Technical Tutorials

Sunucu Taraflı İstek Sahteciliği (SSRF), modern uygulama geliştirmede en kritik ancak sıklıkla göz ardı edilen güvenlik açıklarından biri olmaya devam ediyor. Geleneksel SSRF, saldırganların iç ağları taramasına olanak tanırken, bulut yerli teknolojilerin yükselişi saldırı yüzeyini değiştirdi. Bugün, asıl hedef sadece iç veritabanları değil, bulut sağlayıcısının kendi altyapı meta veri hizmetleridir. Bu yazı, bulut meta veri istismarına karşı korunarak ve Sanal Özel Bulut (VPC) çıkışını sıkı bir şekilde kontrol ederek SSRF'yi mimari olarak nasıl önleyebileceğinizi inceliyor.

Bulut Meta Veri Tuzağı

Geleneksel yerel kurulum ortamlarında, bir SSRF güvenlik açığı saldırganın iç yönetim panellerine veya özel API'lere erişmesine olanak tanıyabilir. Bulut ortamlarında ise risk katlanarak artar. AWS, Azure ve GCP dahil olmak üzere çoğu bulut sağlayıcısı, bilinen, yönlendirilemeyen bir IP adresi (örneğin 169.254.169.254) üzerinden örnek meta verilerini ortaya çıkarır. Bu uç nokta, IAM rol kimlik bilgileri, kapsayıcı kayıt defteri belirteçleri ve örnek yapılandırma ayrıntıları gibi hassas veriler içerir.

Uygulamanız kullanıcı tarafından sağlanan URL'leri kabul eder ve doğrulama olmadan bunları getirirse, bir saldırgan meta veri hizmetini hedef alan bir yük oluşturabilir. Örneğin:

// Güvenlik açığı olan kod örneği
const url = req.query.target; // Kullanıcı girişi
await axios.get(url); // Tehlikeli! Doğrulama yok

Bir saldırgan, geçici kimlik bilgilerini çıkarmak için http://169.254.169.254/latest/meta-data/iam/security-credentials/ adresine bir istek gönderebilir ve bu da potansiyel olarak örneğin ve ilişkili IAM rolünün erişebileceği diğer tüm kaynakların tam kontrolünü ele geçirebilir.

Sıkı URL Doğrulamasının Uygulanması

Savunmanın ilk hattı sağlam giriş doğrulamasıdır. Geliştiriciler, protokoller, etki alanları ve IP aralıkları için sıkı izin listeleri uygulamalıdır. DNS yeniden bağlama saldırıları veya buluta özgü IP takma adları aracılığıyla kolayca aşılabilen yasak listelerine asla güvenmeyin.

URL doğrulaması uygularken şunları yaptığınızdan emin olun:

Metin tabanlı izlemeyi önlemek için yalnızca https protokollerini açıkça izin verin.
Çözülen IP adresinin özel RFC1918 aralıklarına veya bulut meta veri aralıklarına düşmediğini doğrulayın.
Saldırganlar genellikle başlangıç etki alanı kontrollerini atlamak için yönlendirmeleri kullandığından, otomatik yönlendirmeyi devre dışı bırakın.

Burada doğrulama kütüphanesi kullanan bir Node.js örneği bulunmaktadır:

const isSafeUrl = (urlString) => {
  const url = new URL(urlString);
  
  // HTTPS olmayanları engelle
  if (url.protocol !== 'https:') return false;
  
  // Özel IP aralıklarını ve bulut meta veri IP'lerini engelle
  const privateIPs = [
    '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16',
    '169.254.169.254' // AWS Meta Verisi
  ];
  
  const resolvedIP = dns.resolveSync(url.hostname);
  if (privateIPs.some(ipRange => isInRange(resolvedIP, ipRange))) {
    return false;
  }
  
  return true;
};

Hizmet Uç Noktalarıyla VPC Çıkışının Güvence Altına Alınması

Uygulama düzeyinde doğrulama kritik öneme sahiptir, ancak bu yeterli değildir. Güvenliği ağ katmanında zorlamanız gerekir. Bulut güvenliğinin temel ilkelerinden biri, çıkış trafiğine uygulanan "sıfır güven" ağ modelidir. Çoğu bulut kaynağının doğrudan internet erişimine sahip olmaması gerekir. Bunun yerine, harici hizmetlerle özel kanallar üzerinden etkileşim kurmalıdır.

Özel Link ve VPC Uç Noktalarının Kullanımı

S3, DynamoDB veya SQS gibi hizmetler için trafiği asla genel internet üzerinden yönlendirmeyin. Trafiğin AWS ağı içinde kalmasını sağlamak için VPC Uç Noktalarını (özellikle Arayüz veya Ağ Geçidi uç noktalarını) kullanın. Bu, SSRF saldırganlarının iç bulut kaynaklarına ulaşmak için genel erişimli hizmetler üzerinden geçiş yapma riskini ortadan kaldırır.

Ayrıca, Güvenlik Gruplarınızı ve Ağ ACL'lerinizi varsayılan olarak çıkış trafiğini reddedecek şekilde yapılandırın. İş mantığı için gerekli olan belirli beyaz listeli etki alanlarına veya IP'lere yalnızca çıkış izleyin. Bu, bir SSRF güvenlik açığı keşfedilirse patlama yarıçapını önemli ölçüde azaltır.

Sonuç

Bulut yerli uygulamalarda SSRF'yi önlemek, derinlemesine savunma stratejisi gerektirir. Yalnızca uygulama düzeyi kod doğrulamasına güvenmek yeterli değildir. Sıkı URL izin listelerini birleştirerek, yönlendirmeleri devre dışı bırakarak ve VPC'nizi özel uç noktalar aracılığıyla çıkış trafiğini sınırlayacak şekilde mimari olarak düzenleyerek meta veri hizmeti istismarı tehdidini etkili bir şekilde etkisiz hale getirebilirsiniz. Bulut mimarileri daha da karmaşık hale geldikçe, uygulamanız ile alttaki altyapı arasındaki sınırı güvence altına almak, hem güvenlik mühendisleri hem de geliştiriciler için en yüksek öncelik olmaya devam etmelidir.