Mor Takım Çalışması Neden Önemlidir

Mor ekip çalışması, saldırı (kırmızı) ve savunma (mavi) işlevlerinin birbirinden yalıtılmak yerine aynı döngü içinde birlikte çalıştığı bir güvenlik uygulamasıdır.

Amaç birbirlerine karşı 'kazanmak' değil, birlikte algılama ve müdahaleyi iyileştirmektir. Kırmızı taraf gerçek saldırgan davranışını taklit eder; mavi taraf bunları görüp durdurabildiğini doğrular; her iki taraf da denetimleri birlikte geliştirir.

• Kırmızı taraf saldırganların teknik bilgisini ve taklidini getirir
• Mavi taraf telemetriyi, algılamaları ve müdahaleyi getirir
• Mor, aralarındaki geri bildirim döngüsüdür

Geleneksel kırmızı ekip çalışmaları çoğu zaman aylar sonra ulaşan bir raporla sona erer. Mavi ekip neyin gözden kaçtığını ancak sonradan, kullanılan kesin teknik veya telemetri hakkında çok az bağlamla öğrenir.

Bu durum yavaş ve maliyetli bir geri bildirim oluşturur. Domain admin compromised in 3 days gibi bir bulgu kaybettiğinizi gösterir, ancak hangi algılamanın tetiklenmesi gerektiğini göstermez.

• Kırmızı ekibin bulguları geç ulaşır ve algılama ayrıntılarından yoksundur
• Mavi ekip kuralları ayarlamak için saldırıyı yeniden oluşturamaz
• Aynı eksikler sonraki çalışmada yeniden ortaya çıkar

Mor ekip çalışması döngüyü aylardan saatlere indirir. Kırmızı ekip bir teknik uygular, mavi ekip hemen SIEM/EDR'yi denetler ve ekip kapsamın mevcut olup olmadığına o anda karar verir.

Tipik bir mikro döngü şöyledir:

• Kırmızı ekip kontrollü bir zaman aralığında tek bir ATT&CK tekniği çalıştırır
• Mavi ekip beklenen yapıtı bulmak için telemetriyi sorgular
• Hiçbir şey tetiklenmezse bir algılama boşluğu hemen günlüğe kaydedilir
• Yeni bir kural hazırlanır ve aynı oturumda yeniden sınanır

Bu uygula-gözlemle-iyileştir ritmi, mor ekip çalışmasının özüdür.

Mor ekip çalışması, önleme (saldırı engellenir) ile algılama (saldırıya izin verilir, ancak görünür ve uyarı üretir) arasındaki farkı açıkça ortaya koyar.

Sınanan her teknik için sonucu sınıflandırın:

• Engellendi — denetim eylemi durdurdu (ör. AppLocker, AV)
• Algılandı (uyarı verildi) — telemetri bir uyarı oluşturdu
• Günlüğe kaydedildi (uyarı yok) — kanıt mevcut, ancak hiçbir şey tetiklenmedi
• Telemetri yok — tamamen kör nokta

En kötü sonuç 'telemetri yok'tur; çünkü hiç toplamadığınız veriler üzerinde algılama oluşturamazsınız.

Etkili mor ekip çalışması tehdit istihbaratı tarafından yönlendirilir. Rastgele araçları sınamak yerine, gerçekten sektörünüzü hedefleyen saldırganların kullandığı teknikleri taklit edersiniz.

Örneğin bir finans kuruluşu, FIN7 veya bilinen bir fidye yazılımı ortağıyla ilişkilendirilen taktik, teknik ve prosedürleri taklit edebilir ve her adımı ATT&CK ile eşleştirebilir.

• Sektörünüzle ilgili bir tehdit aktörü seçin
• Belgelenmiş taktik, teknik ve prosedürlerden bir taklit planı oluşturun
• Karşılaşma olasılığınızın en yüksek olduğu teknikleri sınayın

Bu yaklaşım, sınamayı gerçekçi tutar ve en önemli algılamalara öncelik verir.

Bir mor ekip çalışmasının verimli kalması için açık rollere ihtiyacı vardır:

• Kırmızı operatör — teknikleri uygular ve her eylemi anlatır
• Mavi analist — SIEM/EDR'yi yönetir ve görünürlüğü doğrular
• Algılama mühendisi — kuralları gerçek zamanlı olarak yazar veya ayarlar
• Kolaylaştırıcı/tutanakçı — plana bağlı kalır ve sonuçları kaydeder

Şeffaflık çok önemlidir: gizli yürütülen bir kırmızı ekip sınamasından farklı olarak burada kırmızı ekip ne yaptığını duyurur

Çeşitli ücretsiz çerçeveler mor ekip çalışmasını tekrarlanabilir hâle getirir. Kırmızı ekibin, mavi ekibin doğrulayabileceği tutarlı ve belgelenmiş teknikleri uygulamasını sağlar.

