ATT&CK ile savunma boşluğu haritası

Açılış

Otuz günlük planın son dalgası bittiğinde Erdem Bey, gümrük ofisinin yıllık toplantısında ortaklarına bir sunum yapmak istedi. "Güvenlik için bu yıl çok şey yaptık," dedi Gülay Hanım'a. "Ama ortaklar bana tek bir şey soracak: şimdi neredeyiz? Bir sayı verebilir misiniz?"

Gülay Hanım sayı vermek yerine bir harita önerdi. Ofisin önlemlerini ATT&CK matrisinin üzerine yerleştireceklerdi; her hücre bir renk alacaktı. Yeşil, hem engel hem uyarı olan teknikler için. Sarı, yalnız birinin olduğu yerler için. Kırmızı, hiçbir şeyin olmadığı yerler için. Gri, ofisle ilgisi olmayan teknikler için.

Kaan işe heyecanla başladı ve ilk akşam taslağı bitirdi. Ertesi sabah Gülay Hanım'a götürdüğünde haritanın neredeyse tamamı yeşildi.

Gülay Hanım uzun süre baktı. Sonra tek bir hücreyi gösterdi: geçerli hesapların kullanılması. "Bunu neden yeşil yaptın?"

"Bulut muhasebe hizmetinde artık ikinci doğrulama adımı var," dedi Kaan.

"Peki ağ depolama cihazının yerel hesapları? Yazıcının yönetim sayfası? Yedek cihazının hesabı?" Kaan sustu. Hücre, tek bir sistemin durumuna bakılarak boyanmıştı.

"Harita yanılmaz," dedi Gülay Hanım. "Onu boyayan yanılır. Baştan, kanıta bakarak yapalım."

Tek fikir

Bir boşluk haritası, kurumun önlemlerini ve tespit yeteneklerini matrisin teknikleri üzerine yerleştirip her tekniği renklendirmektir. Değeri, yeşil hücrelerde değil kırmızı hücrelerdedir; ama bir hücre ancak kanıta dayanarak boyandığında güvenilir bir bilgi verir.

Nasıl çalışır

Önceki derste kendi zincir tablolarımızı yedi halkayla kurduk. Bu atölye aynı işi çerçevenin kendi sütunlarıyla ve teknik düzeyinde yapıyor.

ABD'nin siber güvenlik ajansı, eşlemenin nasıl doğru yapılacağına ve en sık nerede yanlış yapıldığına dair ayrı bir rehber yayımlamıştır.

Bir haritanın iki türlü kullanımı vardır: bir olayı ya da raporu eşlemek ve bir kurumun savunmasını eşlemek. Bu atölye ikincisidir.

Bu haritayı çizmenin en yaygın aracı, ATT&CK ekibinin kendi geliştirdiği açık bir uygulamadır.

Navigator'ın bu tarifi önemli bir şey söyler: harita yapmak için özel bir yazılım şart değildir. Matrisin sütunlarını ve kurumla ilgili teknikleri bir tabloya dökmek, küçük bir ofis için yeterlidir. Araç değil, hücreleri boyamadan önce sorulan sorular haritanın değerini belirler.

Sahada

Savunma

Kapsama haritası bir önlem değildir; önlemlerin nerede eksik olduğunu gösteren bir aynadır. Savunmaya katkısı, dağınık bir güven duygusunu somut bir eksik listesine çevirmesidir.

Önce kurumla ilgili teknikleri seç. ATT&CK'taki bütün teknikler her kurum için anlamlı değildir. Küçük bir ofis için bulut, uzaktan erişim, e-posta, kimlik bilgileri ve fidye yazılımıyla ilgili teknikler, endüstriyel kontrol sistemlerine ait tekniklerden çok daha önemlidir. Gri hücreler, haritayı okunur tutar.

Sonra her hücreyi kanıtla boya. Bir önlemin satın alınmış olması değil, ilgili bütün sistemlerde çalıştığının gösterilmesi yeşili hak ettirir. CISA'nın aceleyle sonuca varma uyarısı, harita boyarken de geçerlidir.

Sonra bir davranışın birden çok tekniğe dokunabileceğini hatırla. Oltalamanın arkasından geçerli hesaplar gelir; uzaktan erişimin arkasından yanal hareket gelir. Bir hücreyi boyarken komşu hücrelere de bak.

Sonra kırmızıları sırala. Bütün kırmızılar aynı değildir. Modül 13'te gördüğümüz önceliklendirme burada da işler: kurumun gerçekten karşılaşabileceği ve zararı büyük olan teknikler önce gelir.

Ve haritayı tarihle. Kapsama haritası bir anın resmidir. Yeni bir sistem, yeni bir hizmet ya da yeni bir tedarikçi, bazı hücrelerin rengini değiştirir. Yılda en az bir kez ve her büyük değişiklikte yeniden çizilir.

