Zararlı yazılım imzası, bilinen bir zararlıyı tanımlayan ayırt edici bir desen ya da özet değeridir. En basit biçimi dosya özetidir; belirli bir dosyanın kimliğini tekil olarak tanımlar. Daha gelişmiş biçimlerde ise dosya içindeki bayt dizileri, metin kalıpları ya da yapısal özellikler kullanılır. Bu ikinci grup, aynı ailenin farklı kopyalarını da yakalayabilir. İmza tabanlı tespit, güvenlik ürünlerinin en eski ve en hızlı çalışan mekanizmasıdır. Buna karşılık yalnızca bilinen tehditleri yakalayabilir.

Yöntemin gücü hız ve kesinliktir. Bir imza eşleştiğinde sonuç neredeyse kesindir ve yanlış pozitif oranı düşüktür. Bu kesinlik, otomatik engelleme kararı verilmesini mümkün kılar. Ayrıca hesaplama maliyeti düşüktür ve büyük hacimli taramalarda kullanılabilir. Bu nedenle imza tabanlı tespit hâlâ savunmanın ilk katmanıdır. Ancak tek başına yeterli değildir.

Zararlı Yazılım İmzası Nedir?

Zararlı yazılım imzası, bilinen bir zararlı dosyayı ya da aileyi tanımlayan ve tarama sırasında eşleştirilerek tespit sağlayan ayırt edici desen veya özet değeridir.

İmzalar farklı ayrıntı düzeylerinde üretilir. Dosya özeti en dar kapsamlıdır; tek bir dosyayı tanımlar ve dosyada tek bir bayt değişse geçersiz olur. Bayt dizisi imzaları daha geniş kapsamlıdır; dosyanın belirli bir bölümüne dayanır ve küçük değişikliklerden etkilenmez. Yapısal imzalar ise dosya biçimi özelliklerine dayanır ve en geniş kapsamı sunar. Kapsam genişledikçe yanlış pozitif riski artar. Denge kurulmalıdır.

İmza Nasıl Üretilir?

İmza üretimi, örneğin analiz edilmesiyle başlar. Analiz sonucunda ailenin ayırt edici özellikleri belirlenir ve bunlardan imza çıkarılır. Seçilen özelliğin meşru dosyalarda bulunmaması gerekir. Bu nedenle imza, geniş bir temiz dosya kümesi üzerinde sınanır. Sınama sonucunda gürültü üreten imzalar reddedilir. Bu süreç, imza kalitesini belirler.

Ticari güvenlik ürünlerinde bu süreç büyük ölçüde otomatikleştirilmiştir. Toplanan örnekler otomatik analiz hatlarından geçirilir ve imzalar üretilir. Üretilen imzalar test edilir ve dağıtılır. Bu döngü günde birçok kez tekrarlanır. Hız, yeni tehditlere yanıt süresini belirler. Rekabet bu hız üzerinden yapılır.

Kurumlar da kendi imzalarını üretebilir. Kuruma yönelik hedefli bir saldırıda kullanılan örnek, kamuya açık setlerde bulunmaz. Bu durumda kendi imzanızı yazmak tek seçenektir. YARA kuralları bu amaçla yaygın kullanılır. Yazım öğrenilebilir bir beceridir. Kısa eğitimle kazanılır.

• Dosya özeti: tek bir dosyayı tanımlayan en dar imza
• Bayt dizisi: dosyanın belirli bir bölümüne dayanan desen
• Metin kalıbı: dosya içindeki karakteristik dizeler
• Yapısal imza: dosya biçimi ve bölüm özellikleri
• Bulanık özet: benzer dosyaları eşleştiren yöntem
• Ağ imzası: iletişim örüntüsüne dayanan desen

Sınırları

En temel sınır, yalnızca bilinen tehditleri yakalayabilmesidir. Daha önce görülmemiş bir örnek için imza bulunmaz ve tespit gerçekleşmez. Bu boşluk, sıfırıncı gün senaryolarında belirgindir. Ayrıca hedefli saldırılarda kullanılan özel araçlar da kamuya açık setlerde bulunmaz. Bu nedenle imza tabanlı tespit tek başına yetersizdir. Davranış katmanı gereklidir.

İkinci sınır, görünüm değiştirme teknikleridir. Polimorfik zararlı yazılımlar her kopyada farklı bir imza üretir. Bu durumda özet tabanlı imzalar tamamen işlevsiz kalır. Bayt dizisi imzaları da çoğu zaman eşleşmez. Paketleme ve karartma bu etkiyi güçlendirir. Savunma davranışa kayar.

Üçüncü sınır, set büyüklüğünün getirdiği maliyettir. Milyonlarca imza içeren setlerin taranması işlem gücü tüketir. Bu nedenle ürünler önceliklendirme ve önbellekleme kullanır. Yine de performans etkisi vardır. Yapılandırma bu dengeyi kurar. Aşırı kapsam yavaşlık üretir.

Davranış Tabanlı Tespitle Karşılaştırma

İmza tabanlı tespit hızlı ve kesindir ama yalnızca bilinenleri yakalar. Davranış tabanlı tespit ise bilinmeyenleri de yakalayabilir ama yanlış pozitif üretme eğilimindedir. İki yöntem birbirinin alternatifi değil tamamlayıcısıdır. Modern ürünler ikisini birlikte kullanır. Katman sıralaması genellikle imzayla başlar. Eşleşme olmazsa davranış katmanı devreye girer.

