Savunmadan kaçınma, bir saldırganın güvenlik kontrolleri tarafından fark edilmemek için başvurduğu tekniklerin genel adıdır. Bu teknikler saldırı zincirinin herhangi bir aşamasında değil, neredeyse tüm aşamalarında kullanılır. Amaç, hem otomatik tespit sistemlerinden hem de inceleme yapan analistlerden gizlenmektir. Kaçınma başarılı olduğunda saldırganın ortamda kalma süresi uzar. Uzayan süre, elde edilen zararın da büyümesi anlamına gelir.

Kaçınma teknikleri, savunmanın olgunluğuna göre şekillenir. Zayıf korunan ortamlarda basit yöntemler yeterli olurken, olgun ortamlarda daha karmaşık teknikler gerekir. Bu nedenle kaçınma çabası, aslında savunmanın etkinliğinin dolaylı bir göstergesidir. Saldırganın ne kadar uğraştığı, kontrollerin ne kadar iş gördüğünü de gösterir. Bu bakış, tatbikat sonuçlarının yorumlanmasında kullanılır.

Savunmadan Kaçınma Nedir?

Savunmadan kaçınma, saldırganın güvenlik kontrollerini atlatmak, devre dışı bırakmak ya da bıraktığı izleri gizlemek için kullandığı tekniklerin tümünü kapsayan taktik başlığıdır.

Kaçınma teknikleri üç ana amaca hizmet eder. Birincisi, kullanılan araç ve kodun tespit edilmemesidir. İkincisi, güvenlik kontrollerinin devre dışı bırakılması ya da körleştirilmesidir. Üçüncüsü ise bırakılan izlerin silinmesi veya gizlenmesidir. Üç amaç genellikle birlikte kullanılır. Etkili bir savunma, üçüne de ayrı ayrı karşılık üretmelidir.

Araç ve Kod Düzeyinde Kaçınma

İlk yaklaşım, kullanılan kodun bilinen imzalara uymamasını sağlamaktır. Kodun her kullanımda farklı biçimde paketlenmesi, imza tabanlı tespiti etkisiz kılar. Bu nedenle modern savunma, imza yerine davranış analizine dayanır. Davranış analizi, kodun ne olduğuna değil ne yaptığına bakar. Bu yaklaşım, bilinmeyen kodlara karşı da çalışır.

İkinci yaklaşım, hiç dosya bırakmamaktır. Kodun doğrudan bellekte çalıştırılması, disk üzerinde inceleme yapan kontrolleri devre dışı bırakır. Dosyasız saldırı tekniği bu mantığa dayanır. Tespit, bellek ve süreç davranışı izlemesine kayar. Bu izleme için uygun kayıtların toplanması gerekir.

Üçüncü yaklaşım, ortamda hâlihazırda bulunan meşru araçların kullanılmasıdır. Yönetim araçları ve betik motorları hem güvenilir kabul edilir hem de zaten kuruludur. Yaşayan araçlarla saldırı bu yaklaşımın adıdır. Tespit, aracın kullanımına değil kullanım bağlamına bakmalıdır. Bu ayrım, kural yazımını zorlaştırır.

• Kodun her kullanımda farklı paketlenmesi
• Yalnızca bellekte çalıştırma ve dosya bırakmama
• Meşru sistem araçlarının kötüye kullanılması
• İncelemeyi zorlaştıran kod karartma teknikleri
• Sanal ortam ve analiz ortamı tespiti
• Zamanlama ile gecikmeli çalıştırma

Kontrolleri Devre Dışı Bırakma

Yeterli yetkiyi elde eden saldırganın sık başvurduğu yol, güvenlik ürünlerini durdurmak ya da yapılandırmalarını değiştirmektir. Uç nokta korumasının kapatılması, kayıt gönderiminin durdurulması ve güvenlik duvarı kurallarının değiştirilmesi bu kapsamdadır. Bu işlemler yönetici yetkisi gerektirdiği için, yetki yükseltmenin ardından gelir. Bu nedenle iki teknik birlikte izlenmelidir. Yetki yükseltme tespiti, kaçınmayı da önceden yakalayabilir.

