Her halkada bir savunma

Açılış

Yan binadaki firmanın fidye yazılımı olayından iki hafta sonra Erdem Bey, o firmanın müdürüyle bir çay içti. Döndüğünde Kaan'a bir şey anlattı ve anlattığı şey Kaan'ın aklından çıkmadı.

Firma saldırıyı kendisi fark etmemişti. Bir pazartesi sabahı bilgisayarlar açıldığında ekranlarda bir not belirmişti: dosyalarınız şifrelendi, verileriniz bizde. Saldırganın kendisi haber vermişti. Sonradan yapılan incelemede, saldırganların ağda iki haftadan fazla dolaştığı anlaşılmıştı. İki hafta boyunca birileri dosyaları topluyor, dışarı çıkarıyor, yedekleri arıyordu ve ofiste kimse bir şey görmemişti.

"Biz olsak fark eder miydik?" diye sordu Erdem Bey.

Kaan cevap vermeden önce gümrük ofisinin saldırı zinciri tablosunu açtı. İlk erişim satırında iki önlem vardı. Yanal hareket satırında artık bölümlenmiş bir ağ vardı. Dışarı çıkış satırında gece aktarım uyarısı vardı. Ama tabloya ikinci bir sütun eklediğinde tablo değişti: her satırda bir engel olabilirdi, ama kaç satırda biri bir şeyin olduğunu fark edebilirdi?

"Bilmiyorum," dedi Kaan dürüstçe. "Ama öğrenebiliriz."

Tek fikir

Her halkada iki soru sorulur: saldırganı burada durdurabilir miyiz, ve durduramazsak burada fark edebilir miyiz? Kırılma noktası başa yaklaştıkça saldırganın elinde kalan da azalır; erken kırılamazsa, fark edilene kadar geçen süre zararın büyüklüğünü belirler.

Nasıl çalışır

Bu modülde saldırının halkalarını tek tek gördük. Bu ders onları bir arada, savunmacının iki sorusuyla okuyor.

İkinci sorunun ne kadar önemli olduğunu, her yıl yüzlerce gerçek olay müdahalesinin verisini toplayan bir rapor gösterir.

Rapordan iki ders çıkar. Birincisi, saldırganlar içeride günlerce kalır; bu süre, onları durdurmak için bir fırsattır. İkincisi, kendi gözüyle fark eden kurumlar, onları daha erken fark eder. İç tespit yeteneği, bekleme süresini kısaltmanın yoludur.

Her halkada hangi tür savunmanın konabileceğini düşünmek için, ATT&CK'ın savunma tarafındaki bir eşi vardır.

D3FEND'in yedi taktiği, savunmacıya her halka için bir soru listesi verir. Sıkılaştırma ve yalıtma zinciri kırar; tespit kırılamayan zinciri görünür kılar; temizleme ve onarma, zincir son halkasına ulaşmışsa zararı sınırlar.

Halkaların hepsine aynı yatırım yapılmaz. Erken halkalara yapılan yatırım, saldırının sonraki bütün aşamalarını boşa çıkarır; bu yüzden engel koymak için en verimli yerler ilk erişim ve kimlik bilgileridir. Ama Hutchins ve arkadaşlarının 15.1'de gördüğümüz asimetrisi burada iki yönlü çalışır: saldırganın her halkayı geçmesi gerekirken savunmacının tek bir halkada onu yakalaması yeter. Bu yüzden geç halkalardaki tespit de değerlidir; özellikle yanal hareket ve dışarı çıkış, saldırganın en gürültülü olduğu yerlerdir.

Sahada

Savunma

Her halkada bir savunma ilkesinin özü, savunmayı tek bir noktada değil, zincirin bütün uzunluğunda kurmaktır.

Önce her halka için iki sütun aç: önleme ve tespit. Önleme sütunu dolu, tespit sütunu boş olan bir halka, önleme bir gün delindiğinde sessizce geçilecek halkadır. Kaan'ın kalıcılık satırı böyleydi.

Sonra erken halkaları önlemeyle güçlendir. Kimlik bilgileri, ilk erişim ve uç cihazlar, zinciri en ucuza kıran yerlerdir.

Orta halkaları tespitle görünür kıl. İçeride kalmak ve odalar arasında dolaşmak, işletim sisteminin kendi araçlarıyla yapıldığında olağan işten zor ayırt edilir; burada önlemeden çok olağandışını fark etmek işe yarar.

Son halkalara son hattı koy. Dışarı çıkış izlemesi ve sınanmış kurtarma, zincir sona ulaştığında zararı sınırlar.

Ve bekleme süresini ölç. Geçmiş olayların ne zaman başladığını ve ne zaman fark edildiğini hesaplamak, tespit yeteneğinin gerçek ölçüsüdür. Bora'nın dokuz günlük bekleme süresi, kayıtların toplanıp bakılmamasının bedeliydi.