Bu sıralama performans açısından da mantıklıdır. İmza taraması ucuzdur ve bilinen tehditleri hızla eler. Davranış analizi ise daha pahalıdır ve yalnızca kalan dosyalara uygulanır. Bu tasarım, kaynak kullanımını optimize eder. Ürün mimarileri bu ilkeye dayanır. Yapılandırma bu akışı korumalıdır.

Kurumsal değerlendirmede iki katmanın da etkin olduğunun doğrulanması gerekir. Bazı ürünlerde davranış katmanı varsayılan olarak düşük hassasiyette çalışır. Bu ayarın gözden geçirilmesi önerilir. Uç nokta güvenliği çözümünün tam kapasitesi kullanılmalıdır. Varsayılanlara güvenilmemelidir. Denetim dönemsel yapılır.

İmza Güncellemesinin Önemi

İmza setinin güncel olmaması, korumanın büyük bölümünü ortadan kaldırır. Yeni tehditler için üretilen imzalar ancak güncelleme ile ulaşır. Bu nedenle güncelleme sıklığı ve başarı oranı izlenmelidir. Güncelleme alamayan uç noktalar raporlanmalıdır. Bu rapor, çoğu ortamda beklenmedik sayıda cihaz gösterir. Kapsama boşluğu kritik önemdedir.

İnternet erişimi olmayan ortamlarda güncelleme ayrı bir sorun oluşturur. Bu ortamlar için iç dağıtım sunucuları kurulur ve güncellemeler kontrollü aktarılır. Aktarım süreci tanımlanmalı ve düzenli yürütülmelidir. Aksi hâlde bu ortamlar aylarca eski setle çalışır. Endüstriyel ortamlarda bu durum sık görülür. Süreç yazılı olmalıdır.

Bulanık Özet Yöntemleri

Klasik özet fonksiyonları tek bir bayt değişikliğinde tamamen farklı sonuç üretir. Bu özellik bütünlük doğrulama için idealdir ama benzer dosyaları eşleştirmeye elverişli değildir. Bulanık özet yöntemleri bu boşluğu doldurur; benzer dosyalar için benzer değerler üretir. Böylece aynı ailenin küçük farklarla değiştirilmiş kopyaları eşleştirilebilir. Bu yöntem, sınıflandırma çalışmalarında yaygın kullanılır. Kesinlik yerine benzerlik ölçer.

Benzerlik eşiğinin doğru ayarlanması önemlidir. Düşük eşik yanlış eşleşme üretirken yüksek eşik gerçek benzerlikleri kaçırır. Eşik, kullanılan veri kümesi üzerinde denenerek belirlenir. Bu ayar ortama göre değişebilir. Test yapılmadan varsayılan değer kullanılmamalıdır. Doğrulama gereklidir.

Yöntem, otomatik sınıflandırma hatlarında değerlidir. Yeni bir örnek geldiğinde mevcut arşivle karşılaştırılır ve en benzer aileler listelenir. Bu liste, analistin başlangıç noktasını belirler. Analiz süresi kısalır. Arşiv büyüdükçe değer artar. Birikim önemlidir.

Ağ İmzaları

İmzalar yalnızca dosyalar için değil ağ trafiği için de yazılır. Komuta kontrol iletişiminin karakteristik örüntüleri, istek başlıkları ve sertifika özellikleri bu imzaların girdisidir. Ağ imzaları, uç noktada tespit edilemeyen bulaşmaları yakalayabilir. Bu nedenle iki katman birbirini tamamlar. Kapsama analizi ikisini birlikte değerlendirmelidir. Tek katman eksik kalır.

Şifreli trafikte içerik görülmese de üst veriler imza üretmeye elverişlidir. El sıkışma özellikleri, sertifika alanları ve bağlantı zamanlaması bu üst verilere örnektir. Bu yaklaşım, trafiği açmadan tespit sağlar. Gizlilik açısından da tercih edilir. Uygulaması yaygınlaşmaktadır. Araç desteği artmaktadır.

Ağ imzalarının bakımı da gerekir. Altyapı adresleri hızla değiştiği için adres tabanlı imzalar kısa ömürlüdür. Örüntü tabanlı imzalar ise daha uzun ömürlüdür. Acı piramidi bu tercihi açıklar. Yatırım örüntü tarafına yapılmalıdır. Ömür farkı büyüktür.

İmza Paylaşımı

İmzaların sektörel yapılar üzerinden paylaşılması, kolektif savunmayı güçlendirir. Bir kurumda tespit edilen tehdit, paylaşım sayesinde diğerlerinde önlenebilir. Bu döngü karşılıklı fayda üretir. Paylaşım için standart biçimler kullanılır. Otomatik alışveriş mümkündür. Süreç tanımlanmalıdır.

Paylaşım öncesinde hassas bilgilerin ayıklanması gerekir. Kurum adı, iç adresler ve kullanıcı bilgileri imzalardan temizlenmelidir. Bu temizlik, paylaşımın önündeki en yaygın engeli kaldırır. Süreç otomatikleştirilebilir. Politika yazılı olmalıdır. Hukuk birimi görüş vermelidir.

Privia Security olarak uç nokta koruma kapsamını ve güncelleme başarı oranını siber risk analizi kapsamında değerlendiriyoruz.