Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Elmas modeli, bir saldırı olayını aktör, yetenek, altyapı ve kurban köşeleriyle ilişkilendirerek analiz eden çerçevedir.
Elmas modeli, bir siber saldırı olayını dört temel unsurun ilişkisi üzerinden inceleyen analiz çerçevesidir. Model, olayı tek bir teknik bulguya indirgemek yerine aktör, yetenek, altyapı ve kurban arasındaki bağları görünür kılar.
Çerçevenin değeri, analistin eksik parçayı aramaya yönlendirilmesindedir. Dört köşeden ikisi bilindiğinde, kalan ikisi hakkında sorular üretilir; bu yapı incelemenin dağılmasını engeller.
Elmas modeli; her saldırı olayında bir aktörün, belirli bir yeteneği, belirli bir altyapı üzerinden bir kurbana karşı kullandığını varsayan ve bu dört unsuru birbirine bağlayarak analiz eden çerçevedir.
Dört köşe arasındaki kenarlar da anlamlıdır. Aktör ile altyapı arasındaki bağ sahiplik ilişkisini, yetenek ile kurban arasındaki bağ ise sömürülen zafiyeti gösterir. Analist bu kenarları izleyerek yeni bulgulara ulaşır.
Model, olay kayıtlarından elde edilen her bulguyu dört köşeden birine yerleştirir. Böylece dağınık göstergeler tek bir yapı altında toplanır ve aralarındaki ilişki değerlendirilebilir.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlAnaliz, elde bulunan bulgunun köşesinin belirlenmesiyle başlar. Örneğin bir uç noktada bulunan zararlı dosya bir yetenek bulgusudur; bu dosyanın bağlandığı adres altyapı köşesini, etkilenen sistemler ise kurban köşesini doldurur.
Köşeler doldukça bağlantı soruları üretilir: bu altyapı başka hangi kurbanlarla ilişkili, bu yetenek daha önce hangi aktörle görüldü, aynı aktör başka hangi altyapıyı kullanıyor? Bu sorular incelemenin kapsamını doğru yönde genişletir.
Sonuçta ortaya, tek bir olayın ötesine geçen bir etkinlik haritası çıkar. Aynı altyapıyı paylaşan birden çok olay tek bir kampanya olarak gruplanabilir; bu gruplama savunma önceliklerini belirler.
Model, siber tehdit istihbaratı üretiminin doğal çerçevesidir. Toplanan uzlaşma göstergeleri köşelere yerleştirildiğinde, ham gösterge listesi anlamlı bir ilişki ağına dönüşür.
İstihbarat paylaşımında da ortak bir dil sağlar. Farklı kurumlardan gelen bulgular aynı yapıya oturtulduğunda, aynı aktörün farklı hedeflerdeki faaliyetleri birleştirilebilir hâle gelir.
Elmas modeli, olayın “kim, neyle, nereden, kime” boyutunu tanımlar; siber öldürme zinciri ise “hangi sırayla” sorusunu yanıtlar. İkisi birlikte kullanıldığında hem zaman hem ilişki boyutu kapsanır.
Teknik ayrıntı için MITRE ATT&CK eklenir. Yetenek köşesindeki araç ve teknikler ATT&CK teknik kimlikleriyle etiketlendiğinde, tespit kuralları ve kapsama analizi doğrudan üretilebilir.
İlk dikkat noktası, aktör atfının aceleye getirilmemesidir. Altyapı ve araç benzerliği tek başına atıf için yeterli değildir; farklı gruplar aynı araçları ve aynı barındırma sağlayıcılarını kullanabilir.
İkinci nokta, kurban köşesinin yeterince ayrıntılı doldurulmasıdır. Yalnızca kurum adı değil, hedef alınan veri türü ve iş süreci de yazıldığında saldırganın amacı hakkında çok daha isabetli çıkarım yapılabilir.
Modelin en güçlü yanlarından biri, köşeler arasında geçiş yaparak analizi genişletme fikridir. Bir altyapı bulgusundan yola çıkarak aynı altyapıyı kullanan diğer kurbanlara ulaşmak, ya da bir yetenek bulgusundan aynı aracı kullanan diğer olaylara geçmek bu tür bir geçiştir. Her geçiş, incelemenin kapsamını kontrollü biçimde büyütür. Kontrolsüz genişleme ise analizi dağıtır ve sonuç üretmez.
Geçişlerin belirli bir hipoteze bağlı yapılması önerilir. “Bu alan adı aynı kayıt bilgileriyle oluşturulmuş başka alan adlarıyla ilişkili olabilir” gibi açık bir hipotez, aramanın sınırlarını belirler. Hipotez doğrulanırsa yeni bulgular modele eklenir, doğrulanmazsa kayda geçirilip kapatılır. Bu disiplin, incelemenin izlenebilir kalmasını sağlar.
Analiz sırasında bulunan her yeni öğe zaman damgasıyla birlikte kaydedilir. Aynı altyapının farklı zamanlarda farklı amaçlarla kullanılmış olması olağandır; zaman bilgisi olmadan yapılan ilişkilendirmeler yanıltıcı sonuçlar üretir. Bu nedenle model çoğu zaman bir zaman ekseniyle birlikte kullanılır.
Modelin özgün tanımında dört köşenin yanında iki eksen daha bulunur. Sosyopolitik eksen, aktör ile kurban arasındaki ilişkiyi açıklar: saldırganın hedefi neden seçtiği, hangi motivasyonla hareket ettiği bu eksende değerlendirilir. Teknoloji ekseni ise yetenek ile altyapı arasındaki teknik bağı tanımlar. İki eksen birlikte, olayın hem nedenini hem yöntemini kapsar.
Sosyopolitik eksen özellikle savunma önceliklerini belirlemede işe yarar. Bir kurumun hangi nedenle hedef alındığı anlaşıldığında, benzer saldırıların hangi varlıklara yöneleceği de tahmin edilebilir hâle gelir. Finansal amaçlı bir aktörle casusluk amaçlı bir aktörün ilgi alanları farklıdır. Bu ayrım, izleme kaynaklarının doğru yere yönlendirilmesini sağlar.
Teknoloji ekseni ise tespit tarafına hizmet eder. Bir aracın hangi altyapı türüyle birlikte çalıştığı bilindiğinde, o araç görüldüğünde nereye bakılacağı da bilinir. Bu bağ, avcılık çalışmalarında somut sorgular üretir. Tehdit avcılığı ekipleri bu eksende çalışır.
Analiz çıktıları yapılandırılmış biçimde saklanmadığında, bir sonraki olayda yeniden üretilmesi gerekir. Bu nedenle köşe bilgileri ve aralarındaki ilişkiler bir kayıt sisteminde tutulur. Basit kurumlarda bu bir elektronik tablo, olgun kurumlarda ise özel bir istihbarat platformu olabilir. Önemli olan biçimin tutarlılığıdır.
Saklanan kayıtların zamanla değeri artar. Aylar önce görülen bir altyapının yeni bir olayda tekrar ortaya çıkması, aktör hakkında güçlü bir işaret sunar. Bu birikim olmadan her olay sıfırdan incelenir ve örüntüler görülmez. Kurum içi tarihçe, çoğu zaman dışarıdan satın alınan istihbarattan daha değerlidir.
Privia Security olarak olay incelemelerinde bulguları bu çerçeveyle ilişkilendiriyor, olay inceleme ve olay müdahalesi raporlarında tekil göstergeler yerine ilişki haritası sunuyoruz.
Bunlar İlginizi Çekebilir
