Saldırganlar Alarm Vermeden Önce Ağda Haftalarca Sessizce Hareket Edebiliyor

Bir güvenlik operasyon merkezi (SOC) için her şey bir uyarıyla başlar. Ancak o uyarı, saldırının nasıl başladığını ya da nasıl ilerlediğini her zaman açıklamaz. Bilinen bir kötü amaçlı yazılım karmasıyla eşleşen imza, başarısız oturum açma denemelerinde anormal bir artış veya uç nokta ajanının tespit ettiği şüpheli bir etkinlik; bunların her biri ayrı birer olay olarak SIEM panosuna düşer. Oysa saldırı genellikle çok daha önce başlamış, üst üste binen zaman damgalarıyla birbirine bağlı bir dizi sessiz adımdan oluşan uzun bir zincirin yalnızca görünür halkasıdır.
Yapay zeka destekli modern saldırılar, saldırganlara keşif otomasyonu, hedefli yük oluşturma ve betik çalıştırma konularında ciddi bir hız avantajı sağlıyor. Buna karşın hız, gizlilik ihtiyacını ortadan kaldırmıyor. Aksine, saldırganlar tespiti atlatmak için operasyonlarını kasıtlı olarak uzatıyor, standart yönetim araçlarının içine gizleniyor ve alarmlar arasındaki sessiz aralıklarda hareket ediyor. Yüksek öncelikli bir güvenlik uyarısı yüzeye çıkmadan önce bir saldırgan kurumsal ağda günler, hatta haftalar geçirebiliyor.

Sessiz İlerlemenin Anatomisi: Saldırganlar Nasıl Görünmez Kalıyor?​

İlk erişim ile yüksek öncelikli bir uyarı arasındaki süreçte saldırgan etkinliği, olağan iş operasyonlarının içine karışabilir. Saldırganlar, güvenlik ekiplerinin operasyonel sınırlarını iyi biliyor ve bunları istismar ediyor. Her DNS sorgusu, LDAP isteği, SMB bağlantısı veya kimlik doğrulama girişimi ayrı bir soruşturma başlatsaydı SOC kuyrukları hızla yönetilemez hale gelirdi. Saldırı teknikleri tam da bu gerçeği sömürecek biçimde tasarlanıyor.
Tipik bir saldırı senaryosunda ele geçirilmiş bir hesap, kullanıcıları, grupları ve sistemleri haritalamak amacıyla bir etki alanı denetleyicisine saatler boyunca ölçülü bir hızda LDAP sorguları gönderiyor. Birkaç Kerberos servis bileti isteği, SOC'un görüş alanının çok dışında, çevrimdışı olarak kırılabilecek kimlik bilgileri sağlıyor. Geçerli kimlik bilgileri elde edilince yöneticilerin her gün kullandığı SMB veya RDP hizmetleri devreye giriyor ve saldırgan bir sistemden diğerine geçiyor. Dosyalar önce dahili bir sistemde toplanıp sıkıştırılıyor; ardından o sistem, normal trafiği taklit edecek şekilde zamanlama varyasyonlarıyla HTTPS veya DNS üzerinden dışarıya düzenli aralıklarla bağlanıyor.
Her adım, işletmenin zaten bağımlı olduğu bir şeyi ödünç alıyor. Tek başına değerlendirildiğinde şüpheli görünmeyen bu eylemler, ancak ilişkileri ve sıraları üzerinden anlam kazanıyor. Yeni bir sistemle yalnızca bir kez iletişim kuran bir ana bilgisayar sıradan görünebilir. Oysa birkaç dahili hizmeti sorgulayan, bir eşe kimlik doğrulayan, SMB oturumu açan ve ardından dış bir hedefe bağlanan bir ana bilgisayar, çok farklı bir soruşturma tablosu ortaya koyuyor.

