Bal küpü yerleştirme stratejisi, tuzak sistemlerin bir ağ içinde hangi noktalara, hangi gerçekçilikte ve hangi izleme kurgusuyla konulacağını belirleyen tasarım kararıdır. Tek bir tuzak makine kurmak kolaydır; asıl fark, o makinenin saldırganın gerçekten uğrayacağı bir güzergâha oturtulmasında ortaya çıkar. Yanlış yerleştirilmiş bir tuzak yıllarca hiç tetiklenmez, doğru yerleştirilmiş bir tuzak ise ilk yanal harekette alarm üretir.

Bir tuzağın değeri kurulduğu yerde değil, saldırganın yolunun oradan geçme olasılığında saklıdır.

Yerleştirmeyi Belirleyen Faktörler

Konumlandırma kararı üç eksende verilir: ağ segmenti, erişilebilirlik ve gerçekçilik. Bir Bal küpü genellikle üretim varlıklarına komşu segmentlere, bir saldırganın keşif sırasında tarayacağı IP aralıklarına ve normalde erişilmemesi gereken paylaşım noktalarına yerleştirilir. Amaç, meşru kullanıcının asla dokunmayacağı ama saldırganın merak edeceği bir konumda durmasıdır; böylece her temas doğası gereği şüphelidir.

Yerleştirmede sık kullanılan bir ayrım, tuzağın etkileşim seviyesidir. Düşük etkileşimli tuzaklar yalnızca birkaç açık port ve sahte banner sunar, bakımı kolaydır ve geniş alana serilir. Yüksek etkileşimli tuzaklar ise gerçek bir işletim sistemi ve servisler barındırır, saldırganı daha uzun süre oyalar ve daha zengin davranış verisi toplar ama izole edilmeleri gerekir. Strateji çoğu zaman ikisini katmanlar: geniş alanda düşük etkileşimli sensörler, kritik segmentlerde birkaç yüksek etkileşimli tuzak.

Nasıl Tespit Üretir?

Tuzağa gelen her paket, her oturum açma denemesi ve her dosya erişimi tanım gereği anormaldir, çünkü sistemin meşru bir işlevi yoktur. Bu, Aldatma teknolojisi ailesinin en güçlü yanıdır: yanlış pozitif oranı neredeyse sıfırdır. Klasik tespit yöntemleri kalabalık logların içinden zararlı olanı ayıklamaya çalışırken, tuzak yaklaşımı ortamı tersine çevirir ve yalnızca kötü niyetli temasın oluşacağı bir zemin kurar.

Toplanan sinyaller doğrudan davranışsal ipuçlarına, yani Saldırı göstergeleri mantığına beslenir. Bir saldırganın tuzağa nasıl bağlandığı, hangi komutları denediği ve hangi kimlik bilgilerini kullandığı, ağın başka yerinde de aynı tekniği aradığınız bir avlanma hipotezine dönüşür. Böylece tuzak yalnızca bir alarm değil, aynı zamanda saldırganın oyun kitabını okuma penceresi olur.

Yaygın Yerleştirme Noktaları

• İç ağ segmentleri: yanal hareketi erken yakalamak için kullanıcı ve sunucu VLAN’larına serpiştirilen sahte iş istasyonları
• DMZ ve dış yüzey: internetten görülebilen, otomatik tarama ve sömürü denemelerini toplayan servis tuzakları
• Active Directory katmanı: sahte yönetici hesapları ve paylaşımlarla kimlik odaklı saldırıları çeken tuzaklar
• Veri tuzakları: cazip isimli ama sahte belge ve veri tabanları ile veri sızdırma girişimini işaretleyen dosyalar

Operasyonel Değer

Tuzaklar tek başına bir güvenlik programı değildir; değerlerini bir izleme ve müdahale zinciriyle birleştiğinde gösterirler. Alarmların bir ekip tarafından hızla değerlendirildiği, tekrarlayan kısımlarının otomatikleştirildiği bir yapı içinde yerleştirme stratejisi tam anlamını bulur. Privia Security’nin SOC olgunlaştırma çalışmalarında tuzak konumlandırması, mevcut görünürlük boşluklarını kapatan tamamlayıcı bir sensör katmanı olarak ele alınır ve saldırganın en olası güzergâhlarına göre tasarlanır.