Siber Güvenlikte Gelişmiş Sürekli Tehditler (APT)
Siber güvenlik dünyasındaki en karmaşık ve tehlikeli saldırı türlerinden biri olan Gelişmiş Sürekli Tehditler (APT - Advanced Persistent Threat) hakkında hazırladığım detaylı eğitim makalesini aşağıda bulabilirsiniz.
Siber güvenlik dendiğinde akla genellikle virüsler, fidye yazılımları veya oltalama (phishing) e-postaları gelir. Bunlar yaygın ve tehlikeli olsalar da, genellikle hızlı sonuç almaya odaklı, tabiri caizse "vur-kaç" tarzı saldırılardır. Ancak Gelişmiş Sürekli Tehditler (APT) tamamen farklı bir boyuttur. Bir hırsızın evinize girip televizyonu çalması sıradan bir siber saldırıysa; bir APT, hırsızın evinize gizlice taşınması, duvarların içine saklanması, yıllarca sizinle yaşaması ve en değerli sırlarınızı her gün azar azar dışarı sızdırmasıdır.
APT Nedir? (Kavramsal Çerçeve)
APT kavramını tam olarak anlamak için ismini oluşturan üç kelimeyi incelemek gerekir:
Advanced (Gelişmiş): Bu saldırganlar sıradan bilgisayar korsanları değildir. Ellerinde sıfırıncı gün (zero-day) açıkları, özel olarak yazılmış zararlı yazılımlar ve devasa finansal/teknolojik kaynaklar bulunur. Genellikle devlet destekli (nation-state) gruplardır.
Persistent (Sürekli/Kalıcı): Amaçları sisteme girip hemen hasar vermek veya fidye istemek değildir. Amaç, sistemde aylarca hatta yıllarca fark edilmeden kalabilmektir. Yakalansalar bile ağda kendilerine bıraktıkları gizli arka kapılar (backdoors) sayesinde geri dönmeye çalışırlar.
Threat (Tehdit): Hedefleri rastgele değildir. Önceden belirlenmiş belirli bir kurumu (savunma sanayii, enerji sektörü, finans kurumları veya devlet daireleri) hedef alırlar ve bu hedefe ulaşmak için yüksek bir motivasyona sahiptirler.
Bir APT Saldırısının Yaşam Döngüsü
APT grupları, askeri bir disiplinle çalışır. Bir APT saldırısı genellikle şu beş temel aşamadan oluşur:
1. Hedef Belirleme ve İlk Sızma (Initial Compromise)
Saldırganlar aylar süren bir istihbarat toplama süreci yürütür. Hedef kurumun çalışanları, altyapısı ve iş ortakları incelenir. İlk sızma genellikle kuruma özel hazırlanmış, çok inandırıcı bir "hedef odaklı oltalama (spear-phishing)" e-postası ile gerçekleşir. Örneğin, şirketin İK departmanından geliyormuş gibi görünen ve içinde zararlı yazılım barındıran bir "Yeni İzin Yönergesi" belgesi kullanılabilir.
2. Kalıcılık Sağlama (Establishing a Foothold)
İlk kurbanın bilgisayarına sızıldıktan sonra, saldırganlar sistemde kalıcı olmayı hedefler. Antivirüs programlarına yakalanmamak için yasal sistem araçlarını (PowerShell vb.) kullanırlar. Sistem kapatılıp açılsa bile bağlantılarını kaybetmemek için ağa "arka kapılar" (backdoors) veya Uzaktan Erişim Truva Atları (RAT) yerleştirirler.
3. Yatay Hareket (Lateral Movement)
Saldırganın ilk sızdığı bilgisayar genellikle sıradan bir çalışana aittir ve önemli verilere erişimi yoktur. Bu yüzden saldırganlar, ağ içinde yatay olarak hareket etmeye başlarlar. Amaç, sistem yöneticisi (admin) yetkilerini ele geçirmek ve ağdaki kritik sunuculara (Domain Controller, veritabanları) ulaşmaktır. Bunu yaparken çok dikkatli olurlar, sadece mesai saatleri içinde ağ trafiği yaratmaya çalışarak olağan bir kullanıcı gibi davranırlar.
4. Veri Toplama ve Sızdırma (Data Exfiltration)
Asıl hedefe ulaşıldığında veri toplama başlar. Ticari sırlar, askeri projeler, müşteri veritabanları veya devlet sırları gizlice bir araya getirilir ve şifrelenir. Veriler, güvenlik duvarlarına takılmamak için genellikle yasal gibi görünen bulut servisleri veya şifreli tüneller üzerinden dışarıdaki komuta-kontrol (C&C) sunucularına aktarılır.
