FortiGate SSL VPN'e kaba kuvvet (brute force) saldırısı: nasıl anlaşılır, nasıl durdurulur?

SSL VPN giriş ekranı internete açıktır ve saldırganlar burada sürekli kullanıcı adı ve şifre dener. FortiGate varsayılan olarak ikinci hatalı denemede kaynak IP adresini 60 saniye engeller. Bu koruma tek başına yetmez: engelleme süresini uzatmak, erişimi kaynak adrese göre kısıtlamak, iki faktörlü doğrulama eklemek ve denemeleri sürekli izlemek gerekir.

Saldırıyı nasıl fark edersiniz?

• Art arda başarısız girişler: VPN olay loglarında aynı kaynaktan gelen çok sayıda başarısız SSL VPN girişi (logid 0101039426).
• Kullanıcı adı taraması: Aynı IP adresinden, her seferinde farklı kullanıcı adlarıyla yapılan denemeler. Amaç geçerli hesapları bulmaktır.
• Yavaş saldırılar: Saatlere veya günlere yayılan, deneme limitine hiç takılmayan az sayıda deneme.
• Engellenen IP listesi: FortiGate'in o an engellediği adresler komut satırından görülebilir (aşağıda).

FortiGate'te alınabilecek önlemler

1. Deneme limiti ve engelleme süresi. login-attempt-limit 0 ile 10 arasında, login-block-time 0 ile 86400 saniye arasında ayarlanır. Aşağıdaki örnek limiti varsayılanda bırakıp engellemeyi bir saate çıkarır:

config vpn ssl settings
    set login-attempt-limit 2
    set login-block-time 3600
end

2. Engellenen adresleri görme ve temizleme. Listeleme komutu FortiOS 7.2.6 ve 7.4.1 ile sonraki sürümlerde çalışır:

diagnose vpn ssl blocklist list
diagnose vpn ssl blocklist del <all|vfid|addr>

3. Kaynak adrese göre kısıtlama. Local-in policy ile belirli adreslerin SSL VPN giriş ekranına ulaşması tamamen engellenebilir. FortiOS 7.2.4, 7.4.0 ve sonrasında harici tehdit beslemeleri de kaynak adres olarak kullanılabilir; 7.6.0 ve sonrasında local-in policy arayüzden de yönetilir.

config firewall address
    edit "Restricted_IP"
        set subnet 10.10.10.0 255.255.255.0
    next
end
config firewall local-in-policy
    edit 1
        set intf "port1"
        set srcaddr "Restricted_IP"
        set dstaddr "all"
        set service "ALL"
        set schedule "always"
    next
end

4. İki faktörlü doğrulama. Şifre ele geçirilse bile tek başına yetmesin. FortiToken lisansı olmadan Google veya Microsoft Authenticator ile kurulum: FortiGate VPN MFA.

AdeGate ile otomatik tespit

• Kısa sürede çok sayıda başarısız VPN girişinde kaynak IP adresiyle birlikte alarm verir.
• Aynı adresten farklı kullanıcı adlarıyla yapılan taramaları ayrıca tespit eder.
• IPsec tarafındaki IKE tarama denemelerini gerçek kullanıcı girişlerinden ayrı izler.
• Son 30 günde görülmemiş bir ülkeden gelen VPN girişinde alarm verir.
• Olaylardaki IP adreslerini AbuseIPDB ve VirusTotal verisiyle zenginleştirir.
• Seçtiğiniz adresleri panelden FortiGate'in karantina listesine ekleyebilirsiniz.
• İsterseniz şifre ve koddan sonra yöneticinin onayını da ister: VPN oturum onayı.

Sık sorulanlar