Anormallikleri Tespit Etme

Anormallikleri tespit etmek, bir ağın temel durumundan sapan trafiği fark etmek anlamına gelir. Normal durumu bilmeden anormal olanı tanıyamazsınız.

Bu derste kötü amaçlı etkinliği ele veren yaygın örüntüler ele alınır.

Bir bağlantı noktası taraması, tek bir kaynağın bir ana bilgisayardaki çok sayıda bağlantı noktasına erişmeye çalışması şeklinde görünür; çoğu zaman SYN paketlerine RST yanıtları gelir.

Tek bir IP'den ardışık bağlantı noktalarına gönderilen SYN patlaması, klasik bir imzadır.

Kötü amaçlı yazılımlar çoğu zaman işaret gönderir: düzenli aralıklarla bir komuta ve kontrol sunucusuyla iletişim kurar. Belirti, aynı hedefe yapılan, benzer boyuttaki ve periyodik bağlantılardır.

İnsanların gezinmesinde görülmeyecek saat gibi düzenli zamanlamaları arayın.

DNS tünelleme, verileri DNS sorgularının içine gizlice taşır. Belirti, tek bir etki alanı altında bulunan çok sayıda uzun ve rastgele görünümlü alt etki alanıdır.

Kodlanmış etiketler içeren tek bir etki alanına yönelik yüksek sorgu hacmi şüphelidir.

Yanlış bağlantı noktalarındaki protokollere dikkat edin: 443 numaralı bağlantı noktasında SSH veya HTTPS beklediğiniz yerde ham TCP.

Saldırganlar güvenlik duvarlarını aşmak için trafiği yaygın bağlantı noktalarında gizler. Wireshark'ın protokol algılama özelliği bu uyumsuzluğu fark etmenize yardımcı olur.

Bir iş istasyonunun aniden dışarıya gigabaytlarca veri göndermesi, verilerin dışarı çıkarıldığına işaret edebilir.

Alışılmadık miktarlarda veriyi dış IP'lere gönderen ana bilgisayarları bulmak için İstatistikler > İletişimler bölümünü kullanın ve bayt sayısına göre sıralayın.

HTTP'de tuhaf veya boş User-Agent dizeleri, kendini gizleme zahmetine girmemiş otomatik araçları ya da kötü amaçlı yazılımları ortaya çıkarabilir.

Komut dosyası kullanan istemcileri ortaya çıkarmak için alışılmadık aracılara göre filtre uygulayın.

Çok sayıda RST paketi veya tamamlanmadan tekrarlanan SYN'ler, taramaya, kaba kuvvet saldırısına ya da hizmet engelleme girişimine işaret edebilir.

Yarı açık bağlantılardaki artış araştırılmaya değerdir.

Yerel ağlarda ARP anormalliklerine dikkat edin: iki IP'nin aynı MAC'i kullandığını iddia etmesi veya ARP yanıtlarının hızla tekrarlanması. Bunlar ortadaki adam saldırısına ya da ARP sahteciliğine işaret eder.

Wireshark, yinelenen adres içeren ARP paketlerini otomatik olarak işaretler.

Tek bir tuhaf paket, nadiren bir saldırıyı kanıtlar. Zaman içindeki ve farklı ana bilgisayarlardaki birden çok göstergeyi ilişkilendirerek güven düzeyinizi artırın.

Bir işaret gönderme etkinliği, bilinen kötü amaçlı bir etki alanı ve büyük bir aktarım birlikte güçlü bir kanıt oluşturur; bunlardan herhangi biri tek başına zayıftır.

Wireshark'ın yanı sıra Zeek ve Suricata gibi araçlar, ham paketleri büyük ölçekte yapılandırılmış günlükler ve uyarılar hâline getirir.

Aksi hâlde elle yapacağınız anormallik tespitinin büyük bölümünü otomatikleştirirler.

Trafikteki anormallikleri tespit etmeyi öğrendiniz.

• Bağlantı noktası taramaları: tek kaynak, çok sayıda bağlantı noktası.
• İşaretleşme: düzenli zaman aralıklarıyla kurulan komuta ve kontrol bağlantıları.
• DNS tünelleme: uzun ve rastgele alt etki alanları.
• Yanlış bağlantı noktalarındaki protokollere, büyük dışa giden aktarımlara, RST fırtınalarına ve ARP sahteciliğine dikkat edin.
• Birden çok göstergeyi ilişkilendirin; büyük ölçekte Zeek ve Suricata kullanın.

Sırada yakalamalardan dosyaları ve kimlik bilgilerini çıkaracaksınız.