Zararlı yazılım analizi, ele geçirilmiş bir örneğin ne yaptığını, nasıl çalıştığını ve hangi izleri bıraktığını ortaya çıkarma çalışmasıdır. Amaç merak değil, savunmaya somut girdi üretmektir. Analiz sonucunda tespit kuralları yazılır, etkilenen sistemler belirlenir ve bulaşma yolu kapatılır. Bu üç çıktı, çalışmanın değerini belirler. Çıktı üretmeyen bir analiz, harcanan zamanı karşılamaz.

Analiz her kurumda içeride yapılmak zorunda değildir. Küçük ekiplerde temel düzeyde inceleme yeterli olabilir; derin analiz dışarıdan alınabilir. Önemli olan, hangi düzeyde analiz yapılacağının önceden belirlenmesidir. Bu karar, kurumun risk profiline ve olay sıklığına göre verilir. Kapasitesi olmayan ekiplerin derin analize girişmesi zaman kaybettirir.

Zararlı Yazılım Analizi Nedir?

Zararlı yazılım analizi, bir zararlı örneğin işlevini, iletişim biçimini ve bıraktığı izleri belirleyerek tespit ve müdahale için kullanılabilir bilgi üretme sürecidir.

Analiz genellikle üç düzeyde ele alınır. Birinci düzey hızlı sınıflandırmadır ve dakikalar sürer. İkinci düzey davranış analizidir ve saatler alabilir. Üçüncü düzey ise kod düzeyinde inceleme olup günler sürebilir. Düzey seçimi, olayın kritikliğine göre yapılır.

Analiz Aşamaları

İlk aşama, örneğin güvenli biçimde toplanmasıdır. Dosya, yazma korumalı bir ortamda saklanır ve özet değeri kaydedilir. Bu kayıt, hem kimlik hem bütünlük sağlar. Örneğin yanlışlıkla çalıştırılmaması için parolalı arşivde tutulması yaygın bir uygulamadır. Bu disiplin analiz ekibinin standardı olmalıdır.

İkinci aşama, statik incelemedir. Dosya çalıştırılmadan yapısı, metin sabitleri ve içe aktarma tablosu incelenir. Statik zararlı analizi hızlı ve risksizdir. Paketlenmiş örneklerde sınırlı sonuç verir. Bu durumda dinamik analize geçilir.

Üçüncü aşama, dinamik incelemedir. Örnek izole bir ortamda çalıştırılır ve davranışı gözlenir. Dosya, kayıt defteri ve ağ etkinliği kaydedilir. Dinamik zararlı analizi en hızlı davranış bilgisini üretir. Ortam kontrolleri bu analizi zorlaştırabilir.

• Örneğin güvenli toplanması ve özet değerinin kaydedilmesi
• Statik inceleme: yapı, metin sabitleri, içe aktarma tablosu
• Dinamik inceleme: izole ortamda çalıştırma ve davranış kaydı
• Ağ iletişiminin ve komuta altyapısının belirlenmesi
• Kalıcılık mekanizmalarının tespiti
• Göstergelerin çıkarılması ve kurala dönüştürülmesi

Analiz Ortamının Kurulması

Analiz ortamı, üretim ağından tamamen izole olmalıdır. Sanal makineler bu amaçla yaygın kullanılır ve anlık görüntü özelliği sayesinde hızlıca temiz duruma dönülebilir. Ağ erişimi kontrollü biçimde sağlanır; bazı analizlerde tamamen kapatılır. İzolasyonun eksik olması, üretim ortamının bulaşmasına yol açabilir. Bu risk ciddiye alınmalıdır.

Ortamın gerçekçi olması da önemlidir. Kullanıcı dosyaları, tarayıcı geçmişi ve makul kaynak tanımı, ortam kontrollerini atlatmayı sağlar. Varsayılan analiz ortamları zararlı yazılımlar tarafından kolayca tanınır. Bu durumda örnek zararsız davranır ve analiz sonuçsuz kalır. Yapılandırma özenle yapılmalıdır.

Kayıt araçlarının önceden kurulmuş olması gerekir. Süreç izleme, dosya sistemi izleme ve ağ yakalama araçları analiz öncesinde hazır olmalıdır. Bu araçların ürettiği kayıtlar, analizin ham verisidir. Eksik kayıt, eksik sonuç demektir. Kontrol listesi kullanılması önerilir.

Analizden Ne Çıkar?

Analizin en somut çıktısı göstergelerdir. Dosya özetleri, ağ adresleri, kayıt defteri anahtarları ve dosya yolları bu göstergeleri oluşturur. Uzlaşma göstergeleri ortam genelinde aranarak etkilenen sistemler belirlenir. Bu arama geriye dönük de yapılmalıdır. Kayıt saklama süresi kapsamı belirler.

