
config system global
    set hostname "firewall.example.com"
    set dns-name "firewall.example.com"
end

config system certificate local
    edit "Fortinet_CA"
        set password "GüçlüParola123!"
        set private-key "-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----"
        set certificate "-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----"
    next
end

Fortinet Support'a Ulaşma

Fortinet destek ekibiyle iletişime geçerek, cihazlarınızın güvenlik durumu hakkında doğrulama yapabilirsiniz. Destek ekibi, cihazlarınızın güvenlik açıklarına karşı korunduğundan emin olmanıza yardımcı olacaktır.

Sonuç

FortiBleed sızıntısı, Fortinet kullanıcılarının acil güvenlik önlemleri almasını gerektiren ciddi bir tehdittir. Yukarıda belirtilen adımları takip ederek, cihazlarınızı saldırılardan koruyabilir ve kurumsal verilerinizi güvence altına alabilirsiniz. Fortinet'in resmi kaynaklarını düzenli olarak takip ederek, yeni güvenlik açıkları hakkında bilgi sahibi olun ve gerekli yamaları uygulayın.

Kaynaklar

• Fortinet Güvenlik Bülteni (FG-IR-23-001)
• CISA Uyarısı
• Fortinet Resmi Dokümantasyonu