FortiDeceptor, “honeypot” olarak da adlandırılan ve Fortinet tarafından üretilen bir güvenlik ürünüdür. FortiDeceptor, ağ güvenliği ve siber tehdit savunması için kullanılan güvenlik ürünlerinin önemli bir parçası olup, organizasyonların siber saldırılara karşı hazırlıklı olmalarına yardımcı olur.

FortiDeceptor’ün temel görevi, saldırganların ağınıza, sistemlerinize girmesini engellemek, aynı zamanda saldırıları tespit etmek için bir tuzak (honeytrap) veya düşman takipçisi olarak hizmet etmektir. Ağdaki FortiDeceptor cihazları, normal ağ trafiğinden ayırt edilemeyen ve hassas veriler içeren sahte sistemler veya hizmetler sunar. Saldırganlar bu sahte sistemlere saldırdığında, FortiDeceptor bu saldırıları algılar ve bunları kaydeder. Bu, organizasyonların siber tehditlerin tespitini ve analizini daha iyi yapmalarına olanak tanır.

FortiDeceptor’ün bazı özellikleri şunlardır:

Honeypot Yetenekleri: FortiDeceptor, sahte sistemler ve hizmetler oluşturarak saldırganları üzerine çekmek ve izlemek için kullanılabilir.

Yüksek Ölçeklenebilirlik: Büyük ağlar ve karmaşık altyapılar için uygundur ve geniş bir tehdit yüzeyini kapsayabilir

Tehdit İstihbaratı Üretimi: Saldırıların analizi, tehdit istihbaratını geliştirmek ve savunma stratejilerini güçlendirmek için kullanılabilir.

Otomatik Tehdit Algılama: Potansiyel tehditler otomatik olarak tanınır ve incelenir.

Entegrasyon Yetenekleri: FortiDeceptor, Fortinet’in diğer güvenlik ürünleriyle entegre edilebilir, böylece organizasyonlar daha güçlü bir güvenlik ekosistemi oluşturabilirler.

Bu, FortiDeceptor’ün genel özellikleri hakkında bir genel bakıştır. FortiDeceptor ve benzeri ürünler, organizasyonların siber tehditlere karşı daha iyi korunmasına ve tehditleri tespit etmesine yardımcı olur.

FortiDeceptor Kurulum ve Konfigürasyonu

FortiDeceptor kurulumunu VMware ESXI üzerinde aşağıdaki adımları izleyerek yapabilirsiniz;

FortiDeceptor yazılımı için aşağıdaki adresi kullanabiliriz.

https://support.fortinet.com/Download/FirmwareImages.aspx

adresinden FortiDeceptor için “out.ovf.esx.zip” uzantılı dosyayı indirelim ve indirdiğimiz dosyayı .zip formatından çıkaralım.

Öncelikle ESXI üzerinde sanal makine oluşturma işlemine “OVF veya OVA dosyası” seçeneğiyle başlayalım.

Dosya seçme kısmında, FortiSupport adresinden indirdiğimiz klasörün içerisindeki tüm dosyaları seçelim. (Klasördeki seçtiğimiz 4 dosya içerisinden, 3 tanesi dosya yükleme kısmına otomatik eklenecek). Cihazımız için gerekli disk alanı upload ettiğimiz “.ova” dosya taslağı tarafından otomatik belirlenmektedir. Default olarak 4vCPU, 8GB RAM ve 500GB disk kullanılmaktadır.(Daha sonrasında bu değerler değiştirilebilir). Kurulum işlemini yaparken yeterli alanın olduğuna emin olmalıyız.

“Select Storage” ve “License Agreements” aşamalarını tamamladıktan sonra, “Deployment options” FortiDeceptor cihazımızın kurulu olmasını istediğimiz VM Network’ü belirtmemiz gerekiyor. Bu aşamada seçtiğimiz network “Management Ip” olacak ve yazılımın yönetimi bu ip üzerinden yapılacaktır. FortiDeceptor üzerinde oluşturulacak sahte makinelerin Vlan’ları ile ilgisi yoktur.

Oluşturacağımız sahte makineler için farklı Vlan’lar eklemek istiyorsak, “Network Adapter”ler için bu ağları belirtmemiz gerekiyor. Bu ayarları cihazımızı kurduktan sonra yapmalıyız. (Biz sahte makine kuracağımız network tanımlamalarını “Network Adapter 2” kısmına tanımladık bu ileride FortiDeceptor içerisinde “port2” olarak görülecek Interface’dir).

Kurulum aşamalarını tamamladıktan sonra makinemiz oluşturulmaya başlayacaktır. Makinemize ESXI console üzerinden bağlandıktan sonra, kullanıcı adı “admin” şifre boşluk olacak şekilde giriş yapabiliriz. Giriş yaptıktan hemen sonra bizden yeni bir parola belirlememiz istenmektedir.

Giriş yaptıktan sonra, cihazımız DHCP’den IP almıyorsa, aşağıdaki komutları kullanarak IP tanımlama işlemini yapabiliriz. (“show” komutunu kullanarak IP ayarlarını görüntüleyebiliriz).

