Hastanelerin en hassas, en steril alanları yoğun bakım ve yeni doğan üniteleridir. Ana girişte parmak izi okuyucular, manyetik kilitler, güvenlik kameraları ve nöbetçi güvenlik personeli bekler. İçeriye galoşsuz, önlüksüz, kartsız kimse giremez. Güvenlik görünüşte kusursuzdur.

Fakat o yoğun bakımın yangın tahliye koridoruna giderseniz, genellikle acı bir sahneyle karşılaşırsınız: Yangın merdiveninin ağır çelik kapısının altına personelin biri tarafından bir takoz veya kırık bir süpürge sapı sıkıştırılmıştır. Neden? Çünkü nöbetçi hemşire veya temizlik görevlisi bahçeye hava almaya veya sigara içmeye çıkarken her seferinde kart basmakla, üç kat dolaşmakla uğraşmak istememiştir. Bir kişinin beş saniyelik "konforu" uğruna, o hastanenin en hassas yaşam destek ünitesi sokaktan geçen herkesin elini kolunu sallayarak girebileceği açık bir meydana dönüşmüştür.

Siber güvenlik ve kurumsal BT dünyasında da tam olarak bu süpürge sapı vakasını temsil eden, görünce her güvenlik uzmanının saçını başını yolduran ölümcül bir gaflet vardır: IPMI, iDRAC ve iLO Portlarını Doğrudan Genel İnternete (Public IP) Açmak.

Ön Kapıda Çelik Kalkan, Arka Kapıda Tahta Mandal

Modern bir kurumun bilgi güvenliği mimarisine baktığınızda gözleriniz kamaşır:

Ön cephede milyonlarca liralık Next-Generation Firewall (Palo Alto, Fortinet),
Web trafiği için Cloudflare WAF, DDoS koruma filtreleri,
Sunucu işletim sisteminde sıfır toleranslı SELinux, SSH için çift faktörlü doğrulama (2FA), IP kısıtlamaları.

Mühendisler ön kapıyı adeta Fort Knox zırhıyla kaplamıştır. Fakat aynı sistem yöneticisi, gece evinde pijamalarıyla Netflix izlerken sunucu kilitlenirse "Ofise VPN ile bağlanmak, oradan Jump Host'a sıçramak kim uğraşacak şimdi?" der. Sunucunun Dell iDRAC veya HP iLO yönetim portuna doğrudan genel bir IPv4 bloğundan adres verir (185.x.x.x veya 212.x.x.x), firewall üzerinden 443 (HTTPS) ve 623 (IPMI UDP) portlarını tüm dünyaya (0.0.0.0/0) açar!

Ve böylece, ön kapısına tank savar füzeleri yerleştirdiği kalenin arka mutfak kapısının anahtarını sokak ortasındaki paspasın altına koymuş olur.

Shodan'da Açık Büfe: Cipher 0 ve Tarih Öncesi Firmware'ler

Bir sistem yöneticisinin anlamakta en çok zorlandığı gerçek şudur: İnternete bağlanan bir IP adresi asla "gizli" kalamaz.

Siz o portu açtıktan en fazla on dakika sonra Shodan, Censys veya Çin ve Rus kaynaklı otomatik botnet tarayıcıları o IP'yi keşfeder. Karşılarında Dell'in veya HP'nin login sayfasını gördükleri an, saldırganlar için bayram başlar.

Çünkü sunucuların bu yerleşik yönetim kartları (BMC - Baseboard Management Controller) güvenlik açısından tam bir saatli bombadır:

Yıllarca Güncellenmeyen Firmware: Sunucunun işletim sistemine (Ubuntu, RedHat, Windows) her hafta güvenlik yamaları geçilir. Ama anakartın üzerindeki o küçük BMC çipinin firmware'i genellikle sunucu fabrikadan çıktığı günkü haliyle kalır! Sekiz yıldır güncellenmemiş bir iDRAC 7 veya iLO 4 arayüzü, kamuya açık onlarca uzaktan kod çalıştırma (RCE) zafiyetiyle doludur.
Cipher 0 Felaketi: IPMI 2.0 protokolünün tasarımında var olan meşhur "Cipher 0" açığı, kimlik doğrulamayı tamamen devre dışı bırakarak saldırganın hiçbir şifre girmeden yönetim haklarını almasına olanak tanır.
Varsayılan ve Zayıf Şifreler: Hala internet üzerinde binlerce sunucuda kullanıcı adı ve şifre root / calvin (Dell) veya Administrator / [kasa etiketindeki ilk şifre] olarak durmaktadır.
Kaba Kuvvet (Brute-Force) Korumasızlığı: Çoğu eski BMC arayüzünde modern web uygulamalarındaki gibi gelişmiş rate-limiting veya account lockout mekanizmaları düzgün çalışmaz; saldırgan milyonlarca şifre denemesini arka arkaya rahatlıkla gönderebilir.

