Saldırı göstergeleri (IOA), saldırganların niyet ve davranışlarını gösteren, davranış temelli tespit sağlayan göstergelerdir. Uzlaşma göstergeleri belirli izleri tanımlarken, saldırı göstergeleri saldırgan davranışlarına odaklanır. Bu davranışlar, saldırganın ne yaptığını gösterir. Saldırı göstergeleri, bu davranışları tanımlayarak bilinmeyen tehditleri bile tespit edebilir. Bu göstergeler, davranış temelli savunmanın bir aracıdır.

Alanın önemi, davranış temelli tespitin gücünden gelir. Saldırganlar, belirli izleri kolayca değiştirebilir ama davranışlarını değiştirmek zordur. Saldırı göstergeleri, bu kalıcı davranışları hedefler. Bu odak, gösterge tabanlı tespitten daha dayanıklı bir savunma sağlar. Bu göstergeler, modern savunmanın bir gereğidir.

Saldırı Göstergeleri Nedir?

Saldırı göstergeleri (IOA), saldırganların davranış ve niyetlerini gösteren, belirli izlerden bağımsız olarak davranış temelli tespit sağlayan göstergelerdir.

Saldırı göstergeleri, davranışlara odaklanır. Belirli izler yerine, saldırganın davranışları tanımlanır. Bu davranışlar, saldırının niyetini gösterir. MITRE ATT&CK çerçevesi, bu davranışları belgeler. Davranış odağı, saldırı göstergelerinin özüdür.

Saldırı göstergeleri, izlerden bağımsızdır. Belirli dosya karmaları ya da adresler yerine, davranış örüntüleri tanımlanır. Bu bağımsızlık, göstergelerin daha dayanıklı olmasını sağlar. Uzlaşma göstergeleri ise belirli izlere dayanır. İz bağımsızlığı, saldırı göstergelerinin gücüdür.

Ne Sağlar?

Saldırı göstergeleri, bilinmeyen tehditleri yakalar. Davranış temelli olduğu için, saldırı göstergeleri daha önce görülmemiş tehditleri de tespit edebilir. Bu yetenek, imza tabanlı tespitin sınırlarını aşar. Böylece sıfırıncı gün tehditleri bile yakalanabilir. Bilinmeyen tehdit tespiti, saldırı göstergelerinin başlıca yararıdır.

Saldırı göstergeleri, atlatmaya dayanıklıdır. Saldırganlar, belirli izleri değiştirebilir ama davranışlarını değiştirmek zordur. Bu dayanıklılık, saldırı göstergelerini güçlü kılar. Tehdit avcılığı, bu göstergelerden yararlanır. Atlatma direnci, saldırı göstergelerinin bir yararıdır.

• Saldırgan davranışları
• Niyet gösterimi
• Bilinmeyen tehdit tespiti
• Atlatma direnci
• Davranış temelli tespit

Nasıl Kullanılır?

Saldırı göstergeleri, davranış tespitine dönüştürülür. Saldırgan davranışları, tespit kurallarına dönüştürülür. Bu kurallar, davranışları sistemlerde arar. Tespit mühendisliği, bu dönüşümü sağlar. Davranış tespiti, saldırı göstergelerinin kullanımının bir biçimidir.

Saldırı göstergeleri, uzlaşma göstergelerini tamamlar. İki gösterge türü, birlikte hem bilinen hem bilinmeyen tehditleri yakalar. Bu tamamlayıcılık, kapsamlı bir tespit sağlar. Birlikte kullanım, savunmayı güçlendirir. Tamamlayıcılık, saldırı göstergelerinin bir değeridir.

Davranış Odaklı Tespit

Saldırı göstergeleri, davranış örüntülerini tanımlar. Bir saldırının belirli davranış örüntüleri, saldırı göstergelerini oluşturur. Bu örüntüler, saldırganın ne yaptığını gösterir. Örneğin belirli bir sırayla gerçekleşen işlemler, bir saldırıyı gösterebilir. Davranış örüntüleri, saldırı göstergelerinin temelidir.

Davranış tespiti, bağlam gerektirir. Bir davranışın zararlı olup olmadığı, bağlamına bağlıdır. Bu nedenle saldırı göstergeleri, bağlamı dikkate almalıdır. Bağlamsız değerlendirme, yanlış uyarılara yol açabilir. Bağlam, davranış tespitinin bir gereğidir.

Davranış tespiti, gelişmiş analiz gerektirir. Saldırgan davranışlarının tanımlanması, gelişmiş analiz yetenekleri ister. Bu analiz, karmaşık örüntüleri yakalar. Basit kurallar, gelişmiş davranışları kaçırabilir. Gelişmiş analiz, davranış tespitinin bir gereğidir.

Çerçevelerle İlişki

Saldırı göstergeleri, saldırı çerçevelerine dayanır. Saldırgan taktiklerini belgeleyen çerçeveler, saldırı göstergelerine kaynak sağlar. MITRE ATT&CK çerçevesi, bu davranışları yapılandırır. Bu çerçeveler, göstergeleri sistematik kılar. Çerçeve temeli, saldırı göstergelerinin bir kaynağıdır.

Çerçeveler, kapsam sağlar. Saldırgan taktiklerine göre tanımlanan göstergeler, kapsamlı bir tespit sağlar. Bu kapsam, önemli davranışların kapsanmasını güvence altına alır. Böylece savunma, sistematik biçimde genişler. Çerçeve kapsamı, saldırı göstergelerinin bir yararıdır.

Çerçeveler, ortak dil sağlar. Saldırgan davranışları, çerçeve terimleriyle ifade edilir. Bu ortak dil, göstergelerin paylaşılmasını kolaylaştırır. Böylece savunucular, davranışları aynı çerçevede konuşur. Ortak dil, saldırı göstergelerinin bir katkısıdır.

Uygulama Zorlukları

Davranış tespiti, dikkatli ayarlama gerektirir. Yanlış ayarlanmış davranış kuralları, çok sayıda yanlış uyarı üretebilir. Bu nedenle saldırı göstergeleri, dikkatle ayarlanmalıdır. Aşırı hassas kurallar, gürültü yaratır. Dikkatli ayarlama, saldırı göstergelerinin bir gereğidir.

Davranış tespiti, kaynak gerektirir. Gelişmiş davranış analizi, daha fazla hesaplama kaynağı ister. Bu kaynak ihtiyacı, uygulamanın bir maliyetidir. Ancak sağladığı dayanıklı tespit, bu maliyeti haklı çıkarır. Kaynak ihtiyacı, davranış tespitinin bir dikkat noktasıdır.

Privia Security olarak saldırı göstergeleri ve davranış temelli tespit süreçlerinin değerlendirilmesini SOC olgunlaştırma kapsamında ele alıyoruz.