IP tanımlamak için: set port1-ip X.X.X.X/subnet

Gateway tanımlamak için: set default-gw X.X.X.X

Bu işlemlerin ardından FortiDeceptor’e web üzerinden erişebiliriz. Giriş yaparak, bizi karşılayan ekrandan lisans aktivasyon işlemlerini yapabiliriz.

Lisans işlemlerini tamamladıktan sonra ağ bağlantımızı test edebiliriz.

İlk olarak cihazımızdaki internet bağlantısını test etmek için “diagnose test network” komutunu kullanabiliriz.

Başarılı sonuç aldıktan sonra Sahte Makine oluşturma işlemlerine geçebiliriz.

Öncelikle sahte makinelerimizi hangi vlanlarda oluşturacağımızı belirledikten sonra bu cihazlar için network oluşturmamız gerekli. (Tuzak kuracağımız Vlan ile management vlanının farklı olması önemlidir). Tanımlayacağımız network sunucularımız ile aynı ip bloğunda ya da yeni bir Vlan olabilir.

Deception > Deployment Network kısmından “+ Add New Vlan / Subnet” diyerek işlemlerimizi yapabiliriz.

Eklemek istediğimiz VLAN’ı hangi “Network Adapter”e tanımladıysak, Interface alanına o portu seçmemiz gerekli. Oluşturacağımız tuzak network Access olarak “port2” interface ‘e tanımlanmış ise “Tagged Interface” seçeneğini seçmemize gerek yok. Trunk gelen bir Vlan için ise “Tagged Interface” seçeneğini seçip “VLAN ID” belirtmemiz gerekiyor. Interface işlemlerinin ardından Vlan’ımızın IP bloğunu ve Gateway bilgisini girip, “Tag” kısmını “any” bırakabiliriz.

Bu kısımları kendi network yapınıza göre özelleştirebilirsiniz. FortiDeceptor lisansınızın izin verdiği ölçüde tuzak networkler tanımlayabilir ve bu networklerde makineler kurabilirsiniz.

Oluşturduğumuzun networklerin, Sahte Makinelerde aktif olabilmesi için ESXI üzerinde tanımlandığımız VM Network > Security ayarlarında “Promiscuous mode”, “MAC address changes” ve “Forged transmits” ayarlarını Accept olarak düzenlememiz gerekmektedir.

Network oluşturma işlemi de bittikten sonra Sahte Makinelerimizi oluşturabiliriz.“Deception OS” kısmında mevcut OS’lar üzerinde “Get” seçeneğine tıklayarak OS’umuzu indirip, kurulum işlemlerine devam edebiliriz.

OS’umuzu indirdikten sonra “Deployment Wizard” kısmından “+ Create a new decoy“ diyebiliriz. “Name” kısmına dilediğiniz bir ismi verebilirsiniz. Windows10 için “Available Deception OSes” alanına “win10v1” seçebiliriz. “Selected Services” kısmı kendiliğinden gelecektir.

Bu aşamadan sonra Alt kısımlarda gördüğünüz RDP, SMB gibi bölümler için “+Add lure” diyerek bu servisleri kullanacak kullanıcılar oluşturabiliriz. Aynı kullanıcı adı farklı servislerde kullanılamamaktadır. Çeşitli servisler bulunduğu için bu servisleri kendinize göre özelleştirebilir veya devre dışı bırakabilirsiniz.

Ardından “Next” diyerek “Network” tanımlama işlemlerine geçebiliriz. “+ Add network for deployment” seçeneğinden, önceden oluşturduğumuz “Network”ü seçip, Sahte Makinemizin IP tanımlama işlemlerini yapabiliriz.

“Network”, “Gateway” bilgilerini belirtip, bu sahte makineden kaç adet oluşturmak istiyorsak “IP Count” kısmına bu değeri girmeliyiz. Bu makine veya makineler için belirlediğimiz IP aralığını “IP Ranges” alanına girip, “Done” ve ardından “Deploy” seçenekleriyle kurulum işlemlerimizi tamamlayabiliriz.

Belli bir süre sonra oluşturduğumuz bu makineyi “Decoy Status” alanından görüntüleyebiliriz. Kurulum işlemlerini yaparken belirlediğimiz RDP, SMB gibi servisleri de test edebiliriz. Aynı yöntemleri kullanarak çeşitli OS’lar kurabiliriz.

Örnek olarak sahte bir ESXI kurmak istiyorsanız “ubuntu18v1” OS’unu seçip “Available Deception Decoys” alanından farklı yazılımları seçebiliriz. Kamera ve yazıcı gibi sahte araçları kurmak için de “IoT OS” kurulumu yaparak yazılımlarımızı seçebilir, içerisine sahte görüntüler yerleştirebiliriz. Bu aşamadan sonra kurmak istediğiniz makineleri, kendi yapınıza göre kişiselleştirebilir ve dilediğiniz gibi düzenleyebilirsiniz.

FortiDeceptor’un bize sağladığı default OS’lar dışında kendi OS’umuzu oluşturup konfigüre etmek istiyorsak, aşağıdaki adımları izleyebilirsiniz.