İkinci çıktı, davranış tabanlı tespit kurallarıdır. Örneğin hangi süreçleri başlattığı ve hangi sistem çağrılarını yaptığı kural hâline getirilir. Bu kurallar, aynı ailenin farklı kopyalarını da yakalar. Göstergelerden daha uzun ömürlüdürler. Yatırım önceliği bu kurallara verilmelidir.

Üçüncü çıktı, bulaşma yolunun belirlenmesidir. Örneğin sisteme nasıl geldiği anlaşılmadan aynı yol açık kalır. Bu bilgi, kök neden analizinin temelidir. İlgili kontrol güçlendirilir. Analiz olmadan olay tekrar eder.

Kurumsal Yaklaşım

Her kurumun derin analiz kapasitesi kurmasına gerek yoktur. Temel düzeyde hızlı sınıflandırma ve göstergelerin çıkarılması çoğu ihtiyacı karşılar. Derin analiz gerektiren durumlarda dış destek alınabilir. Bu karar önceden verilmelidir. Kriz anında tedarikçi aramak zaman kaybettirir.

Analiz sonuçlarının paylaşılması da değerlidir. Sektörel bilgi paylaşım yapıları üzerinden yapılan paylaşım, karşılığında bilgi almayı sağlar. Bu döngü, kolektif savunmayı güçlendirir. Katılım kurumsal politikayla desteklenmelidir. Paylaşım kuralları önceden tanımlanır.

Hızlı Sınıflandırma

Olay anında ilk ihtiyaç, örneğin bilinen bir aileye ait olup olmadığının belirlenmesidir. Bilinen bir aile söz konusuysa, hazır bilgi ve tespit kuralları mevcuttur. Bu durumda analiz süresi dakikalara iner. Sınıflandırma için özet değeri karşılaştırması ve kural tabanlı tarama kullanılır. Bu adım her incelemenin başında yapılmalıdır.

Sınıflandırma sonucu, müdahale önceliğini de belirler. Yaygın ve düşük etkili bir aile ile hedefli bir operasyonda kullanılan bir araç farklı öncelik gerektirir. Bu ayrım, kaynak kullanımını yönlendirir. Yanlış sınıflandırma, yanlış önceliklendirmeye yol açar. Doğrulama önemlidir.

Bilinmeyen örneklerde ise derin analize geçilir. Bu geçişin kararı, olayın kritikliğine göre verilir. Her bilinmeyen örnek için derin analiz yapılması sürdürülebilir değildir. Kriterler önceden tanımlanmalıdır. Karar süreci hızlı işlemelidir.

Analiz Ekibinin Yetkinlikleri

Temel düzey analiz için dosya biçimleri, işletim sistemi iç yapısı ve ağ protokolleri bilgisi yeterlidir. Bu bilgi, kısa eğitimlerle kazanılabilir. Derin analiz ise makine kodu okuma ve tersine mühendislik yetkinliği gerektirir. Bu yetkinlik uzun sürede gelişir. Kurumların çoğu bu düzeyde kapasite kurmaz.

Bu nedenle kademeli bir model önerilir. İçeride temel analiz yapılır, derin analiz gerektiğinde dış destek alınır. Bu model hem maliyet hem yetkinlik açısından sürdürülebilirdir. Dış destek ilişkisinin önceden kurulmuş olması gerekir. Kriz anında tedarikçi aramak zaman kaybettirir.

Ekibin araç ve ortam altyapısı da hazır tutulmalıdır. Analiz ortamının kurulumu zaman alır ve olay anında yapılmaz. Hazır bir ortam, müdahale süresini belirgin biçimde kısaltır. Ortamın düzenli bakımı gerekir. Güncel olmayan ortam işe yaramaz.

Analiz Sonuçlarının Kullanımı

Analiz çıktılarının tespit kurallarına dönüştürülmesi, çalışmanın asıl değerini üretir. Rapor yazılıp dosyalanan ama kural üretmeyen analizler kaynak israfıdır. Bu nedenle analiz süreci, kural yazımıyla birlikte tanımlanmalıdır. İki iş birbirine bağlıdır. Süreç bu bağı kurmalıdır.

Ayrıca çıkarılan göstergelerin ortam genelinde geriye dönük aranması gerekir. Bu arama, aynı örneğin başka sistemlerde de bulunup bulunmadığını gösterir. Kapsam belirleme bu şekilde yapılır. Tehdit avcılığı çalışmaları bu aramayı yürütür. Kayıt saklama süresi kapsamı sınırlar.

Privia Security olarak olay incelemelerinde zararlı örneklerin analizini yürütüyor, çıkan göstergeleri ve tespit kurallarını olay inceleme ve olay müdahalesi raporlarıyla birlikte sunuyoruz.