Saldırı Göstergeleri (IOA'lar) nelerdir? IOC'lerden Farkları Nedir?

Saldırı Göstergeleri (IOA'lar), bir siber saldırının arkasındaki niyetleri ve tehdit aktörünün hedeflerine ulaşmak için kullandığı teknikleri gösterir.

Kötü amaçlı yazılım, fidye yazılımı veya gelişmiş tehditler gibi saldırıyı güçlendiren belirli siber tehditler, IOA'ları analiz ederken çok az endişe kaynağıdır. Bunun yerine, bu siber güvenlik stratejisinde yalnızca bir siber tehdidin konuşlandırılmasına yol açan olayların sırası dikkate alınır.

IOA'lar en iyi, üç ana aşamaya basitleştirilebilecek bir işlem olan bir siber saldırı bağlamında anlaşılır.

Bir saldırı genellikle, çalışanların dahili kimlik bilgilerini ifşa etmeleri için kandırıldığı bir kimlik avı kampanyasıyla başlar. Bu bilgilerle donanmış olarak, bir BT çevresi ihlal edilir.

Daha sonra saldırgan, son derece hassas kaynaklara erişimi kolaylaştıracak ayrıcalıklı kimlik bilgilerini aramak için ağda yanal olarak hareket eder. Bu kimlik bilgileri ele geçirildiğinde, bir veri ihlali meydana gelir.

Bu süreçte ortaya çıkan tüm hasarlar - bellek diskinde yapılan değişiklikler, komuta ve kontrol sunucularına arka kapı bağlantıları vb. - sistemin güvenliğinin ihlal edildiğinin göstergeleridir, ancak güvenlik ekiplerinin saldırganların gelecekteki hareketlerini veya birincil itirazlarının ne olduğunu anlamalarına yardımcı olmazlar.

IOA'lar saldırganın motivasyonlarını açıklar, her süreçte kullanılan belirli araçlar çok az önem taşır.

IOA'lar her bir siber saldırı aşamasının arkasındaki "neden" ile ilgilenirken, IOC'ler "nasıl" ile ilgilenir. -> alıntı

Saldırı Göstergelerine Örnekler

Aşağıdaki 10 IOA örneği, yaygın siber suç davranışlarına dayanmaktadır:

• Dahili ana bilgisayarlarla iletişim kuran genel sunucular. Bu, veri hırsızlığının ve suç sunucularından uzaktan iletişimin göstergesi olabilir.
• 80 numaralı bağlantı noktası veya 443 numaralı bağlantı noktası yerine standart olmayan bağlantı noktaları üzerinden bağlantılar.
• İş menzili dışındaki ülkelerle iletişim kuran dahili ana bilgisayarlar.
• Kısa zaman dilimleri içinde ana bilgisayarlar arası iletişim. Bu, siber suçluların yanal hareketinin veya içeriden gelen tehdit faaliyetinin göstergesi olabilir (Şekil 1'deki 2. aşamaya bakın).
• Tek bir ana bilgisayardan birden fazla Honeytoken uyarısı (özellikle mesai saatleri dışında).
• Aşırı SMTP trafiği. DDoS saldırılarını başlatmak için kullanılan güvenliği ihlal edilmiş bir sistemin kanıtı olabilir.
• Kötü amaçlı yazılımların kaldırılmasından sonraki birkaç dakika içinde yeniden bulaşma. Bu, Gelişmiş Kalıcı Tehdidin göstergesi olabilir.
• Farklı bölgelerden birden fazla kullanıcı girişi. Bu, çalınan kullanıcı kimlik bilgilerinin göstergesi olabilir.

Uzlaşma Göstergesi (IOC) ile Saldırı Göstergesi (IOA) arasındaki fark nedir?

Uzlaşma Göstergesi (IOC), bir siber olayın meydana geldiğine dair dijital kanıttır. Bu istihbarat, bir ağ ihlali spekülasyonlarına yanıt olarak veya planlı güvenlik denetimleri sırasında güvenlik ekipleri tarafından toplanır.

Öte yandan Saldırı Göstergesi (IOA), bir siber saldırının meydana gelme olasılığının yüksek olduğuna dair herhangi bir dijital veya fiziksel kanıttır.

Diğer bazı farklılıklar aşağıda tartışılmaktadır.

IOA'lar Veri İhlallerinden Önce Tespit Ediliyor

İkisi arasındaki temel fark, siber saldırı zaman çizelgesindeki konumlarıdır. IOA'lar bir veri ihlalinden önce meydana geldiğinden, olay yanıtları zamanında etkinleştirilirse, güvenlik olayı durdurulabilir ve önlenebilir.

IOC'ler Statiktir ancak IOA'lar Dinamiktir

Siber saldırı ayak izleri zaman içinde değişmez. Bir siber saldırının tüm bileşenleri - arka kapılar, C&C bağlantıları, IP adresleri, olay günlükleri, karmalar vb. - aynı kalır ve güvenlik ekiplerinin gelecekteki saldırılara karşı savunmasına yardımcı olmak için gerekli tehdit istihbaratını sağlar.

Bu nedenle IOC tabanlı algılama yöntemleri statik olarak sınıflandırılır.

Öte yandan, IOA verileri dinamiktir çünkü siber suç hareketleri dinamiktir. Bir veri ihlali meydana gelmeden önce, bir bilgisayar korsanının çok sayıda saldırı aşamasından geçmesi ve birden çok saldırı tekniği arasında geçiş yapması gerekir.

