Saldırı tespit sistemi, ağ trafiğini ya da sistem etkinliğini izleyerek saldırı belirtilerini tespit eden ve uyarı üreten kontroldür. Trafiği engellemez; yalnızca gözlemler ve bildirir. Bu pasif konum, üretim akışını etkilememesini sağlar. Buna karşılık tespit edilen saldırı otomatik olarak durdurulmaz. Müdahale insan ya da başka bir sistem tarafından yapılır. Bu ayrım, önleme sistemlerinden temel farkıdır.

Sistem iki temel biçimde konumlandırılır. Ağ tabanlı olanlar, ağ trafiğinin bir kopyasını alarak çalışır ve segment düzeyinde görünürlük sağlar. Ana bilgisayar tabanlı olanlar ise tek bir sistem üzerinde çalışarak dosya değişikliklerini ve süreç etkinliğini izler. İki biçim farklı görünürlük sunar ve birbirini tamamlar. Kapsam planlaması ikisini de içermelidir. Tek biçim eksik kalır.

Saldırı Tespit Sistemi Nedir?

Saldırı tespit sistemi, ağ ya da sistem etkinliğini izleyerek bilinen saldırı desenlerini ve anormal davranışları tespit eden ve uyarı üreten güvenlik kontrolüdür.

Tespit iki yöntemle yapılır. İmza tabanlı yöntemde bilinen saldırı desenleri aranır; hızlı ve kesindir ama yalnızca bilinenleri yakalar. Anormallik tabanlı yöntemde ise normal davranış profilinden sapmalar aranır; bilinmeyenleri de yakalayabilir ama yanlış pozitif üretir. Modern ürünler iki yöntemi birlikte kullanır. Denge yapılandırmayla kurulur. Ortam profiline göre ayarlanır.

Konumlandırma

Ağ tabanlı sistemler, anahtar üzerinde tanımlanan bir yansıtma portundan ya da özel bir dokunma cihazından trafik alır. Bu konum, trafiği etkilemeden gözlem yapılmasını sağlar. Konum seçimi, hangi trafiğin görüleceğini belirler. Yalnızca dış sınıra yerleştirilen bir sistem, iç trafiği göremez. Bu nedenle kritik segmentler arasına da yerleştirilmesi önerilir. Kapsam planlanmalıdır.

Şifreli trafik bu sistemler için bir sınır oluşturur. İçerik görülemediği için imza tabanlı tespit çalışmaz. Bu durumda üst veri analizi devreye girer. Bağlantı örüntüleri, sertifika bilgileri ve trafik hacmi değerlendirilir. Bu analiz, içerik olmadan da anlamlı sinyaller üretir. Yaklaşım giderek yaygınlaşmaktadır.

• Ağ tabanlı: segment trafiğinin pasif izlenmesi
• Ana bilgisayar tabanlı: dosya ve süreç etkinliğinin izlenmesi
• İmza tabanlı tespit: bilinen saldırı desenleri
• Anormallik tabanlı tespit: davranış profilinden sapmalar
• Şifreli trafikte üst veri analizi

Kural Yönetimi ve Gürültü

Bu sistemlerin en büyük işletme sorunu, ürettikleri uyarı hacmidir. Varsayılan kural setleri geniş kapsamlıdır ve ortama uyarlanmadığında çok sayıda yanlış pozitif üretir. İncelenmeyen uyarılar zamanla tamamen göz ardı edilir ve sistem işlevsiz hâle gelir. Bu nedenle devreye alma sonrası uyarlama şarttır. Uyarlama süreci haftalar sürebilir. Sabır gerektirir.

Uyarlama, ortamın normal trafiğinin öğrenilmesiyle yapılır. Sürekli uyarı üreten meşru davranışlar için istisna tanımlanır. İstisnaların belgelenmesi ve dönemsel gözden geçirilmesi gerekir. Belgesiz istisnalar zamanla kapsama boşluğu üretir. Disiplin gereklidir. Süreç tanımlanmalıdır.

Uyarıların merkezî bir platforma aktarılması da önerilir. Tek başına değerlendirilen bir ağ uyarısı çoğu zaman anlam taşımaz; uç nokta ve kimlik olaylarıyla birleştirildiğinde anlam kazanır. SIEM bu birleştirmeyi sağlar. Korelasyon kuralları burada yazılır. Değer bu katmanda üretilir.

Önleme Sisteminden Farkı

İki sistem aynı tespit yeteneklerini paylaşır; fark, eşleşme sonrasında yapılan işlemdedir. Tespit sistemi yalnızca uyarı üretir ve trafiğe müdahale etmez. Saldırı önleme sistemi ise trafiği durdurabilir. Bu fark, konumlandırmayı da belirler: tespit sistemi pasif bir kopyadan beslenirken, önleme sistemi akış yolunda bulunur. İki yaklaşım farklı risk profilleri taşır. Seçim ortama göre yapılır.

Tespit sisteminin avantajı, üretim akışını hiç etkilememesidir. Yanlış bir eşleşme yalnızca gereksiz bir uyarı üretir; hizmet kesintisi yaratmaz. Bu özellik, yeni kural setlerinin denenmesi için de elverişlidir. Riskli kurallar önce burada çalıştırılır. Sonuçlar değerlendirilir. Ardından önleme tarafına taşınır.

Dezavantajı ise müdahalenin gecikmesidir. Uyarı üretilse bile birileri okuyup harekete geçene kadar saldırı sürer. Bu gecikme, hızlı ilerleyen saldırılarda kritik olabilir. Bu nedenle kritik segmentlerde önleme tercih edilir. İki sistem birlikte de kullanılabilir. Katmanlı yaklaşım geçerlidir.

Ana Bilgisayar Tabanlı Tespit

Ana bilgisayar tabanlı sistemler, tek bir sistem üzerinde çalışarak dosya değişikliklerini, süreç etkinliğini ve oturum açma olaylarını izler. Bu görünürlük, ağ tabanlı sistemlerin göremediği ayrıntıyı sunar. Şifreli trafik sorunu da bu katmanda yaşanmaz çünkü veriler zaten çözülmüş hâldedir. Bu nedenle iki katman birbirini tamamlar. Kapsam planlaması ikisini de içermelidir. Tek katman eksik kalır.

Dosya bütünlüğü izleme bu kategorinin önemli bir bileşenidir. Kritik sistem dosyalarında ve yapılandırma dosyalarında yapılan değişiklikler kaydedilir ve uyarı üretir. Bu izleme, kalıcılık mekanizmalarının tespitinde etkilidir. Ayrıca uyum gerekliliklerinin de bir maddesidir. Kapsamın doğru belirlenmesi gerekir. Aşırı kapsam gürültü üretir.

Modern uç nokta çözümleri bu yetenekleri içerir. Ayrı bir ürün kurmak yerine mevcut çözümün yeteneklerinin etkinleştirilmesi genellikle daha verimlidir. Uç nokta güvenliği ürününün tam kapasitesi kullanılmalıdır. Varsayılan ayarlar yetersiz olabilir. Yapılandırma gözden geçirilmelidir.

Privia Security olarak tespit sistemlerinin kapsamını ve uyarı kalitesini SOC olgunlaştırma kapsamında değerlendiriyoruz.