Anti-Cheat Kernel ve User-Mode Farkı Nedir?

Kernel-mode anti-cheat sistemleri, işletim sisteminin doğrudan çekirdek katmanında (Ring 0) bir donanım sürücüsü gibi çalışarak sistem süreçlerini, bellek manipülasyonlarını ve sürücü yükleme girişimlerini en yüksek yetkiyle denetler. Buna karşılık geleneksel user-mode (Ring 3) koruma sistemleri, yalnızca standart bir uygulama seviyesinde çalışır ve kendi yetki alanının dışındaki derin sistem operasyonlarına dair görünürlük sağlayamaz. Rekabetçi çok oyunculu oyunların güvenlik mimarisi incelendiğinde, bu iki katman arasındaki mimari ayrım oyun güvenliğinin tüm sınırlarını belirler.

Modern oyun koruma mekanizmalarında yaşanan en büyük dönüşüm, güvenlik araçlarının kullanıcı arayüzünden ve oyun sürecinden bağımsızlaşarak doğrudan işletim sistemi çekirdeğine entegre edilmesidir. Bu durum, oyun dünyasında hile geliştiricileri ile güvenlik mühendisleri arasında bitmek bilmeyen bir yetki hiyerarşisi mücadelesi doğurmuştur.

Ring Modeli: Ring 0 ile Ring 3 Ne Anlama Gelir?

Modern x86 ve x64 tabanlı işlemciler, donanım ve yazılım güvenliğini sağlamak amacıyla hiyerarşik ayrıcalık halkaları (privilege rings) kullanır. Bu mimaride en içteki halka Ring 0 (çekirdek katmanı), en dıştaki halka ise Ring 3 (kullanıcı katmanı) olarak adlandırılır. Halka numarası küçüldükçe işlemcinin sağladığı yürütme yetkisi artar.

+---------------------------------------------------+
| Ring 3: Kullanıcı Alanı (User-Mode)               |
| - Oyun İstemcisi, Tarayıcılar, Standart Uygulama  |
+---------------------------------------------------+
                         |
                 Sistem Çağrıları (Syscall)
                         v
+---------------------------------------------------+
| Ring 0: Çekirdek Alanı (Kernel-Mode)              |
| - İşletim Sistemi Çekirdeği (ntoskrnl.exe)        |
| - Donanım Sürücüleri (.sys)                       |
| - Kernel Anti-Cheat Sürücüleri                     |
+---------------------------------------------------+
                         |
                         v
                Fiziksel Donanım (CPU / RAM / Disk)

Ring 3 alanında çalışan herhangi bir yazılım—bir web tarayıcısı, ofis uygulaması ya da bir oyun istemcisi—fiziksel donanıma, işlemci kayıtlarına veya diğer süreçlerin bellek adreslerine doğrudan erişemez. Kullanıcı alanındaki bir sürecin diskten veri okuması, ağ soketi açması veya ekrana piksel basması gerektiğinde, işletim sistemi çekirdeğine kontrollü sistem çağrıları (system call ya da syscall) göndermesi gerekir. Windows işletim sistemi, bu çağrıları değerlendirir, güvenlik doğrulamalarını yapar ve işlemi çekirdek seviyesinde tamamlayarak sonucu kullanıcı alanına döndürür.

Ring 0 katmanı ise işletim sisteminin kalbini (ntoskrnl.exe) ve donanım sürücülerini barındırır. Bu katmanda çalışan kod, sistem belleğinin (RAM) tamamına engelsiz okuma/yazma erişimine sahiptir, işlemcinin tüm komut setlerini çalıştırabilir ve donanımla doğrudan iletişim kurabilir. Ring 0 seviyesinde çalışan bir süreç için işletim sistemi genelinde gizli hiçbir alan yoktur; alt halkalardaki süreçleri askıya alabilir, bellek alanlarını değiştirebilir veya tamamen sonlandırabilir.

User-Mode Anti-Cheat Nasıl Çalışır?

User-mode anti-cheat çözümleri, korumakla yükümlü oldukları oyunla aynı ayrıcalık düzeyinde, yani Ring 3 katmanında bir süreç veya dinamik kütüphane (.dll) olarak yürütülür. Valve Anti-Cheat (VAC) sisteminin klasik sürümleri bu yapının bilinen örneklerindendir.

