MQTT, AMQP, Kafka ve RabbitMQ: Siber Güvenlik Açısından Tehditler

MQTT, AMQP, Kafka ve RabbitMQ, günümüzün dijital dünyasında sıklıkla kullanılan mesajlaşma protokolleridir. Bu blogda, bu teknolojilerin güvenlik açıklarını ve siber tehditlerini inceleyeceğiz.

Giriş ve Konumlandırma

MQTT, AMQP, Kafka ve RabbitMQ, günümüzde yaygın olarak kullanılan mesajlaşma protokolleri ve platformlarıdır. Bu teknolojiler, özellikle IoT (Nesnelerin İnterneti) cihazları ve büyük veri işleme senaryolarında kritik bir rol oynar. Ancak, bu protokollerin yapılandırmaları ve güvenlik açıkları, siber saldırganlar için çeşitli fırsatlar sunmaktadır. Bu yazının amacı, bu dört protokolü anlamak ve bunların siber güvenlik bağlamında yaratabileceği potansiyel tehditleri ele almaktır.

Protokollerin Önemi

Modern sistemlerdeki veri akışlarının çoğu, bu tür mesajlaşma protokolleri aracılığıyla yönetilmektedir. MQTT, özellikle düşük iletim bant genişliği ve enerji verimliliği gereksinimi olan IoT uygulamaları için optimize edilmiştir. AMQP ise güvenilir mesajlaşma sunarken, RabbitMQ gibi sistemlerle birlikte kurumsal düzeyde uygulamalarda yaygın olarak kullanılmaktadır. Apache Kafka, büyük veri akışlarını gerçek zamanlı işlemek için tercih edilirken, dağıtık mimarisi sayesinde yüksek verimlilik sağlar.

Bu protokollerin pratikteki kullanımı, potansiyel tehditlerin anlaşılmasını zorlaştırır, çünkü birçok sistem, varsayılan ayarlarla ve zayıf kimlik doğrulama yöntemleriyle yapılandırılmaktadır. Özellikle, bu yapıların nerelerde potansiyel zayıflıklara sahip olabileceği, güvenlik uzmanları ve pentesterler için kritik öneme sahiptir.

Siber Güvenlik Bağlamı

Siber güvenlik açısından, bu protokoller pek çok zafiyet barındırmaktadır. Örneğin, MQTT'nin varsayılan durumu çoğunlukla kimlik doğrulama gerektirmeyen bir yapıdadır. Bu, potansiyel bir saldırganın "mqtt-subscribe" betiği kullanarak ağ üzerindeki tüm cihaz trafiğini dinlemesine olanak tanır. MQTT üzerinden iletilen veriler genellikle şifrelenmemiş (plain text) olduğundan, bu verilerin gizliliği tehlikeye girmiş olur.

AMQP kullanan sistemlerde de benzer açıklar sıkça görülmektedir. RabbitMQ'nun varsayılan kullanıcı adı ve şifreleri (örneğin "guest/guest"), izinsiz erişim sağlamak için kolay bir hedef oluşturur. Ayrıca, AMQP portları (genellikle 5672) açık olarak bırakılmışsa, kritik iş süreçlerine (para transferleri, kullanıcı kayıtları gibi) erişim sağlamak çok kolaylaşır.

Kafka ve Zookeeper'in birleşimi de bir diğer kritik noktadır. Kafka'nın veri yönetim yapısı genellikle Zookeeper üzerinden çalıştığı için, Zookeeper'a yapılan bir saldırı, Kafka'nın tüm işleyişini tehlikeye atabilir. Ayrıca, Kafka'nın standart portu (9092) yanlış yapılandırılmışsa, dış dünyadan gelen verilere maruz kalabilir ve veri akışlarının güvenliği riske girebilir.

# Nmap ile pentest örneği
nmap -p 1883 --script mqtt-subscribe 10.0.0.1

Yukarıdaki örnekte, Nmap komut satırı aracı kullanılarak belirli bir MQTT broker'ına bağlanarak veri dinlenebilir. Bu tür aletler, ağ güvenliği testleri sırasında çok faydalıdır.