NDR Telemetrisinin Rolü: Uyarılar Arasındaki Kanıt​

SOC ekipleri, saldırgan etkinliğini fark edebilmek için tespit eşiklerini düşürmek ve analistleri daha fazla uyarıyla boğmak zorunda değil; zaten bu yaklaşım uygulanabilir de değil. Bir SOC, her DNS sorgusunu, kimlik doğrulama isteğini veya bağlantıyı ayrı bir olay gibi inceleyemez. Üstelik pek çok ekip, bir uyarının tetiklendiğini gösteren ancak arkasındaki etkinliğin nasıl geliştiğine dair yeterli ayrıntı sunmayan araçlarla çalışıyor.
Kör noktaları önlemek için SOC ekipleri, bir uyarı, kesinti veya başka bir sinyal araştırmak için neden sağladığında analistlerin geriye dönüp inceleyebileceği temel ağ telemetrisini saklayabilir. Ancak bu, yalnızca iki sistemin ne zaman trafik alışverişi yaptığını bilmekten fazlasını gerektiriyor. Bir NDR platformundan gelen protokol farkında ağ verisi; etkileşimin türünü, kimlerin ya da nelerin dahil olduğunu, ne zaman gerçekleştiğini ve bu ilişkinin zaman içinde nasıl değiştiğini gösterebiliyor.
Örneğin bir iş istasyonu saat 14:14'te bir uç nokta uyarısı tetiklediğinde, uyarı analistin o andaki uç nokta etkinliğini görmesini sağlayabilir. NDR'dan gelen ağ kanıtı ise zaman çizelgesini genişletir ve birkaç kritik soruyu yanıtlar: İş istasyonu o gün daha erken saatlerde alışılmadık bir etki alanı mı sorguladı? Başka bir sisteme kimlik doğruladı mı veya dahili eşlerine SMB bağlantısı kurdu mu? O sistemler başka ana bilgisayarlarla iletişim kurdu mu? İş istasyonu daha sonra dış bir hedefle şifreli bir oturum başlattı mı? Her olay tek başına makul açıklamalara sahip olabilir; ama bir arada değerlendirildiğinde bu sıralama farklı bir bağlam düzeyi sunuyor.

Yapay Zeka Destekli SOC'larda NDR'ın Önemi​

Yapay zeka, SOC'daki soruşturmanın ekonomisini değiştiriyor. İnsan bir analist hangi sistemlerin, kullanıcıların, oturumların ve zaman dilimlerinin dikkat gerektirdiğine karar vermek zorundayken, yapay zeka destekli bir SOC aynı kapsamdaki kanıtlarda saatler yerine dakikalar içinde arama yapabiliyor. Korelasyon ve analiz eş zamansız biçimde gerçekleşebiliyor; bu sayede analistler çok daha geniş bir veri kümesini çok daha erken sorgulayabiliyor.
Bir saldırgan sabırlı davranarak eylemlerini uzun zaman dilimleri içine yayarsa kanıtlar yüzlerce sıradan görünen işleme dağılmış olabilir. İnsan analistlerin her kanıt parçasını tek tek manuel olarak incelemesi makul değil; bu nedenle daha pratik yaklaşım, bağlamı belirlemek ve ilişkileri aramak için NDR platformunda otomatik bir iş akışı oluşturmak, ardından analistin karar verebilmesi için kanıtı sunmaktır. Sonuç olarak daha fazla etkinlik, daha fazla sistem üzerinde ve daha uzun bir süre boyunca incelenmiş olur.
Bu yaklaşımın faydaları somut: Manuel iş önemli ölçüde azalıyor, binlerce veri noktasını tarayan gelişmiş algoritmalar sayesinde daha fazla bağlam ortaya çıkabiliyor ve analistler uyarıların parçalarını bir araya getirmek yerine stratejik risk kararlarına odaklanabiliyor. Aynı süreç operasyonel sorunlar için de işe yarıyor: Bir uygulama çöktüğünde ağ telemetrisi hangi hizmetlerin iletişim kurduğunu, iletişimin nerede başarısız olmaya başladığını, hangi bağımlılıkların etkilendiğini ve olay sırasında neyin değiştiğini gösterebiliyor. Sorunun nedeni kötü amaçlı çıkarsa soruşturmanın elinde zaten etkinliğin kaydı hazır bulunuyor.

