Autor del tema
#0
Memory Forensics'e Giriş ve Önemi
Siber güvenlik alanında tehditler sürekli gelişmekte ve geleneksel disk tabanlı analiz yöntemleri yetersiz kalmaktadır. Bu noktada Memory Forensics, yani bellek adli bilişimi, önemli bir rol üstlenir. Bir sistemin çalışma anındaki durumunu, süreçleri, ağ bağlantılarını, kullanıcı etkileşimlerini ve hatta kötü amaçlı yazılım kalıntılarını RAM üzerinden inceleyerek adli delil toplama yöntemidir. Özellikle gelişmiş kalıcı tehditler (APT'ler) ve rootkit'ler, disk üzerinde iz bırakmadan sistemde faaliyet gösterebilir. Bu nedenle, sisteme nüfuz eden bir saldırının doğasını ve kapsamını anlamak için belleğin derinlemesine analizi kritik hale gelmiştir. Başka bir deyişle, dijital dünyada suçluların yeni saklanma yöntemlerine karşı adli bilişim uzmanlarının en güçlü araçlarından biridir.
Kernel Nesneleri ve Normal İşleyişi
İşletim sisteminin kalbi olan kernel (çekirdek), bilgisayarın donanımı ve yazılımları arasındaki iletişimi yöneten temel bileşendir. Kernel, süreçler, iş parçacıkları, modüller, sürücüler ve açık dosyalar gibi çeşitli nesneler aracılığıyla sistem kaynaklarını düzenler ve kontrol eder. Bu nesneler, belirli veri yapıları halinde bellekte bulunur ve işletim sisteminin sorunsuz çalışmasını sağlar. Örneğin, bir program çalıştığında, kernel ilgili süreci ve ona ait iş parçacıklarını birer nesne olarak oluşturur. Bu nesnelerin her biri, sistemin genel durumunu ve performansını gösteren benzersiz özelliklere sahiptir. Kötü amaçlı yazılımlar genellikle bu nesnelerin yapısını manipüle ederek veya gizleyerek tespit edilmekten kaçmaya çalışır.
Gizlenme Mekanizmaları: Kötü Amaçlı Yazılımlar Nasıl Gizlenir?
Kötü amaçlı yazılımlar, özellikle rootkit'ler, sistemde kalıcı olmak ve tespit edilmekten kaçınmak için çeşitli gizlenme mekanizmaları kullanır. En yaygın yöntemlerden biri, kernel tarafından tutulan liste veya tablo yapılarından kendi nesnelerini çıkarmaktır; böylece standart API çağrıları ile görünmez hale gelirler. Örneğin, bir zararlı süreç, aktif süreçler listesinden kendisini ayırabilir, ancak aslında hala bellekte çalışmaya devam eder. Ek olarak, kötü amaçlı yazılımlar sistem çağrılarını (API'leri) veya kernel fonksiyonlarını "hooking" yaparak değiştirebilir. Başka bir deyişle, normalde bilgi döndürmesi gereken bir fonksiyonu kendi zararlı kodlarını çalıştıracak şekilde saptırabilirler. Bu tür manipülasyonlar, güvenlik yazılımlarının veya adli analiz araçlarının zararlı aktiviteleri tespit etmesini zorlaştırır.
Gizli Kernel Nesnelerini Tespit Etme Yaklaşımları
Gizlenmiş kernel nesnelerini tespit etmek, standart işletim sistemi araçlarıyla mümkün değildir; çünkü bu araçlar, kernel'in manipüle edilmiş API'lerine güvenir. Bu nedenle, adli bilişim uzmanları daha düşük seviyeli teknikler kullanır. Bir yaklaşım, belleğin ham görüntüsünü (dump) alarak kernel'in kendi veri yapılarını doğrudan incelemektir. Örneğin, aktif süreçler listesini gezinmek ve her bir süreç için beklenen veri yapılarının tutarlılığını kontrol etmek bu yöntemlerdendir. Aksine, bazı kötü amaçlı yazılımlar listelerden tamamen ayrılsa da, hafızada bir yerde kendi process environment block'larını (PEB) veya thread environment block'larını (TEB) bırakırlar. Gelişmiş araçlar, bu tutarsızlıkları ve liste dışı nesneleri bulmak için hafızayı tarar. Bu yöntemler sayesinde, görünüşte temiz görünen sistemlerdeki gizli tehditler ortaya çıkarılabilir.
