Kısıtlı kaynak kullanılarak düşük maliyetli siber tuzak sistemi kurulması ve yönetilmesi
Developing distributed cost effective cyber trap system using limited resources
Yazar: BURAK ÇAKMAK
Danışman: DOÇ. DR. GÜRAY YILMAZ
Hava Harp Okulu Komutanlığı / Havacılık ve Uzay Teknolojileri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Siber Güvenlik Bilim Dalı
Derece: Yüksek Lisans, 2016
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Ağ güvenliği = Network security ; Bilgi güvenliği = Information security ; Bilgisayar ağları güvenliği = Computer networks security ; Bilgisayar güvenliği = Computer security ; Siber güvenlik = Cyber security ; Veri güvenliği = Data security

Özet:
Sistem güvenlik uzmanları, her gün artarak gerçekleşen saldırılara karşı dijital varlıklarını korumak için bitmeyen bir savaş veriyorlar. Devlet ve özel kurumların bu saldırılara karşı önlem alabilmeleri için sistemin maruz kaldığı saldırılar ve saldırganların davranışları hakkında bilgileri ele geçirmeye ihtiyaçları vardır. Ancak bu değerli bilgiler sayesinde çok daha iyi tasarlanmış ve uygulanabilirliği yüksek siber güvenlik önlemleri almaları mümkün olacaktır. Her komutan askerlerine kendilerini düşmana karşı koruyabilmeleri için öncelikle düşmanlarının kim olduğunu iyi öğrenmeleri gerektiğini emreder. Bu askeri doktrin bilgisayar ağ güvenliği sistemlerine uygulanmak için adeta hazır bir kılavuz niteliğindedir. Tıpkı askeri birlikler gibi kurumların da korumak ile mükellef oldukları kaynakları mevcuttur. Bu kaynakları korumak için sisteminize yönelik tehditleri bilmek gerekmektedir. Ağ güvenliği, özel şirketler ve devlet kurumları için giderek artan bir tehdit haline gelmektedir. Siber saldırılar her geçen gün ciddi oranlarda artmakta bununla birlikte saldırıların karmaşıklığı da gelişmektedir. Devlet kurumları ve özel sektörde faaliyet gösteren şirketler bu saldırılara maruz kalmakta ve bu saldırılar sonucunda özel bilgiler açığa çıkmaktadır. Bu nedenle tüm kurumların bilgi kaynaklarının korunması ve savunulması için önlemler alması kaçınılmaz olarak zorunlu hale gelmiştir. Geleneksel ağ savunma sistemi yaklaşımları bilinmeyen saldırı tehditlerini tespit etmekte oldukça yetersizdir. Bu tez kapsamında ortaya konan fikir sistem yöneticilerin bu problemi aşmaları için bir çözüm ortaya koymaya çalışmaktadır. Bu tez, gerçek zamanlı analizin yapılabileceği, düşük maliyetli, büyük veri analitiği altyapısı sunan yazılımlar aracılığı ile kısıtlı kaynağa sahip bilgisayarlar üzerinde çalışacak bir çözüm sunmaktadır. Bu araştırma sırasında odaklanılan ana konu saldırgan davranışının analiz edilerek ağ güvenliğinin sağlanması için bilgiler elde edilmesidir. Honeypotlar, saldırganların zararlı davranışları hakkında bilgi toplamaya imkan sağlayan veri kaynakları olarak kullanılmaktadır. Toplanan bu veriler gözlemlenip, analiz edilerek yeni saldırı türleri ve popüler istismar eğilimlerine karşı erken uyarı sistemleri geliştirmemize yardımcı olmakta kullanılabilirler. Sistem yöneticileri bu veriler ışığında saldırı tespit sistemleri için daha verimli korunma kuralları geliştirebilir. Sistem güvenlik uzmanlarınin karşılarına çıkan bir diğer zorluk ise toplanan büyük miktardaki bu verinin gerçek zamanlı olarak işlenmesidir. Tam bu noktada hadoop bu problemin aşılması için yardımımıza koşmaktadır. Hadoop, büyük ölçekli verileri işlemeye imkan veren esnek mimarisi ve aynı zamanda fazla kaynağa ihtiyaç duymaması sayesinde Raspberry Pi gibi kısıtlı kaynağa sahip donanımlar üzerinde çalışarak bu konuda sunduğumuz çözümün önemli bir parçasını oluşturmaktadır. Veri analitiği sistemleri, büyük miktardaki verileri ayrıştırarak yönetilebilir küçük veri setleri haline getirmektedir. Bu sayede geliştirilecek uygulamalar ile yığın üzerinde işlem yapmaya gerek kalmadan gerçek zamanlı tahminler ve yaklaşımlar geliştirmemize yardımcı olur. Raspberry Pi, kredi kartı büyüklüğünde düşük maliyetli bir bilgisayardır. Önerilen sistem mimarisi çok sayıda Raspberry Pi bilgisayar üzerinde dağıtık olarak olarak çalıştırılacaktır. Tezin içerisinde tasarım ve geliştirilme safhaları açıklanacak, kurulum ve yapılandırma aşamaları ile ilgili bilgiler verilecektir. Saldırgan yaklaşımları tanımlamak için SSH honeypot üzerinde tespit edilen zaralı davranışları analiz edilecek ve veriye dayalı mimari üzerinde analitiği yapılarak bilgi güvenliğine katkı sunacak sonuçların çıkartılması sağlanacaktır. Honeypot