Davranışsal IOC'ler: Kayıt Defteri, Ağ ve Dosya Kalıntıları

Uzlaşma Göstergeleri (IOC'ler), bir sistemin ele geçirildiğini gösteren adli bilişim kalıntılarıdır. Bunlar tehdit istihbaratı paylaşımında görülen dosya karmalarını, IP adreslerini, alan adlarını, kayıt defteri anahtarlarını, karşılıklı dışlama nesnelerini ve davranış kalıplarını içerir.

Dosya IOC'leri kötü amaçlı yazılımların MD5/SHA-256 karmalarını, bırakılan dosyaların yollarını ve adlarını ve dosya içeriği imzalarını (YARA kuralları) içerir. Karma tabanlı IOC'ler kırılgandır — yeniden derleme karmaları değiştirir — bu nedenle davranışsal ve bulanık karmalara da odaklanın.

Başlıca kalıcılık konumları: HKCU\Run, HKLM\Run, kayıt defterindeki zamanlanmış görev XML'i, hizmet girdileri ve Winlogon yardımcı DLL değerleri. Bulduğunuz her kayıt defteri IOC'si için tam anahtar yolunu, değer adını ve veriyi belgeleyin.

C2 alan adlarını, IP adreslerini, bağlantı noktalarını ve URI kalıplarını kaydedin. HTTPS C2 için Kullanıcı Aracısı dizelerini, HTTP başlıklarını ve sertifika parmak izlerini ekleyin. DGA alan adları, sabit IOC'ler yerine kalıp tabanlı tespit gerektirir.

Kötü amaçlı yazılım, çift enfeksiyonu önlemek için adlandırılmış karşılıklı dışlama nesneleri oluşturur. Nesnenin adı benzersiz bir IOC'dir. Örneğin kullandığı belirli nesne adını bulmak için çalışan karşılıklı dışlama nesnelerini Process Hacker veya Sysinternals Process Monitor ile kontrol edin.

Süreç enjeksiyonunu tespit etmek için beklenmeyen bir üst süreçten gelen OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread çağrı zincirlerini sırayla izleyin. Bu sıra, klasik enjeksiyon için güvenilir bir davranışsal IOC'dir.

ADMIN$ veya IPC$ paylaşımlarına SMB bağlantıları, PSExec hizmeti oluşturma, WmiPrvSE.exe aracılığıyla WMI süreç oluşturma ve PsExec benzeri araç çalıştırma kalıpları, yatay hareket için davranışsal IOC'lerdir.

STIX gösterge nesneleri, IOC'leri kalıp söz dizimi, valid_from ve confidence alanlarıyla makinelerce okunabilen bir biçimde kapsüller. IOC'leri kuruluş genelinde işler hâle getirmek için TAXII veya tehdit istihbaratı platformları aracılığıyla paylaşın.

Mandiant'ın OpenIOC biçimi, birden çok IOC'yi mantıksal (AND/OR) ağaçlarda birleştirmek için XML kullanır. Bir IOC şu koşulları gerektirebilir: belirli karmaya sahip dosya AND mevcut kayıt defteri anahtarı AND belirli IP'ye ağ bağlantısı — böylece yanlış pozitifler azaltılır.

IOC'lerin geçerliliği sona erer. Alan adları etkisizleştirme sunucularına yönlendirilir, IP'ler yeniden atanır, karmalar değişir. IOC'lerin güncelliğini aylık olarak gözden geçirin. Güncelliğini yitirmiş IOC'leri kaldırın, eşleşme sayılarını güncelleyin ve birden çok olayda görülen IOC'leri yüksek öncelikli engelleme listelerine yükseltin.

IOC'ler avcılık hipotezlerine dönüşür. Geçmiş veriler genelinde IOC eşleşmelerini bulmak için günlükleri SIEM SPL/KQL sorgularıyla arayın. Aylar önceki tek bir eşleşme bile saldırganların fark edilmeden ne kadar süre kaldığını, yani sistemde kalma süresini ortaya çıkarabilir.

Yeniden derleme gibi basit kötü amaçlı yazılım değişikliklerine karşı hangi IOC türü daha dayanıklıdır?

IOC'ler dosyaları, kayıt defteri girdilerini, ağ kalıntılarını, karşılıklı dışlama nesnelerini ve davranış kalıplarını kapsar. Uygun IOC belgelemesi, STIX aracılığıyla paylaşım ve yaşam döngüsü yönetimi, ham olay bulgularını yeniden kullanılabilir savunma istihbaratına dönüştürür.