Bu araçlar temel olarak şu operasyonları yürütür:

• Süreç ve Modül Taraması: Windows API işlevlerini (örneğin CreateToolhelp32Snapshot veya EnumProcesses) kullanarak o an arka planda çalışan süreçlerin adlarını, yürütülebilir dosyalarını ve yüklenen kütüphaneleri kontrol eder.
• Bellek İmzası Denetimi: Oyunun kendi bellek bloğunu tarayarak bilinen enjeksiyon kalıplarını, açık kaynaklı hile araçlarının bayt dizilerini ve değiştirilmiş kod bloklarını doğrular.
• API ve Bellek Bütünlüğü Kontrolleri: Oyun belleğinde kritik fonksiyonlara hook (kanca) atılıp atılmadığını, oyun kodunun bütünlük sağlama toplamlarını (checksum) hesaplayarak inceler.

User-Mode Korumasının Temel Sınırlılıkları

User-mode mimarisinin en büyük zayıflığı, kendisini hedef alan harici bir yazılımla aynı veya daha düşük bir yetki seviyesinde bulunmasıdır. Eğer iki yazılım da Ring 3 seviyesinde çalışıyorsa, Windows güvenlik modeline göre birbirleri üzerinde mutlak bir otoriteye sahip olamazlar.

Hile geliştiricileri, Windows API fonksiyonlarını hook’layarak veya süreç yetkilerini manipüle ederek anti-cheat motorunun süreç listesini görmesini engelleyebilir. Daha da önemlisi, kötü amaçlı bir kod kendi kernel sürücüsünü sisteme yükleyip Ring 0 seviyesine geçtiğinde, Ring 3’te çalışan anti-cheat bu sürücüyü kesinlikle algılayamaz. Çekirdek seviyesindeki bir yapı, kullanıcı seviyesindeki sürecin hafıza tarayıcısına tamamen sahte (spoofed) bellek verileri sunabilir. Bu yapısal asimetri, user-mode korumaların rekabetçi oyun pazarında tek başına yetersiz kalmasının başlıca nedenidir.

Kernel-Mode Anti-Cheat Nasıl Çalışır?

Modern rekabetçi oyunlarda yaygınlaşan anti cheat kernel modu, güvenliği Ring 3 sınırlarından çıkarıp işletim sisteminin donanım soyutlama katmanına taşır. Bu sistemler, oyun başlatıldığında ya da işletim sistemi açılışında yüklenen özel bir aygıt sürücüsü (.sys uzantılı) aracılığıyla çalışır.

Kernel seviyesinde koruma sağlayan bir yazılım, işletim sisteminin sunduğu gelişmiş izleme mekanizmalarını doğrudan kullanır:

• Kernel Callback Rutinleri: Sürücü, Windows çekirdeğine belirli olaylar gerçekleştiğinde bildirim almak üzere kayıt olur. Örneğin PsSetCreateProcessNotifyRoutine ile yeni bir süreç başlatıldığında, PsSetCreateThreadNotifyRoutine ile yeni bir iş parçacığı oluşturulduğunda ve ObRegisterCallbacks ile süreç kolları (handles) açıldığında anti-cheat sürücüsü anında uyarılır. Böylece oyuna dışarıdan erişmek isteyen yetkisiz bir sürecin daha belleğe dokunmadan engellenmesi sağlanır.
• Sayfa Tablosu ve Bellek Bütünlüğü: Kernel sürücüsü, sanal bellek sayfalarını yöneten sayfa tablolarını (Page Tables) doğrudan denetleyebilir. Bir sürecin başka bir sürecin belleğini gizlice haritalamasını veya bellek sayfalarının koruma bayraklarını değiştirmesini çekirdek katmanında yakalar.
• Yetkisiz Sürücü Analizi: Sistemde yüklü olan tüm donanım sürücülerinin dijital imzalarını ve bellek adreslerini doğrular.

Güvenlik Modeli, Sürücü İmzaları ve Secure Boot

Windows işletim sistemi, 64-bit sürümlerinde çekirdek kararlılığını korumak için Sürücü İmza Zorunluluğu (Driver Signature Enforcement – DSE) uygular. Bir sürücünün Ring 0’da yüklenebilmesi için Microsoft tarafından onaylanmış geçerli bir dijital sertifikaya sahip olması zorunludur.

