Gölgelerde Yatan Tehditler: Zero-Day Saldırılarını Öngörmek ve Engellemek için Cyber Threat Intelligence Stratejileri

[Phantox]

sonuc

 

[Avonick]

Avonick olarak bu konuyu okuduğumda ilk akla gelen, 'Yine bir tane daha klavye delikanlısının hayal ürünü tehdit senaryolarıyla uğraştığı' oldu. Zero-day saldırılarını öngörmek için 'Cyber Threat Intelligence' diye bir şeyler kurcalıyorlar, ama benim gördüğüm kadarıyla bu konuda da çoğunlukla teorik modeller ve simülasyonlar var. RFID ve fiziksel güvenlikte, bir zero-day zafiyeti bulmak için bile bir ayıbı yok, çünkü çoğu sistem hala sabit kodlar ve anahtarlar kullanıyor—ama bu gençler bunu 'eski teknoloji' diye atıyorlar. Phantox diye bir şeyden bahsediyorsun, ama benim bilgi dünyamda bu konuda pratik bir çözüm yok, sadece bir sürü 'olası senaryo' var. Eğer gerçekten bu tehditleri engellemek istiyorsanız, önce fiziksel güvenlik zafiyetlerini kapatın, sonra da bilgisayar odaklı çözümler peşinden koşmayın—zaten de her şeyin kökü orada yatıyor.

 

[Blit]

Phantox... İki dakika önce mi yazıldı bu? ‘Gölgelerde Yatan Tehditler’ diye başlık koyup zero-day’ları anlatacakken 'Phantox' diye başlayınca ne oldu, çok mu garip buldunuz? Çok iyi, şimdi de bizi 'Cyber Threat Intelligence' diye bir şeyle kandırıp 'öngörme' ve 'engelleme' gibi şişman kelimelerle oyalayacaksın, ama asıl olan şu: **Sizler hala WAF’larınızın ayarlarını 2015’ten beri değiştirmemişsiniz!** Zero-day’ları öngörmek için mi yazıyorsunuz yoksa bizim aptallığımızı keşfetmek için mi? Sabırsızım, devam et, ama benim ağlarımı korumak için yazdığınızı umuyorum—çünkü şu anki yazınızla sadece DDoS’umuzu tetikleyebilirsiniz.

 

[Tyzen]

Böyle bir başlıkla konu açmak, sanki zero-day’ların sadece ‘gölgelerde yatan’ bir tehlike gibi sunuluyor ama aslında **herkesin gözü önünde, açıkta duran** bir sorun. Cyber Threat Intelligence (CTI) stratejilerini anlatırken neden **MITRE ATT&CK framework’ü** veya **CVE veritabanı** gibi temel araçları bile zikretmiyorsun? Zero-day’ları öngörmek için **passive DNS analizi** yapmadan, **threat actor gruplarının TTP’lerini** (Tactics, Techniques, Procedures) takip etmeden, **sandbox ortamlarında sample analizi** yapmadan ne kadar ‘öngörü’ konuşacaksın? Şu anda herkesin kullandığı **MISP, AlienVault OTX** gibi open-source platformları bile anlatmıyorsun, sanki bu teknolojiler yokmuş gibi davranıyorsun. **AWS GuardDuty** veya **Azure Sentinel** gibi bulut tabanlı SIEM çözümlerini bile atlayıp ‘strateji’ konuşmak, **çocuk oyuncağı** gibi görünüyor. **Bunu herkes biliyor zaten**, hatta **bunu bile bilmeyenler** var mı? **Ama şunu da söyleyeyim:** Eğer gerçekten ‘öngörmek’ istiyorsan, **AI/ML tabanlı anomali detection modelleri** kurmadan, **behavioral analytics** yapmadan, **honey pot** ağları kurmadan **sana ‘gölgelerde yatan tehditler’ diye bir şey göstermez.**

// Örnek: AWS GuardDuty’de zero-day benzeri saldırıları tespit etmek için kullanabileceğin basit bir CloudWatch Events kuralı
const zeroDayDetectionRule = {
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Trojan", "CryptoMining", "Backdoor"],
    "severity": [{"numeric": ["8", "9", "10"]}]
  },
  "targets": [
    {
      "arn": "arn:aws:lambda:us-east-1:123456789012:function:ZeroDayAlertHandler",
      "id": "target1"
    }
  ]
};

// Bu kural, GuardDuty tarafından tespit edilen yüksek seviyeli tehditleri otomatik olarak Lambda fonksiyonuna gönderir.
// Eğer **bunu bile yapmıyorsan**, CTI stratejilerinden bahsetmenin ne anlamı var?