Tespit tarafında harita, izleme kurallarının nereye yazılacağını gösterir: önleme sütunu dolu ama tespit sütunu boş olan sarı hücreler, yeni uyarıların ilk adaylarıdır.

Uygulama

Bu atölyede kendi dijital hayatının ya da yetkili olduğun küçük bir işyerinin kapsama haritasını, sekiz teknik üzerinden çıkaracaksın.

Haritanın iskeleti şöyle olabilir:

Tablonun ilk satırı yalnız örnektir; kendi kanıtına göre doldur.

Defter: Seçilen kapsam, sekiz tekniklik kapsama haritası ve her hücrenin kanıtı, renk sayıları, kanıt yetmediği için indirilen hücreler, sıralanmış kırmızı ve sarı hücreler, ilk üç önlem ve tarihleri, haritanın yeniden çizileceği tarih.

Hata köşesi

Etik ve sınırlar

Bir kurumun kapsama haritası, saldırganın hangi yollardan geçerse fark edilmeyeceğini gösteren bir belgedir; bu yüzden yalnız sahibinin izniyle ve görevlendirmesiyle çıkarılır ve onu korumakla görevli birkaç kişinin dışında paylaşılmaz. Navigator'ın kendi belgesi de hassas içerikli katman dosyaları için barındırılan sürüm yerine kurumun kendi kopyasının kurulmasını önerir; haritayı herkese açık bir hizmete yüklemek, kırmızı hücreleri dünyaya göstermek demektir. Bir haritayı yöneticilere sunarken dürüst olmak da bir yükümlülüktür: kanıtsız yeşiller, kararı verecek kişileri yanıltır ve gerçek bir olayda kurumu hazırlıksız bırakır. Bir tekniğin sayfasındaki prosedür örneklerini, haritadaki bir hücreyi "sınamak" için kurumun kendi sistemlerinde bile denemek, sahibinin yazılı izni, sınırları çizilmiş bir çalışma planı ve bu işle görevli bir ekip olmadan yapılmaz.

Kapanış

1. ATT&CK ile savunma boşluğu haritası, bir kurumun önlem ve tespit yeteneklerini teknikler üzerinde renklendirir; değeri kırmızı hücrelerde, yani savunma boşluklarındadır.
2. Hücreler kanıtla boyanır: CISA'nın uyardığı gibi aceleyle sonuca varmak ve bir davranışın birden fazla tekniğe dokunduğunu gözden kaçırmak, en sık yapılan eşleme hatalarıdır.
3. Harita bir puan değil bir eksik listesidir; kurumla ilgili teknikler seçilir, kırmızılar önceliğe göre sıralanır, harita hassas bir belge olarak korunur ve her büyük değişiklikte yeniden çizilir.

Üç soru

1. Kaan'ın ilk haritası neden neredeyse tamamen yeşildi ve bu hangi eşleme hatasıydı?
2. Gümrük ofisindeki oltalama denemesi neden iki tekniğe işlendi?
3. Kaan Erdem Bey'e neden bir yüzde yerine beş satır sundu?

Yanıtlar

1. Kaan hücreleri tek bir sistemin durumuna bakarak boyamıştı; geçerli hesaplar hücresi, yalnız bulut muhasebede ikinci adım olduğu için yeşildi, oysa ağ depolama cihazı, yazıcı ve yedek cihazı hesaba katılmamıştı. Bu, CISA'nın aceleyle sonuca varma diye adlandırdığı hatadır. Kanıt istendiğinde otuz bir yeşilden on dördü kaldı.
2. Deneme oltalama tekniğine karşılık geliyordu, ama başarılı olsaydı ele geçirilen parolayla geçerli hesapların kullanılması gelecekti. CISA'nın rehberi bir davranışın birden fazla tekniğe karşılık gelebileceğini ve bunu gözden kaçırmayı ayrı bir hata olarak sayar. İkinci tekniğin işlenmesi, geçerli hesaplardaki eksiği öncelik listesinin başına taşıdı.
3. Yeşil hücrelerin oranı hangi kırmızıların önemli olduğunu söylemez ve kapsam dışı tekniklerle kolayca değişir. Beş kırmızı hücre ve her birinin önlemi, sorumlusu ve tarihi, ortakların karar verebileceği somut bir yol haritasıydı.

Sonraki derse köprü

Bu modülde saldırının aşamalarını ve onlara karşı savunmanın haritasını çıkardık. Virüs, solucan, truva atı dersi, bu aşamaların birçoğunda kullanılan araca yakından bakıyor: kötü amaçlı yazılımın üç temel türünü, nasıl yayıldıklarına göre ayırıyor.