Tehdit Avcılığı Nedir?
İngilizce: Threat Hunting
Yayın: · Son güncelleme:
Tehdit Avcılığı Nedir? Kısaca
Tehdit avcılığı (threat hunting), güvenlik araçlarının uyarı üretmesini beklemeden, bir hipotezden yola çıkarak ağda ve cihazlarda fark edilmeden kalmış saldırgan izlerini proaktif olarak arama çalışmasıdır.
Tehdit avcılığı nedir?
Tehdit avcılığı, otomatik araçların kaçırdığı saldırıları insan eliyle aramaktır. İngilizcede threat hunting denir. Temel varsayım şudur: Bazı saldırganlar zaten içeride olabilir ve henüz hiçbir alarm çalmamış olabilir.
Klasik izleme reaktiftir, yani uyarı gelince harekete geçilir. Avcılık ise proaktiftir. Analist, uyarı beklemeden belirli bir soruyla kayıtlara dalar.
Nasıl işler?
Çalışma genellikle bir hipotezle başlar. Hipotez, tehdit istihbaratından, yeni yayımlanmış bir saldırı tekniğinden ya da kurumdaki bir gözlemden doğabilir.
Örneğin hipotez şu olabilir: "Saldırganlar yönetici araçlarını kötüye kullanarak iç ağda yayılıyor olabilir." Analist son 30 günün kayıtlarında, normalde yalnız bilgi işlem ekibinin kullandığı uzaktan yönetim araçlarının başka bilgisayarlardan çalıştırılıp çalıştırılmadığına bakar. Muhasebe biriminden bir bilgisayarın gece saatlerinde on farklı sunucuya bu araçla bağlandığı görülürse, olay derin incelemeye alınır.
Avın sonucu iki türlü değerlidir. Saldırı bulunursa müdahale başlar. Bulunmazsa da yeni bir tespit kuralı yazılarak aynı davranış gelecekte otomatik yakalanır hâle getirilir.
Neler gerektirir?
Avcılık için zengin ve uzun süre saklanan kayıtlar şarttır. Uç noktalardan, ağdan ve kimlik sistemlerinden veri toplanmıyorsa aranacak bir şey de olmaz. EDR ve SIEM gibi araçlar bu yüzden temel altyapıdır.
Deneyimli analistler de gerekir, çünkü normal ile şüpheliyi ayırmak bağlam bilgisi ister. Saldırgan tekniklerini sınıflandırmak için MITRE ATT&CK çerçevesi sık kullanılır.
Sıkça Sorulan Sorular
Tehdit avcılığı ile SOC izlemesi arasındaki fark nedir?
SOC izlemesi genellikle araçların ürettiği uyarılara tepki verir. Tehdit avcılığı ise uyarı olmadan, bir hipotezle başlayarak gizli kalmış saldırıları arar.
Her kurum tehdit avcılığı yapmalı mı?
Bu çalışma belirli bir olgunluk ister. Önce temel izleme ve kayıt toplama kurulmalı, ardından avcılık eklenmelidir. Küçük kurumlar bunu yönetilen hizmetlerle alabilir.