Mor Takım Çalışması Tatbikatı Yürütme

Mor ekip tatbikatı, plansız bir bilgisayar korsanlığı oturumu değil, yapılandırılmış bir süreçtir. Tekrarlanabilir bir yaşam döngüsünü izler:

• Planlayın — hedefleri, kapsamı ve teknikleri seçin
• Hazırlayın — telemetrinin, araçların ve yetkilendirmenin hazır olduğunu doğrulayın
• Yürütün — teknikleri çalıştırın ve canlı olarak gözlemleyin
• Analiz edin — sonuçları sınıflandırın ve boşlukları kaydedin
• İyileştirin — tespitleri ayarlayın ve yeniden sınayın
• Raporlayın — ölçümleri ve eylemleri kaydedin

Bunu bir yaşam döngüsü olarak ele almak, sonuçların zaman içinde karşılaştırılabilir olmasını sağlar.

Açık ve tehdit bilgisiyle yönlendirilmiş bir hedefle başlayın. Belirsiz hedefler ('güvenliğimizi sınamak') belirsiz sonuçlar üretir.

İyi hedefler belirli ve ölçülebilirdir:

• Fidye yazılımı ortakları tarafından kullanılan kimlik bilgilerine erişim tekniklerinin tespitini doğrulamak
• Yanal Hareket taktiği genelindeki görünürlüğü doğrulamak
• Bilinen bir sızma zinciri için ortalama tespit süresini ölçmek

Hedefi kuruluşunuzla ilgili gerçek bir tehdit aktörüne veya senaryoya dayandırın; böylece sınadığınız teknikler karşılaşma olasılığınızın yüksek olduğu teknikler olur.

Hedefi, somut prosedürlere sahip sıralı bir teknik listesine dönüştürün. Bu sizin öykünme planınızdır.

Her girişte teknik ID'si, prosedür, beklenen telemetri ve sınanan hipotez belirtilmelidir:

• Teknik: T1003.001 LSASS Belleği
• Prosedür: zararsız bir sınama aracıyla LSASS dökümü alma
• Beklenen telemetri: Sysmon Olay ID 10 (lsass.exe'ye işlem erişimi)
• Hipotez: EDR, yetkisiz LSASS tanıtıcısı erişiminde uyarı üretir

Herhangi bir şey çalıştırılmadan önce yazılı yetkilendirme alın ve angajman kurallarını (ROE) belgeleyin. Bu, ekibi hukuken ve operasyonel açıdan korur.

• Tanımlı kapsam: dahil edilen ana makineler, ağlar ve hesaplar
• Zaman aralıkları ve açık bir durdurma koşulu
• İzin verilen ve yasaklanan teknikler
• Acil durum kişileri ve durdurma sinyali
• Veri işleme: gerçek hassas verileri asla dışarı çıkarmayın

İş birliğine dayalı sınamalar bile alarmları tetikleyebilir veya hizmetleri kesintiye uğratabilir; bu nedenle ROE açıkça belirtilmeli ve paydaşlarca onaylanıp imzalanmalıdır.

Canlı oturumdan önce temel unsurların çalıştığını doğrulayın; aksi halde oturumu günlük kaydında hata ayıklayarak harcarsınız.

• Uç nokta aracılarıyla Sysmon'un dağıtılmış ve veri gönderiyor olduğunu doğrulayın
• Günlüklerin SIEM'e kabul edilebilir gecikmeyle ulaştığını doğrulayın
• Öykünme araçlarını hazırlayın (Atomic Red Team, Caldera)
• Beklenen her artefakt için kaydedilmiş SIEM sorguları hazırlayın

Örneğin, bilinen bir olayın göründüğünü kontrol eden hızlı bir ön kontrol, gerçek teknikler başlamadan önce veri hattını doğrular.

Yürütme sırasında, neden ve sonucun belirsiz olmaması için kontrollü bir zaman aralığında aynı anda yalnızca bir teknik çalıştırın. Kırmızı ekip eylemi anlatır ve tam zaman damgasını not eder.