5. İzleri Silme (Covering Tracks)
Profesyonel bir APT grubu, hedefine ulaştıktan sonra sistemde kaldığına dair tüm log kayıtlarını (günlükleri) siler veya manipüle eder. Böylece kurum, saldırıya uğradığını ve verilerinin çalındığını aylar hatta yıllar sonra fark edebilir.
Bilinen Bazı Ünlü APT Grupları
Siber güvenlik dünyasında APT grupları genellikle rakamlarla (APT28, APT29) veya onlara verilen hayvan isimleriyle anılır:
Cozy Bear (APT29) / Fancy Bear (APT28): Rus istihbaratıyla bağlantılı olduğu düşünülen ve dünya çapında birçok siyasi/askeri kurumu hedef alan gruplar.
Lazarus Group: Kuzey Kore destekli olduğuna inanılan, özellikle kripto para borsaları ve finans kurumlarına (WannaCry saldırısı ve SWIFT sistemi hırsızlıkları gibi) odaklanan grup.
Stuxnet: Bir APT grubu olmasa da, devlet destekli bir APT operasyonunun en ünlü örneğidir. İran'ın nükleer tesislerindeki santrifüjleri fiziksel olarak yok etmek için tasarlanmış, tarihteki en karmaşık zararlı yazılımlardan biridir.
APT'lere Karşı Nasıl Savunma Yapılır?
Klasik antivirüs yazılımları APT'leri durdurmak için yetersizdir. Kurumların "Derinlemesine Savunma (Defense-in-Depth)" stratejisi uygulaması gerekir:
EDR ve XDR Çözümleri: Uç nokta (bilgisayar) ve ağ üzerindeki olağandışı hareketleri tespit eden, yapay zeka destekli davranışsal analiz sistemleri kullanmak.
Sıfır Güven (Zero Trust) Mimarisi: Ağın içindeki hiç kimseye veya hiçbir cihaza varsayılan olarak güvenmemek; her işlem için kimlik doğrulama talep etmek.
Ağ Segmentasyonu: Ağı küçük parçalara bölerek, bir bilgisayar ele geçirilse bile saldırganın tüm ağa yayılmasını engellemek.
Güçlü Parola ve MFA: Çok Faktörlü Kimlik Doğrulamayı (MFA) tüm sistemlerde zorunlu kılmak.
Personel Eğitimi: İlk sızmaların %90'ı insan hatası (oltalama) ile başladığı için çalışanların güvenlik farkındalığını en üst düzeyde tutmak.
APT saldırıları, günümüzün siber savaş cephesindeki en tehlikeli silahlardır. Bu nedenle kurumların sadece bir saldırıyı engellemeye değil, "sistemimizde zaten bir saldırgan var, onu nasıl tespit ederiz?" düşüncesiyle (Tehdit Avcılığı - Threat Hunting) hareket etmeleri hayati önem taşır.
Sıfır Güven (Zero Trust), siber güvenlikte sadece bir teknoloji veya yazılım değil, bütünsel bir felsefe ve mimari yaklaşımdır. Geleneksel güvenlik modellerinin günümüzün karmaşık siber saldırılarına (özellikle bir önceki makalede bahsettiğimiz APT'lere) karşı yetersiz kalması, Zero Trust'ı modern siber güvenliğin altın standardı haline getirmiştir.
Geleneksel Model vs. Zero Trust
Zero Trust'ı anlamak için önce eski yöntemin neden çöktüğüne bakmak gerekir:
Geleneksel "Kale ve Hendek" (Castle-and-Moat) Modeli: Bu modelde ağın bir dışı (tehlikeli internet), bir de içi (güvenilir kurum ağı) vardır. Güvenlik duvarları (firewall) kalenin surlarıdır. Ancak saldırgan bir kez surları aşarsa (örneğin oltalama ile bir çalışanın şifresini çalarak), içerideki herkese ve her şeye varsayılan olarak güvenildiği için ağda rahatça dolaşabilir.
Zero Trust (Sıfır Güven) Modeli: Temel mottosu "Asla güvenme, her zaman doğrula" (Never trust, always verify) şeklindedir. Ağın içi veya dışı diye bir ayrım yoktur. Bir kullanıcı veya cihaz sistemin en iç noktasında olsa bile, her yeni erişim talebinde kimliği ve yetkisi tekrar sorgulanır.