• Atomic Red Team — küçük, ATT&CK ile eşleştirilmiş sınama örnekleri
• MITRE Caldera — otomatik saldırgan taklidi
• VECTR — değerlendirme sonuçlarını ve zaman içindeki kapsamı izleme

Tek bir Atomic Red Team sınaması, teknik ID'siyle çağrılır; örneğin:

Her iki taraf iş birliği yapsa da mor ekip çalışması üretim sistemlerine dokunur ve sorumlu, etik bir şekilde yürütülmelidir.

• Yazılı yetkilendirme alın ve kapsamı kesin olarak tanımlayın
• Öncelikle temsili bir laboratuvarı veya hazırlık ortamını tercih edin
• Her teknik için bir geri alma ve temizlik planı hazırlayın
• Nöbetçi ekiplerin hazırlıksız yakalanmaması için zamanlamayı koordine edin

Yıkıcı teknikler (fidye yazılımı şifrelemesi, gerçek verilerin dışarı çıkarılması) zararsız temsillerle simüle edilmelidir; üretim verilerine karşı asla gerçek olarak çalıştırılmamalıdır.

Mor ekip çalışması, belirsiz güven duygusunu ölçülebilir kapsama dönüştürür. Her çalışmadan sonra sonuçları, tespit edilen tekniklerin yüzdesi olarak ifade edebilirsiniz.

Taktik başına basit bir kapsam görünümü şöyle olabilir:

• İlk Erişim: 6 tekniğin 4'ü tespit edildi
• Yürütme: 5 tekniğin 5'i tespit edildi
• Yanal Hareket: 4 tekniğin 1'i tespit edildi (boşluk)

Bunu bir ısı haritası olarak ATT&CK matrisi üzerine işlemek, kör noktaları yöneticilere görünür kılar ve bir sonraki yatırım alanını belirlemeye yardımcı olur.

Mor ekip çalışmasının en büyük değeri, bunun sürekli yürütülmesinden gelir. Ortamlar değiştikçe, günlük kaydı bozuldukça ve saldırganlar geliştikçe tespitler zayıflar.

• Gerilemeleri yakalamak için daha önce kapatılmış boşlukları yeniden sınayın
• Yeni tehdit istihbaratı geldikçe yeni teknikler ekleyin
• Kapsam eğilimlerini çeyrekten çeyreğe izleyin

Bazı ekipler bunu, öykünmenin bir zamanlamaya göre çalıştığı ve bilinen bir tespit artık tetiklenmediğinde ekibi uyardığı sürekli doğrulama biçiminde otomatikleştirir.

Teknik ölçümlerin ötesinde mor ekip çalışması, saldırı ve savunma arasındaki ilişkiyi geliştirir. Analistler saldırganların yöntemlerini, operatörler ise eylemlerinin hangi telemetriyi ürettiğini öğrenir.

• Mavi ekip gerçek saldırgan taktikleri, teknikleri ve prosedürleri hakkında uygulamalı anlayış kazanır
• Kırmızı ekip hangi davranışların çok gürültülü, hangilerinin gizli kaldığını öğrenir
• Her iki ekip de ATT&CK konusunda ortak bir dil geliştirir

Bu ortak anlayış çoğu zaman en kalıcı sonuçtur: herhangi bir tek çalışmanın raporu arşivlendikten çok sonra bile varlığını sürdürür.

Artık mor ekip çalışmasının neden var olduğunu ve neler sağladığını biliyorsunuz:

• Kırmızı ve mavi ekipleri tek bir yürüt-gözlemle-iyileştir döngüsünde birleştirir
• Sonuçları engellendi, tespit edildi, günlüğe kaydedildi veya kör nokta olarak sınıflandırır
• ATT&CK ile eşlenmiş tehdit bilgisiyle yönlendirilen saldırgan öykünmesi tarafından yönlendirilir
• Atomic Red Team, Caldera ve VECTR gibi araçlar bunu tekrarlanabilir hâle getirir
• Yetkilendirme, kapsam ve temizlik planlarıyla etik bir şekilde yürütülmelidir
• Tespitlerin zamanla zayıflamasını yakalamak için sürekli yürütüldüğünde değeri katlanarak artar

Sırada, MITRE ATT&CK çerçevesini kullanarak belirli saldırıları tespitlerle nasıl eşleyeceğinizi öğreneceksiniz.