Kağan Eğlence

Tag: Blue team

  • Red Team: Siber İstihbarat ve Red Team

    Savunma açısından tehdit istihbaratı ne kadar önemli ise Red Team için de aynı öneme sahiptir. Red Team çalışmaları içerisinde tehdit istihbaratı bize hedef organizasyonu, saldırgan grupları ve gerçekleştirilebilecek saldırı tekniklerini daha iyi anlama imkanı sunar. Tehdit istihbaratı sayesinde daha iyi planlama yapılabilir ve gerçek bir saldırıya en yakın saldırı simülasyonunu gerçekleştirebilir.

    Tehdit istihbaratı tabanlı olan TIBER-EU (Threat Intelligence-based Ethical Red Teaming) gibi bazı özelleşmiş frameworkler de bulunmaktadır. Genel olarak bu framework üzerinden ilerlemeyeceğim için detaylarından bahsetmedim fakat detaylarını araştırmanız genel bir fikir edinmeniz açısından faydalı olacaktır.

    Genel olarak bu başlıkta, SANS’ın “Threat Hunting & Incident Response” zirvesinden oluşturulmuş bir metodolojiyi takip ediyor olacağız. İlgili kaynaklara ve sunumlara araştırarak veya referanslar bölümünde bulunan linkler üzerinden erişebilirsiniz. Aynı zamanda Mitre’ın “Using ATT&CK for Cyber Threat Intelligence” başlıklı bir ücretsiz eğitimi de mevcut. Bu eğitimin linkini de referanslar bölümünde paylaşıyor olacağım.

    Adımlara geçmeden önce Indicators of Compromise(IOC)’den ve David Bianco’nun acı piramidinden kısaca bahsetmek faydalı olacaktır.

    Indicators of Compromise(IoC): Herhangi bir saldırı sonucunda oluşan kanıtların ifade edilmesi için kullanılan bir terimdir.

    Acı Piramidi

    David Bianco tarafından oluşturulan acı piramidi, temelde savunma ekiplerinin farklı tipteki IoC’leri ayırt etmesini kolaylaştırmayı amaçlamaktadır. Piramidin alt noktasından üst noktasına doğru ilerledikçe savunan taraf için IoC’lerin tanımlanması, saldırgan taraf için ise değiştirilmesi zorlaşmaktadır.  

    Saldırgan için örneklersek; saldırı içerisinde kullanılan hash değerleri manuel veya otomatik olarak kolaylıkla değiştirilebilirken, hedef organizasyon tarafından tespit edilmiş ve engellenmiş araçların yerine yenilerinin geliştirilmesi daha fazla efor gerektirecektir.

    Savunan taraf içinse; saldırganın kullanmış olduğu zararlıya ait hash değerinin tespiti ve engellenmesi kolaylıkla yapılabilirken, bir tekniğin tamamen tespiti ve engellenmesi çok daha zor olacaktır.

    Red Team için piramidin diğer noktalarından ziyade en üst kısmı ile yani TTP’ler üzerine odaklanacağız.

    Piramitteki adımları aşağıdan yukarıya doğru detaylandırırsak;

    • Hash Values: Şüpheli veya zararlı dosyaları tanımlamak, engellemek vb. amaçlar için kullanılan SHA1, MD5 gibi benzersiz hash değerleridir.
    • IP Addresses: Saldırgan gruplar ve aktörler tarafından kullanılan/kullanıldığı bilinen IP adresleri veya aralıklarıdır.
    • Domain Names: Alan adlarının veya alt alan adlarının tamamıdır.
    • Network/Host Artifacts: Ağ içerisinde zararlı aktivitelere ait olabilecek olan gözlemlenebilir tüm izlerdir.
    • Tools: Saldırganlar tarafından belirlenen amaca ulaşmak için kullanılan araçlardır.
    • TTPs: Daha önce “Metodolojiler ve Frameworkler” yazısında “MITRE ATT&CK FRAMEWORK” başlığında taktik, teknik ve prosedürlere kısaca değinmiştik. Açıklamayı biraz daha derinleştirirsek; saldırganlar tarafından, saldırının hazırlık aşamasından belirlenen hedefe ulaşılana kadar ki adımları uygulama yöntemleri diyebiliriz. Bazı yöntemler farklı araçlar ile gerçekleştirilebilmektedir bu nedenle araç ve yöntemi karıştırmamak gerekiyor. Örneğin; “oltalama saldırısı(T1566)”, “zararlı bir dosya ile gerçekleştirilen oltalama saldırı (T1556.001)” veya “zararlı bir link ile gerçekleştirilen oltalama saldırısı (T1566.002)” örnek teknikler veya yöntemlerdir. Bu noktada tekniklerde çeşitlenebilmektedir.