Örneğin, zamanlanmış görev kalıcılığı için bir Atomic sınaması yürütme:

Yürütmenin hemen ardından mavi ekip hazırlanan sorguyu çalıştırır ve gördüklerini kaydeder. Sonucu açıkça sınıflandırın:

• Engellendi — eylem tamamen engellendi
• Uyarı üretildi — bir tespit tetiklendi
• Yalnızca günlüğe kaydedildi — kanıt mevcut, ancak uyarı yok
• Telemetri yok — hiçbir şey yakalanmadı

Daha sonra tespit süresini hesaplayabilmek için hem eylemin hem de uyarının zaman damgalarını kaydedin.

Birçok öykünme aracı yapıtlar oluşturur: zamanlanmış görevler, kayıt defteri anahtarları, dosyalar veya hesaplar. Ortamı düzenli tutmak ve gelecekteki yanlış bulguları önlemek için her teknikten sonra temizlik yapın.

Atomic Kırmızı Ekip, temizleme komutları sağlar:

Mor ekip çalışmasının belirleyici özelliği, açıkları aynı oturumda kapatmaktır. Bir teknik atlandığında tespit mühendisi bir kural taslağı hazırlar ve ekip, kuralın artık tetiklendiğini doğrulamak için tekniği yeniden çalıştırır.

• Açık bulundu: zamanlanmış görev oluşturulması uyarı üretmiyor
• Şüpheli örüntüler içeren Olay ID 4698 (görev oluşturma) için bir kural taslağı hazırlayın
• Atomic testi yeniden çalıştırın
• Yeni kuralın tetiklendiğini doğrulayın, ardından başarıyı kaydedin

Bu anında yineleme, düzeltmeleri bir iş listesine ertelemekten çok daha etkilidir.

Kayıt tutmadaki disiplin, çalışmayı sonradan değerli kılan unsurdur. Her teknik için yapılandırılmış bir sonuç kaydedin:

• Teknik ID'si ve uygulama adımları
• Sonuç (engellendi / uyarı üretildi / günlüğe kaydedildi / kör)
• Gözlemlenen veri kaynağı
• Tetiklenen tespit kuralı (veya oluşturulan yeni kural)
• Tespit süresi ve gerekli takip eylemleri

VECTR gibi araçlar bu sonuçları saklar ve ölçülebilir gelişimi göstermek için çalışmaları zaman içinde karşılaştırmanıza olanak tanır.

Ayrıntılar hâlâ tazeyken çalışmayı bir değerlendirmeyle sonlandırın. Çıktı, uzun bir metin yığını değil, önceliklendirilmiş ve uygulanabilir bir liste olmalıdır.

• Nelerin tespit edildiği, atlandığı ve ilk kez kapsandığı
• Tespit açıklarının risk ve olasılığa göre sıralaması
• Her düzeltme için sorumlular ve son tarihler
• Bir sonraki döngüde yeniden doğrulanacak teknikler

Tespit iş listesindeki maddeleri mühendislik ekibine devredin ve bir sonraki çalışmayı planlayın. Eylemler gerçekten uygulanmadığı sürece bu çalışmanın bir getirisi olmaz.

Artık bir mor ekip çalışmasını baştan sona yürütebilirsiniz:

• planla, hazırla, yürüt, analiz et, iyileştir, raporla yaşam döngüsünü izleyin
• tehdit bilgisine dayalı hedefler ve somut bir öykünme planı belirleyin
• yetkilendirme ve ROE alın, önce telemetrinin mevcut olduğunu doğrulayın
• her seferinde tek bir teknik çalıştırın, canlı olarak gözlemleyin ve sonuçları sınıflandırın
• Yapıtları temizleyin ve açıkları oturum içinde kapatın
• Yapılandırılmış sonuçları kaydedin ve çalışmayı önceliklendirilmiş bir devirle sonlandırın

Sonraki bölümde, iyileştirmeyi yönlendiren ölçümlerle kapsamı ölçmeyi ve tespit açıklarını kapatmayı öğreneceksiniz.