Siber saldırıda 14 aşama vardır ve her biri farklı bir dizi teknik içerir. Bkz. Gönye Att&ck matrisi.

IOA algılama yöntemleri, bu etkinliği geliştikçe tespit etmeyi amaçlar.

IOA Verileri Gerçek Zamanlı Olarak İzlenir

Bir saldırgan siber saldırı yaşam döngüsü boyunca ilerledikçe IOA verileri değiştiğinden, verilerin gerçek zamanlı olarak izlenmesi gerekir.

IOA verileri, bir ağın nasıl ihlal edildiğini, kurulan arka kapıları ve güvenliği ihlal edilen ayrıcalıklı kimlik bilgilerini gösterebilir - güvenlik ekiplerinin bir siber saldırıyı gelişirken engellemesine yardımcı olan ve saldırganın bekleme süresini azaltan bilgiler.

Bu nedenle, IOA'lar siber güvenliğe proaktif bir yaklaşımı desteklerken, IOC reaktif adli bilişim odaklı yanıtlarda kullanılır.

IOC Tabanlı Tespit Mekanizmalarının Sınırlamaları

IOC algılama yöntemleri, statik imzalarla karakterize edilmeyen siber tehditleri engelleyemez.

Sıfırıncı Gün İstismarları gibi ortaya çıkan siber tehditlere imza atanma şansı olmadı ve bu nedenle imza algılamaya dayanan güvenlik kontrollerinden geçecek.

Statik imza tabanlı siber güvenlik denetimine bir örnek, virüsten koruma yazılımıdır.

Bazı kötü amaçlı yazılım türleri, virüsten koruma taramasını tetiklemekten kaçınmak için diske yazmaz. Antivirüs güvenlik çözümlerinin böyle bir tehdidi potansiyel olarak keşfetmesinin tek yolu, sistem belleğinin tehdidin güncellenmiş imzasıyla taranmasıdır.

Güncelleştirilmiş bir imza mevcut olsa bile (0 gün etkin bir şekilde kullanılıyorsa bu pek olası değildir), herhangi bir algılama şansına sahip olmak için haftada birkaç kez bellek taraması yapılması gerekir.

Tüm AV satıcıları bellek taraması yapamaz ve yapabilseler bile uç nokta performansı işlem sırasında kesintiye uğrayabilir. Bu nedenle, virüsten koruma yazılımı gibi IOC odaklı çözümler, ortaya çıkan tehditlere karşı güvenilir savunmalar değildir.

IOC odaklı çözümlerin bir diğer sınırlaması, öngörülebilir saldırı yüzeyi tarama programlarıdır.

Gelişmiş Kalıcı Tehditler (APT'ler) gibi gelişmiş tehditler, bilgi güvenliği taramaları sırasında saldırgan etkinliğini duraklatabilir ve her tarama tamamlandıktan sonra bunları devam ettirebilir.

Siber Güvenliğin Geleceği: IOC ve IOA Odaklı Stratejilerin Bir Kombinasyonu

Tek başına uygulanırsa, hem IOC hem de IOA stratejileri siber güvenlik programlarında eksiklikler yaratacaktır.

• IOC'ler, güvenlik koşullarının siber saldırı girişimlerini engellemesine yardımcı olamaz. IOC'ler ayrıca genellikle yanlış alarmları tetikler ve yüksek oranda yanlış pozitif sonuç verir.
• IOA'lar, bir siber olayın ardından yetersiz adli istihbarat sağlar.

Ancak bir araya getirildiğinde, bir stratejinin güçlü yönleri diğerinin eksikliklerini uygun bir şekilde ele alır.

Bu tamamlayıcı ilişkiyi göstermek için, bir Mitre Att&ck aşamalarında ilerleyen bir tehdit aktörünü düşünün.

Saldırının keşif aşamasında, kullanıcı hesapları dark web'de yayınlanan çalıntı bir veritabanından alınır. Bu süreç bir TTP göstergesidir (Taktikler, Teknikler ve Prosedürler) ve aynı zamanda bir IOA'dır.

Siber saldırganlar daha sonra bu kimlik bilgilerini hedef ağın çevresini ihlal etmek için kullanır ve saldırının İlk Erişim aşamasına ilerler.

IOA güdümlü araçlar tarafından gerçekleştirilen bu faaliyetin farkına vardıktan sonra, güvenlik araştırma ekipleri araştırmaya başlar.

Çalınan kimlik bilgilerinin, fidye yazılımı saldırıları başlatmasıyla bilinen bir Rus konumundaki bir IP adresinden ağa giriş yapmak için kullanıldığını öğrenirler. Bu tür bir istihbarat, bu IOC için tehdit göstergesi türünün bir IP adresi olduğu bir IOC olarak sınıflandırılacaktır.

Artık siber saldırıların motivasyonları netleştiğine göre, güvenlik ekipleri bu tür saldırılarda yaygın olarak kullanılan saldırı vektörünü güvence altına alabilir ve fidye yazılımı operasyonlarına özel müdahale çabalarını devreye sokabilir.

IOC'lerin ve IOA'ların kombinasyonu, tehdit avcılığı operatörleri için daha fazla bağlam sağlayarak, her bir siber olayın neden olduğu hasarın hafifletilebilmesi için saldırının birincil hedeflerini anlamalarına yardımcı olur.