üzerinde yalnızca saldırgan kullanıcıların girişimlerini gözlemleyeceğiz çünkü bu sisteme normal kullanıcıların erişim yetkisi bulunmamaktadır. Bu sayede toplanan bilgi normal kullanıcılar ile karşılaştırılacak ve saldrıgan davranış sergileyen kurum içi kullanıcılar tespit edilebilecektir. Apache Spark ve Apache Hadoop teknolojilerinin kullanımı ile veriye dayalı anlık analiz yapabilecek bir altyapı elde edilmesine imkan sağlayacaktır. Honeypot üzerinden toplanan saldırgan verisi ile kötü kullanıcı davranışı modellenebilir ve bu sayede saldırgan profilinde tespit edilecek sapmalar ile de tanımlanmamış yeni saldırı türlerini ortaya çıkartıp incelemek mümkün hale gelecektir.

Abstract:
System security professionals fight a seemingly unending battle to secure their digital assets against an everincreasing onslaught of attacks. Government and private companies need security resource whose value lies in being probed, attacked, or compromised, and provide a valuable tool to collect information about the behaviors of attackers in order to design and implement better defenses. Any commander orders his soldiers to secure themselves against the enemy, after they get the information about who their enemy is. This military doctrine readily applies to the world of network security. Just like the military, you have resources that you are trying to protect. To help protect these resources, you need to know who is your threat and how they are going to attack. Network security has become a growing threat to most public and private institutions. Cyber attacks are getting serious mount of rise and complexity is constantly evolving. Government departments and organizations are being breached everyday and then data is compromised by these attacks. Therefore it has become mandatory to take actions for protecting information and ensuring that the security of the information system will be inevitable. Detection of unknown attack vectors is difficult for the traditional border systems. This thesis is based on an idea to help system administrator to overcome that problem using real time, cost effective data analytics system infrastructure based on big data analytics software and embedded cheap hardware technologies. During the research on that network security challenge, main focus was on the analysis behaviours of attackers. Honeypots are known as security resources which trap malicious activities. It is a valuable tool to collect information about the behaviours of attackers. Collected data can be analyzed and monitored so that it will provide early warning about new attack and exploitation trends. System administrators can use that captured information to implement better Intrusion detection system rules. Another challenge for security professional is that large amount of collected data waiting for processing real time. At this point, Hadoop is come to aid this problem for us. It is flexible architecture for large scale data processing and runs on inexpensive lower capacity hardware like Raspberry Pi. Data analytics frameworks decompose problems with a large volume of data into smaller manageable data sets to build applications that are more than just inference and can help to make predictions as well as prescriptions to problems in real time instead of batch processes. The Raspberry Pi is a low cost, credit-card sized computer. Recommended architecture is going to run on multiple distributed Raspberry Pi computer nodes. The goal of this thesis represents the design stages and installation of the test infrastructure about described solution and proposes a data driven information security architecture that relies on both behavioral analysis of SSH profiles and bad actor data collected from an SSH honeypot to identify bad actor attack vectors. Only bad actors are going to attempt to use the honeypot system. This systems should not be used by normal users inside an organization's environment. This thesis will collect bad actor behavior from a honeypot ensemble with normal user behavior to increase the true positive rate of bad actor detection. Using Apache Spark and Apache Hadoop, we can create a real time data driven architecture that can collect and analyze new bad actor behaviors from honeypot data and monitor legitimate user accounts to create predictive and prescriptive models. Previously unidentified attack vectors can be cataloged for review.