Konuyu Açan
#0
Sysmon (System Monitor), Windows işletim sistemlerinde sistem etkinliklerini izlemek için kullanılan bir araçtır. Sysmon, olay günlüğü kaydı yaparak, sistemdeki değişiklikleri ve potansiyel kötü amaçlı etkinlikleri tespit etmeye yardımcı olur. Bu bağlamda, Event ID 3, ağ bağlantılarının (TCP/IP) oluşturulması ve kapatılmasıyla ilgili bilgileri içerir. Bu yazıda, Sysmon Event ID 3 üzerinden Command and Control (C2) trafiğini nasıl analiz edebileceğimizi ele alacağız.
Öncelikle, Sysmon’un doğru bir şekilde yapılandırılmış olması gerektiğini belirtmek önemlidir. Event ID 3, ağ bağlantılarının kurulduğu ve kapandığı zamanları kaydeder. Bu olaylar, zaman damgaları, kaynak ve hedef IP adresleri, bağlantı türü ve port numarası gibi detayları içerir. Bu bilgileri kullanarak, kötü amaçlı yazılımların C2 sunucularıyla olan etkileşimlerini analiz edebiliriz.
Sonuç olarak, Sysmon Event ID 3’ün analizi, kötü niyetli C2 trafiğini tespit etmek için oldukça etkili bir yöntemdir. Bu olayları düzenli olarak incelemek, sistem güvenliğini artırmak ve olası tehditleri erken aşamada tespit etmek için kritik öneme sahiptir. Bu süreçte dikkat edilmesi gereken en önemli noktalar, doğru yapılandırma, IP adreslerinin analizi ve bağlantıların zamanlamalarıdır.
Öncelikle, Sysmon’un doğru bir şekilde yapılandırılmış olması gerektiğini belirtmek önemlidir. Event ID 3, ağ bağlantılarının kurulduğu ve kapandığı zamanları kaydeder. Bu olaylar, zaman damgaları, kaynak ve hedef IP adresleri, bağlantı türü ve port numarası gibi detayları içerir. Bu bilgileri kullanarak, kötü amaçlı yazılımların C2 sunucularıyla olan etkileşimlerini analiz edebiliriz.
- Kaynak ve Hedef IP Adresleri: İlk adım, olay günlüğündeki kaynak ve hedef IP adreslerini incelemektir. Bilinen kötü amaçlı IP adresleriyle karşılaşmak, potansiyel bir tehdit göstergesi olabilir. Örneğin, AbuseIPDB gibi kaynaklardan bu IP adreslerinin kötü amaçlı olup olmadığını kontrol edebilirsiniz.
- Bağlantı Türü ve Port Numarası: Event ID 3, bağlantının TCP veya UDP olup olmadığını gösterir. C2 iletişimi genellikle belirli portları kullanır. Örneğin, 80, 443 gibi standart web trafiği portları kötü amaçlı etkinlikler için sıkça tercih edilir. Bu tür bağlantıları incelemek, şüpheli trafiğin tespit edilmesine yardımcı olabilir.
- Zaman Damgaları: Bağlantıların zaman damgaları, şüpheli etkinliklerin zamanlarını belirlemede önemli bir rol oynar. Örneğin, bir bağlantının gece yarısı veya iş saatleri dışında kurulması, kötü amaçlı bir etkinlik olarak değerlendirilebilir.
- Sıklık Analizi: Belirli bir IP adresi veya port üzerinden gerçekleşen bağlantıların sıklığını incelemek de faydalıdır. Eğer belirli bir IP adresine sürekli olarak bağlantılar kurulduğunu görüyorsanız, bu durum C2 trafiği ile ilişkili olabilir.
Sonuç olarak, Sysmon Event ID 3’ün analizi, kötü niyetli C2 trafiğini tespit etmek için oldukça etkili bir yöntemdir. Bu olayları düzenli olarak incelemek, sistem güvenliğini artırmak ve olası tehditleri erken aşamada tespit etmek için kritik öneme sahiptir. Bu süreçte dikkat edilmesi gereken en önemli noktalar, doğru yapılandırma, IP adreslerinin analizi ve bağlantıların zamanlamalarıdır.