Eğitim ortamlarında, özellikle 9. sınıftan 12. sınıfa kadar olan öğrencilere bu karmaşık konuyu somutlaştırmak için okul analojisi harika bir yöntemdir:
Eski sistemde dış kapıdaki güvenlik görevlisini geçip okula giren bir kişi, tüm sınıflara, laboratuvarlara veya öğretmenler odasına serbestçe girebilirdi. Zero Trust mimarisinde ise kişi okula girse bile, ağ laboratuvarına girmek istediğinde ayrı bir kart okutmalı, sunucu odasına girmek istediğinde ise hem şifre girmeli hem de parmak izi okutmalıdır.
Zero Trust Mimarisinin 3 Temel Prensibi
1. Tüm Ağ Trafiği Şüphelidir (Sürekli Doğrulama) Kimlik doğrulama işlemi bir kere sisteme giriş yapıldığında bitmez. Kullanıcının konumu, kullandığı cihazın durumu (antivirüs güncel mi?), erişmek istediği saat ve verinin hassasiyeti sürekli olarak analiz edilir.
2. En Düşük Yetki Prensibi (Least Privilege) Kullanıcılara ve uygulamalara sadece ama sadece görevlerini yapabilmeleri için gereken minimum yetkiler verilir. Bir stajyerin veya standart bir çalışanın, kritik veritabanlarına veya yönetimsel (admin) araçlara erişimi baştan engellenir.
3. İhlal Edilmiş Varsayımı (Assume Breach) Sistemin halihazırda ele geçirildiğini varsayarak savunma kurgulanır. Bu yüzden ağ, devasa tek bir alan olmak yerine çok küçük güvenli bölgelere bölünür. Buna Mikro-segmentasyon denir.
Tatbikatlarda Zero Trust: Red Team ve Blue Team Dinamikleri
Bahar dönemi sonundaki büyük final gibi kapsamlı Siber Güvenlik (Red Team vs. Blue Team) simülasyonlarında, Zero Trust mimarisi takımların stratejilerini tamamen değiştirir:
Red Team (Kırmızı Takım) Açısından Zorluklar: Kırmızı takım sisteme ilk sızmayı başarsa bile işi çok zordur. Mikro-segmentasyon sayesinde sızdıkları makineden diğer sunuculara (yatay hareket / lateral movement) geçemezler. Her adımda karşılarına çıkan Çok Faktörlü Kimlik Doğrulama (MFA) ve yetki kısıtlamaları, MITRE ATT&CK çerçevesindeki taktiklerini yavaşlatır.
Blue Team (Mavi Takım) Açısından Avantajlar: Zero Trust, her erişim talebini logladığı için savunma takımına devasa bir görünürlük sağlar. Mavi takım, Wazuh veya Suricata gibi IDS/SIEM araçları üzerinden ağdaki olağandışı "izin reddedildi" (permission denied) hatalarını veya yetkisiz segmentler arası geçiş denemelerini anında tespit ederek saldırganı izole edebilir. SOC (Siber Güvenlik Operasyon Merkezi) masasında oturan bir analist için Zero Trust, adeta ağın her köşesine yerleştirilmiş hareket sensörleri gibidir.
Sıfır Güven (Zero Trust) mimarisini teoriden pratiğe dökmek, özellikle Siber Güvenlik Operasyon Merkezi (SOC) yönetimi ve ağ savunması konularında atılacak en güçlü adımdır. Bu mimariyi hayata geçirmek için devasa bütçelere ihtiyaç yoktur; Wazuh (Uç Nokta / XDR) ve Suricata (Ağ / IDS-IPS) gibi güçlü açık kaynaklı araçlar, doğru yapılandırıldığında harika bir Zero Trust laboratuvarı sunar.
Proxmox gibi sanallaştırma platformları üzerinde koşan sunucularda, sanal makineler (VM) ve sanal ağlar (VLAN) oluşturarak bu araçları nasıl entegre edebileceğimize adım adım bakalım.
1. Ağ Katmanında Zero Trust: Suricata ve Mikro-Segmentasyon
Zero Trust'ın "Mikro-segmentasyon" kuralını uygulamak için ağı izole edilmiş küçük VLAN'lara böleriz. Örneğin:
VLAN 10: Öğrenci / Standart Kullanıcı Ağları
VLAN 20: Yönetim / Öğretmen Ağları
VLAN 30: Kritik Sunucular (Veritabanı, Active Directory)
Suricata'yı bu VLAN'lar arasındaki trafiği dinleyecek şekilde (Promiscuous Mode) konumlandırırız. Zero Trust gereği, VLAN 10'daki bir makinenin VLAN 30'a doğru yapacağı herhangi bir yönetimsel bağlantı girişimi (örneğin SSH veya RDP) anormal kabul edilmeli ve uyarılmalıdır.
