Acı piramidi, bir savunma ekibinin engellediği gösterge türünün saldırgana ne kadar zorluk çıkardığını gösteren basit ama etkili bir modeldir. Piramidin tabanında değiştirilmesi kolay göstergeler, tepesinde ise saldırganın vazgeçmesini gerektiren davranışlar bulunur.

Modelin ana mesajı, tespit yatırımının nereye yapılacağıdır. Kolay değiştirilebilir göstergelere dayanan bir savunma, saldırganın birkaç dakikalık işiyle etkisiz kalır; davranışa dayanan tespit ise altyapı değişse bile çalışmaya devam eder.

Acı Piramidi Nedir?

Acı piramidi; özet değerleri, IP adresleri, alan adları, ağ ve uç nokta artefaktları, araçlar ve saldırgan davranışları olmak üzere gösterge türlerini, saldırgan için değiştirme maliyetine göre sıralayan modeldir.

Piramidin her katmanı, o türden bir göstergeyi engellediğinizde saldırganın katlanacağı maliyeti temsil eder. Tabana yakın engellemeler saldırganı yalnızca birkaç dakika yavaşlatırken, tepeye yakın engellemeler operasyonun yeniden tasarlanmasını gerektirir.

Piramidin Katmanları

Katmanlar aşağıdan yukarıya doğru sıralanır. Aşağıdaki her katman, bir üsttekine göre saldırgan tarafından daha kolay değiştirilir ve savunmaya daha kısa süreli fayda sağlar.

• Özet değerleri: dosya değişince anında geçersizleşir; en kolay atlatılan katman
• IP adresleri: yeni sunucu kiralamak dakikalar sürer
• Alan adları: kayıt maliyeti düşüktür ama yine de bir çaba gerektirir
• Ağ ve uç nokta artefaktları: araç yapılandırmasının değiştirilmesini gerektirir
• Araçlar: yeni araç geliştirmek ya da öğrenmek ciddi zaman ister
• Taktik, teknik ve yordamlar: saldırganın çalışma biçimini değiştirmesi gerekir

Neden Davranış Tespiti Öne Çıkar?

Bir zararlı dosyanın özet değeri, dosyada tek bir bayt değiştiğinde geçersiz olur. Buna karşılık, saldırganın kimlik bilgilerini toplama biçimi ya da kalıcılık kurma yöntemi kolay değişmez; çünkü bu yöntemler saldırganın alışkanlıklarına ve hedef ortamın yapısına bağlıdır.

Bu nedenle olgun ekipler tespit kurallarını mümkün olduğunca üst katmanlara taşır. Belirli bir komut satırı kalıbının, belirli bir süreç zincirinin ya da belirli bir yetki isteme davranışının yakalanması, altyapı değişse bile çalışır.

Alt katmanlar tamamen terk edilmez. Göstergeler ucuz, hızlı ve toplu uygulanabilir olduğu için ilk savunma hattında değerlidir; ancak tek başına savunma stratejisi olarak kabul edilmez.

Tespit Stratejisine Nasıl Uygulanır?

Uygulama, mevcut tespit kurallarının katmanlara dağıtılmasıyla başlar. Kuralların büyük bölümü piramidin tabanında yoğunlaşıyorsa, ekip kısa ömürlü göstergelere bağımlı demektir.

Ardından üst katmanlar için kural yazımına geçilir. MITRE ATT&CK teknikleri bu aşamada yol gösterir; her teknik için hangi kaydın hangi davranışı göstereceği belirlenir ve kural buna göre yazılır.

Yazılan kurallar sınanmadan güvenilir sayılmaz. Kontrollü teknik çalıştırma yöntemiyle her kuralın gerçekten uyarı ürettiği doğrulanır; üretmeyenler kayıt eksikliğine mi yoksa kural hatasına mı bağlı olduğu tespit edilerek düzeltilir.

Sınırları ve Doğru Okunması

Model bir öncelik rehberidir, mutlak bir kural değildir. Bazı durumlarda tek bir IP adresinin engellenmesi, aktif bir kampanyayı anında durdurabilir; bu, alt katmanların değersiz olduğu anlamına gelmez.

İkinci nokta, üst katman tespitinin daha fazla yanlış pozitif üretme eğilimidir. Davranışa dayalı kurallar meşru yönetim faaliyetleriyle örtüşebilir; bu nedenle ortamın normal davranışının iyi bilinmesi gerekir.