Volatile Framework ve Gelişmiş Tespit Teknikleri
Memory forensics alanında Volatility Framework, gizli kernel nesnelerini tespit etmede en güçlü ve yaygın olarak kullanılan araçlardan biridir. Volatility, işletim sistemlerinin farklı versiyonları için çeşitli eklentiler sunarak, ham bellek görüntülerinden anlamlı veriler çıkarmayı sağlar. Örneğin, `psxview` eklentisi, farklı kernel veri yapılarını (örneğin, EPROCESS listesi, Kiwi pslist) çapraz referanslayarak, bir listede olup diğerinde olmayan gizli süreçleri kolayca tespit eder. Bununla birlikte, `dlllist` veya `modscan` gibi eklentiler, belleğe yüklenmiş gizli veya doğrulanmamış modülleri ve dinamik bağlantı kitaplıklarını ortaya çıkarabilir. Volatility, bellekteki yapısal tutarsızlıkları, işaretçi zincirlerindeki bozulmaları ve beklenmeyen hafıza bölgelerindeki kodları analiz ederek, kötü amaçlı yazılımların gizlenme çabalarını boşa çıkarır.
Tespit Edilen Nesnelerin Analizi ve Anlamlandırılması
Gizlenmiş kernel nesneleri tespit edildikten sonra, bunların niteliğini ve sistem üzerindeki etkisini anlamak kritik bir adımdır. Bir sürecin gizlenmiş olması, tek başına kötü amaçlı olduğu anlamına gelmeyebilir; ancak büyük bir olasılıkla şüpheli bir davranıştır. Analistler, tespit edilen nesnenin bellek adresini, ilişkili dosya yolunu, sahip olduğu izinleri ve çalıştığı kullanıcı bağlamını incelemelidir. Ek olarak, bu gizli nesnenin diğer süreçlerle veya ağ bağlantılarıyla bir etkileşimi olup olmadığı araştırılmalıdır. Başka bir deyişle, bulunan her ipucu, daha geniş bir saldırı resmini oluşturmak için birleştirilmelidir. Elde edilen bulgular, saldırının kapsamını belirlemede, veri sızdırma girişimlerini tespit etmede ve gelecekte benzer saldırıları önlemek için güvenlik önlemlerini güçlendirmede değerli bilgiler sağlar.
Memory Forensics'in Geleceği ve Sürekli Gelişim
Siber güvenlik tehditleri gelişmeye devam ettikçe, memory forensics teknikleri de buna paralel olarak ilerleyecektir. Bulut bilişim ortamları, sanallaştırma ve konteyner teknolojileri, bellek adli bilişimi için yeni zorluklar ve fırsatlar sunmaktadır. Örneğin, büyük ölçekli bulut altyapılarında dinamik olarak bellek görüntüsü almak ve analiz etmek, geleneksel yöntemlerden daha karmaşık hale gelmiştir. Yapay zeka ve makine öğrenimi algoritmaları, geniş bellek verisetlerindeki anormallikleri ve gizli tehditleri otomatik olarak tespit etme potansiyeli taşımaktadır. Sonuç olarak, memory forensics, siber saldırıların derinlemesine anlaşılması ve kök neden analizinin yapılması için vazgeçilmez bir alan olmaya devam edecektir. Bu sürekli gelişim, güvenlik uzmanlarının yeni ve sofistike tehditlere karşı bir adım önde olmasını sağlayacaktır.