Tespit tarafında bu dersin bütünü tespitle ilgilidir: iç tespit oranını artırmak, saldırıyı saldırganın notundan değil kendi uyarılarından öğrenmek demektir. M-Trends'in gösterdiği gibi, kendi gözüyle fark eden kurum daha erken fark eder.

Uygulama

Kendi dijital hayatın için iki sütunlu bir zincir tablosu çıkaracak ve "fark eder miyim?" sütunundaki boşlukları dolduracaksın.

Bitirdiğinde, iki sütunda kaç boş hücre kaldığını yaz ve fark etme sütunundaki boşlukların önleme sütunundakilerden fazla olup olmadığına bak.

Defter: Yedi halkalı iki sütunlu tablo, açılan bildirimler, bulunan etkinlik geçmişi ekranları, eklenen kontrol alışkanlıkları ve takvimdeki tarihleri, her iki sütunda kalan boş hücre sayısı.

Hata köşesi

Etik ve sınırlar

Her halkada tespit kurmak, kurum içinde olan biteni daha çok görmek demektir; bu görüş, çalışanların ve müşterilerin kişisel verilerine dokunur ve yalnız güvenlik amacıyla, ölçülü ve açıkça duyurulmuş biçimde kullanılır. Bir yanıltma tekniği, örneğin saldırganı çekmek için kurulan bir tuzak sistem, yalnız kurumun kendi ağında ve yetki kapsamında kurulur; başkalarının sistemlerini kandırmak ya da tuzağa düşürmek için kullanılmaz. Saldırganı ağdan çıkarma işi kurumun kendi ortamıyla sınırlıdır; saldırganın sistemlerine karşı karşılık vermek, kendini korumak sayılmaz; o sistemlere girmek, hukuken kendisi de izinsiz bir erişim olabilir. Bir olayı fark eden bir çalışanın ya da bir tedarikçinin haberi, Bora'nın üçüncü olayındaki gibi, değerli bir tespit kaynağıdır; haber veren kişi teşekkür görmeli, haberin geç geldiği için suçlanmamalıdır, yoksa bir sonraki sefer haber gelmez.

Kapanış

1. Her halkada iki soru sorulur: burada durdurabilir miyiz, ve durduramazsak burada fark edebilir miyiz?
2. Saldırganlar içeride günlerce kalır; M-Trends'e göre ortanca bekleme süresi on bir gündür ve iç tespitle bulunan sızmalar daha erken fark edilir. Bekleme süresini kısaltmak, zararı küçültmektir.
3. Erken halkalar önlemeyle, orta halkalar tespitle, son halkalar sızdırma izleme ve sınanmış kurtarmayla korunur; D3FEND'in yedi taktiği bu dağılımın bir haritasıdır.

Üç soru

1. Kaan'ın tablosuna eklediği ikinci sütun neyi ortaya çıkardı?
2. Bora'nın üçüncü olayı hangi tür tespitle fark edildi ve bekleme süresi neden uzundu?
3. Selin'in bütçe önerisi ortadaki halkalar için neden önleme yerine tespiti seçti?

Yanıtlar

1. Önleme sütunu çoğu satırda doluydu, ama "fark eder miyiz" sütunu kalıcılık satırında tamamen boştu ve komuta ve kontrol satırında yalnız gece aktarım uyarısı vardı. Biri bir bilgisayara yeni bir yönetici hesabı eklese kimse bilmeyecekti. Kaan yönetici grubu eklemelerine uyarı ve daha önce görülmemiş alan adlarına bağlantılar için günlük özet ekledi.
2. Bir tedarikçinin telefonuyla, yani dış tespitle fark edildi. Sunucunun kayıtları vardı ve ilk olağandışı istek dokuz gün önce kaydedilmişti, ama kayıtlar izlenmiyordu. M-Trends'in gösterdiği gibi dışarıdan öğrenilen olayların bekleme süresi daha uzundur; Bora kayıtları izleme sistemine bağlayarak bir sonraki olayı ilk günde yakalamayı hedefledi.
3. Ortadaki halkalarda, yani kalıcılık ve yanal harekette, saldırgan ele geçirdiği gerçek hesapları ve sistemin kendi araçlarını kullanır; bu hareketleri önlemek, işi de engellemeden zordur. En verimli savunma onları görmekti. Erken halkalar ise önlemeyle ucuza kırılabildiği için orada önleme seçildi.

Sonraki derse köprü

Kendi zincir tablolarımızı halka halka doldurduk. ATT&CK ile savunma boşluğu haritası atölyesi aynı işi bir kurum için çerçevenin kendisiyle yapıyor: önlemleri matrisin üzerine yerleştirmek ve boş kalan yerleri görmek.