Riot Games’in geliştirdiği Vanguard gibi modern çözümler, bu güvenlik halkasını daha da sıkılaştırarak anakart seviyesindeki donanım güvenliğini şart koşar. UEFI tabanlı Secure Boot (Güvenli Önyükleme) ve TPM 2.0 (Güvenilir Platform Modülü) mekanizmaları burada devreye girer. Secure Boot, bilgisayar açıldığı andan işletim sistemi yüklenene kadar yalnızca güvenilir imzaya sahip önyükleyicilerin ve sürücülerin çalışmasına izin verir. Bu durum, hile üreticilerinin işletim sistemi çekirdeğinden önce yüklenen rootkit tabanlı yazılımlar kullanmasını engeller. Bu mimariyi analiz eden geliştiriciler ve güvenlik araştırmacıları, Riot Vanguard ile ilgili çözümler üzerine çalışırken sürücü imzalama ve bellek izolasyonu protokollerini aşmanın gerektirdiği derin teknik karmaşıklığı çok iyi bilirler.

Mimari Karşılaştırma: User-Mode ve Kernel-Mode

İki koruma modeli arasındaki farklar, yalnızca kodun nerede çalıştığıyla sınırlı değildir; güvenlik derinliği ve sistem riskleri açısından belirgin ödünleşimler içerir.

Kriter	User-Mode (Ring 3)	Kernel-Mode (Ring 0)
Ayrıcalık Seviyesi	Kullanıcı alanı; sınırlandırılmış donanım ve bellek erişimi	Çekirdek alanı; tam donanım ve fiziksel bellek erişimi
Görünürlük Kapsamı	Yalnızca izin verilen süreçler, modüller ve API çağrıları	Tüm sistem süreçleri, iş parçacıkları, sürücüler ve sayfa tabloları
Sürücü Gereksinimi	Sürücü gerektirmez; standart yürütülebilir dosya veya DLL	Microsoft onaylı, dijital olarak imzalanmış .sys sürücüsü şarttır
Atlatılma Zorluğu	Düşük; aynı yetkideki veya Ring 0’daki araçlarca kolayca gizlenebilir	Yüksek; bypass girişimleri imzasız sürücü yükleme veya exploit gerektirir
Sistem Kararlılığı Riski	Yok denecek kadar az; bir hata yalnızca oyun istemcisini çökertir	Yüksek; sürücüdeki tek bir mantık veya bellek hatası Mavi Ekran (BSOD) verir
Windows Açılışıyla İlişki	Oyun çalıştırıldığında başlar, oyun kapandığında sonlanır	Bazı sistemler Windows başlangıcında (boot-start driver) yüklenir
Tipik Örnekler	Valve Anti-Cheat (Klasik VAC), Blizzard Warden	Riot Vanguard, Easy Anti-Cheat, BattlEye, Ricochet

Kernel Modu Neden Tartışmalı?

Kernel düzeyinde çalışan güvenlik yazılımları, oyuncu toplulukları ve siber güvenlik araştırmacıları arasında uzun süredir devam eden bir tartışmanın merkezindedir. Bu tartışmanın temeli hem güvenlik risklerine hem de kullanıcı mahremiyetine dayanır.

Güvenlik mühendisleri açısından birincil endişe hücum yüzeyinin (attack surface) genişlemesidir. Ring 0 katmanında çalışan her kod parçası, işletim sisteminin güvenilir bilgi tabanına (TCB) dahil edilir. Eğer bir anti-cheat sürücüsünde bellek taşması, ayrıcalık yükseltme (privilege escalation) veya bir arabellek açığı bulunursa, kötü niyetli aktörler bu açığı kullanarak tüm işletim sistemini ele geçirebilir. Geçmişte bazı üçüncü taraf yazılımların güvenlik açığı barındıran sürücülerinin (vulnerable driver exploit) fidye yazılımları ve rootkit’ler tarafından Windows güvenlik duvarlarını aşmak için kullanıldığı belgelenmiştir.

Kullanıcı cephesinde ise performans, gizlilik ve sistem kararlılığı ön plana çıkar. Oyun kapalıyken dahi arka planda çalışan veya işletim sistemi önyüklenirken yüklenen bir sürücü, kullanıcının bilgisayarı üzerindeki tam kontrol hissini zedeleyebilir. Ayrıca bu sürücüler, sanallaştırma araçları (Hyper-V, VirtualBox), özel donanım izleme yazılımları veya bazı hız aşırtma (overclock) araçlarıyla çakışarak sistem kararsızlıklarına ve Mavi Ekran (Blue Screen of Death) hatalarına yol açabilir.