Okuyucuya Hazırlık

Bu yazının ilerleyen bölümlerinde, her bir protokolün spesifik güvenlik açıklarını, potansiyel tehdit senaryolarını ve savunma stratejilerini ele alacağız. Okuyucuların daha teknik bilgiye sahip olmaları açısından, daha önce belirtilen kavramlar ve bunların karşılıkları üzerinde durulacaktır. Okuyucular, her bir protokolün inşasında kullanılan temel yapı taşlarını ve bunların güvenliğini sağlamaya yönelik en iyi uygulamaları öğrenebileceklerdir.

Kısacası, bu yazı, mesajlaşma protokollerinin güvenlik açılarından detaylı bir inceleme sunarak, siber güvenlik uzmanlarının bu alanlarda daha sağlıklı kararlar vermelerini amaçlamaktadır. İlaveten, izinsiz erişim ve veri sızıntıları gibi önemli konular da kapsamlı bir şekilde ele alınacaktır.

Teknik Analiz ve Uygulama

MQTT: IoT Mesajlaşma Keşfi

MQTT (Message Queuing Telemetry Transport), özellikle IoT (Nesnelerin İnterneti) uygulamalarında yaygın olarak kullanılan hafif bir mesajlaşma protokolüdür. MQTT, cihazlar arasında veri iletimini sağlamak amacıyla tasarlanmıştır ve özellikle düşük bant genişliği ve gecikme süresinin kritik olduğu senaryolar için uygundur. Ancak, bu protokolün güvenlik riskleri göz ardı edilmemelidir.

MQTT Kavramları ve Güvenlik Etkileri

MQTT mimarisi, "broker" adı verilen merkezi bir sunucu üzerinden çalışır. Broker, tüm mesajların toplandığı ve dağıtıldığı ana hedef olarak işlev görür. Pentest sırasında, port 1883'ün açık olması, bir MQTT broker'ının varlığına işaret eder. Bu durumda, kullanıcılar mqtt-subscribe betiği ile broker üzerinde abone olabilir ve ağdaki tüm cihaz trafiğini anlık olarak dinleyebilirler. Örnek komut aşağıdaki gibidir:

nmap -p 1883 --script mqtt-subscribe 10.0.0.1

Bu komut, belirtilen IP adresindeki MQTT broker üzerinde tüm konulara (topics) abone olup trafiği dinleyecektir.

MQTT'nin standart portu 1883'tür ve bu port üzerinden yapılan dinlemeler, ağdaki cihazların tüm komut yapısını deşifre edebilir. Bunun yanı sıra, MQTT iletişiminde şifreleme kullanılmadığı durumlarda, hassas veriler kolayca sızdırılabilir.

AMQP: Kurumsal Mesaj Kuyruğu Keşfi

AMQP (Advanced Message Queuing Protocol), genellikle bankacılık ve büyük ölçekli sistemlerde kullanılan güvenilir bir mesaj iletim protokoldür. AMQP, mesajların güvenli bir şekilde iletilmesi için tasarlanmış bir dizi özellik sunar. AMQP'nin standart kullandığı port 5672'dir.

Pentest sırasında bu portun tespiti, kritik iş süreçlerinin geçtiği bir mesaj kuyruğunun varlığını gösterir. Örneğin, aşağıdaki komut ile bir hedef AMQP sunucusunun desteklediği yetenekleri ve protokol sürümünü sorgulayabilirsiniz:

nmap -p 5672 --script amqp-info 10.0.0.2

AMQP kullanan RabbitMQ gibi servisler genellikle varsayılan kullanıcı adı ve şifrelerin (örneğin, Guest/Guest) bırakılması nedeniyle tehlikeli hale gelebilir. Ayrıca, AMQP protokolü modern mesaj aracılarının birincil iletişim yolu olduğu için, bir zayıflık durumunda sistemin tamamının riske atılabileceği unutulmamalıdır.

