Siber öldürme zinciri, hedefli bir saldırının baştan sona hangi aşamalardan geçtiğini tanımlayan bir modeldir. Askerî hedefleme doktrininden uyarlanmıştır ve savunmanın her aşamada müdahale fırsatı olduğu fikrine dayanır.

Modelin temel katkısı bakış açısını değiştirmesidir: saldırı tek bir an değil, bir dizi adımdır. Savunanın bu adımlardan yalnızca birini kırması, saldırının hedefine ulaşmasını engellemeye yeter.

Siber Öldürme Zinciri Nedir?

Siber öldürme zinciri; keşif, silahlandırma, teslim, sömürü, kurulum, komuta kontrol ve hedefe yönelik eylem aşamalarından oluşan, saldırı sürecini adım adım tanımlayan modeldir.

Model, savunma yatırımlarının nereye yapılacağını görmeyi kolaylaştırır. Kontroller aşamalara dağıtıldığında, hangi aşamada kör kalındığı ortaya çıkar; çoğu kurumda bu boşluk teslim sonrası aşamalarda bulunur.

Yedi Aşama

Aşamalar sıralıdır ancak gerçek saldırılarda tam olarak bu düzende ilerlemeyebilir. Saldırgan bazı aşamaları atlayabilir, geri dönebilir ya da aynı anda birden çok yol deneyebilir.

• Keşif: hedef hakkında bilgi toplama, çalışan ve teknoloji haritası çıkarma
• Silahlandırma: zararlı yükün taşıyıcı bir dosya ya da bağlantıyla birleştirilmesi
• Teslim: yükün hedefe ulaştırılması; e-posta, web ya da taşınabilir medya
• Sömürü: bir zafiyetin ya da kullanıcı eyleminin tetiklenmesi
• Kurulum: kalıcılık sağlayan bileşenin yerleştirilmesi
• Komuta kontrol: ele geçirilen sistemle saldırgan altyapısı arasında kanal kurulması
• Hedefe yönelik eylem: veri sızdırma, şifreleme ya da sistem bozma

Savunmada Nasıl Kullanılır?

Model, mevcut kontrollerin aşamalara eşlenmesiyle kullanılır. Her aşama için hangi kontrolün önleyici, hangisinin tespit edici olduğu tabloya yazılır; boş kalan hücreler yatırım önceliğini gösterir.

Eşleme çoğunlukla ilk üç aşamada yoğunlaşma, sonraki aşamalarda ise seyrekleşme gösterir. Bu dağılım, ilk erişimin sağlandığı senaryolarda kurumun neden geç fark ettiğini açıklar; komuta kontrol ve sızdırma aşamalarında görünürlük eksiktir.

Tablo aynı zamanda tatbikat planlamasında kullanılır. Mor takım çalışmalarında her aşama için bir teknik uygulanır ve tespit kabiliyeti ölçülür; sonuçlar doğrudan aynı tabloya işlenir.

Modelin Sınırları

En sık dile getirilen eleştiri, modelin dış saldırgan ve kötü amaçlı yazılım merkezli olmasıdır. Ele geçirilmiş kimlik bilgisiyle doğrudan giriş yapan bir saldırgan, silahlandırma ve sömürü aşamalarını hiç kullanmaz.

İkinci sınır, içeriden tehdit senaryolarına uymamasıdır. Zaten yetkili bir çalışanın verileri kopyalaması, zincirin ilk beş aşamasını gereksiz kılar.

Üçüncü sınır, aşamaların doğrusal varsayılmasıdır. Modern saldırılarda yanal hareket, yetki yükseltme ve yeniden keşif adımları döngüsel biçimde tekrarlanır; bu tekrarlar modelde ayrı aşamalar olarak yer almaz.

Diğer Modellerle İlişkisi

Bu sınırlar nedeniyle model çoğunlukla tek başına değil, tekniğe odaklanan çerçevelerle birlikte kullanılır. MITRE ATT&CK saldırgan davranışlarını taktik ve teknik düzeyinde ayrıntılandırdığı için tespit kuralı yazımında daha kullanışlıdır.

Pratik yaklaşım, öldürme zincirini üst düzey anlatım ve yönetim raporlaması için, teknik çerçeveleri ise tespit ve avcılık çalışmaları için kullanmaktır. İki model birbirinin yerine değil, farklı katmanlarda çalışır.

