İçeriğe atla
Bilgi Merkezi/Makale
Makale

Brute Force (Kaba Kuvvet) Saldırısı Nedir, Nasıl Önlenir?

Brute force türlerini, çevrim içi deneme ile parola kırma farkını, NIST'in deneme sınırını, hesap kilitlemenin bedelini ve tespit loglarını anlattık.

Oğuzhan Gerçek··8 dk okuma
Brute Force (Kaba Kuvvet) Saldırısı Nedir, Nasıl Önlenir?

Kısa cevap: Brute force (kaba kuvvet) saldırısı, parolayı bilmeyen saldırganın doğrusunu bulana kadar çok sayıda parola denemesidir. MITRE ATT&CK tekniği dört alt teknikte topluyor: parola tahmini, çalınan parola hash'lerinin kırılması, birkaç yaygın parolanın çok sayıda hesapta denenmesi (password spraying) ve başka sitelerden sızan kullanıcı adı-parola çiftlerinin denenmesi (credential stuffing). Korunmanın temelinde deneme sınırlama (rate limiting), sızmış parola kontrolü, MFA, parolaların yavaş hash algoritmalarıyla saklanması ve başarısız giriş loglarının izlenmesi var.

Brute force saldırısı nedir?

MITRE ATT&CK'in T1110 tanımına göre saldırganlar, parolayı bilmediklerinde ya da parola hash'lerini ele geçirdiklerinde hesaplara girmek için brute force tekniklerine başvurabilir. NIST'in sözlüğü kriptografideki anlamını veriyor: olası bütün kombinasyonları deneyerek eşleşmeyi bulmaya çalışan saldırı.

Saldırıyı mümkün kılan zayıflık MITRE'nin CWE-307 maddesinde tarif ediliyor: kısa sürede yapılan çok sayıda başarısız kimlik doğrulama denemesine karşı önlemin yetersiz kalması. OWASP Top 10:2025'te yedinci sıradaki A07:2025 Authentication Failures kategorisi de hızla engellenmeyen brute force saldırılarına izin vermeyi zayıflık sayıyor.

Brute force saldırısının türleri

MITRE dört alt teknik sayıyor:

  • Password guessing (T1110.001): Geçerli bir kimlik bilgisini bilmeyen saldırgan, çoğu zaman yaygın parolalardan oluşan bir listeyle tahmin yürütür.
  • Password cracking (T1110.002): Ele geçirilen parola hash'lerinden kullanılabilir parolayı çıkarmaktır; bu iş genellikle hedef ağın dışında, saldırganın kendi sistemlerinde yapılır.
  • Password spraying (T1110.003): Bir ya da birkaç yaygın parola çok sayıda hesapta denenir; amaç hesap kilitlemeye takılmamaktır. Saldırgan uyarı eşiklerinin altında kalmak için denemeleri bilerek yavaşlatabilir.
  • Credential stuffing (T1110.004): Başka hizmetlerin sızıntılarından gelen kullanıcı adı-parola çiftleri sırayla sınanır; saldırı, aynı parolanın kişisel ve iş hesaplarında kullanılmasından beslenir.

Parolayı tahmin etmek yerine kullanıcıdan isteyen saldırıyı phishing yazımızda ele aldık.

Çevrim içi deneme ile çevrim dışı parola kırma arasındaki fark

NIST'in tanımıyla çevrim içi tahmin saldırısında saldırgan, parola ya da kod gibi doğrulama değerini tahmin ederek tekrar tekrar oturum açmayı dener. Her deneme canlı giriş servisinden geçer; deneme sınırı, MFA ve loglar burada devreye girer.

Çevrim dışı saldırıda ise saldırgan, örneğin bir sisteme girip güvenlik dosyalarını çalarak veriyi ele geçirir ve kendi seçtiği sistemde inceler. OWASP'ın örneklerinde veri tabanına SQL injection açığıyla ya da çalınan bir yedekle ulaşılıyor. Giriş servisinin sınırı burada işlemez; savunma, her tahmini pahalı kılmaktır. NIST'in SP 800-63B-4 rehberi, parolaların çevrim dışı saldırılara dayanıklı biçimde, en az 32 bitlik bir salt değeriyle ve uygun bir parola hash şemasıyla saklanmasını istiyor. OWASP, SHA-256 gibi hızlı algoritmaları uygun bulmuyor; ilk tercihi Argon2id, o yoksa scrypt, eski sistemlerde bcrypt, FIPS-140 uyumu gerekiyorsa PBKDF2.