    Hedef Organizasyonu Anlamak

    Danışmanlık kapsamında dış bir organizasyona veya internal (ekibin içerisinde bulunduğu organizasyonun kendisine) yapılan bir Red Team çalışması gerçekleştirilirken hedef organizasyonun yapısını anlamak gerçekten önemlidir.

    Ağ dışından saldırı hazırlığı içerisinde bulunan bir saldırganın gözünden, organizasyonun zayıf noktalarının ve varlıklarının yüzeysel olarak belirlenmesi amaçlanır. Bazı bilgiler organizasyon ile yapılan görüşmeler sırasında da sağlanabilir. Elde edilen tüm veriler tehdit istihbaratı raporunun hazırlanması ve senaryoların belirlenmesi konusunda kullanılacaktır.

    Organizasyona ait süreçler, saldırı yüzeyleri, çalışan profilleri, varlık bilgileri, kurum tarafından yayınlanan belgeler, iş ilanları, kasıtlı/kasıtsız sızmış veriler, müşteri verileri gibi saldırısı sırasında herhangi bir şekilde kullanılabilecek olan her türlü bilginin toplanması fayda sağlayacaktır.

    Taklit Edilecek Olan Saldırganı Tanımlamak

    Red Team çalışmaları içerisinde temel amaç yaşanacak olan olası saldırılara önceden bağışıklık kazanmaktır. Özellikle Adversary Emulation için, öncelikle hedef organizasyonu veya organizasyonun bulunduğu sektöre yönelik saldırı ihtimali olan saldırganları düşünmeniz gerekmektedir. Basit bir şekilde örneklersek, testi yaptığınız organizasyonun coğrafyasını ve sektörünü hedef almış olan bir saldırgan grup varsa başka bir coğrafyayı ve alakasız bir sektörü hedef almış saldırgan grubu baz almak daha düşük fayda sağlayacaktır.

    Önemli olan bir diğer nokta ise Red Team’in kabiliyetidir.  Tecrübesiz bir şekilde ileri seviye senaryoları uygulamaya çalışmak yanlış sonuçlar verebilir veya çalışmanın erken bir başarısızlıkla sonuçlanması ile gereksiz bir efor oluşmasına neden olabilir. Bu nedenle çalışmalara yeni başlamış bir Red Team için karmaşıklığı düşük olan saldırı senaryolarını uygulamak ve zamanla gelişmiş saldırı senaryolarına geçmek daha verimli olacaktır.

    Siber Tehdit İstihbaratın Toplanması

    İstihbarat teşkilatları tarafından da kullanılan geleneksel istihbarat yaşam döngüsü 4 veya 5 adımdan oluşur. 5 adım içeren versiyonun içerisindeki adımlar genelde şu şekildedir;

    • Planning and Direction: Bu adımda istihbaratın toplanacağı potansiyel noktalar ve bilgilerin toplanabilmesi için gerekli yöntemler geliştirilir. Gerekli olan bilgilerin nasıl ve nereden elde edileceği planlanır, “Collection” adımı için gerekli olan yol haritası çıkartılır.
    • Collection: Oluşturulan plan doğrultusunda bilgiler toplanmaya başlanır ve gerekli istihbarat verileri elde edilir.
    • Processing: Toplanan ham verinin işlendiği ve anlamlandırıldığı aşamadır. Bu aşamada elde edilen veriler analiz için hazır hale getirilir. Örneğin, sızmış veri tabanları içerisinde organizasyon çalışanlarına ait maillerin filtrelenerek elde edilmesi gibi işlemler bu aşamada gerçekleştirilir.
    • Analysis and Production: İlk aşamada belirlenen gereksinimlerin karşılanması için “Processing” aşamasında elde edilen bilgilerin değerlendirildiği bölümdür. Yapılan analizler sonucunda kullanılabilir veriler belirlenir ve gerekli durumlarda kullanılmaya hazır olacak şekilde belli formatlara dönüştürülür.
    • Dissemination: İşlenen ve istihbarat niteliği kazanan verilerin müşteriye dağıtılması sürecidir. Burada müşteri olarak kendinizi de varsayabilirsiniz. Elde edilen istihbarat kullanılır, düzenli olarak gözden geçirilir ve bunun sonucunda yeni istihbarat ihtiyaçları doğabilir, ek planlama süreçleri geliştirilebilir.