Öncelikle “Custom Decoy Image” alanında “Imported Images” seçeneğinden, “Import New ISO Image” diyerek dosyamızı upload edebiliriz.

Upload işlemi tamamlandıktan sonra yüklediğimiz ISO’yu “Imported Images” bölümünde görebiliriz. Bu ISO’nun kurulumu için “Customized Images” alanından yüklediğimiz dosyayı seçip, istenen bilgileri girerek kurulumu başlatabiliriz.

“Customize” aşaması ISO’muzun kurulumunu ve gerekli konfigürasyonlarını yapacağımız kısım. Burada ISO’muzun kişiselleştirmesini yapabiliriz. (Ekrana tıklayamama sorunu için sağ taraftaki “Cookbook” alanından “Ctrl+Alt+Del” butonuna tıklayabilirsiniz).

Bu aşamada yapacağımız değişiklikler önemlidir çünkü sahte makine kurulum işlemlerinden sonra Windows üzerinde “Administrator” yetkisine sahip olamayacağız. Bu sebeple yapmak istediğimiz tüm ayarlamaları ve yüklemek istediğimiz programlarını bu ekranda tamamlamamız gerekiyor. Oluşturacağımız Windows makineler default olarak “Administrator” yetkisine erişildiği durumda kendini kapatacak şekilde ayarlanmıştır.

Sahte makinemiz için standart kurulumun istediğimiz düzenlemeleri yapabilir, programları, yazılımları kurabilir ve makinemizin OS’unu bu şekilde kaydedebiliriz. Bu özelleştirmeleri yapmak için Windows ve Linux makinemiz açıldıktan sonra default olarak FortiDeceptor tarafından tanımlanmış CD-Rom’un içine girerek “set_network” uygulamasını yönetici olarak çalıştırıp, Network ayarlarını otomatik yaptırabiliriz (Bu network ayarları geçicidir).

Network ayarlarını yaptıktan sonra istediğimiz yazılım, program kurmak gibi özelleştirmeleri yapabiliriz.

Kişiselleştirmeleri de tamamladıktan sonra, yine aynı klasör içerisindeki “FDC_CUS_toolkit” uygulamasını yönetici olarak çalıştırabiliriz. “Customize” işlemleri otomatik olarak tamamlandıktan sonra cihazımız kapanacaktır. Ardından “Cookbook” menüsünden “Save” butonuna tıklayarak Image’ımızı ekleyebiliriz.

Son olarak oluşturduğumuz Image’ın yanındaki “Apply” işaretine tıklayarak “Deception OS” kurulum işlemini tamamlayabiliriz.

Bu aşamadan sonra, dokümanın başında yaptığımız standart kurulum işlemleri takip ederek kendi OS’umuz ile sahte makine kurulumu gerçekleştirebiliriz. Bu oluşturduğumuz makinelere yapılan şüpheli trafikleri sol taraftaki “Incident” bölümünde görüntüleyebiliriz. Oluşan alarmın önem seviyesini, saldırganın IP’sini ve hangi portu kullandığı gibi bilgileri burada görebiliriz. Daha detaylı bilgi için seçtiğimiz bir alarmın içine girerek yapılan istekleri “Timeline” olarak görebilir, PCAP formatında indirip inceleyebiliriz.

Kötü niyetli kullanıcılar tarafından gerçekleştirilen bu bağlantılar tespit edildiği takdirde, FortiGate aracılığı ile “Attacker IP”yi karantinaya almak istiyorsanız aşağıdaki adımları izleyebilirsiniz. “Fabric” menüsünün altında “Quarantine Integration” alanından “+ Quarantine integration with new device” butonuna tıklayabiliriz. Açılan pencerede hangi seviyelerdeki alarm durumları için bu işlemin gerçekleşmesini istediğimizi belirliyoruz. Entegrasyonun yapılacağı FortiGate IP’si ve admin giriş bilgilerini tanımlıyoruz. “Expiry” kısmından ne kadarlık bir süre için karantinada kalacağını belirledikten sonra, “Save” diyerek işlemleri tamamlayabiliriz. Benzer uygulamaları “Integrate Method” alanından kullandığımız yazılımlara göre kişiselleştirebiliriz.

Yapılan şüpheli bağlantıları anlık öğrenmek istiyorsak mail bildirimi tanımlayabiliriz. Sol menüden “Mail Server” kısmına girip “Mail server configuration” işlemlerini yapmamız gerekiyor. Ardından “Create alert delivery rule” seçeneği ile yeni bir alarm bildirim kuralı oluşturabiliriz. Hangi koşullar gerçekleştiği takdirde bu kuralın çalışmasını istiyorsak, ona göre konfigüre edebiliriz. “Recipients” bölüme hangi mail adresine bu bildirimi göndermek istediğimizi yazabiliriz.

FortiDeceptor kurulum ve konfigürasyonları bu yöntemlerle gerçekleştirilebilir. Yapılan ayarlamalar network yapılarına göre kişiselleştirilebilir. Daha detaylı bilgi için Fortinet kurulum ve konfigürasyon dokümantasyonlarını inceleyebilirsiniz.

Referans: https://docs.fortinet.com/product/fortideceptor/5.2