Bir bilgisayarda çalışan her program, onu başlatan bir başkası tarafından dünyaya getirilir; süreçler tıpkı bir soy ağacı gibi ebeveyn-çocuk ilişkileriyle birbirine bağlıdır. Bir saldırı çoğu zaman tek bir kötü dosyada değil, bu ilişkinin doğallığından sapan bir zincirde kendini ele verir. Süreç soy ağacı analizi, işte bu zinciri geriye doğru izleyerek “bu program buraya nasıl geldi?” sorusuna yanıt arar.

Görünürlüğü sağlayan araç

Windows’un yerleşik günlükleri süreç başlangıçlarını yeterince ayrıntılı tutmazken, Sysmon devreye girer ve her süreç oluşumunu; ebeveyninin kim olduğu, hangi komut satırıyla çalıştığı ve hangi dosyanın karma değerini taşıdığı bilgisiyle birlikte kaydeder. Bu zengin telemetri olmadan soy ağacı analizi kör bir tahmine dönüşür; Sysmon’un ürettiği Olay ID 1 kayıtları, ağacın her dalını görünür kılan asıl kaynaktır.

Bir sürecin kim tarafından doğurulduğu, çoğu zaman ne yaptığından daha fazlasını anlatır.

Anormalliği ele veren zincirler

Deneyimli bir analistin gözü, belli ebeveyn-çocuk ilişkilerine takılır: bir ofis belgesinin bir komut satırı kabuğu doğurması ya da bir web sunucusu sürecinin sistem araçlarını çalıştırması, sağlıklı bir sistemde beklenmeyen kalıplardır. Bu tür sapmalar genellikle bir sömürünün ya da yerleşme çabasının imzasıdır. Zincirin doğrudan izlendiği bu yaklaşım, uç noktada olup biteni derinlemesine görmeyi gerektirir ve bu yüzden modern Uç nokta güvenliği pratiğinin merkezinde yer alır.

Ham zincirleri anlamlı kılmak için bunları ortak bir dile tercüme etmek gerekir. Gözlemlenen bir ebeveyn-çocuk kalıbı, MITRE ATT&CK çerçevesi içindeki bir tekniğe eşlendiğinde, analist yalnızca “tuhaf bir şey oldu” demekle kalmaz; saldırganın hangi taktiği izlediğini adıyla söyleyebilir. Bu eşleme, tespitleri kurumlar arası ortak bir kelime dağarcığına oturtur ve savunmadaki boşlukları görünür kılar.

Analizde dikkat edilen kalıplar

• Belge uygulamalarının kabuk ya da script yorumlayıcı doğurması
• Sistem araçlarının beklenmedik bir ebeveyn altında çalışması
• Meşru bir isme bürünmüş ama yanlış konumdan çalışan süreçler
• Kısa ömürlü, arka arkaya zincirlenen komut çalıştırmaları

Tespitten olgunluğa

Süreç soy ağacı analizi tek seferlik bir bakış değil, kurumun kendi normalini öğrenmesini gerektiren sürekli bir disiplindir; bir ortamda olağan olan bir zincir, bir başkasında alarm nedeni olabilir. Bu ayrımı yapabilmek olgun bir tespit yeteneği ister. Privia Security, SOC olgunlaştırma hizmetiyle ekiplerin Sysmon telemetrisini doğru toplamasına, soy ağacı kalıplarını kendi ortamlarına göre kalibre etmesine ve gürültü içinde gerçek tehdidi ayırt edebilir hale gelmesine yardımcı olur.