    TTP’lerin Belirlenmesi

    Bu aşamada gerçekleştirilecek olan TTP’ler belirlenmektedir. Özel bir senaryo oluşturulabileceği gibi var olan bir APT (Advanced Persistent Threat) gruba ait senaryonun TTP’leri belirlenerek gruba ait saldırı taklit edilebilir.

    Var olan bir saldırgan gruba ait TTP’lerin belirlenmesi için birçok farklı yöntem mevcuttur. Bir grup özelinde gerçekleştirdiğiniz bir siber istihbarat çalışmasıyla, organizasyonunuzu hedef bir grubun analiziyle veya yayınlanmış siber tehdit istihbaratı raporları içerisinde bu TTP’leri elde edebilirsiniz. Örneğin, bir siber istihbarat raporunda bulunan APT39’a ait “Initial Compromise” aşamasındaki teknikleri kısaca aşağıdaki şekilde inceleyebiliriz.

    Sadece birkaç teknik için bu aşamayı örnekledik fakat bir senaryoyu tam anlamıyla gerçekleştirmek için tabi ki birkaç teknik yeterli olmayacaktır. İlgili gruba ait olabildiğince fazla ve doğru tekniklerin çıkarılması senaryonun amacına ulaşabilmesi için kritik öneme sahiptir.

    Bir diğer yöntem ise araştırmacılar veya Mitre tarafından hazırlanmış olan şablonları kullanmak. Bu yöntemin avantajı sürekli olarak güncellenmesi ve teknikler çıkartılırken zaman kazandırması. Dezavantajı ise sınırlı sayıda gruba ait bilgi barındırması ve senaryoyu uygulayacak kişilerin saldırganları tam olarak anlayamaması. Var olan bir şablonu kullanıyor olsanız bile ilgili gruba ait siber tehdit istihbaratı raporlarını okuyarak teknikleri nasıl uyguladıklarını, ne gibi araçları nasıl kullandıklarını detaylı şekilde incelemenizi kesinlikle tavsiye ederim.

    Mitre’nin paylaşmış olduğu verileri incelersek; ilk olarak https://attack.mitre.org/groups/ adresi üzerinden grupların olduğu adrese gidiyoruz ve burada ilgilendiğimiz grubu seçiyoruz. Daha önce örnek olarak aldığımız APT39’dan devam edelim.

    Seçtiğimiz gruba ait bilgiler geldikten sonra burada detaylı bilgiler ile birlikte oluşturulma tarihi ve son güncellenme tarihi gibi değerleri de görebiliyoruz. Daha sonra “Navigation Layers” üzerinde “view” seçiyoruz.

    Gelen sayfada ilgili gruba ait taktikleri seçili bir şekilde görebilirsiniz. İlgili tekniklerin üzerine geldiğimizde veya tıkladığımızda daha detaylı bilgiler gelecektir.

    Analiz ve Düzenleme

    Bu aşamadaki amacımız, elde ettiğimiz TTP’lerin anlamlandırılmaları ve Adversary Emulation planı için bir senaryo oluşturulması. Bu sayede Red Team’in izleyeceği adımlar net bir şekilde belirlenebilir.

    Örneğin; Zararlı dosya içeren bir e-posta ile spear-phishing saldırısı gerçekleştirecekseniz öncelikle bir C&C (Command And Control) sunucusu kurmanız gerekiyor. Privilege Escalation veya Credential Access aşamaları için öncelikle İnitial Access aşamasının tamamlanması gerekiyor gibi adımların belirlenmesi ve netleştirilmesi gerekmektedir.

    Adversary Emulation Planının Oluşturulması

    Siber tehdit istihbaratının son adımı ise Adversary Emulation planının oluşturulması. Bu aşamaya kadar toplanan bilgileri bir araya getirerek, her adımda gerçekleştirilecek olan işlemleri belirleyip belge hazırlıyoruz. Aşamalar içerisinde tam olarak neler yapılacağı da bu hazırlanan belge içerisinde detaylı olarak belirtilmelidir.

