Proxy log analizi, kurum ağından internete çıkan web isteklerinin bir web proxy’si üzerinde biriken kayıtlarını inceleyerek zararlı ya da politika dışı erişimi ortaya çıkarma çalışmasıdır. Proxy, çıkış trafiğinin doğal bir boğaz noktası olduğundan, hangi iç istemcinin hangi alan adına, ne zaman, hangi kullanıcı aracısıyla ve ne kadar veri göndererek eriştiği tek bir yerde kaydedilir.

Proxy günlüğü, kurumdan dışarı akan her web isteğinin kim, nereye ve ne kadar sorusuna verdiği yanıttır; bu üç bilgi bir araya geldiğinde saldırganın dış dünyayla konuşması görünür hale gelir.

Bir Kayıtta Ne Yazar?

Tipik bir proxy satırı zaman damgası, kaynak IP, hedef alan adı ve URL, HTTP yöntemi, dönen durum kodu, gönderilen ve alınan bayt sayısı, kullanıcı aracısı ve kategori bilgisini taşır. Bu alanların değeri tek başına değil, birlikte okunduklarında ortaya çıkar. Örneğin küçük ve düzenli aralıklı isteklerin uzun süre boyunca aynı yeni kayıtlı alan adına gitmesi, insan davranışına değil bir otomatizmaya benzer.

Komuta-kontrol trafiği çoğu zaman meşru web gezinmesi içinde saklanmaya çalışır. Analistin işi bu gürültünün içinden düzeni ayıklamaktır; sabit periyotla tekrar eden bağlantılar, tarayıcıya ait olmayan kullanıcı aracıları, itibarı düşük veya çok yeni alan adları ve alışılmadık ölçüde büyük yükleme hacimleri incelemenin ilk hedefidir. Bu tür kalıpların proaktif olarak taranması, alarm beklemek yerine bir hipotezle yola çıkan Tehdit avcılığı pratiğinin merkezindedir.

Uç Nokta Telemetrisiyle Birleştirmek

Proxy kaydı bağlantının varlığını gösterir ama onu hangi sürecin başlattığını göstermez. Bu boşluk, kaydın Uç nokta güvenliği telemetrisiyle eşleştirilmesiyle kapanır; proxy’de şüpheli bir alan adına giden isteği, uç noktadaki hangi işlemin ürettiği görülür. Bu eşleştirme sayesinde bir tarayıcı sekmesinden gelen normal trafik ile bir betik motorunun ya da imzasız bir çalıştırılabilirin ürettiği anormal trafik ayrışır.

Analizi ölçeklendirmek için proxy günlükleri genellikle bir SIEM platformuna aktarılır. Burada tekil satırlar yerine toplulaştırılmış görünümler üretilir: bir istemcinin gün içinde eriştiği benzersiz alan adı sayısı, kurum genelinde yalnızca tek bir makinenin ziyaret ettiği alan adları veya belirli bir hedefe giden toplam yükleme hacmi gibi ölçütler, tek satırda görünmeyen anormallikleri yüzeye çıkarır.

Yaygın Tuzaklar

Şifreli trafik en büyük sınırdır. TLS araya girmediğinde proxy yalnızca hedef alan adını ve bağlantı meta verisini görür, URL yolunu ve gövdeyi göremez; bu da içerik denetimini imkânsız kılar. Ek olarak, dağıtık içerik ağları ve bulut hizmetleri üzerinden geçen kötü amaçlı trafik meşru servislerin arkasına gizlenebildiğinden, tek başına alan adı itibarı yanıltıcı olabilir. Bu yüzden bulgular çoğunlukla tek bir sinyale değil, birden çok zayıf işaretin bir araya gelmesine dayandırılır.

Proxy verisinin sürekli ve disiplinli okunması bir yetenek meselesidir. Privia Security’nin SOC olgunlaştırma hizmeti, proxy kayıtlarını uç nokta verisiyle ilişkilendiren tekrarlanabilir analiz akışları kurarak bu telemetriyi işler bir tespit kaynağına dönüştürür.