Kırmızı Ekip Raporu Yazma

Kırmızı takım raporu, belirlenen güvenlik açıklarının iş riskini yönetime aktarır (yönetici özeti), savunmacıların bulguları yeniden oluşturup tespiti iyileştirmesini sağlar (teknik ayrıntılar) ve düzeltme için bir eylem planı sunar (öneriler).

Standart kırmızı takım raporu yapısı:

1. Kapak sayfası ve kapsam tanımı
2. Yönetici Özeti
3. Metodolojiye genel bakış
4. Saldırı anlatısı / saldırı zinciri
5. Önem dereceleriyle bulgu listesi
6. Her bulgu için teknik ayrıntılar
7. Öneriler ve yol haritası
8. Ekler: kanıtlar, IOC'ler, araç listesi

Yönetici özetini en son yazın. Şunları belirtmelidir:

• Çalışmanın hedefleri ve kapsamı
• İş bağlamında temel bulgular ("4 saatte etki alanı yöneticisi erişimi elde ettik")
• Genel risk durumu değerlendirmesi
• Düzeltme için en önemli 3 öncelik

Jargon kullanmayın. Okuyucunun teknik olmayan bir yönetici olduğunu varsayın.

Saldırı anlatısı, çalışmanın öyküsünü kronolojik olarak aktarır:

1. İlk erişim yöntemi (ilk dayanak noktasının nasıl elde edildiği)
2. Kalıcılık ve keşif
3. Ayrıcalık yükseltme adımları
4. Yanal hareket yolu
5. Ulaşılan hedefler (erişilen veriler, ele geçirilen etki alanı)

Her adımı MITRE ATT&CK teknik kimlikleriyle eşleştirin.

Her bulgu şunları içermelidir:

• Başlık: açık ve özgül ad
• Önem derecesi: Kritik/Yüksek/Orta/Düşük/Bilgi (uygunsa CVSS puanıyla)
• Açıklama: ne bulunduğu
• Etki: istismar edilmesi durumunda iş riski
• Yeniden oluşturma adımları: ayrıntılı teknik kanıt
• Kanıt: ekran görüntüleri, günlükler
• Öneri: belirli düzeltme

CVSS (Common Vulnerability Scoring System), 0-10 aralığında standartlaştırılmış bir önem puanı sağlar. Bileşenler: Saldırı Vektörü, Karmaşıklık, Gereken Ayrıcalıklar, Kullanıcı Etkileşimi, Kapsam, Gizlilik/Bütünlük/Erişilebilirlik Etkisi. Tutarlı ve savunulabilir önem dereceleri için CVSS 3.1'i kullanın.

Savunmacılara eyleme geçirilebilir istihbarat sağlamak için kullanılan her tekniği ATT&CK ile eşleştirin:

• T1566.001 — Hedefli Kimlik Avı Eki (ilk erişim)
• T1059.001 — PowerShell (çalıştırma)
• T1003.001 — LSASS Belleği (kimlik bilgilerine erişim)

ATT&CK eşlemesi, mavi ekiplerin gözlemlenen TTP'ler için tespit kuralları yazmasına yardımcı olur.

Ekran görüntüleri şunları içermelidir:

• Terminalde görünen tarih/saat
• Ele geçirilmiş sistemin ana bilgisayar adı
• Komut ve tam çıktı
• Bağlamı ortadan kaldıracak kırpma yapılmaması

Kritik öğeyi vurgulamak için ekran görüntülerine açıklamalar ekleyin. Kanıt, bulguları doğrular.

İyi öneriler:

• Özgüldür: "PowerShell AMSI'yi ve kısıtlı dil modunu etkinleştirin"; "güvenliği iyileştirin" değil
• Önceliklendirilmiştir: riske göre hangisinin önce ele alınacağı belirlenir
• Uygulanabilirdir: okuyucu tam olarak ne yapacağını bilir
• Gerçekçidir: operasyonel kısıtları göz önünde bulundurur

Canlı bir çalışma sonu değerlendirme sunumu, yazılı raporu tamamlar. Müşteriye saldırı anlatısını canlı ekran görüntüleriyle adım adım aktarın, her adımı nasıl tespit edebileceklerini gösterin ve soruları yanıtlayın. Değişimi teşvik etme açısından bu sunum, çoğu zaman yazılı rapordan daha etkili olur.

Kırmızı ekip raporları hassas güvenlik açığı bilgileri içerir. Buna uygun şekilde işleyin:

• Raporu şifreleyin (PGP veya parolayla korunan PDF)
• Güvenli bir kanal üzerinden iletin
• Dağıtımı, rapora ihtiyaç duyan kişilerle sınırlayın
• Raporun saklanması ve imha edilmesi politikasını belirleyin
• Şifrelenmemiş raporları asla e-postayla göndermeyin

Kırmızı ekip raporunun hangi bölümü, MITRE ATT&CK ile eşleştirilmiş adımları sunarak kırmızı ekibin ilk erişimden hedeflere kadar tam olarak nasıl ilerlediğini gösterir?

Kırmızı ekip raporları iş (yönetici özeti), teknik (saldırı anlatısı ve bulgular) ve savunma (ATT&CK eşleştirmesi) hedef kitlelerine hizmet eder. Her bulgu önem derecesini, etkisini, yeniden oluşturma adımlarını, kanıtları ve belirli önerileri içerir. MITRE ATT&CK eşleştirmesi, saldırı bulgularını savunma amaçlı tespit fırsatlarına dönüştürür. Raporları şifreleyin ve hassas belgeler olarak işleyin.