Tehdit Avcılığı (Threat Hunting) ve Tespit Mühendisliği (Detection Engineering)

YARA kuralları, Sigma imzaları ve Sysmon günlükleri ile gelişmiş siber tehditleri proaktif olarak arama ve tespit kuralları geliştirme rehberi.

Tarih: 15 Eylül 2024 · Yazar/Yetki: Akıner Kısa · Okuma Süresi: 12 dk

#threat-hunting

#sigma

#yara

#sysmon

#soc

1. Tespit Mühendisliği Felsefesi

Geleneksel imza tabanlı antivirüs sistemleri, saldırganların kolayca değiştirebildiği göstergeleri (hash, IP adresi) hedefler. David Bianco’nun “Acı Piramidi” (Pyramid of Pain) modeline göre en yüksek savunma etkisi, saldırganın Taktik, Teknik ve Prosedürlerini (TTPs) tespit ederek elde edilir.

2. Sigma Kural Mimarisi (Genel Tespit Formatı)

Sigma, log kaynaklarından bağımsız (Splunk, Elastic, QRadar, Sentinel) çalışan evrensel bir kural dilidir:

title: Suspicious PowerShell Encoded Command Execution
id: 12345678-abcd-1234-abcd-123456789abc
status: experimental
description: Tespit: Şüpheli Base64 kodlanmış PowerShell çalıştırma komutu
author: Vulnerability.com.tr
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith:
      - '\powershell.exe'
      - '\pwsh.exe'
    CommandLine|contains:
      - ' -enc '
      - ' -EncodedCommand '
      - ' -e '
  condition: selection
level: high

3. YARA Kuralı (Bellek ve Dosya İnceleme)

Zararlı yazılım baytkodu ve dize desenlerini tespit etmek için örnek YARA kuralı:

rule WebShell_Generic_PHP_Eval {
    meta:
        description = "Tehlikeli PHP WebShell eval/assert/base64_decode kalıpları"
        author = "vulnerability.com.tr"
        severity = "Critical"
    strings:
        $s1 = "eval(base64_decode(" nocase
        $s2 = "system($_GET[" nocase
        $s3 = "passthru($_POST[" nocase
        $s4 = "assert($_REQUEST[" nocase
    condition:
        any of ($s*)
}