    Plan içerisinde taklit edilecek olan saldırgan grubun kullandığı araçlar ve özelliklerde belirtilir. Genel olarak Red Team çalışmalarında saldırganın daha önce kullanmış olduğu zararlı yazılımlar kullanılmaz. Bunun yerine araçların aynı özelliklerine ve işlevlerine sahip özel araçlar geliştirilir. Bu hem başka bir organizasyonu hedefleyen zararlının sizin hedefinizde çalışmama ihtimalini hem de içeriğini tam olarak bilmediğiniz bir zararlının oluşturabileceği potansiyel riskleri ortadan kaldırır.

    Mitre’ın APT3 için hazırlamış olduğu örnek Adversary Emulation planına da aşağıdaki bağlantı üzerinden erişebilirsiniz.

    Referanslar

  • Red Team: Red Team Neden Gereklidir?

    Bir önceki yazı içerisinde genel terimlerden ve Red Team’den kısaca bahsetmiştik. Bu yazı içerisinde biraz daha Red Team’in kendisine odaklanacağız. Red Team ile alakalı bazı sorulara ait cevapları bu post altında toplamaya çalışıyor olacağım.

    Red Team Neden Gereklidir?

    Zafiyet taraması ve sızma testi gibi geleneksel güvenlik denetimleri gerçek saldırılardan farklılık göstermektedir. Yaşanılması olası hedefli bir siber saldırı ciddi bir planlama ve hazırlık süreci gerektirir. Bu nedenle geleneksel yöntemler gerçek bir siber saldırının etkilerini tam anlamıyla gösteremeyebilir.

    Geleneksel yöntemler sonucunda oluşabilecek bazı zayıflıkları örneklersek;

    • Belirli bir kapsam dahilinde daha çok zafiyet odaklı işlerler. Kısıtlı bir süre içerisinde gerçekleştirilmeleri gerekir. Testlerin verilen süre içerisinde tamamlanma zorunluluğu yapılan kontrollerin derinliğini azaltabilir. Örneğin; kapsam içerisinde tespit edilen düşük/orta seviye bir bulgu kapsam dışındaki bir sistem ile kullanıldığında çok büyük etkilere neden olabilir ve bu durumda gerçek etkiler gözden kaçabilir.
    • Hedefe özel araç ve tekniklerden daha ziyade genel yöntemler tercih edilir fakat “Defender’s Dilemma” bize saldırganın tek bir sistemde tek bir zafiyet dahi bulmasının hedef organizasyonu ele geçirmek için yeterli olabileceğini söyler. Örneğin; bir zafiyet/teknik özelinde organizasyonun güvenlik metriklerine takılan bir zararlı dosya çalışmayabilir veya hatalı sonuç verebilirken, organizasyonun yapısına göre özel olarak hazırlanmış bir zararlı, tüm organizasyonu etkileyen kritik bir saldırı zincirinin başlamasına neden olabilir.
    • Çoğu sızma testi kapsamının dışında tutulan fiziksel, donanımsal veya insan kaynaklı zafiyetler “Defender’s Dilemma” içerisinde bahsettiğimiz kritik zinciri başlatmak için yeterli olabilir.
    • Her ne kadar gerçek bir saldırıya yakın yapılmaya çalışılsa da hedefin bilgisi dahilinde yapılan kontroller, tespit ve tepki ölçülmesi konusunda yeterli değillerdir.

    Doğru planlanmış ve uygulanmış bir Red Team çalışması, süreçlerden insanlara kadar birçok farklı alanda oluşabilecek potansiyel güvenlik açıklarını ve risklerini geniş kapsamda ortaya çıkararak yukarıda bahsettiğimiz olumsuzlukları ortadan kaldırabilir. Gerçek bir saldırıya en yakın kontrol şeklidir. Organizasyon içerisinde çok kısıtlı kişinin bilgisi dahilinde gerçekleştirilir. Bu sayede birçok farklı çıktı sağlayabilir. Organizasyonun güvenlik duruşunu gerçeğe en yakın şekilde ölçebilir.