Saldırganlar neyi hedefler?

MITRE'ye göre password spraying genellikle yaygın portlardaki yönetim servislerine yönelir: SSH (22/TCP), RDP (3389/TCP), SMB (445/TCP), LDAP, Kerberos, HTTP yönetim arayüzleri ve veri tabanları. SSO ve bulut uygulamaları ile Office 365 gibi dışa açık e-posta uygulamaları da hedefler arasında (port yazımız).

CISA'nın #StopRansomware rehberi, saldırganların ağa çoğu zaman dışa açık ve zayıf korunan uzak servislerden girdiğini yazıyor. OWASP API Security Top 10 2023 de aynı hesaba CAPTCHA ya da kilitleme olmadan brute force yapılmasına izin veren API'yi açık sayıyor (API yazımız). CISA, FBI ve NSA'nın Ekim 2024 tarihli ortak uyarısına göre İranlı aktörler Ekim 2023'ten itibaren brute force ve password spraying ile sağlık, kamu, BT, mühendislik ve enerji sektörlerindeki kurumlara erişti.

NIST SP 800-63B-4: parola kuralları

NIST'in Temmuz 2025'te yayımlanan SP 800-63B-4 rehberi parolalar için şu kuralları koyuyor:

  • Uzunluk: Tek faktör olarak kullanılan parola en az 15, yalnızca MFA'nın parçası olan parola en az 8 karakter olmalı; en az 64 karakterlik parolaya izin verilmeli.
  • Karışım ve süre kuralı yok: Karakter türlerini karıştırma zorunluluğu konmaz, parola dönemsel olarak değiştirtilmez; ele geçirildiğine dair kanıt varsa değiştirtilir.
  • Sızmış parola kontrolü: Yeni ya da değiştirilen parola bir engelleme listesiyle (blocklist) karşılaştırılır; listede önceki sızıntılardan gelen parolalar, sözlük kelimeleri ve hizmetin ya da kullanıcının adı gibi bağlama özgü kelimeler olabilir.

Deneme sınırı: hesap kilitleme mi, yavaşlatma mı?

SP 800-63B-4'e göre bir hesapta aynı doğrulayıcıyla (authenticator) art arda başarısız deneme 100'ü aşamaz; sınıra ulaşan doğrulayıcı devre dışı kalır, kurumlar daha düşük sınır koyabilir. Kilitlemenin bedeli de var: OWASP'a göre kilitleme, başka kullanıcıların hesaplarını kapatan bir hizmet engelleme aracına dönüşmemeli. İngiltere'nin siber güvenlik merkezi NCSC bu yüzden denemeler arasındaki bekleme süresini giderek uzatan yavaşlatmayı (throttling) tercih ediyor; kilitleme seçilirse 5 ile 10 deneme hakkı öneriyor.

NIST'in meşru kullanıcıyı dışarıda bırakmamak için saydığı yollar şunlar: bot tespit sınaması, sınıra yaklaştıkça uzayan bekleme (örneğin 30 saniyeden bir saate) ve IP adresine, konuma ya da istek zamanlamasına bakan risk tabanlı doğrulama. Hesap başına kilitleme password spraying'i tek başına durdurmaz, çünkü bu saldırı kilitlemeye takılmamak için hesaplara yayılır. Microsoft Entra ID'deki smart lockout tanıdık ve tanıdık olmayan konumu ayırt ediyor, aynı yanlış parolanın tekrarını sayaca eklemiyor.

