[VIP WHITE] Blue Team Operasyonları: SIEM Logları ile Tehdit Avcılığı (Threat Hunting)

⚠️ YASAL ÇERÇEVE VE GİZLİLİKBu makale, kurum içi ağlarda siber tehditleri tespit etme ve savunma yeteneklerini geliştirme amacıyla (Defensive Security) hazırlanmıştır.

5651 Sayılı Kanun ve KVKK (Kişisel Verilerin Korunması Kanunu) gereğince, log yönetimi ve analizi yapılırken çalışanların mahremiyetine dikkat edilmeli, toplanan veriler sadece güvenlik amacıyla işlenmelidir. Burada anlatılan teknikler, yetkili olduğunuz sistemlerin güvenliğini sağlamak içindir.

Giriş: Alarmın Çalmasını Beklemeyin!

1. Avcının Haritası: MITRE ATT&CK ve Hipotez Kurma

• Hipotez Örneği: "Eğer bir saldırgan muhasebe departmanındaki bir PC'yi ele geçirseydi, Domain Controller'a sıçramak için PowerShell kullanırdı."
  
• MITRE ATT&CK: Saldırganların kullandığı taktik ve tekniklerin ansiklopedisidir. Avcılık sorgularımızı buradaki TTP'lere (Tactics, Techniques, and Procedures) göre yazarız.

2. Kritik Log Kaynakları ve Görünürlük

1. Windows Event Logs: Özellikle Security, System ve PowerShell logları.
   
2. Sysmon (System Monitor): Windows'un standart loglarının yetersiz kaldığı yerde (Process Creation, Network Connections) devreye giren ücretsiz ve kritik bir Microsoft aracıdır.
   
3. Firewall & DNS Logları: Ağ trafiğindeki gariplikleri (C2 iletişimi) görmek için.

3. Uygulamalı Av Senaryoları (Hunting Queries)

Senaryo A: "Living off the Land" (Sistem Araçlarını Kötüye Kullanma)

• Ne Aramalıyız? (Event ID 4688 - Process Creation)Komut satırında (Command Line) şüpheli parametreler arayın.
  
• SIEM Mantığı (Query Logic):
  
• CODE Copy

  123ProcessName: ("powershell.exe" OR "cmd.exe")
  AND
  CommandLine: ("-enc" OR "-EncodedCommand" OR "DownloadString" OR "IEX" OR "Invoke-Expression" OR "Hidden")

• Analiz: Normal bir kullanıcı PowerShell'i "Encoded" (şifreli) komutla çalıştırmaz. Bu kesinlikle şüphelidir.

Senaryo B: Yanal Hareket (Lateral Movement - PsExec)

• Ne Aramalıyız? (Event ID 7045 - Service Installation)PsExec gibi araçlar, hedef makinede geçici bir servis oluşturarak çalışır.
  
• SIEM Mantığı:
  
• CODE Copy

  12345EventID: 7045
  AND
  ServiceName: ("PSEXESVC" OR "Winexesvc")
  OR
  ImagePath: ("*ADMIN$*" OR "*C$*")

12345EventID: 4625
AND
FailureReason: "Unknown user name or bad password"
| stats count by SourceIP, TargetUser
| where DistinctUserCount > 10 in 5 minutes

• Analiz: Aynı IP adresinden, 5 dakika içinde 10'dan fazla farklı kullanıcı adına başarısız giriş denemesi geliyorsa, bu bir Spraying saldırısıdır.

Senaryo D: C2 (Komuta Kontrol) Tespiti - DNS Tünelleme

• Ne Aramalıyız? (DNS Query Logs)
  
• SIEM Mantığı:Normal domainler kısadır (https://www.google.com/search?q=google.com). Tünelleme yapılan domainler çok uzundur ve rastgele karakter içerir (sifreler123.verikacirma.com).

12345LogType: DNS
| eval QueryLength = len(Query)
| where QueryLength > 50
AND
QueryType: TXT

• Analiz: Çok uzun subdomain sorguları ve özellikle TXT kayıtları incelenmelidir.

4. Sigma Kuralları: Ortak Dil

• VIP Tavsiye: GitHub'daki SigmaHQ/sigma deposunu takip edin. Yeni çıkan tehditlerin avlanma kuralları ilk oraya düşer.

5. Av Sonrası: İyileştirme

1. Tehdit Bulundu: Olay Müdahale (Incident Response) süreci başlar.
   
2. Tehdit Bulunmadı: Harika! Ama iş bitmedi. Yaptığınız bu manuel sorguyu, SIEM üzerinde "Otomatik Kural" (Correlation Rule) haline getirin. Artık bu tehdit için manuel avlanmanıza gerek kalmaz, SIEM sizi uyarır.

Sonuç