Uyarıların Ötesinde: Bütünsel Bir Savunma Yaklaşımı​

Uyarılar, analistlere bir soruşturma başlangıç noktası sunuyor. Ancak bundan önce ne olduğunu, sonrasında ne yaşandığını, eş zamanlı olarak neler gerçekleştiğini ya da ortamdaki başka etkinliklerin ilgili olup olmadığını her zaman açıklamıyor. Yalnız değerlendirildiğinde rutin görünen sorunlar, veriler ilişkilendirilip bağlam eklendikten sonra çok farklı bir tablo ortaya koyabilir.
Ağ telemetrisi, kritik bağlamı oluşturmak için gerekli çevre kanıtını sağlıyor. NDR platformundan gelen protokol farkında veriler; bir iletişimin her iki ucunu, kullanılan protokol ve hizmetleri, bu etkileşimlerin zaman damgalarını ve etkileşimlerin zaman içinde nasıl değiştiğini koruyor. Yapay zeka ajanları bu kanıtı kullanarak etkinliği zaman içinde ilişkilendirebiliyor, sistemler arasındaki iletişimleri bağlayabiliyor ve aksi takdirde ayrı ve zararsız görünen olayları bir araya getirebiliyor. Bu kanıt olmadan bireysel uyarılar ve sıralamalar zararsız görünmeye devam edebilir. Saldırganlar bu fırsatı çoktan fark etti; savunucuların da aynı ilkeleri uygulayarak onlara yetişmesi gerekiyor.

Sıkça Sorulan Sorular​

Saldırganlar bir kurumsal ağda fark edilmeden ne kadar süre kalabilir?​

Kaynağa göre saldırganlar, yüksek öncelikli bir güvenlik uyarısı yüzeye çıkmadan önce kurumsal bir ortamda günler hatta haftalar geçirebiliyor. Bu süre zarfında etkinliklerini standart yönetim araçlarının ve normal iş trafiğinin içine gizliyorlar.

NDR (Ağ Algılama ve Müdahale) platformu SOC ekiplerine nasıl yardımcı oluyor?​

NDR platformu, protokol farkında ağ verisi sunarak bir etkileşimin türünü, katılımcıları, zamanlamasını ve bu ilişkinin zaman içindeki değişimini gösterebiliyor. Bu sayede analistler bir uyarının tetiklendiği anın ötesine geçerek önceki ve sonraki ağ etkinliğini de inceleyebiliyor ve izole olayları bir zaman çizelgesine bağlayabiliyor.

Saldırganlar tespitten kaçınmak için hangi yöntemleri kullanıyor?​

Kaynağa göre saldırganlar keşif faaliyetlerini saatlere veya dağıtık kaynaklara yayıyor; ele geçirilmiş hesaplarla etki alanı denetleyicilerine ölçülü hızda LDAP sorguları gönderiyor; Kerberos servis biletleri aracılığıyla kimlik bilgisi elde ediyor; yöneticilerin her gün kullandığı SMB ve RDP hizmetlerini kullanıyor; veri sızdırma için normal trafiği taklit edecek şekilde zamanlama varyasyonlarına sahip HTTPS veya DNS bağlantıları kuruyor.

Yapay zeka, SOC soruşturmalarında insan analistlerin yerini alıyor mu?​

Kaynağa göre yapay zeka, insan analistlerin yerini almıyor; bunun yerine soruşturmanın ekonomisini değiştiriyor. Yapay zeka destekli bir SOC, geniş kapsamlı kanıtlarda saatler yerine dakikalar içinde arama yapabiliyor ve korelasyon ile analizi eş zamansız olarak gerçekleştirebiliyor. Analistler ise uyarı parçalarını bir araya getirmek yerine stratejik risk kararlarına odaklanabiliyor.

Ağ telemetrisi yalnızca siber saldırılar için mi kullanılıyor?​

Hayır. Kaynağa göre ağ telemetrisi operasyonel sorunlar için de kullanılabiliyor. Bir uygulama çöktüğünde telemetri, hangi hizmetlerin iletişim kurduğunu, iletişimin nerede başarısız olmaya başladığını, hangi bağımlılıkların etkilendiğini ve olay sırasında neyin değiştiğini gösterebiliyor. Sorunun nedeni kötü amaçlı çıkarsa soruşturmanın elinde zaten etkinliğin kaydı hazır bulunuyor.