Apache Kafka: Dağıtık Akış Platformu Keşfi

Apache Kafka, gerçek zamanlı veri akışlarını yöneten büyük ölçekli bir yapıdır. Port 9092'nin açık olması, saniyede milyonlarca verinin geçtiği bir boru hattının varlığına işaret eder. Pentest sırasında Kafka servisi için sürüm tespiti ve yetkisiz erişim durumuna yaklaşım önemlidir. Kullanıcılar, aşağıdaki komut ile Kafka broker servisinin sürümünü ve durumunu analiz edebilirler:

nmap -sV -p 9092 10.0.0.3

Kafka’nın mimarisinde verinin yönetimi genellikle Zookeeper servisine (port 2181) dayanır. Bu servis, Kafka cluster yapılandırmasını tutar ve genellikle şifresiz bırakılarak kritik bir güvenlik açığı oluşturabilir. Zookeeper ve Kafka arasındaki ilişki, birine yapılacak bir saldırının diğerini de tehlikeye atabileceği gerçeğini göz önünde bulundurmalıdır.

RabbitMQ: Yönetim Paneli Keşfi

RabbitMQ, kullanıcıların mesaj kuyruklarını izlemelerine, kullanıcı eklemelerine ve sistem konfigürasyonunu değiştirmelerine imkan tanıyan grafik arayüzlü bir yönetim paneli sunar. Pentest sırasında, bu panelin (port 15672) tespiti, tüm bu işlevlerin güvenli bir şekilde gerçekleşip gerçekleşmediğinin anlaşılmasını sağlar. Aşağıdaki komutla RabbitMQ Web yönetim arayüzünün kontrolünü gerçekleştirebilirsiniz:

nmap -p 15672 --script http-title 10.0.0.5

Web arayüzleri, servislerin kendisinden daha fazla bilgi sızdırabilir. Bu durumda, yönetim panelinin şifresiz veya zayıf bir şifre ile erişilebilir olması, saldırganın hassas verilere ulaşması için büyük bir fırsat sunar.

Sonuç olarak, MQTT, AMQP, Kafka ve RabbitMQ gibi protokollerin güvenliği, modern sistemlerin güvenliğini sağlamak için kritik öneme sahiptir. Bu tür iletişim protokollerinin zayıf noktalarını analiz etmek, potansiyel tehditleri önceden belirlemek ve uygun güvenlik önlemlerini almak, siber saldırılara karşı korunmak için gereklidir.

Risk, Yorumlama ve Savunma

Modern siber güvenlik dünyasında, MQTT, AMQP, Kafka ve RabbitMQ gibi mesajlaşma protokolleri önemli bir yer tutmaktadır. Bu protokollerin yanlış yapılandırılması veya zafiyetleri, hassas verilerin ifşasına, sistem erişimlerinin tehlikeye atılmasına ve dolayısıyla geniş çapta güvenlik sorunlarına yol açabilir. Bu bölümde, her bir protokolün güvenlik etkilerini, olası zafiyetleri ve alınacak önlemleri inceleyeceğiz.

MQTT Güvenlik Riski

MQTT, özellikle IoT (Nesnelerin İnterneti) uygulamaları için yaygın olarak kullanılan hafif bir mesajlaşma protokolüdür. MQTT broker’ının port 1883 üzerinden çalıştığını belirtmek önemlidir. Bu port açık olduğunda, potansiyel olarak binlerce IoT cihazının trafiği dinlenebilir.

nmap -p 1883 --script mqtt-subscribe 10.0.0.1

Eğer broker üzerinde kimlik doğrulama yoksa, bir saldırgan mqtt-subscribe betiğini kullanarak tüm cihazların verilerini gerçek zamanlı olarak dinleyebilir. Bu, sistemlerin güvenliğini ciddi şekilde tehdit eder. Özellikle, şifrelenmemiş iletişim yapılan bu port üzerinden, cihazların komut yapısını deşifre etme olasılığı yüksektir. Bu nedenle, MQTT için güvenlik önlemleri alırken, varsayılan kimlik bilgilerinin değiştirilmesi, TLS (Transport Layer Security) ile şifrelemenin etkinleştirilmesi ve gereksiz portların kapatılması kritik öneme sahiptir.

