Saldırgan Davranışını Analiz Etme

Aldatmanın gerçek getirisi istihbarattır. Savunmacılar, saldırganların yemlerle nasıl etkileşime girdiğini izleyerek taktikleri, teknikleri ve prosedürleri öğrenir ve bu bilgiyi daha güçlü savunmalara dönüştürür.

Yem günlükleri zengin ayrıntılar ortaya çıkarır:

• Kaynak IP adresleri ve altyapı.
• Denenen kimlik bilgileri ve komutlar.
• Kullanılan araçlar ve istismarlar.
• Eylemlerin zamanlaması ve sırası.

MITRE ATT&CK çerçevesi saldırgan taktiklerini ve tekniklerini kataloglar. Gözlemlenen bal küpü etkinliğini ATT&CK ile eşleştirmek, ham günlükleri saldırganın yapılandırılmış profiline dönüştürür ve hangi savunmaların güçlendirilmesi gerektiğini ortaya koyar.

Davranış hedeflere işaret eder:

• Geniş kapsamlı tarama, fırsatçı ve otomatik saldırılara işaret eder.
• Belirli varlıkların hedefli biçimde numaralandırılması, planlı bir saldırgana işaret eder.
• Veri arama, verileri dışarı çıkarma amacına işaret eder.

İpuçları otomatik yazılımları insanlardan ayırmaya yardımcı olur:

• Otomatik yazılımlar: anında, tekdüze ve öngörülebilir komut dizileri.
• İnsanlar: duraksamalar, yazım hataları, keşfedici ve uyarlanabilir davranış.

Hangisiyle karşı karşıya olduğunuzu bilmek yanıtı şekillendirir.

Yüksek etkileşimli bal küpleri çoğu zaman saldırganın bıraktığı kötücül yazılımları yakalar. Bu örnekleri bir korumalı ortamda analiz etmek, başka yerlerde engellenebilecek yükleri, komuta ve kontrol sunucularını ve kalıcılık yöntemlerini ortaya çıkarır.

Gözlemlenen etkinlikten uzlaşma göstergelerini çıkarın:

• Kötücül IP adresleri ve alan adları.
• Dosya özetleri.
• Araç imzaları ve komut kalıpları.

Uzlaşma göstergelerini güvenlik duvarlarına, EDR ve SIEM sistemlerine aktararak aynı aktörü gerçek sistemlerde engelleyin.

Öğrendikleriniz başkalarına yardımcı olabilir. Anonimleştirilmiş uzlaşma göstergelerini ve taktikleri, teknikleri ve prosedürleri güvenilir topluluklar (bilgi paylaşım ve analiz merkezleri, tehdit istihbaratı platformları) aracılığıyla paylaşmak, ortak düşmanlara karşı kolektif savunmayı güçlendirir.

Süreci tamamlayın. Bal küpü bulgularını şu amaçlarla kullanın:

• Üretim ortamında istismar edilen zayıflıkları düzeltin.
• Gözlemlenen teknikler çevresindeki saptama kurallarını sıkılaştırın.
• Saldırgana ait uzlaşma göstergelerini engelleme listelerine ekleyin.

Dikkatli yorumlayın:

• Kaynak IP adresleri çoğu zaman gerçek kaynak değil, vekil sunucular veya sanal özel ağlardır.
• Saldırganlar yanıltıcı ipuçları yerleştirebilir.
• Tek bir bal küpü dar bir bakış sunar; diğer verilerle ilişkilendirin.

İstihbarat ancak eyleme geçirildiğinde değerlidir. Bir rutin oluşturun: yem verilerini toplayın, analiz edip eşleştirin, uzlaşma göstergelerini çıkarın ve savunmaları güncelleyin; böylece bir tuzağa yönelik her saldırı gerçek ortamın ihlal edilmesini zorlaştırır.

Saldırgan davranışını analiz etmek, tuzakları istihbarata dönüştürür:

• Bal küpleri IP adreslerini, kimlik bilgilerini, komutları, araçları ve kötücül yazılımları yakalar.
• Etkinliği MITRE ATT&CK ile eşleştirin ve amacı çıkarın.
• Uzlaşma göstergelerini çıkarın ve tehdit istihbaratını paylaşın.
• Öğrendiklerinizden gerçek savunmaları güçlendirerek süreci tamamlayın.