Gerçek Dünya Tespit Vektörleri

Bir kernel anti-cheat sistemi yalnızca bellekte bayt taraması yapmaz; hile girişimlerini yakalamak için çok katmanlı sezgisel ve yapısal tespit vektörleri işletir.

+-----------------------------------------------------------+
|               KERNEL TESPİT MEKANİZMALARI                 |
+-----------------------------------------------------------+
| 1. Sürücü Doğrulama   -> İmzasız sürücü & DSE Bypass izi  |
| 2. Bellek Analizi     -> CR3 manipülasyonu & Hook denetimi|
| 3. Süreç Ağacı (Tree) -> Yetkisiz OpenProcess çağrıları   |
| 4. Hipervizör & Sanal -> EPT gizleme, VM kayıt defteri    |
+-----------------------------------------------------------+

Bellek Manipülasyonları ve Sayfa Tabloları

Gelişmiş bellek okuma yöntemleri, doğrudan oyunun CR3 kayıtlarını (sanal adresleri fiziksel adreslere çeviren sayfa tablosu dizini) manipüle etmeye çalışır. Kernel anti-cheat, sayfa tablolarındaki değişiklikleri ve VirtualProtect gibi API’lerin çağrılmadan bellek izinlerinin Ring 0 üzerinden değiştirilip değiştirilmediğini sürekli olarak doğrular.

Süreç Ağacı ve Açık Handle Analizi

İşletim sisteminde bir programın başka bir sürecin belleğini okuyabilmesi için OpenProcess çağrısıyla PROCESS_VM_READ veya PROCESS_VM_WRITE yetkisi alması gerekir. Kernel anti-cheat, bu handle açma işlemlerini daha gerçekleştiği milisaniyede yakalar. Oyun sürecine işaret eden şüpheli bir süreç sapı tespit edildiğinde, arkasındaki süreç ağacı ve çağıran modülün güvenilirliği anında çözümlenir.

Sanal Makine ve Hipervizör Tespiti

Hile geliştiricilerinin sıklıkla başvurduğu yöntemlerden biri de anti-cheat yazılımını sanal bir makine (VM) içinde veya bir Tip-1/Tip-2 hipervizör altında çalıştırmaktır. Hipervizörler, Genişletilmiş Sayfa Tabloları (EPT) kullanarak oyun belleğini anti-cheat’ten gizleme potansiyeline sahiptir.

Kernel sürücüleri bu girişimleri engellemek için doğrudan hipervizör parmak izlerini tarar:

• CPUID komutunun döndürdüğü hipervizör varlık bayraklarını analiz eder.
• TSC (Time Stamp Counter) zamanlama farklarını ölçerek sanallaştırma katmanından kaynaklanan işlem gecikmelerini yakalar.
• QEMU, VMware veya VirtualBox gibi sanallaştırma ortamlarının bıraktığı tipik aygıt adlarını, ACPI tablolarını ve sistem kayıt defteri anahtarlarını kontrol eder.

Sistemin bütünlüğü ihlal edildiğinde veya sanallaştırma katmanında anomaliler tespit edildiğinde, anti-cheat motoru ihlali raporlayarak donanım düzeyinde cezalandırma mekanizmalarını tetikler. Donanım bileşenlerinin benzersiz kimliklerinin kalıcı olarak işaretlendiği bu süreçlerin nasıl işlediğini anlamak için Valorant’ta HWID ban rehberimiz üzerinden sistem bileşenlerinin nasıl kara listeye alındığını inceleyebilirsiniz.