Bir iDRAC Ele Geçirilirse Ne Olur? (Spoiler: Her Şey Biter)

Pek çok yönetici iDRAC'ı sadece "sunucunun sıcaklığına bakan, fan hızını ayarlayan basit bir gösterge paneli" zanneder. Oysa bir sunucunun yönetim kartını ele geçiren bir saldırgan, işletim sistemindeki root veya Administrator kullanıcısından katbekat daha yetkilidir.

Saldırgan o arayüze girdiği anda:

Sanal Konsolu (HTML5 / Java KVM) Açar: Ekranda işletim sisteminin konsolunu canlı olarak görür. Fiziksel olarak sunucunun başına oturmuş, monitör ve klavye bağlamış gibidir.
Sanal Medya (Virtual Media) Bağlar: İşletim sisteminin disk şifrelemesi (BitLocker, LUKS) mi var? Hiç problem değil! Kendi sunucusundaki kötü amaçlı bir Live ISO dosyasını iDRAC'a sanal CD-ROM olarak bağlar.
Fiziksel Gücü Yönetir: Sunucuyu uzaktan kapatır, BIOS ayarlarına girer, önyükleme sırasını (boot order) değiştirir ve sunucuyu kendi bağladığı ISO üzerinden başlatır.
Tüm Diski Ham Olarak Siler veya Şifreler: İşletim sistemindeki hiçbir antivirüs, EDR veya SIEM ajanı bu durumdan haberdar bile olamaz; çünkü işletim sistemi zaten hiç açılmamıştır! Saldırgan donanım düzeyinde diski ham (raw) olarak şifreler veya fidye yazılımını doğrudan hipervizöre enjekte eder.
Kalıcı Donanım Arka Kapısı (Hardware Rootkit): Daha da kötüsü; saldırgan BMC çipine modifiye edilmiş zararlı bir firmware yükler (brick veya persistent backoor). Siz sunucuya elli defa format atsanız, diskleri sıfırdan taksanız bile o arka kapı anakartın silikonunda yaşamaya devam eder!

Yönetim Ağını Korumanın Değişmez Kuralları

Eğer sistem odanızdaki sunuculardan tek bir tanesinin bile iDRAC/iLO portu internete bakıyorsa, şu an bu yazıyı okumayı bırakıp derhal o kabloyu çekmeniz veya o kuralı silmeniz gerekir.

Yönetim katmanında güvenlik şu katı kurallarla sağlanır:

Sıfır Public IP (Zero Exposure): Hiçbir BMC, iDRAC, iLO veya IPMI arayüzüne genel (Public) IP verilmez. Bu arayüzler sadece ve sadece 10.x.x.x veya 172.16.x.x gibi özel (RFC 1918) yerel ağ bloklarında yaşayabilir.
İzole Yönetim VLAN'ı ve Donanımsal Ayrım: OOB portları prodüksiyon switch'lerine değil, sadece yönetim için ayrılmış izole switch'lere bağlanmalıdır.
Mecburi İki Kademeli Erişim (VPN + Jump Host): Yönetim ağına evden veya dışarıdan erişmek isteyen mühendis; önce kurumsal VPN ağ geçidinden MFA (çok faktörlü doğrulama) ile geçmeli, ardından sadece yönetim ağına erişim izni olan kısıtlı bir atlama sunucusuna (Jump Host / Bastion Host) bağlanmalıdır.
IPMI Protokolünü Sınırlandırmak: Kullanılmıyorsa IPMI over LAN protokolü kapatılmalı, yalnızca modern ve güvenli HTTPS / Redfish API standartları aktif tutulmalıdır.

Tıpta steril alana giden yangın merdiveninin altına takoz koyan personeli anında görevden uzaklaştırırlar; çünkü hastaların hayatı o personelin sigara molasından daha değerlidir.

Veri merkezinde de "üç tık az yapayım" diye iDRAC'ı internete açan sistem yöneticisi, şirketinin tüm dijital varlıklarını Shodan'daki açık artırma masasına meze yapan bir felaket habercisidir. Güvenlikte konfor arayışı, daima felaketin sponsorudur.

IPMI

"IPMI / iDRAC" Arayüzünün Güvenlik Zaafı: Dışarıya Açık Yönetim Portlarının Dehşeti