    Süreçlerde oluşabilecek zafiyetleri daha net anlamak için basit bir Red Team çalışmasında ki “Initial Access” aşamasının faydalarını kısa bir örnekle inceleyelim. Hedef organizasyonun erişilebilir sistemlerinin üzerinde bulunan uygulamaların versiyonlarını açık kaynaklardan toplamış bir saldırgan olduğumuzu varsayalım. Elimizde bulunan envanter içerisinde bir sistem üzerindeki uygulamada kritik bir zafiyet yayınlandı. Organizasyona sızma işlemini bu zafiyeti kullanarak gerçekleştirdik. Senaryonun kalanından bağımsız bir şekilde sadece “Initial Access” aşaması bile bize aşağıdaki örnek birkaç sorunun cevabını sağlayabilir:

    1. Organizasyonun zafiyet yönetimi yetenekleri yeterli mi? Yayınlanan kritik bir zafiyetin kapatılma süresi ne kadar?
    2. Zafiyetlerin kapatılma süreci hedefli bir saldırıyı engelleyebilecek ölçüde mi?
    3. Zafiyete özel tespit ve engelleme kuralları hızla oluşturularak saldırı engellenebildi mi?
    4. Savunma ekiplerinin saldırıyı tespit ve tepki süresi ne kadar? Bu süreler kritik bir saldırıyı engelleyebilmek için yeterli mi?

    Red Team çalışmalarının olumlu birçok noktası olduğu gibi tabii ki eksik olan bazı noktaları da bulunmaktadır. Red Team çalışmaları uzun süren planlama, hazırlık ve uygulama süreçlerine sahiptir. Yapılan işlemler dikkatli bir şekilde iyi hazırlanılarak manuel olarak gerçekleştirilmelidir. Bu nedenle organizasyonun büyüklüğüne ve uygulanacak olan senaryoya göre değişiklikler gösterse de diğer güvenlik denetimlerine kıyasla çok daha uzun zaman ve kaynak gerektirir. Red Team ekibi çalışmasında senaryo içerisinde planlanan adımları uygulayarak belirlenen amaca ulaşmayı hedefler. Örneğin, oltalama ile bir organizasyona ilk sızma işlemi gerçekleştirilmiş ise, yapılan çalışmanın tespit edilmesine veya engellenmesine yol açacak şekilde dışarıdaki tüm sistemlere zafiyet taraması gerçekleştirmek anlamsızdır. Bu nedenle organizasyonun genel zafiyetlerini bir sızma testi kadar detaylı ortaya çıkaramaz.

    Blue Team Neden Red Team’e ihtiyaç duyar?

    Teknolojinin her geçen gün gelişmesi gibi siber saldırılar da her gün gelişmekte ve yeni saldırı teknikleri ortaya çıkmaktadır. Zafiyetlere benzer şekilde örneklersek; her ne kadar zafiyetler yayınlanan yamalar ile kapatılmaya çalışılsa da sürekli olarak yeni zafiyetler ortaya çıkmaktadır ve yeni önlemler ile kapatılmaktadır. Benzer durum savunma tarafı için de geçerlidir.

    Mevcut bir saldırıya karşı alınan savunma önlemleri, saldırıda yapılacak olan ufak değişiklikler veya savunmadaki bazı boşluklar kullanılarak atlatılabilmektedir. Olası saldırılar için alınan önlemlere körü körüne güvenmek çoğu zaman zararla sonuçlanacaktır ve mutlaka bu önlemlerin doğrulanmaları gerekir. Madde madde alınan önlemlere doğrulama yapmadan güvenmenin etkilerine bakacak olursak;

    • Sistemlerinizin güncel olması sizi bilinen saldırılara karşı korur, sıfırıncı gün saldırıları her zaman risk oluşturacaktır. Ek olarak sistemlerinizin gerçekten güncel olduğundan emin misiniz? Örneğin, MS17-010 zafiyetinin yaması yayınlandıktan aylar sonra ortaya çıkan WannaCry zararlısı, 150 ülkede 200,000’den fazla sisteme bulaşabilmişti.
    • Günümüzdeki büyük firmaların çoğu “Data Loss Prevention (DLP)” barındırmakta fakat birçok büyük firma tarafından açıklanan veri sızıntısı haberleri ile hala neden karşılaşıyoruz?
    • Çalışanlarınız gerçekten siber güvenlik farkındalığına sahip mi? İşe yeni başlamış farkındalığı düşük bir çalışan ve zararlı bir Office dosyası ile saldırı zinciri tetiklenebilir mi?
    • IDS/IPS ve firewall’lara sahip olabilirsiniz fakat Firewall’lar insanlar tarafından oluşturulan kurallar doğrultusunda çalışırlar. Diğer güvenlik ürünleri ise genelde sık karşılaşılan zararlılara karşı güvenilir bir şekilde çalışır ve basit yöntemler bile atlatmak için yeterli olabilir.