MFA, passkey ve uzaktan erişim

Brute force doğru parolayı bulsa bile ikinci faktör saldırganı kapıda bırakabilir. CISA'ya göre MFA'nın eklediği katman password spraying gibi bazı yaygın teknikleri durdurur; ama push bildirimi, MFA yorgunluğu (push bombing) saldırısına açık. Aynı belgeye göre yaygın olarak kullanılabilen oltalamaya dayanıklı tek yöntem FIDO/WebAuthn; farkları MFA yazımızda anlattık. FIDO Alliance'a göre passkey'ler parolanın yerini kriptografik anahtar çiftleriyle alır; ortada çalınacak parola kalmaz.

Uzaktan erişimde ilk kural servisi internete açmamak. CISA, RDP gibi servislerin web'e açılmamasını, kullanılmayan RDP portlarının kapatılmasını, hesap kilitlemeyi, MFA'yı ve RDP giriş denemelerinin loglanmasını istiyor; bütün VPN bağlantılarında da MFA bekliyor. VPN ve ZTNA'yı VPN yazımızda, zero trust yaklaşımını ağ güvenliği yazımızda, kimlik altyapısını IAM yazımızda bulabilirsiniz. Bu katmanları ağ güvenliği ve kimlik yönetimi hizmetlerimizde ele alıyoruz.

Brute force saldırısı nasıl tespit edilir?

Windows'ta başarısız her oturum açma girişimi 4625 olayını üretir; oturum türü 10 Uzak Masaüstü, 3 ağ üzerinden girişi gösterir. MITRE'ye göre saldırganlar 4625 üretmesi daha az olası LDAP ve Kerberos denemelerine yönelebilir. Bu yüzden Active Directory etki alanı denetleyicilerinde (domain controller) 0x18 kodlu 4771 olayları da izlenmeli; Microsoft'a göre bu kod parolaya yönelik brute force'a işaret edebilir.

MITRE'nin tespit önerileri şu örüntülere bakıyor: art arda başarısızlığın ardından gelen başarılı giriş, kısa sürede çok sayıda hesapta aynı parolayla yapılan denemeler ve tek IP'den gelen farklı kullanıcı adı-parola çiftleri. Microsoft Entra ID Protection, birbirine uzak iki girişin arasındaki süreyi yolculuk süresiyle karşılaştırıyor (atypical travel); ama MITRE'ye göre konum kuralına takılan saldırgan altyapısını kurbanın konumuna taşıyabilir.

Microsoft'un Ocak 2024 açıklamasına göre devlet destekli Midnight Blizzard, password spraying ile eski bir test tenant hesabını ele geçirdi. Müdahale notuna göre hesapta MFA yoktu; saldırgan az sayıda denemeyi, meşru kullanıcıların da kullandığı çok sayıda IP adresinden (residential proxy) yaptı. Korelasyon kurallarını SIEM ve SOC yazımızda anlattık; tespit ve müdahaleyi güvenlik operasyonları hizmetimizde ele alıyoruz.

Sık sorulan sorular

Brute force ne demek? Kaba kuvvet demek: doğru parolayı ya da anahtarı bulana kadar olası değerleri tek tek deneyen saldırı yöntemi.

Brute force algoritması nedir? Bilgisayar biliminde bir problemi olası çözümleri tek tek deneyerek çözen, NIST'in algoritma sözlüğüne göre verimsiz bir yaklaşımdır. Saldırı anlamı, aynı fikrin parolaya uygulanmasıdır.

Credential stuffing ile password spraying arasındaki fark nedir? Credential stuffing başka bir hizmetten sızmış kullanıcı adı-parola çiftlerini dener. Password spraying ise birkaç yaygın parolayı çok sayıda hesapta dener.

Şifre kırma (password cracking) nedir? Ele geçirilen parola hash'lerinden açık parolayı bulma işidir. Saldırgan bunu kendi sisteminde yaptığı için deneme sınırına takılmaz; savunma, parolaları Argon2id gibi yavaş algoritmalarla saklamaktır.

Brute force saldırısı nasıl önlenir? Deneme sınırlama, sızmış parola kontrolü ve MFA ya da passkey birlikte kullanılır; uzaktan erişim internete kapatılır, parolalar yavaş hash algoritmalarıyla saklanır.

Kaynaklar