Buna karşı en etkili önlem, güvenlik ürünlerinin kurcalanmaya karşı korumasının etkinleştirilmesidir. Bu koruma, yerel yönetici yetkisiyle bile ürünün durdurulmasını engeller. Ayrıca ürünün durdurulma girişimi merkezî konsola uyarı olarak iletilir. Bu ayarın açık olup olmadığı düzenli denetlenmelidir. Varsayılan olarak kapalı gelen ürünler bulunmaktadır.

Kayıt gönderiminin kesilmesi de ayrıca izlenmelidir. Bir sistemden beklenen kayıtların gelmemesi, kendi başına bir uyarı olmalıdır. Bu tür sessizlik tespiti, çoğu ortamda yapılandırılmamıştır. Oysa kayıt kesilmesi, saldırının en güçlü işaretlerinden biridir. Basit bir eşik kuralıyla uygulanabilir.

İzlerin Silinmesi

Saldırganların yaygın davranışlarından biri, olay kayıtlarını silmek ya da temizlemektir. Kayıtların yerel olarak tutulduğu ortamlarda bu işlem inceleme imkânını ortadan kaldırır. Bu nedenle kayıtların üretildikleri sistemden bağımsız bir alana anlık aktarılması gerekir. Aktarılan kayıtlara yerel yöneticinin erişimi olmamalıdır. Bu ayrım, adli incelemenin dayanağıdır.

Kayıt silme işleminin kendisi de bir olaydır ve uyarı üretmelidir. Olay günlüğünün temizlenmesi, meşru bir yönetim faaliyeti olarak nadiren gerçekleşir. Bu nedenle yüksek öncelikli bir tespit kuralı olarak tanımlanabilir. Yanlış pozitif oranı düşüktür. Kural, hemen hemen her ortamda uygulanabilir.

Zaman damgalarının değiştirilmesi de bir kaçınma tekniğidir. Dosya oluşturma ve değiştirme zamanlarının geçmişe alınması, zaman çizelgesi analizini yanıltır. Bu müdahale, dosya sistemi düzeyindeki ek üst verilerle tespit edilebilir. Zaman çizelgesi analizi bu tutarsızlıkları ortaya çıkarır. İnceleme sırasında bu kontrol yapılmalıdır.

Savunma Tarafında Ne Yapılmalı?

İlk adım, kayıt bütünlüğünün güvence altına alınmasıdır. Kayıtların merkezî, ayrı yetkiyle korunan ve değiştirilemez bir alanda saklanması, kaçınma tekniklerinin çoğunu etkisiz kılar. Bu yatırım, tespit kabiliyetinin temelidir. Kayıt olmadan hiçbir kural çalışmaz. Bu nedenle önceliklendirmede ilk sırada yer alır.

İkinci adım, tespit kurallarının davranış temelli yazılmasıdır. Belirli araç adlarına ya da dosya özetlerine dayanan kurallar kolayca atlatılır. Bunun yerine tekniğin kendisine odaklanan kurallar tercih edilir. Acı piramidi bu tercihin gerekçesini açıklar. Kural seti bu perspektifle gözden geçirilmelidir.

Üçüncü adım, kontrollerin düzenli olarak sınanmasıdır. Kaçınma tekniklerinin kontrollü biçimde uygulanması, hangi tekniğin tespit edildiğini gösterir. Sonuçlar bir kapsama haritasına işlenir ve eksikler kapatılır. Bu döngü, savunmanın olgunlaşmasını sağlar. Ölçülmeyen bir kabiliyet, var sayılamaz.

Analiz Ortamından Kaçınma

Zararlı kodların bir bölümü, çalıştığı ortamın bir analiz ortamı olup olmadığını kontrol eder. Sanal makine göstergeleri, analiz araçlarının varlığı, düşük kaynak miktarı ve kullanıcı etkileşiminin yokluğu bu kontrollerin girdileridir. Analiz ortamı tespit edildiğinde kod zararsız davranır ya da hiç çalışmaz. Bu davranış, otomatik analiz sistemlerinin yanıltılmasını sağlar. Sonuçta dosya temiz olarak raporlanır.