Aşamalara Göre Kontrol Örnekleri

Keşif aşamasında savunma seçenekleri sınırlıdır ama yok değildir. Kurum hakkında kamuya açık kaynaklarda bulunan bilginin azaltılması, çalışan e-posta adreslerinin toplu biçimde erişilebilir olmaması ve dışa açık sistemlerin gereksiz bilgi sızdırmaması bu aşamada işe yarar. Ayrıca dışarıdan yapılan tarama girişimlerinin kaydedilmesi, sonraki aşamalarla ilişkilendirme imkânı verir.

Teslim aşaması, çoğu kurumun en fazla yatırım yaptığı yerdir. E-posta güvenlik denetimleri, bağlantı yeniden yazma, ek dosya analizi ve web filtreleme bu aşamada devreye girer. Ancak bu kontroller yalnızca bilinen kalıpları yakalayabildiği için tek başına yeterli değildir. Kullanıcının şüpheli mesajı bildirebileceği kanal da bu aşamanın parçasıdır.

Kurulum ve komuta kontrol aşamalarında görünürlük belirleyicidir. Süreç oluşturma kayıtları, kalıcılık mekanizmalarının izlenmesi ve olağandışı giden bağlantıların tespiti bu aşamada devreye girer. Uç nokta güvenliği çözümlerinin gerçek katkısı burada ortaya çıkar. Bu aşamada kör kalan kurumlar, saldırıyı ancak son aşamada fark eder.

Aşama Kapsama Tablosu Nasıl Hazırlanır?

Tablo, satırlarda aşamaları ve sütunlarda kontrol türlerini içerecek biçimde kurulur. Her hücreye o aşamada devrede olan kontrol, ürettiği kayıt ve varsa uyarı kuralı yazılır. Boş hücreler doğrudan yatırım önerisine dönüşür. Tablonun tek sayfada tutulması, yönetim sunumlarında da kullanılabilmesini sağlar.

Tablo hazırlanırken kontrollerin varlığı değil etkinliği yazılmalıdır. Bir aşamada kontrol bulunuyor ama uyarı üretmiyorsa, o hücre dolu sayılmaz. Etkinlik, kontrollü teknik çalıştırmalarla doğrulanır ve sonuç tabloya işlenir. Böylece tablo bir envanter değil, bir kabiliyet haritası hâline gelir.

Tablonun dönemsel olarak güncellenmesi, ilerlemenin izlenmesini sağlar. Yeni devreye alınan kontroller ve kapatılan boşluklar zaman içinde görünür hâle gelir. Bu görünürlük, güvenlik bütçesinin savunulmasında somut bir dayanak sunar. Ayrıca ekip için de somut bir hedef listesi oluşturur.

Model Yönetim İletişiminde Nasıl Kullanılır?

Teknik olmayan paydaşlara saldırı sürecini anlatmak, çoğu zaman güvenlik ekibinin en zorlandığı konudur. Yedi aşamalı bir anlatım, olayın neden tek bir üründe çözülemeyeceğini görsel olarak açıklar. Yöneticiler, saldırının bir an değil bir süreç olduğunu gördüklerinde farklı aşamalara yapılan yatırımı daha kolay anlar. Bu, modelin en pratik faydalarından biridir.

Gerçekleşen bir olay sonrasında da aynı model kullanılır. Olayın hangi aşamada fark edildiği ve hangi aşamalarda kör kalındığı gösterildiğinde, ders çıkarma toplantısı suçlama yerine iyileştirmeye odaklanır. Çıkan bulgular doğrudan kapsama tablosuna işlenir. Böylece her olay, ölçülebilir bir iyileştirme listesi üretir.

Tatbikat sonuçları da aynı dille raporlanır. Kırmızı takım operasyonu sonrasında hangi aşamaların tespit edildiği aşama aşama gösterildiğinde, sonuç bir başarı-başarısızlık ikilisi olmaktan çıkar. Rapor, hangi aşamada ne kadar zaman kazanıldığını da içerir.

Privia Security olarak kurumların tespit kabiliyetini saldırı aşamaları üzerinden ölçüyor, boş kalan aşamalar için SOC olgunlaştırma kapsamında somut kural ve süreç önerileri sunuyoruz.