    Sıradan bir siber saldırıyı tespit etmek ve engellemek için varsayılan genel konfigürasyonlar kullanılabilir fakat organizasyona özel gerçekleştirilen saldırıları engellemek için daha spesifik ve detaylı çalışmaların yapılması gerekmektedir. Saldırılarda kullanılan araçlar ve teknikler kolaylıkla değiştirilebilir fakat uygulanan davranışlar ve yöntemler geneldir. Red Team bu noktada hedefli bir saldırgan gruba benzer şekilde organizasyonu hedef alır ve savunmasını test eder. Çalışma sonrasında ortaya çıkan veriler doğrultusunda tespit ve engelleme mekanizmalarında iyileştirmeler yapılır. Yapılan her iyileştirme bir sonraki Red Team çalışmasının tespit edilme ihtimalini yükseltir, bu nedenle Red Team’in saldırgan gruplarda da olduğu gibi sürekli gelişmesi gerekmektedir. Yani Red Team Blue Team’in gelişimine katkı sağlarken, Blue Team de Red Team’in gelişime katkı sağlamaktadır.

  • Red Team: Genel Bilgiler ve Tanımlar

    Başlıktan da anlaşılacağı üzere, şu anda “Red Team” ile ilgili uzun zamandır yazmak istediğim fakat bir türlü zaman ayıramadığım yazı serisinin ilk postunu okuyorsunuz. Bu seride Red Team başlığı altında; kendi gelişim süresince aldığım eğitimler, yapmış olduğum araştırmalar ve elimdeki notları tek bir noktada birleştirmeye gayret ediyor olacağım.

    Bazı başlıklar ve yazı içerisinde İngilizce tanımlar ile karşılaşmanız mümkün. Bunun sebebi ise bazı tanımların Türkçeye çevrildiğinde anlamını yitirmesi ve Türkçe olarak bu kelimeleri kullanarak yaptığınız araştırmalarınızın sığ sonuçlar getirecek olmadır.

    Bu post direkt olarak Red Team’i konu almaktan daha ziyade genel bilgileri ve tanımları içeren basit bir yazı olacak.

    Vulnerability Scanning

    Vulnerability Scanning (Zafiyet Taraması) en temel güvenlik denetimlerinden biridir. Adından da anlaşılabileceği üzere; verilen hedefler üzerinde otomasyon kullanılarak zafiyetler tespit edilmesine dayanır. Hedeflenen varlıklar üzerinde kısa sürede, araçların da yardımıyla bilinen zafiyetleri tespit edebilmeyi amaçlar.

    Düşük insan gücü ile gerçekleştirilebilir fakat kullanılacak olan tarama araçları için yatırım ihtiyacı bulunur.

    Kontrollerin tamamlanması diğer denetim yöntemlerine göre daha hızlıdır. Bu sayede varlığın büyüklüğüne bağlı olarak kısa periyotlar içerisinde tekrarlanabilir. Araçların temel bilgi toplama fonksiyonları kullanılarak yüzeysel bir envanter bilgisi elde edilebilir ve zafiyet yönetimi için girdi oluşturulabilir.

    Derinliği, yüzeysel bir kontrol gerçekleştirdiği için düşüktür. Doğruluğu ise, taramalar sırasında zafiyetlere ait olan bazı değişkenlerin (versiyon, dizin vb.) tespitinde ve kurulu uygulama yapısındaki ufak değişikliklerden etkilenebildiği için (özellikle web uygulamalarında ve mantıksal zafiyetlerde) düşüktür. Bu nedenle false-positive bulgular üremesi veya bulgu kaçması olasıdır.

    Penetration Testing

    Penetration Testing(Sızma Testi); belirli bir kapsam içerisinde bulunan varlıklar üzerinde bulunan zafiyetlerin tamamını tespit etmeyi amaçlayan bir denetim yöntemidir. Testler sırasında farklı amaçlar için birçok araç kullanılsa bile çoğunlukla manuel efor gerektirir. Tespit edilen zafiyetler testi gerçekleştiren kişi/kişiler tarafından sömürülür. Bu sayede zafiyetlerin doğrulukları, potansiyel etkileri, hedef kurum/şirket üzerinde oluşturdukları riskler tespit edilebilir.