Üçüncü nokta, üst katman tespitinin kayıt kalitesine bağımlı olmasıdır. Süreç oluşturma, komut satırı ve kimlik olayları toplanmıyorsa davranış kuralı yazılamaz; bu nedenle model uygulanmadan önce kayıt kapsaması gözden geçirilir.

Gösterge Yaşam Süresi Yönetimi

Alt katman göstergeleri kısa ömürlü olduğu için, engelleme listelerinin süresiz büyümesi ciddi bir işletme sorunu yaratır. Yıllar önce eklenmiş bir IP adresi bugün başka bir kuruma ait olabilir ve engelleme meşru trafiği kesebilir. Bu nedenle her göstergeye bir geçerlilik süresi verilir ve süre dolduğunda otomatik olarak kaldırılır. Kaldırma öncesinde son kullanım tarihine bakılarak istisna tanımlanabilir.

Göstergelerin kaynağı da kayıt altına alınır. Hangi beslemeden ya da hangi olaydan geldiği bilinmeyen bir gösterge, yanlış pozitif ürettiğinde kök nedeni araştırılamaz. Kaynak bilgisi ayrıca beslemelerin kalitesinin ölçülmesini sağlar. Tehdit beslemesi kalitesi bu ölçüm olmadan değerlendirilemez.

Gösterge sayısının çokluğu bir başarı ölçütü değildir. Milyonlarca gösterge içeren bir liste, ürettiği uyarıların incelenmeyeceği anlamına gelir ve gerçek tespitleri gürültü içinde gizler. Doğru yaklaşım, kuruma yönelik olduğu değerlendirilen göstergelerin öncelikli izlenmesidir. Geri kalanı ise engelleme değil, geriye dönük arama amacıyla saklanır.

Üst Katmanlara Geçişte Kayıt İhtiyacı

Davranış tabanlı tespit, ancak uygun kayıtlar toplanıyorsa mümkündür. Süreç oluşturma kayıtları, komut satırı argümanları, üst süreç bilgisi, betik motoru çıktıları ve kimlik olayları bu tespitin temel girdileridir. Bu kayıtlar varsayılan olarak çoğu ortamda toplanmaz; ayrıca yapılandırılmaları gerekir. Kayıt planı yapılmadan yazılan davranış kuralları, hiç uyarı üretmeyen kurallar olur.

Kayıt hacmi ile tespit kabiliyeti arasında doğrudan bir denge vardır. Her şeyi toplamak maliyetli, hiçbir şey toplamamak ise körlük demektir. Doğru yaklaşım, tespit hedeflerinden geriye doğru çalışarak hangi kaydın gerçekten gerekli olduğunu belirlemektir. Log yönetimi stratejisi bu analizle şekillenir.

Kayıtların saklama süresi de tespit türünü etkiler. Davranış tabanlı avcılık çalışmaları, haftalar öncesine dönük arama gerektirebilir; kısa saklama süreleri bu çalışmaları imkânsız kılar. Bu nedenle saklama süresi kararı, yalnızca uyum gereklilikleriyle değil tespit ihtiyacıyla da birlikte verilir.

Piramidin Kurum İçi Ölçüm Aracı Olarak Kullanımı

Model, tespit olgunluğunu ölçmek için basit bir gösterge sunar: kuralların katmanlara dağılımı. Ekip her çeyrekte kurallarını sınıflandırıp dağılımı raporladığında, üst katmanlara doğru bir kayma olup olmadığı görünür hâle gelir. Bu, soyut bir olgunluk iddiası yerine sayısal bir eğilim sağlar. Yönetim raporlamasında da anlaşılır bir ölçüttür.

Ölçümün yanıltıcı olmaması için kural kalitesi de değerlendirilir. Üst katmanda yazılmış ama sürekli yanlış pozitif üreten bir kural, sayıya katkı sağlarken tespit kabiliyetine zarar verir. Bu nedenle dağılım raporu, kuralların ürettiği uyarı ve doğrulanan olay oranlarıyla birlikte okunur. İki ölçüm birlikte, gerçek olgunluğu gösterir.

Privia Security olarak kurumların tespit kural setini bu piramit üzerinden değerlendiriyor, davranış tabanlı tespite geçiş yol haritasını SOC olgunlaştırma kapsamında çıkarıyoruz.