PetitPotam IOC Tespiti

PetitPotam, Microsoft Windows sistemlerine yönelik bir saldırı vektörüdür ve özellikle Active Directory ortamlarında güvenlik açıkları yaratır. Bu saldırı, NTLM kimlik doğrulaması üzerinden ve LDAP üzerinden gerçekleştirilen isteklerle gerçekleştirilir. Bu yazıda, PetitPotam saldırılarının nasıl tespit edileceği hakkında bilgi vereceğim.

PetitPotam saldırısı, kötü niyetli bir aktörün bir sunucuya veya bilgisayara bağlanarak NTLM kimlik bilgilerini çalmaya çalıştığı bir yöntemdir. Bu tür saldırıları tespit edebilmek için aşağıdaki yöntemler kullanılabilir:

• Güvenlik Olayı İzleme: Windows Olay Günlüğü (Event Log) izlenerek, 4624 (başarılı giriş) ve 4625 (başarısız giriş) olay kimlikleri kontrol edilmelidir. Bu olayların sıklığı ve kaynağı, şüpheli aktiviteleri belirlemek için önemlidir. Özellikle, bilinmeyen kaynaklardan gelen sürekli giriş denemeleri dikkate alınmalıdır.
  
• Ağ Trafiği Analizi: Ağ trafiği üzerinde, özellikle LDAP ve SMB ile ilgili trafiği izlemek gereklidir. PetitPotam saldırıları, genellikle bu protokoller üzerinden gerçekleştirilir. Şüpheli IP adresleri veya anormal trafik desenleri tespit edilirse, inceleme yapılmalıdır.
  
• Sistem Güncellemeleri: Microsoft, PetitPotam ile ilgili güvenlik güncellemeleri yayınlamıştır. Sistemlerin güncel tutulması, bu tür saldırılara karşı savunmanın en etkili yollarından biridir. Güncellemelerin uygulanıp uygulanmadığı kontrol edilmelidir.
  
• Güvenlik Duvarı ve IDS/IPS Kullanımı: Güvenlik duvarları ve saldırı tespit/önleme sistemleri (IDS/IPS), şüpheli aktiviteleri engellemek veya raporlamak için yapılandırılmalıdır. Özellikle, NTLM ve LDAP trafiği için özel kurallar oluşturulabilir.

PetitPotam saldırılarının başarılı bir şekilde tespit edilmesi, kurumsal güvenlik açısından kritik öneme sahiptir. Bu nedenle, sürekli izleme ve güncel güvenlik önlemleri almak gereklidir. Saldırı tespit yöntemleri ile ilgili daha fazla bilgi edinmek veya farklı yaklaşımlar hakkında tartışmak faydalı olabilir.