Compromise Assessment: Saldırgan hâlâ içeride olabilir mi?
Bir kurumun ağında aktif ya da geçmiş bir saldırgan izi olup olmadığını ortaya koyan compromise assessment çalışmasının amacı, kapsamı ve ne zaman gerektiği.
Güvenlik ürünlerinin alarm üretmemesi, ortamda bir saldırgan bulunmadığı anlamına gelmez. Hedefli saldırılarda ilk erişim ile tespit arasında geçen süre çoğu zaman haftalarla, hatta aylarla ölçülür. Bu süre boyunca saldırgan meşru yönetim araçlarını kullanarak fark edilmeden hareket edebilir.
Compromise assessment, bu soruya doğrudan yanıt arayan bir çalışmadır: Ortamımızda şu anda ya da geçmişte bir saldırgan bulundu mu?
Sızma testinden farkı nedir?
Sızma testi, bir saldırganın girip giremeyeceğini sınar. Compromise assessment ise bir saldırganın zaten girmiş olup olmadığını araştırır. Birincisi zafiyetlere, ikincisi ise saldırganın bıraktığı izlere odaklanır. İki çalışma birbirinin yerine geçmez, birbirini tamamlar.
Çalışma neleri kapsar?
Tipik bir compromise assessment şu adımlardan oluşur:
- Kapsam ve veri toplama: Uç noktalardan adli artefaktlar, kimlik altyapısından (Active Directory, Entra ID) kayıtlar, SIEM ve network verileri toplanır.
- Tehdit avcılığı: Bilinen zararlı yazılım imzalarının ötesinde; kalıcılık mekanizmaları, olağan dışı hesap kullanımı, yanal hareket ve veri sızdırma belirtileri aranır.
- Analiz ve doğrulama: Bulgular analistler tarafından tek tek incelenir, yanlış pozitifler elenir ve gerçek bulgular bir zaman çizelgesine oturtulur.
- Raporlama: Tespit edilen izler, etkilenen sistemler ve öncelikli iyileştirme önerileri yönetim ve teknik ekipler için ayrı ayrı raporlanır.
Ne zaman gerekir?
Compromise assessment özellikle şu durumlarda değerlendirilmelidir:
- Birleşme veya satın alma öncesinde, devralınacak altyapının güvenilirliğini doğrulamak için,
- Sektörünüzü hedef alan bir saldırı kampanyası kamuoyuna yansıdığında,
- Yeni bir güvenlik yöneticisi göreve başladığında, mevcut durumu bağımsız bir gözle tespit etmek için,
- Açıklanamayan performans sorunları, beklenmedik hesap kilitlenmeleri veya olağan dışı trafik gözlemlendiğinde,
- Periyodik güvence çalışmasının bir parçası olarak.
Sonuç
Compromise assessment, “güvende miyiz?” sorusunu varsayımlarla değil, kanıtlarla yanıtlar. Temiz bir sonuç, kuruma ölçülebilir bir güvence sağlar; bir bulgu ise saldırı büyümeden müdahale edilmesine imkân tanır.
MetaCyber analist ekibi, compromise assessment, olay müdahalesi ve adli analiz çalışmalarını uçtan uca yürütmektedir. Ayrıntılı bilgi için DFIR hizmet sayfamızı inceleyebilir ya da bizimle iletişime geçebilirsiniz.