Okuyucu İçin Pratik Kontrol Listesi

Sisteminizde hangi güvenlik sürücülerinin çalıştığını, Secure Boot durumunuzu ve olası sürücü çakışmalarını tespit etmek için aşağıdaki resmi Windows araçlarını kullanabilirsiniz:

• [ ] Anti-Cheat Sürücüsünü Doğrulayın: Yönetici haklarıyla komut istemcisini (CMD) açın ve sc query vgc (Vanguard için) veya sc query EasyAntiCheat komutunu girin. Servisin durumunu (RUNNING veya STOPPED) ve başlangıç türünü görüntüleyin.
• [ ] Secure Boot ve TPM Durumunu İnceleyin: Windows + R tuşlarına basıp msinfo32 yazın. Açılan Sistem Bilgisi penceresinde “Güvenli Önyükleme Durumu” (Secure Boot State) değerinin “Açık” (On) olduğunu ve “BIOS Modu”nun “UEFI” olduğunu kontrol edin.
• [ ] Çalışan Çekirdek Sürücülerini Listeleyin: PowerShell üzerinden driverquery komutunu çalıştırarak sistemde o an aktif olan tüm üçüncü taraf .sys sürücülerini ve bağlantı tarihlerini döküm olarak alın.
• [ ] Çakışma Belirtilerini Teşhis Edin: Bilgisayarınız belirli bir oyunu açarken mavi ekran veriyorsa, C:\Windows\Minidump klasöründeki döküm dosyalarını BlueScreenView gibi bir araçla açarak hataya neden olan modülün anti-cheat sürücüsü mü yoksa çakışan bir ekran kartı/donanım sürücüsü mü olduğunu doğrulayın.
• [ ] Sürücü Onarımı Gerçekleştirin: Çakışma durumunda ilgili oyunun istemcisi üzerinden oyun dosyası doğrulaması yapın veya anti-cheat servisini tamamen kaldırıp yeniden kurun.

Özet ve Sonraki Adımlar

Anti-cheat teknolojilerinde user-mode’dan kernel-mode mimarisine geçiş, bir tercih değil, hile mekanizmalarının işletim sisteminin daha derin katmanlarına inmesinin zorunlu bir sonucudur. Ring 3 seviyesindeki bir korumanın, Ring 0 yetkileriyle çalışan bir manipülasyonu görmesi ve engellemesi mimari olarak imkansızdır.

Ancak bu yüksek yetki beraberinde sistem kararlılığı riskleri, potansiyel güvenlik açıkları ve donanım gereksinimleri (TPM 2.0, Secure Boot zorunluluğu) getirir. Rekabetçi oyun güvenliğinin geleceği, doğrudan işlemci tabanlı donanım yalıtımı ve işletim sistemi çekirdeğinin güvenlik politikalarıyla daha da sıkı bir şekilde bütünleşmeye devam edecektir.

Sıkça Sorulan Sorular

Kernel modu anti-cheat güvenli midir?

Kernel seviyesinde çalışan ve dijital olarak imzalanmış kurumsal anti-cheat sürücüleri doğrudan bir kötü amaçlı yazılım değildir. Ancak Ring 0 katmanında çalıştıkları için bu sürücülerde oluşabilecek herhangi bir yazılımsal güvenlik açığı, saldırganların tüm işletim sisteminde en üst düzey yetki elde etmesine teorik olarak zemin hazırlayabilir.

User-mode anti-cheat neden yetersiz kalır?

User-mode (Ring 3) araçlar, oyunla ve arkada çalışan diğer standart uygulamalarla aynı yetki seviyesini paylaşır. Bir hile yazılımı kendi kernel sürücüsünü sisteme yükleyip Ring 0 seviyesinde çalışmaya başladığında, Ring 3’teki anti-cheat bu sürücüyü tarayamaz ve işletim sistemi seviyesinde manipüle edilen bellek verilerini algılayamaz.

Anti-cheat sürücüsü Windows açılışında neden otomatik çalışır?

Riot Vanguard gibi bazı kernel-mode sistemler, bilgisayar açıldığı andan itibaren (boot-time) yüklenir. Bunun temel amacı, herhangi bir imzasız veya manipüle edilmiş hile sürücüsünün anti-cheat’ten daha önce belleğe yüklenmesini (early-load bypass) engellemek ve işletim sistemi çekirdeğinin temiz başlatıldığından emin olmaktır.

Kernel sürücüsü ile Secure Boot arasındaki ilişki nedir?

Secure Boot, bilgisayarın önyükleme sürecinde yalnızca güvenilir ve dijital olarak imzalanmış yazılımların çalışmasına izin veren bir UEFI güvenlik protokolüdür. Kernel anti-cheat sistemleri, işletim sistemi çekirdeği yüklenmeden önce araya giren bootkit ve hypervisor tabanlı bypass yöntemlerini engellemek için Secure Boot doğrulamasına ihtiyaç duyar.