Kimlik doğrulama log analizi, kullanıcıların ve servislerin sistemlere oturum açma kayıtlarını güvenlik amacıyla incelemektir. Her başarılı ya da başarısız giriş bir iz bırakır ve bu izler bir araya geldiğinde, kimin nereye, ne zaman ve nasıl eriştiğinin haritasını oluşturur. Saldırıların büyük bölümü bir noktada geçerli bir kimlikle oturum açmayı gerektirdiğinden, bu kayıtlar tespit için en değerli veri kaynaklarından biridir.

Bir saldırganın ağdaki en görünür anı, çoğu zaman ilk kez geçerli bir kimlikle kapıyı açtığı andır.

Hangi Kaynaklardan Beslenir?

Analiz, farklı katmanlardan gelen oturum kayıtlarını birleştirir. Kurumsal ortamlarda Windows olay günlükleri, başarılı ve başarısız oturum açmalardan Kerberos bilet taleplerine kadar zengin bir kaynak sunar. Buna bulut kimlik sağlayıcılarının giriş kayıtları, VPN erişim logları ve uygulama düzeyindeki kimlik doğrulama olayları eklenir. Bu kaynakların ortak bir zaman çizgisinde bir araya gelmesi, tek başına anlamsız görünen olayları anlamlı bir örüntüye dönüştürür.

Ham veriyi analiz edilebilir kılmak için kayıtlar genellikle merkezi bir SIEM platformunda toplanır ve normalleştirilir. Farklı sistemlerin farklı biçimlerde ürettiği giriş olayları burada ortak alanlara (kullanıcı, kaynak IP, sonuç, zaman) eşlenir; ancak böylece bir kullanıcının bir sistemdeki başarısızlığı ile başka bir sistemdeki başarısı ilişkilendirilebilir.

Aranan Desenler

• Kaba kuvvet: kısa sürede çok sayıda başarısız girişin ardından gelen bir başarı
• İmkânsız yolculuk: birbirine uzak iki coğrafyadan çok kısa aralıkla yapılan oturum açmalar
• Olağandışı zaman: kullanıcının normal çalışma düzeninin tamamen dışında gerçekleşen erişim
• Yeni kaynak: daha önce hiç görülmemiş bir cihaz veya ağdan yapılan giriş
• Ayrıcalık sapması: sıradan bir hesabın aniden yönetici kaynaklarına kimlik doğrulaması

Davranış Temelli Bakış

Sabit eşiklere dayalı kurallar bilinen saldırıları yakalar ama saldırgan meşru bir hesapla, normal saatlerde ve tek bir girişle çalıştığında sessiz kalabilir. Bu boşluğu kapatmak için analiz giderek davranış temelli yaklaşıma kayar. UEBA her kullanıcı için bir normal davranış temeli oluşturur ve bu temelden sapmaları işaretler; böylece kural yazılmamış ama alışılmadık bir kimlik davranışı da tespit edilebilir hale gelir.

Kimlik logları, uç noktadan gelen bağlamla birleştiğinde çok daha kesin sonuç verir. Şüpheli bir girişin ardından o oturumda hangi süreçlerin çalıştığını görmek için Uç nokta güvenliği telemetrisine bakılır; giriş kaydı olayın başladığını, uç nokta verisi ise saldırganın içeride ne yaptığını anlatır. İki kaynağın birleşimi, bir alarmı tam bir olay anlatısına dönüştürür.

Kimlik doğrulama log analizi, kimlik saldırılarının ağın derinliklerine yayılmadan yakalanmasında en erken kazanım noktalarından biridir. Privia Security bu yeteneği, dağınık giriş kayıtlarını anlamlı ve önceliklendirilmiş tespitlere bağlayan bir SOC olgunlaştırma bileşeni olarak kurgular ve hangi kimlik desenlerinin kuruma özgü izleneceğini belirler.