Tehdit avcılığı hipotez kütüphanesi, avcıların ortamda sınayacağı test edilebilir varsayımların düzenli biçimde toplandığı bir kaynaktır. Her hipotez ‘saldırgan şu tekniği kullanmış olsaydı, telemetride şu iz kalırdı’ biçiminde kurulur ve avcıya net bir başlangıç noktası verir. Kütüphane bu varsayımları bir kişinin aklında dağınık durmaktan çıkarıp ekibin ortak, sürekli genişleyen bir mülkiyetine dönüştürür.

İyi bir hipotez, avcıya nereye bakacağını ve orada ne bulursa varsayımının doğrulanmış sayılacağını önceden söyler; belirsiz bir merakı ölçülebilir bir aramaya çevirir.

Hipotez Neden Gerekir?

Alarm beklemek reaktiftir; bir kural ancak önceden tanımlanmış bir kalıbı gördüğünde tetiklenir. Tehdit avcılığı ise henüz kural yazılmamış davranışları proaktif olarak arar, ama yönsüz bir arama verinin içinde boğulur. Hipotez, bu aramaya yön verir: neyi, hangi veri kaynağında, hangi izlere bakarak arayacağını ve bulduğunda ne sonuç çıkaracağını baştan tanımlar. Böylece av, bitişini bilen bir çalışmaya dönüşür.

Yapılandırılmış bir hipotez, aranan tekniği, kullanılacak veri kaynağını, beklenen gözlemi ve doğrulama ölçütünü içerir. Örneğin ‘sistem araçlarının olağandışı ebeveynlerden çalıştırılması’ hipotezi, süreç telemetrisinde belirli bir ebeveyn-çocuk kalıbını arar ve bir eşleşmeyi soruşturma tetikleyicisi olarak tanımlar. Bu netlik, farklı avcıların aynı hipotezi tekrar ve tutarlı biçimde işletebilmesini sağlar.

Hipotezler Nereden Doğar?

Kütüphaneyi besleyen en verimli kaynaklardan biri, saldırgan davranışlarını sistematik biçimde kataloglayan MITRE ATT&CK çerçevesi‘dir; her teknik, doğrudan test edilebilir bir avlanma sorusuna çevrilebilir. Diğer güçlü kaynak, kurumun kendi ortamıyla ilgili güncel tehdit bilgisidir. Siber tehdit istihbaratı belirli bir aktörün hangi teknikleri tercih ettiğini gösterdiğinde, o teknikler önceliklendirilmiş hipotezlere dönüşür ve av, soyut olasılıklar yerine gerçek tehditlere odaklanır.

Kütüphane statik bir liste değildir. Bir hipotezle yapılan av bir tespit boşluğu ortaya çıkarırsa, bu bulgu yeni bir tespit kuralına ya da telemetri iyileştirmesine dönüşür; av sonuçsuz kalırsa bile o alanın taranmış olduğu belgelenir. Zamanla kütüphane, hangi hipotezlerin verimli, hangilerinin gürültülü olduğunu gösteren bir birikime dönüşür ve ekibin avlanma stratejisini olgunlaştırır.

Kütüphaneyi Değere Çevirmek

Bir hipotez kütüphanesinin değeri, düzenli işletildiğinde ve her avın çıktısı geri beslendiğinde ortaya çıkar; aksi halde iyi niyetli ama işlenmeyen bir belge yığını olarak kalır. Privia Security’nin SOC olgunlaştırma çalışması, hipotez kütüphanesini düzenli avlanma döngülerine ve tespit mühendisliğine bağlayarak proaktif savunmayı sürdürülebilir bir pratiğe dönüştürür.