Veritabanı sistemlerine yönelik bağlantı sonrası saldırılar

Son yıllarda veri kullanımının ve miktarının artmasıyla birlikte veritabanı yönetim sistemleri de önem kazanmıştır. Teknoloji, sağlık, finans, eğlence, vb gibi birçok sektörde sıklıkla kullanılması ve kritik öneme sahip veri barındırması ile birlikte veritabanı sistemlerine yapılan saldırılar da günden güne artış göstermektedir. Yapılan literatür taramasının ardından akademideki çalışmaların ağırlıklı olarak saldırı tespit sistemleri ve savunma yöntemleri üzerine yapıldığı, saldırı üzerine yapılan çalışmaların ise bir sistem özelinde değil genel geçer yöntemleri içerdiği tespit edilmiştir. Bundan dolayı bu çalışmada sisteme özgü saldırı yöntemleri incelenerek akademiye katkı vermek amaçlanmıştır. Bu çalışmada, dünya genelinde sıklıkla kullanılan veritabanı yönetim sistemlerinden olan MySQL, PostgreSQL ve Microsoft SQL Server ürünleri, veritabanına başarılı bir şekilde erişim sağlayan ve ardından sistemi tamamen ele geçirmek isteyen bir saldırganın gözünden incelenmiştir. Bu doğrultuda ilgili sistemlerin kimlik doğrulama mekanizmaları ve denetimleri, veri içe-dışa aktarım mekanizmaları, veritabanı programı içerisinde sunmuş oldukları işlevler, bu işlevlerin denetimleri ve nasıl kötüye kullanılabileceği, potansiyel saldırı yüzeyleri incelenmiştir. Ardından tespit edilen zayıflıklara yönelik saldırılar incelenmiş ve uygulamalı bir şekilde gerçekleştirilmiştir. Sonraki adım olarak, Türkiye'de bu veritabanı yönetim sistemlerini kullanan sistemlerin IP adresleri siber tehdit istihbarat platformları tarafından elde edilmiş, bu sistemlere yönelik güvenlik taramaları gerçekleştirilmiştir. Tarama denetimlerinin daha hızlı bir şekilde gerçekleştirilebilmesi için, tarafımızca bu tez çalışmasına yönelik olarak Zephyr adlı bir araç geliştirilmiş ve kullanılmıştır. Bu aracın çalışma mekanizmaları tanıtıldıktan sonra, elde edilen IP adreslerine yönelik gerçekleştirilen taramaların sonuçları değerlendirilmiştir. Son olarak, yapılan araştırmalar ve tarama sonuçları ışığında ilgili veritabanı yönetim sistemi değerlendirilmiş, çok iyi yaptıkları veya eksik oldukları yönler tartışılmıştır.