Caldera, MITRE tarafından geliştirilen açık kaynaklı bir düşman taklidi (adversary emulation) platformudur; hedef sistemlere yerleştirilen ajanlar üzerinden gerçek saldırı adımlarını otomatik olarak çalıştırır. Amaç zarar vermek değil, bir saldırganın atacağı adımları kontrollü biçimde tekrarlayıp savunma katmanlarının bunları görüp göremediğini ölçmektir. Kırmızı takım çalışmasının el emeğiyle yürüyen kısmının önemli bir bölümünü otomatikleştirir.

Caldera, bir saldırganın davranışını script’e döken ve o script’i istediğin kadar tekrar çalıştırarak savunmanın hafızasını sınayan bir taklit motorudur.

Çalışma Mimarisi

Platform iki ana parçadan oluşur. Merkezî sunucu senaryoları planlar ve sonuçları toplar; hedef makinelere kurulan hafif ajanlar (yaygın olanı Sandcat) ise sunucudan aldığı görevleri yerine getirir. Sunucu her adımda ajana bir sonraki tekniği söyler, ajan komutu yürütür ve çıktıyı geri raporlar. Bu döngü, bir saldırganın erişim kazanma, kalıcılık, yetki yükseltme ve yanal hareket adımlarını sırayla ve otomatik olarak canlandırır.

Caldera’nın davranışları, tekniklerin gruplandığı yetenek (ability) ve saldırgan profili (adversary) tanımlarıyla düzenlenir. Her yetenek belirli bir tekniğe karşılık gelir; bir saldırgan profili ise bu yetenekleri belirli bir sırayla zincirleyerek gerçekçi bir saldırı akışı üretir.

MITRE ATT&CK ile Bağı

Caldera’daki her yetenek, doğrudan bir ATT&CK teknik kimliğiyle etiketlenmiştir. Bu, simülasyonun soyut bir “saldırı denemesi” olmaktan çıkıp belirli, adlandırılmış tekniklerin sınanmasına dönüşmesini sağlar. Bir çalışma bittiğinde çıktı, hangi tekniklerin savunma tarafından yakalandığını ve hangilerinin fark edilmeden geçtiğini teknik teknik gösterir. Bu haritalama MITRE ATT&CK çerçevesi üzerine oturduğu için sonuçlar ortak bir dilde raporlanır ve farklı ekipler aynı terminolojiyle konuşabilir.

Bu otomasyon, aynı senaryonun düzenli aralıklarla ve elle müdahale olmadan tekrar çalıştırılmasını mümkün kılar; böylece savunmadaki bir iyileştirmenin gerçekten fark yaratıp yaratmadığı ölçülebilir. Bu tekrarlanabilirlik, Caldera’yı geniş anlamda ihlal ve saldırı simülasyonu araç ailesinin öne çıkan bir örneği yapar.

Savunma İçin Ne Sağlar?

Simülasyonun asıl değeri, ürettiği tespit boşluğu listesindedir. Fark edilmeden geçen her teknik, savunma ekibi için somut bir iş kalemi olur:

• Yakalanmayan teknikler için yeni tespit kuralları yazılır ve mevcut kurallar keskinleştirilir.
• Var olan kuralların gerçek uyarı ürettiği, o uyarının doğru ekibe ulaştığı doğrulanır.
• Aynı senaryo iyileştirme sonrası tekrar çalıştırılarak kapatılan boşluk sayısal olarak kanıtlanır.

Bu döngü, tespit kurallarının bir kez yazılıp unutulan varlıklar değil, gerçek saldırgan davranışına göre sürekli ayarlanan araçlar olmasını sağlar; yani doğrudan tespit mühendisliği pratiğini besler.

Manuel Operasyonla İlişkisi

Caldera hızlı ve tekrarlanabilir olsa da, bir saldırganın yaratıcılığını, hedefe özgü kararlarını ve öngörülemeyen zincirleri tümüyle taklit edemez. En verimli kullanım, otomatik simülasyonu tekrarlanan temel doğrulama için, insan yürütücülü kırmızı takım operasyonu için ise derin ve senaryoya özgü sınamayı kullanmaktır. Privia Security, otomatik ve manuel taklidin bu bileşimini kurumsal savunmayı gerçek koşullarda ölçmek üzere siber tatbikat hizmeti kapsamında yürütür.