Zararlı Ek Engelleme Nasıl Yapılır? Riskli Dosya Türleri

Zararlı ek engelleme, e-postayla gelen ve açıldığında bilgisayara zararlı yazılım bulaştırabilecek dosyaları alıcıya ulaşmadan durdurma politikasıdır. Antivirüs imzaları yalnızca bilinen tehditleri yakalar; bu yüzden etkili bir politika dosyanın türüne, gerçek uzantısına ve arşivlerin içeriğine de bakar.

Neden yalnızca antivirüs yetmez?

ClamAV gibi antivirüs motorları, daha önce görülmüş zararlıları imzalarıyla tanır. Saldırganlar ise aynı zararlıyı sürekli yeniden paketler ve yeni sürümler imza veritabanlarına girene kadar geçen sürede kampanyalarını yürütür. Türe dayalı engelleme bu boşluğu kapatır: bir muhasebe çalışanının e-postayla .exe ya da .js dosyası alması için meşru bir neden yoksa, o dosyanın imzasının bilinip bilinmemesi önemli değildir.

Fidye yazılımı saldırılarının sık kullanılan giriş yollarından biri e-posta eki olduğundan, bu politika ilk savunma hatlarından biridir. Ek, çoğu zaman oltalama iletisinin inandırıcı hikâyesiyle birlikte gelir.

En riskli dosya türleri hangileri?

Disk görüntüleri neden popüler oldu?

Bir dönem Windows, ISO ve IMG gibi disk görüntülerinin içinden açılan dosyalara "internetten geldi" işaretini (Mark of the Web) aktarmıyordu. Bu işaret olmadan Office makro engeli gibi korumalar devreye girmediği için saldırganlar bu biçimlere yöneldi. Microsoft bu açığı 2022'de kapattı, ancak disk görüntüsü zaten e-postayla gelmesi gereken bir dosya türü değildir.

Çift uzantı ve gizlenmiş dosya adları

Windows varsayılan olarak bilinen dosya uzantılarını gizler. fatura.pdf.exe adlı bir dosya kullanıcıya fatura.pdf olarak görünebilir. Benzer bir hile, metnin yönünü tersine çeviren özel bir Unicode karakteriyle (RTLO) yapılır ve çalıştırılabilir bir dosyanın adını PDF gibi gösterir. Ağ geçidi bu yüzden dosya adının görünen kısmına değil, gerçek uzantısına ve içeriğine bakmalıdır.

HTML smuggling nedir?

HTML smuggling saldırısında ekte yalnızca bir HTML dosyası bulunur. Kullanıcı dosyayı açtığında içindeki JavaScript, zararlı dosyayı (çoğunlukla bir ZIP ya da ISO) tarayıcıda parça parça birleştirir ve bilgisayara indirtir. Ağ geçidi yalnızca zararsız görünen bir HTML metni gördüğü için asıl yük taramadan kaçar. Aynı yöntem sahte giriş sayfalarını ek olarak göndermek için de kullanılır; içine betik gömülebilen SVG dosyaları da benzer amaçlarla kötüye kullanılmaktadır.

Makrolu Office belgeleri neden ayrıca ele alınmalı?

Makro içeren belgeler docm, xlsm, pptm gibi uzantılarla gelir; eski doc ve xls biçimleri de VBA makrosu taşıyabilir. Microsoft, 2022'den itibaren internetten gelen ve Mark of the Web taşıyan dosyalardaki VBA makrolarını Windows'taki Office uygulamalarında varsayılan olarak engellemeye başladı. Bu önemli bir adım olsa da tek başına yeterli değildir: güncellenmemiş Office kurulumları, işaretini kaybetmiş dosyalar ve engeli bilinçli olarak kaldıran kullanıcılar risk oluşturmaya devam eder.

MXZilla'de makrolu belge engeli müşteri bazında açılabilir; docm, xlsm ve pptm gibi biçimlerin yanı sıra VBA projesi içeren eski doc ve xls dosyaları da yakalanır.

Arşivler ve şifreli dosyalar nasıl ele alınmalı?

Arşivler, zararlı dosyaları gizlemek için uzun zamandır kullanılır. İyi bir ağ geçidi ZIP arşivlerini açar ve içindeki dosyalara da aynı tür kurallarını uygular; iç içe geçmiş arşivleri belirli bir derinliğe kadar inceler.

Şifreli arşivler ise ayrı bir sorundur. Parola çoğu zaman e-postanın gövdesinde yazar, ancak ağ geçidi arşivin içini göremez. Bu tür ekleri teslim etmek yerine yönetici incelemesi için karantinaya almak en güvenli yaklaşımdır. ClamAV gibi motorlar şifreli arşivleri ve belgeleri ayrıca işaretleyebilir; ancak bu ayar parola korumalı meşru PDF dosyalarını da yakalayabileceği için bir istisna süreci planlanmalıdır.

RAR ve 7z gibi biçimlerin içi her ağ geçidinde denetlenemeyebilir. MXZilla'in yasaklı ek listesi ZIP arşivlerinin içindeki dosyalara da uygulanır; içi denetlenemeyen RAR ve 7z arşivlerini tümüyle durdurmak için bu uzantıları listeye eklemek yeterlidir.