    Tespit edilen sömürülebilir tüm zafiyetlerin bilgileri ve kanıtları bir rapor içerisinde ilgili kişiler ile paylaşılır. Çok sayıda varlığa sahip kurum/şirketlerde, zafiyetlerin etkileri iyi analiz edilebileceği için zafiyetler doğru bir öncelik ile kapatılabilir.

    Zafiyet taramasına göre daha fazla manuel efor barındırdığı için tamamlanması daha uzun sürmektedir fakat derinlik ve doğruluk olarak daha kaliteli sonuçlar elde edilebilir. Hedef kapsamın büyüklüğüne göre gerçekleştirilen sızma testinin süresi ciddi ölçüde artabilir.

    Yöntem olarak 3’e ayrılır;

    • Black Box: Hedef hakkında herhangi bir bilgiye sahip olunmadan gerçekleştirilen testlerdir.
    • Gray Box: Sınırlı sayıda bilgi ile gerçekleştirilen testlerdir.
    • White Box: Hedef ile ilgili gerekli tüm bilgiye sahip olunarak gerçekleştirilen testlerdir.

    Blue Team

    Red Team’e geçmeden önce kısaca Blue Team’den bahsetmenin faydalı olacağını düşünüyorum. CNSS’e göre blue team’in tanımı aşağıdaki şekildedir;

    “The group responsible for defending an enterprise’s use of information systems by maintaining its security posture against a group of mock attackers (i.e., the Red Team). Typically, the Blue Team and its supporters must defend against real or simulated attacks 1) over a significant period of time, 2) in a representative operational context (e.g., as part of an operational exercise), and 3) according to rules established and monitored with the help of a neutral group refereeing the simulation or exercise (i.e., the White Team).”

    Özetle Blue Team; 7/24 varlıkların takibini yaparak gerçek bir saldırıya karşı organizasyonun savunmasını sağlamak ile görevli olan ekiptir. Olası güvenlik tehditlerini ve risklerini analiz eder. Bu analizler sonrasında elde edilen veriler kullanılarak, siber saldırılara karşı refleks mekanizmaları geliştirilir. Bu sayede gerçekleşecek olan olası siber saldırıların tespiti ve engellenmesi amaçlanmaktadır.

    Red Team

    Red Teaming basit tabiriyle; taktik, teknik ve prosedürleri (TTPs) canlandırarak gerçek bir saldırganın bakış açısı ile hedefin güvenlik duruşunu tam anlamıyla test eder. Çoğunlukla bir kapsamı yoktur veya çok geniş bir kapsam ile kontroller gerçekleştirilir.

    Red Team çalışması canlı sistemler üzerinde ve Blue Team’e herhangi bir bilgilendirme yapılmadan gerçekleştirilir. Temelde Blue Team’in gelişimi amaçlanmaktadır. Kurumun tespit mekanizması, siber saldırı refleksi, savunma prosedürleri, konfigürasyon eksiklikleri ve teknolojilerinin zayıflıkları gibi birçok farklı noktayı kontrol eder. Yeni bir TTP, araç, zafiyet çıktığında veya geniş zaman aralığında periyodik olarak gerçekleştirilebilir. Bu nedenle red team çalışmalarında siber istihbarat önemli bir yere sahiptir.

    Uzman bir ekip tarafından başarıyla tamamlanan ve sonuçları incelenerek gerekli önlemlerin alınması sağlanan bir sızma testi, her ne kadar güvenlik seviyesinde iyileştirme sağlasa da Red Team çalışması ile aynı şey değildir. Bunun sebebi sızma testinin ve Red Team’in tamamen farklı şekilde uygulanması ve farklı amaçlara sahip olmasıdır.

    Purple Team

    Purple Team aslında bir takımdan ziyade, Blue Team ve Red Team takımlarının beraber çalışması için oluşturulmuş bir süreç ve fonksiyondur. Red team çalışmaları sırasında Blue Team’e herhangi bir bilgilendirme yapılmazken Purple Team çalışmaları blue team ile beraber gerçekleştirilir. Çalışmalar sırasında Red Teaming’de olduğu gibi TTP’ler takip edilir ve Blue Team tarafından incelenir. Bu sayede anlık olarak gerçekleştirilen saldırının tespitinin incelenmesi ve gerekli durumlarda tekrarlanması/doğrulanması sağlanabilir.

    Referanslar