Tehdit Avcılığı Zihniyeti

Tehdit avcılığı, otomatik savunmalardan kaçmış saldırganları proaktif biçimde aramaktır. Avcı, bir uyarı beklemek yerine tehdidi kendisi arar.

Bu yaklaşım, bir ihlalin zaten gerçekleşmiş olabileceğini varsayar ve bunu kanıtlamaya veya çürütmeye çalışır.

Geleneksel güvenlik tepkiseldir: araçlar uyarı üretir ve analistler yanıt verir. Avcılık ise proaktiftir: insanlar hiçbir uyarının yakalayamadığı tehditleri arar.

• Tepkisel: uyarı gelir, ardından araştırılır.
• Proaktif: araştırılır, ardından belki bir tehdit bulunur.

Temel zihinsel değişim, ihlal varsayımıdır. Avcı, "güvende miyiz?" diye sormak yerine "saldırgan şu anda nerede saklanıyor?" diye sorar.

Bu bakış açısı, savunmaların en zayıf olduğu yerleri derinlemesine incelemenizi sağlar.

Otomatik tespit, bilinen örüntüleri yakalar. Yetkin saldırganlar yeni teknikler, sistemde hazır bulunan araçlardan yararlanma ve hiçbir imzanın işaretleyemediği yavaş, sessiz eylemler kullanır.

İnsanlar, makinelerin araması öğretilmemiş şeyleri bulur.

Avcılar, bir izinsiz girişe işaret eden artefaktlar olan Uzlaşma Göstergelerini (IOC'ler) arar.

• Alışılmadık dışa giden bağlantılar.
• Yeni zamanlanmış görevler veya hizmetler.
• Şüpheli üst-alt süreç zincirleri.
• Beklenmedik hesap oluşturma.

Uzlaşma göstergeleri (kötü amaçlı bir karma değeri, bilinen kötü amaçlı bir IP) değiştirilerek kolayca atlatılabilir. Davranışları (taktikler, teknikler ve prosedürler) saldırganın değiştirmesi daha zordur.

Olgun tehdit avcılığı yalnızca değiştirilebilir göstergelere değil, davranışlara odaklanır.

Acı Piramidi, tespit ettiğinizde saldırganı ne kadar zor durumda bıraktıklarına göre göstergeleri sıralar.

Karma değerlerini değiştirmek çok kolaydır; taktikleri, teknikleri ve prosedürleri değiştirmek ise zahmetlidir. Piramidin üst basamaklarını hedefleyin.

İyi tehdit avcıları meraklı ve kuşkucudur. Bir sürecin neden tuhaf davrandığını sorar ve kontrol etmeden “muhtemelen bir şey değildir” yanıtını kabul etmezler.

Bu ısrarcı sorgulama, gizli sızmaları ortaya çıkarır.

Anlamadığınız bir ortamda avcılık yapamazsınız. Önce varlıklarınızı, normal süreçleri ve beklenen ağ akışlarını haritalayın.

Normal davranışlara ilişkin bir temel, trafik analizinde olduğu gibi anormal olanı hemen fark etmenizi sağlar.

Tehdit avcılığı yinelemelidir: bir fikir oluşturur, veri toplar, analiz eder ve öğrendiklerinizi tespit mekanizmalarına geri aktarırsınız.

Hiçbir şey bulamayan bir av bile görünürlüğünüzü artırır ve yeni otomatik kurallar oluşturur.

Başarılı bir av, saldırgan bulmanızı gerektirmez. Geçerli sonuçlar arasında doğrulanmış bir sızma, yeni bir tespit kuralı veya kör bir noktaya ilişkin görünürlüğün artırılması bulunur.

Temiz sonuçlanan bir av bile değer katar.

Tehdit avcılığı yaklaşımını öğrendiniz.

• Tehdit avcılığı proaktiftir; ihlal gerçekleştiğini varsayar ve aramaya koyulur.
• Otomasyon, yeni ve gizli teknikleri gözden kaçırır.
• Yalnızca değiştirilebilir uzlaşma göstergelerine değil, davranışlara ve taktiklere, tekniklere ve prosedürlere odaklanın.
• Acı Piramidi: saldırganı zor durumda bırakmak için üst basamakları hedefleyin.
• Ortamınızı tanıyın; temiz sonuçlanan bir av bile değer katar.

Sırada hipotez odaklı tehdit avcılığını öğreneceksiniz.