Buna karşı analiz ortamlarının gerçekçi hâle getirilmesi gerekir. Kullanıcı dosyalarının bulunması, tarayıcı geçmişinin olması ve makul kaynak tanımlanması bu gerçekçiliği sağlar. Ayrıca gecikmeli çalışan kodlar için analiz süresinin uzatılması gerekir. Kum havuzu yapılandırması bu ayrıntıları içermelidir. Varsayılan yapılandırmalar kolayca tanınır.

Zamanlama tabanlı kaçınma da yaygındır. Kod, çalışmaya başlamadan önce uzun süre bekleyerek analiz penceresinin dışına çıkar. Bazı varyasyonlar belirli bir tarihe ya da kullanıcı eylemine kadar bekler. Bu davranış, statik analizle tespit edilebilir. Dinamik analiz tek başına yeterli değildir.

Ağ Katmanında Kaçınma

Komuta kontrol iletişiminin gizlenmesi de kaçınmanın bir parçasıdır. Trafiğin şifrelenmesi, meşru servisler üzerinden taşınması ve normal trafiğe benzetilmesi yaygın yöntemlerdir. Bulut depolama ve mesajlaşma platformları bu amaçla kullanıldığında, trafik tamamen meşru görünür. Bu nedenle tespit, hedef adrese değil davranış örüntüsüne bakmalıdır. Düzenli aralıklarla yapılan küçük istekler karakteristik bir örüntüdür.

Alan adı üretim algoritmaları da kaçınma amacıyla kullanılır. Zararlı yazılım, önceden tanımlı bir adres yerine algoritmayla üretilen çok sayıda alan adını dener. Engelleme listeleri bu yöntemi yakalayamaz. Tespit, başarısız ad çözümleme sorgularındaki artışa bakarak yapılır. DNS log analizi bu örüntüyü ortaya çıkarır.

Trafiğin zamanlaması da gizlenmeye çalışılır. Mesai saatlerinde ve normal kullanıcı trafiğiyle karışık gönderim yapılması, hacim analizini zorlaştırır. Buna karşı temel çizgi analizi kullanılır. Her sistemin normal trafik profili çıkarılır ve sapmalar izlenir. Profil olmadan sapma tanımlanamaz.

Kaçınmanın Ölçülmesi

Kurumun kaçınma tekniklerine karşı dayanıklılığı ölçülebilir. Bilinen tekniklerin kontrollü biçimde çalıştırılması ve hangilerinin uyarı ürettiğinin kaydedilmesi bu ölçümü sağlar. Sonuçlar bir kapsama tablosuna işlenir. Tablo, tespit yatırımının nereye yapılacağını gösterir. Ölçüm dönemsel olarak tekrarlanır.

Ölçüm sırasında yalnızca uyarı üretilip üretilmediğine değil, uyarının incelenip incelenmediğine de bakılır. Üretilen ama kimsenin bakmadığı bir uyarı, tespit sayılmaz. Bu nedenle ölçüm, sürecin tamamını kapsamalıdır. Mor takım çalışmaları bu bütünsel ölçümü sağlar. Sonuçlar hem teknik hem süreç iyileştirmesi üretir.

Ölçüm sonuçlarının zaman içindeki eğilimi de raporlanır. Tespit edilen teknik oranının artması, savunmanın olgunlaştığını gösterir. Bu gösterge, yönetim raporlamasında somut bir dayanak sunar. Tek bir ölçüm yerine eğilim izlenmelidir. Eğilim, yatırımın karşılığını görünür kılar.

Privia Security olarak kaçınma tekniklerine karşı tespit kabiliyetiniSOC olgunlaştırma çalışmaları kapsamında ölçüyor, kural ve kayıt eksiklerini birlikte kapatıyoruz.