Komut satırı denetim kaydı, bir sistemde çalıştırılan her komutu, tam argümanlarıyla ve onu başlatan süreçle birlikte kaydeden izleme yaklaşımıdır. Bir sürecin yalnızca adını bilmek çoğu zaman yetmez; asıl niyet, o sürece geçilen parametrelerde saklıdır. Aynı ikili dosya masum bir bakım işi de yapabilir, bir saldırının parçası da olabilir ve bu ikisini ayıran şey genellikle komut satırının kendisidir.

Bir aracın tehlikeli olup olmadığını adı değil, kendisine hangi argümanlarla çağrıldığı belli eder.

Neden Sadece Süreç Adı Yetmez?

Saldırganlar giderek daha çok, sisteme zaten kurulu meşru araçları kötüye kullanır; bu yaklaşım karada yaşama olarak bilinir. Bir betik yorumlayıcısı, bir yönetim aracı ya da bir sıkıştırma programı listede tek başına hiçbir şey söylemez. Fakat aynı aracın kodlanmış bir betiği çalıştırması, uzaktan içerik indirmesi ya da güvenlik ayarlarını devre dışı bırakması, ancak komut satırı kaydedildiğinde görülebilir. Bu yüzden argüman görünürlüğü, modern tespitin olmazsa olmazıdır.

Bu görünürlüğü sağlamak için Windows ortamlarında yaygın bir araç Sysmon‘dur; süreç oluşturma olaylarını tam komut satırı, ebeveyn süreç ve dosya karması gibi zengin alanlarla kaydeder. İşletim sistemlerinin yerleşik denetim özellikleri de benzer kayıtlar üretebilir, ancak ayrıntı düzeyi ve gürültü yönetimi için ek yapılandırma gerekir. Amaç her durumda aynıdır: bir komutun ne olduğunu değil, tam olarak ne yaptığını yakalamak.

Tekniklere Eşleme

Toplanan komut satırı verisi, saldırgan davranışının ortak diline çevrildiğinde en verimli halini alır. Kayıtlar MITRE ATT&CK çerçevesi tekniklerine haritalanır; örneğin belirli bir keşif komutu, bir kalıcılık kaydı oluşturma ya da bir kimlik bilgisi çıkarma girişimi, ilgili tekniğin göstergesi olarak sınıflandırılır. Böylece analist, tek tek komutlarla değil, tanınabilir saldırı adımlarıyla çalışır ve bir olayı daha hızlı bağlamına oturtur.

Aynı zengin veri, reaktif alarmların ötesinde proaktif inceleme için de bir hazinedir. Tehdit avcılığı ekipleri, henüz kural yazılmamış şüpheli komut kalıplarını (olağandışı ebeveyn-çocuk zincirleri, kodlanmış parametreler, nadir kullanılan bayraklar) komut satırı geçmişinde arayarak sessiz tehditleri açığa çıkarır. İmza yerine davranış üzerinden yapılan bu arama, ancak argümanlar kaydediliyorsa mümkündür.

Uygulamada Dengeler

Komut satırı kaydı güçlüdür ama iki dikkat noktası vardır. Birincisi hacim: her süreç oluşturmayı ayrıntılı kaydetmek büyük veri üretir, bu yüzden kayıtlar genellikle merkezi bir SIEM platformuna aktarılıp filtrelenir ve önceliklendirilir. İkincisi gizlilik ve güvenlik: komut satırları bazen parola gibi hassas verileri içerdiğinden, kayıtların erişiminin sınırlandırılması ve bu tür verilerin farkında olunması gerekir.

Doğru yapılandırıldığında komut satırı denetim kaydı, saldırganın karada yaşama taktiklerine karşı en etkili görünürlük katmanlarından birini sunar. Privia Security bu yeteneği, ham süreç olaylarını anlamlı ve tekniklere eşlenmiş tespitlere dönüştüren bir SOC olgunlaştırma adımı olarak ele alır ve hangi komut desenlerinin kuruma özgü izleneceğini belirler.