Tehdit Avcılığı: Ağınızı Korumanın 8 Temel Yöntemi
Siber saldırganların taktikleri sürekli evrim geçirirken, kurumlar da savunma stratejilerini güncellemek zorunda kalıyor. Tehdit avcılığı (threat hunting), bir saldırının “korkutucu” olmasından önce tespit edilmesi ve durdurulması için aktif bir yaklaşımdır.
Aşağıda, LogRhythm Insights gibi endüstri raporlarından derlediğimiz 8 temel tehdit avcılığı yöntemini örneklerle birlikte Türkçe olarak ele alıyoruz.
| # | Yöntem | Açıklama | Örnek Senaryo |
|---|---|---|---|
| 1. Bait the Bad Guy (Kötü Adamı Tuzakla) | Saldırganı çekmek için sahte hedefler oluşturmak. | Gerçek sistemleri tehlikeye atmadan, saldırganları “daha kolay” görünümlü test ortamlarına yönlendirir. | Bir şirket, zayıf şifreli bir test hesabını içeren sanal makineyi halka açık bir VPN üzerinden erişime açar. Saldırgan bu hesaba giriş yapmaya çalışırken, sistem otomatik olarak güvenlik ekibini uyarır. |
| 2. Antivirus Takip (Antivirus Follow‑Up) | Antivirüs kayıtlarını analiz ederek gizli tehditleri ortaya çıkarmak. | Uygulama izleme ve kötü amaçlı kodun davranışını takip eder. | Bir çalışan, sahte bir e-posta ekine tıkladığında antivirüs günlüklerinde “şüpheli bağlantı” uyarısı oluşur; bu, iç ağdaki diğer sistemlere yayılmadan önce müdahale fırsatı verir. |
| 3. Persistence (Süreklilik) | Saldırganın ortamda kalmasını sağlayan yöntemleri tespit etmek. | Rootkit, servislere eklenen gizli arka kapılar vb. | Bir saldırgan, Windows “Scheduled Tasks” üzerinden otomatik olarak çalışan bir script koyar; bu görev, sistem yeniden başlatıldığında bile çalışmaya devam eder. |
| 4. Lateral Movement (Yatay Hareket) | Bir ağ içinde yan yana hareket eden tehditleri izlemek. | SMB, RDP veya PsExec gibi protokoller üzerinden yayılma. | Saldırgan, ilk hedeflediği sunucudan kimlik doğrulama bilgilerini çeker ve aynı şifreyi diğer 50 sunucuya gönderir; ağdaki kritik veriler risk altına girer. |
| 5. DNS Abuse (DNS Suistimali) | DNS sorgularını kötüye kullanarak gizli iletişim kuran saldırıları tespit etmek. | DNS tunneling, C&C kanalı olarak kullanılabilir. | Bir çalışan, bilinmeyen bir domain’e sürekli DNS sorgusu gönderir; bu davranış, sahte DNS sunucusuna veri aktarımına işaret eder. |
| 6. Data Exfiltration (Veri Çıkışı) | Kritik verilerin ağdan çıkmasını izlemek. | Şifreli FTP, S3 bucket’ları veya WebDAV üzerinden veri transferleri. | Bir iç çalışan, hassas raporları şifreli bir zip dosyası olarak dışarıdaki bir bulut depolama servisine yükler; bu hareket anında alarm tetiklenir. |
| 7. Privilege Escalation (Yetki Yükseltme) | Kullanıcıların yetkilerini artırmak için kullanılan yöntemleri tespit etmek. | Exploit, DLL hijacking veya kimlik avı yoluyla yükseltilmiş hesaplar. | Bir saldırgan, düşük ayrıcalıklı bir hesabla oturum açar ve “net localgroup administrators” komutu ile kendi hesabını yönetici grubuna ekler. |
| 8. Command & Control (C&C) Detection | Saldırganın kontrol merkezine bağlanma çabalarını izlemek. | HTTP/HTTPS, DNS veya custom protokoller üzerinden gelen trafik. | Bir ağdaki bir uç nokta, aniden “http://malicious‑c2.com” adresine POST istekleri gönderir; bu, şüpheli C&C iletişiminin göstergesidir. |
Uygulamada Nasıl Başlanır?
- Olay Günlüklerini Topla – Ağ cihazları, uç nokta ve güvenlik duvarlarından gelen logları merkezi bir SIEM’e yönlendir.
- İlk Tehdit İndikatörleri Tanımla – Yukarıdaki 8 yöntemden en kritik olanları (örn. DNS tunneling, lateral movement) öncelik olarak izle.
- Otomatik Uyarı Kur – SIEM içinde “kötü amaçlı davranış” için eşikler belirleyip gerçek‑zaman uyarılar oluştur.
- Sanal Ortam Oluştur (Bait the Bad Guy) – Gerçek sistemleri tehlikeye atmadan test ortamları kur ve saldırganları bu alanlara yönlendir.
- Eğitim & Farkındalık – Çalışanlarınıza phishing, şüpheli e‑postalar vs. konusunda eğitim ver; insan faktörü en büyük savunma hattıdır.
Tehdit avcılığı, pasif güvenlik önlemlerinin ötesine geçer ve saldırganları aktif olarak takip eder. Yukarıdaki 8 yöntem, hem teknik hem de stratejik açıdan ağınızı korumanıza yardımcı olur. Sürekli güncel kalmak, otomasyon kurmak ve insan faktörünü güçlendirmek, kurumunuzun siber savunmasını en üst seviyeye çıkarır.
Güvenli günler dileriz.