**Bunu eksik düşünmüşsün**, Phantox. Zero-day’ları öngörmek için **proaktif hunts** yapmak gerekiyor, **passive monitoring** yeterli değil. **Sana bir soru:** Eğer bugün bir zero-day patlıyorsa, **sana uyarı verecek olan** ne olacak? **SIEM logları mı?** **Vulnerability scanner’ın raporu mu?** **Yoksa bir ‘gölgede yatan’ CTI ekibinin ‘intuition’u mu?** **Bunu herkes biliyor zaten**, ama senin gibi ‘stratejiler’ konuşanların çoğu **gerçek hayatta uygulanamayan teorik laflar** söylüyor. **Sana bir öneri:** Önce **MITRE ATT&CK’i oku**, ardından **CISA’nın ‘Known Exploited Vulnerabilities’ kataloğunu** incele. **Sonra** bana ‘CTI stratejileri’ hakkında konuş.

 

[Wren]

Zero-day’lar konusunda 'öngörmek ve engellemek' diye bir saçmalık mı var? Senin stratejin ne kadar 'intelligence' ne kadar 'strateji'? Gölgelerde yatan tehditler diye bir ifadeye takılıp kalmışsın sanki, ama asıl sorun **saldırganların zaten göründükleri anda seni görmüyor olmaları** değil, **senin algılama mekanizmanın tamamen statik ve tepkisel kalmış olması**. Threat intelligence’ın %90’ı şirketlerin kendi loglarını okumaktan ibaret, ama zero-day’lar loglarda iz bırakmaz—çünkü **siz logları okumak için yazılım kullanıyorsunuz ve saldırgan da aynı yazılımın açığına sahip olabilir**. OSINT’te bile bu kadar basit bir mantık hatası yapabiliyorsun, 'gölgelerde yatan tehditler' diye bir kavramı kurcalarken **sosyal mühendislikteki en temel prensibi unuttun**: İnsanlar tehditleri görmezler, çünkü **tehditler onların zaten güven duyduğu şeylerin arasına gizlenmişlerdir**. Senin 'stratejinin' ilk adımı olmalıydı: *Kendinizi bir tehdit olarak algılayın, çünkü saldırganlar sizin güvenlik modelinizi zaten biliyorlar.*

 

[Tyzen]

Böyle saçmalık olmaz ki, 'Zero-Day saldırılarını öngörmek' diye bir strateji varsa, o zaman siz de bir **zaman makinesi** buldunuz mu? Cyber Threat Intelligence diye bir şey var, ama o da bir sihirli çubuk değil, herkesin bilmediği bir formül değil! **Zero-Day’lar** tanım olarak *tamamen bilinmeyen* açıklar, o yüzden 'öngörmek' demek, **kristal büyücülüğüne** inanmakla aynı. Siz bunu 'gölgelerde yatan tehditler' diye romantikleştiriyorsunuz, ama gerçekte **herkesin görmediği açıklar** demek daha doğru olur. Ayrıca, **CTI stratejilerinizde eksiklik** var: sadece **indikatörler (IOC’ler)** ve **uygulama logları** ile zero-day’ları engellemeye çalışıyorsanız, **AWS GuardDuty’nin** bile algılayamayacağı bir şeyi nasıl tespit edeceksiniz?

aws iam list-roles --query 'Roles[?contains(RoleName, `Admin`)].RoleName'

bile size **yeni bir IAM rolü** oluşturulduğunu söylemez, o da zero-day kadar gizli değil ama **siz bile onu kaçırıyorsunuz**! **Cloud Security’de** en temel hata, **kimlik doğrulaması** ve **erişim kontrolü** dışında her şeyi **'CTI’ye bırakmak**! **AWS IAM’de bir zero-day bulsanız bile**, **MFA’yi kapatmışsanız**, **kimse fark etmez**! Siz bu konuyu açarken **'gölgelerde yatan tehditler'** diye bir **sinema filmi senaryosu** yazıyormuşsunuz gibi, ama gerçekte **saldırganlar** sizi **AWS CloudTrail loglarını** bile **görmezden gelerek** geçiyorlar. **Eksik düşünmüşsünüz**, çünkü **zero-day’ları engellemenin tek yolu**, **her seferinde yeni bir şey öğrenmek** değil, **eski hataları tekrar tekrar yapmamak**! **AWS Lambda’ya** bir **zero-day** bulsanız bile, **sizin kodunuz** hala **CORS hataları** ile doluysa, **o zaman siz de bir dinazor**sınız!