AMQP ve RabbitMQ Zafiyetleri

AMQP, özellikle bankacılık ve kurumsal uygulamalar için güvenilir mesaj iletimi sağlayan bir protokoldür. AMQP'nin standart bağlantı noktası 5672'dir. Bu portun açık olması, önemli iş süreçlerine hizmet eden bir mesaj kuyruğunun varlığını gösterir. Bir saldırgan, amqp-info scripti ile hizmetin yapılandırmasını ve desteklediği protokol sürümlerini sorgulayarak bilgi toplayabilir.

nmap -p 5672 --script amqp-info 10.0.0.2

AMQP tabanlı RabbitMQ gibi hizmetler, sıkça varsayılan kullanıcı adı ve şifrelerle yapılandırılmıştır (örneğin 'guest/guest'). Bu bilgi ele geçirildiğinde, sistemin yönetim panellerine erişim sağlanabilir, bu da kritik verilerin değiştirilmesine veya silinmesine olanak tanır. RabbitMQ’nun yönetim panelinin portu 15672’dir ve bu port üzerindeki zayıf yapılandırmalar, sonuçta sistemin tam kontrolünü kaybetme riski doğurur. Yönetim arayüzü üzerinden, kullanıcı ekleme ve sistem yapılandırmasını değiştirme imkanı sağlanmaktadır, bu yüzden güçlü kimlik doğrulama mekanizmaları uygulanması zorunludur.

Kafka Güvenlik Yaklaşımları

Apache Kafka, büyük veri akışlarını işlemek için kullanılan dağıtık bir akış platformudur. Servisin standart portu 9092’dir. Kafka'nın yönetimi genellikle Zookeeper üzerinden gerçekleştirilir ve bu servis port 2181 üzerinden çalışır. Saldırganlar, bu port açık olduğunda, sistemin yapılandırması hakkında kritik bilgiler elde edebilir.

nmap -sV -p 9092 10.0.0.3

Kafka üzerindeki veri akışının güvenliği, hem Kafka broker’ları hem de Zookeeper ile sağlanmalıdır. Yetkisiz erişim durumunda, verilerin manipülasyonu veya kötü amaçlı veri iletimi gibi riskler doğabilmektedir. Bu nedenle, Kafka ile çalışan sistemlerde, güçlü kimlik doğrulama ve TLS ile veri şifreleme stratejileri uygulanmalıdır.

Profesyonel Savunma Önlemleri

Kimlik Doğrulaması ve Yetkilendirme: Tüm portlara erişim için güçlü kimlik doğrulama mekanizmaları uygulanmalıdır. Varsayılan kullanıcı isimleri ve şifreler değiştirilmelidir.
Şifreleme: MQTT, AMQP ve Kafka iletişimleri TLS ile şifrelenmelidir. Bu, verilerin dinlenmesini ve manipüle edilmesini engeller.
Ağ Segmentasyonu: Mesajlaşma servislerinin yalnızca gerekli ağ segmentlerine açılması, riskleri azaltacaktır. Gereksiz portların ve hizmetlerin kapatılması önerilmektedir.
Güvenlik Duvarı ve İzleme: Güvenlik duvarları kullanılarak, yetkisiz erişimlere karşı koruma sağlanmalı ve sürekli izleme yapılmalıdır. Log kayıtları düzenli olarak denetlenmelidir.
Güncellemeler: Yazılımlar düzenli aralıklarla güncellenmeli, bilinen zafiyetlerden korunmalı ve yamalar uygulanmalıdır.

Sonuç

MQTT, AMQP, Kafka ve RabbitMQ gibi protokoller, doğru güvenlik önlemleri alınmadığında büyük riskler oluşturabilir. Her bir protokolün kendine özgü tehdit ve zafiyetleri bulunmaktadır. Sistemlerin güvenliği için güçlü kimlik doğrulama, veri şifreleme ve proaktif güvenlik stratejileri uygulanmalıdır. Bu sayede, kritik verilerin korunması sağlanabilir ve tehdide maruz kalma olasılığı azaltılabilir.