Tespit Açıklarını Kapatma ve Ölçümler

Mor ekip çalışması zengin veriler üretir, ancak ölçümler olmadan bunlar yalnızca anekdotlardan ibarettir. Ölçümler, çalışmaları yöneticiler ve bütçe sahipleri için savunulabilir bir gelişim öyküsüne dönüştürür.

• Savunmaların gerçekten iyileşip iyileşmediğini gösterirler
• Sınırlı mühendislik çabasının nereye harcanacağını önceliklendirirler
• Soyut "güvenlik duruşunu" somut ve izlenebilir hâle getirirler

Amaç, kendi başına yüksek bir puan almak değil, ilgili tehditlere karşı ölçülebilir ve sürdürülebilir bir iyileşme sağlamaktır.

Temel ölçüm tespit kapsamıdır: test edilen teknikler arasında uyarı üretenlerin oranıdır.

Bunu her taktik için ve genel toplamda hesaplayın:

Kapsam yüzdeleri yanıltıcı olabilir. Yalnızca test etmeyi seçtiğiniz teknikleri saymak sayıyı olduğundan yüksek gösterir; dayanıksız bir kuralı "kapsanıyor" olarak saymak da gerçek savunmayı abartır.

• Kapsam, rastgele seçilmiş bir teknik kümesine değil, tehditle ilgili bir teknik kümesine göre ölçülmelidir
• "Tespit edildi" sonucu sağlam ve davranış temelli bir kuraldan kaynaklanmalıdır
• Yalnızca günlüğe kaydedilen sonuçlar kapsam değildir; bunlar olası kapsamdır

Yüzdeyi her zaman paydasıyla birlikte verin: "FIN7 tekniklerinin %80'i" ifadesi, tek başına söylenen "%80" ifadesinden çok daha fazla bilgi verir.

Hız, görünürlük kadar önemlidir. İki zaman ölçümü savunmanın yanıt verme hızını gösterir:

• MTTD — Ortalama Tespit Süresi: eylemin zaman damgasından uyarının zaman damgasına kadar geçen süre
• MTTR — Ortalama Yanıt Süresi: uyarıdan kontrol altına alma eylemine kadar geçen süre

Mor ekip çalışması her tekniğin çalıştırıldığı kesin anı kaydettiğinden, bu süreleri karmaşık olay verilerinden tahmin etmek yerine hassas biçimde ölçebilirsiniz.

Her açık aynı aciliyette ele alınmayı gerektirmez. Tekniğin ne kadar olası olduğunu ve ne kadar zarar verebileceğini birleştirerek açıkları riske göre sıralayın.

• Yüksek olasılık + yüksek etki (ör. LSASS dökümü) = önce düzeltin
• Düşük olasılık + düşük etki = iş listesine ekleyin
• Tekniğin tehdit istihbaratınızda yer alıp almadığını dikkate alın

Olasılık ile etkinin çarpımına dayalı basit bir puanlama, çabayı gerçek dünyadaki riski en fazla azaltacağı yere yönlendiren sıralı bir düzeltme listesi sağlar.

Bir kural yazmadan önce açığın neden var olduğunu teşhis edin. Düzeltme, temel nedene göre değişir:

• Telemetri yok — eksik veri kaynağını etkinleştirin (ör. Sysmon yapılandırması, betik bloklarının günlüğe kaydedilmesi)
• Telemetri var ama kural yok — bir tespit yazın
• Kural mevcut ama tetiklenmedi — onu baskılayan mantığı veya süzgeci düzeltin
• Uyarı tetiklendi ama yok sayıldı — bu, içerik açığı değil, süreç/önceliklendirme sorunudur

Temel günlük hiç toplanmadıysa mantık hatasını düzeltmek boşa çabadır.

En temel açık, verinin eksik olmasıdır. Örneğin Olay ID 4104'ün kullanılabilir olması için PowerShell betik bloklarının günlüğe kaydedilmesi Grup İlkesi veya kayıt defteri aracılığıyla etkinleştirilir.

Telemetri hazır olduğunda tespiti yazın ve sinyal verecek şekilde ayarlayın. Ayarlanmamış kurallar analistleri yanlış pozitiflerle boğar ve yok sayılır.

• Yapıtın göründüğünü doğrulamak için geniş kapsamla başlayın
• Bilinen güvenilir temel etkinlikler için istisnalar ekleyin
• Normal trafiğe göre yanlış pozitif oranını ölçün
• Saldırıyı hâlâ yakaladığını doğrulamak için öykünmeyi yeniden çalıştırın

Bir tespit, yalnızca saldırıda güvenilir biçimde tetiklendiğinde ve zararsız etkinliklerde sessiz kaldığında "tamamlanmış" sayılır.

Tek bir çalışmanın sayıları bir anlık görüntüdür; eğilimler gerçek durumu gösterir. Kapsamı ve MTTD'yi çeyrekler boyunca izleyin.

• 1. çeyrek: %45 kapsam, MTTD 22 dk
• 2. çeyrek: %62 kapsam, MTTD 14 dk
• 3. çeyrek: %71 kapsam, MTTD 9 dk

İyileşen bir eğilim, mor ekip çalışmasının sonuç verdiğini gösterir. Düz veya gerileyen bir eğilim, tespitlerin zayıfladığına ya da düzeltmelerin uygulanmadığına işaret eder.

Ortamlar değiştikçe tespitler sessizce bozulur. Onları kod gibi ele alın ve gerilemelere karşı test edin.

• Daha önce başarılı olan teknikleri her döngüde yeniden çalıştırın
• Bozulan tespitlerin uyarı üretmesini sağlamak için sürekli doğrulamayı otomatikleştirin
• Tespit içeriğini sürüm denetimine alın ve değişiklikleri gözden geçirin

Sessizce tetiklenmeyi bırakan bir tespit, ekibin kapsandığına inandığı hâlde aslında kapsanmadığı için hiç var olmamasından bile daha kötü olabilir.

Raporlamayı hedef kitleye göre uyarlayın. Mühendisler teknik düzeyde ayrıntıya, yönetim ise sonuçlara ve riske ihtiyaç duyar.

• Mühendisler için: teknik bazında sonuçlar, oluşturulan kurallar, ayar notları
• Yönetim için: kapsam eğilimi, MTTD eğilimi, azaltılan ve devam eden başlıca riskler
• Görsel: zaman içindeki ilerlemeyi gösteren bir ATT&CK Gezgini ısı haritası

Sonuçları ham teknik veri olarak değil, risk azaltımı olarak çerçevelemek, programa verilen desteği ve finansmanı sürdürmenin temelidir.

Artık tespit kapsamını titizlikle ölçebilir ve iyileştirebilirsiniz:

• Temel ölçümler olarak kapsamı, MTTD'yi ve MTTR'yi kullanın ve bunları her zaman paydalarıyla birlikte verin
• Rastgele seçilmiş veya dayanıksız tespitlerden kaynaklanan kapsam yanılsamalarından kaçının
• Düzeltmeden önce her açığın kök nedenini belirleyin: telemetri, kural, mantık veya önceliklendirme
• Eksik verileri etkinleştirin, ardından yanlış pozitifleri azaltmak için kuralları ayarlayın
• Eğilimleri izleyin ve sessiz tespit gerilemesine karşı korunun
• Programı sürdürebilmek için sonuçları ATT&CK ısı haritalarıyla birlikte risk azaltımı olarak raporlayın

Mor Ekip Çalışması kursunu tamamladınız: kırmızı ve mavi ekipleri, savunmaları kanıtlanabilir biçimde iyileştiren sürekli ve ölçülebilir bir döngüde birleştirdiniz.