Önerilen ek politikası

1. Çalıştırılabilir dosyaları ve betikleri, arşiv içinde olsalar bile tamamen engelleyin.
2. Disk görüntülerini (iso, img, vhd) engelleyin; gerekiyorsa dosya paylaşım servisiyle alın.
3. Makrolu Office belgelerini engelleyin ya da yönetici onaylı karantinaya yönlendirin.
4. Şifreli arşivleri karantinaya alın ve istisnaları gönderici bazında tanımlayın.
5. HTML ve SVG eklerini sıkı denetleyin; iş ihtiyacı yoksa karantinaya alın.
6. İçi taranamayan arşiv türlerine gerçekten ihtiyaç yoksa izin vermeyin.
7. Engellenen iletileri silmeyin; virüs karantinasında tutun ve yalnızca yöneticiler serbest bırakabilsin.
8. Windows'ta dosya uzantılarının görünmesini sağlayın ve çalışanlara çift uzantıyı anlatın.

Teknik kontrollerin yanında çalışan farkındalığı da gerekir; bunun için e-posta güvenliği eğitimi yazımıza göz atabilirsiniz.

Ek politikası nasıl test edilir?

Politikayı devreye aldıktan sonra gerçekten çalıştığını zararsız örneklerle doğrulayın. Bunun için antivirüs motorlarının test amacıyla tanıdığı standart EICAR test dosyası kullanılır; dosya zararlı kod içermez ama bir virüs gibi algılanır.

• EICAR dosyasını ek olarak gönderip iletinin virüs karantinasına düştüğünü doğrulayın.
• Aynı dosyayı bir ZIP arşivinin içine koyarak arşiv taramasını sınayın.
• Yasaklı uzantıya sahip zararsız bir dosya göndererek tür kuralının çalıştığını görün.
• Engellenen her iletinin karantina kaydını ve yöneticiye giden bildirimi kontrol edin.

Bazı posta servisleri EICAR içeren bir eki göndermeyi baştan reddeder; bu durumda testi kendi sunucunuzdan ya da ayrı bir test hesabından yapmanız gerekir.

Sık yapılan hatalar

• Yalnızca son uzantıya bakıp arşivlerin içini kontrol etmemek.
• Engellenen ekleri alıcıya ya da yöneticiye haber vermeden silmek.
• İstisnaları tüm alan adını kapsayacak kadar geniş tanımlamak.
• Yükü ekten bağlantıya taşıyan saldırıları unutmak: sahte fatura ve sahte kargo e-postalarında zararlı dosya çoğu zaman bir indirme bağlantısının arkasındadır.

Sonuç

Türe dayalı ek engelleme, antivirüsün kaçırabileceği yeni zararlılara karşı basit ama güçlü bir katmandır. Ek politikasını kimlik doğrulama ve oltalama korumasıyla birlikte düşünmek gerekir; alan adınızın SPF, DKIM ve DMARC durumunu ücretsiz güvenlik kontrolü ile görebilir, müşteri bazında ek politikası sunan seçenekleri paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

Hangi e-posta ekleri en tehlikelidir?

Çalıştırılabilir dosyalar (exe, scr), betikler (js, vbs, hta), kısayollar (lnk), disk görüntüleri (iso, img) ve makrolu Office belgeleri en riskli gruptur. Bunlara HTML ekleri ve şifreli arşivler de eklenmelidir. Bu türler iş yazışmasında nadiren gerektiği için varsayılan olarak engellenmeleri önerilir.

ZIP dosyalarını tamamen engellemeli miyim?

Çoğu kurum için gerekli değildir, çünkü ZIP iş yazışmalarında yaygın kullanılır. Önemli olan ağ geçidinin ZIP'in içini açıp içerideki dosyalara da tür kurallarını uygulamasıdır. İçi denetlenemeyen ya da şifreli arşivler ise karantinaya alınmalıdır.

Şifreli PDF veya ZIP neden karantinaya düşüyor?

Ağ geçidi şifreli bir dosyanın içeriğini tarayamaz; bu yüzden içinde zararlı olup olmadığını bilemez. Saldırganlar bu kör noktayı bildiği için parolayı e-posta gövdesine yazarak şifreli arşiv gönderir. Meşru şifreli dosyalar için göndericiye özel bir istisna tanımlanabilir ya da dosya güvenli bir paylaşım bağlantısıyla alınabilir.

Makrolu bir Excel dosyası göndermemiz gerekiyorsa ne yapmalıyız?

Makrolu dosyaları e-posta eki yerine erişimi kontrol edilen bir dosya paylaşım alanından paylaşmak en güvenli yoldur. Bu mümkün değilse yalnızca belirli göndericiler için istisna tanımlanmalı ve makrolar dijital olarak imzalanmalıdır. Alıcı tarafta da güvenilir yayımcı ayarlarıyla yalnızca imzalı makroların çalışmasına izin verilebilir.

Ek engelleme fidye yazılımını tamamen önler mi?

Tamamen önlemez, ancak en yaygın bulaşma yollarından birini daraltır. Saldırganlar bağlantılar, ele geçirilmiş hesaplar ve uzaktan erişim açıkları gibi başka yollar da kullanır. Bu yüzden ek politikası yedekleme, güncelleme, iki adımlı doğrulama ve çalışan eğitimiyle birlikte uygulanmalıdır.