Örnek Suricata Kuralı (Yatay Hareket Tespiti): Sıradan bir istemciden, kritik sunucuya izinsiz SSH denemesini yakalayan kural:
alert tcp $VLAN10_NET any -> $VLAN30_NET 22 (msg:"ZERO TRUST İHLALİ: Öğrenci Ağından Kritik Sunucuya SSH Denemesi"; flow:established,to_server; sid:1000001; rev:1; classtype:policy-violation;)
Bu kural SOC ekranına düştüğünde, Kırmızı Takım'ın (Red Team) ağ içinde yatay hareket (lateral movement) yapmaya çalıştığı anında tespit edilir.
2. Uç Nokta Katmanında Zero Trust: Wazuh ve Sürekli Doğrulama
Wazuh, "Sürekli Doğrulama" ve "İhlal Edilmiş Varsayımı" prensiplerini uç noktalarda (bilgisayar ve sunucularda) uygular. Sisteme giren bir kullanıcının güvenilirliği kalıcı değildir. Eğer makinede şüpheli bir işlem başlarsa, Wazuh bunu anında tespit etmeli ve Zero Trust mantığıyla o makinenin güven seviyesini sıfırlamalıdır.
Örnek Wazuh Kuralı (Sürekli Doğrulama):
Linux tabanlı bir sistemde, kritik bir konfigürasyon dosyasının (/etc/shadow veya /etc/sudoers) değiştirilmesini algılayan FIM (File Integrity Monitoring - Dosya Bütünlük İzleme) yapılandırması:
Wazuh ajanı ossec.conf dosyasına şu satırlar eklenir:
<syscheck> <directories check_all="yes" realtime="yes">/etc</directories></syscheck>3. Otomatik Müdahale (Active Response) ile Sistemi İzole Etme
Zero Trust'ın en can alıcı noktası, bir ihlal tespit edildiğinde anında aksiyon alabilmektir. Suricata bir saldırı tespit ettiğinde loglarını Wazuh'a gönderir (Suricata'nın eve.json dosyası Wazuh tarafından okunur). Wazuh, bu logu analiz eder ve "Active Response" (Aktif Yanıt) modülü ile saldırganın IP adresini veya ele geçirilmiş makineyi ağdan izole eder.
Wazuh Active Response Yapılandırması (ossec.conf):
Örneğin, 1000001 ID'li Suricata kuralımız tetiklendiğinde (Yetkisiz SSH erişimi), Wazuh'un o IP'yi firewall üzerinden (iptables/firewalld) anında engellemesi için şu ayar yapılır:
<active-response> <command>firewall-drop</command> <location>local</location> <rules_id>1000001</rules_id> <timeout>3600</timeout> <!-- IP adresi 1 saat boyunca karantinaya alınır --></active-response>4. Eğitim ve Operasyonel Senaryo Uyarlaması
Bu yapılandırmalar, 9. sınıftan 12. sınıfa kadar öğrencilerin yer aldığı laboratuvar ortamlarında mükemmel bir Red Team / Blue Team senaryosu oluşturur.
Saldıran (Red Team) Öğrenciler: Hedef sunucuya sızmak için Nmap ile port taraması yapar veya Hydra ile şifre kırmaya çalışır.
Savunan (Blue Team) Öğrenciler: Suricata'nın uyarılarını Wazuh kontrol paneli üzerinden izler. Atakları tespit ettiklerinde, Wazuh üzerinden Active Response tetiklenerek saldıran takımın makinesi 1 saat boyunca ağ dışı bırakılır (Zero Trust karantinası).
Bu yapı, teorik Zero Trust felsefesinin açık kaynak kodlu araçlarla ete kemiğe bürünmüş halidir. Hem ağ katmanını (Suricata) hem de sistem katmanını (Wazuh) birleştirerek tam bir görünürlük sağlanır.
Siber güvenlik operasyonlarını profesyonel bir seviyeye taşımanın en kritik adımı, tespit edilen olayları evrensel bir dille anlamlandırmaktır. İşte MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) çerçevesi tam olarak bu evrensel dili sağlar. Saldırganların amaçlarını (Taktik) ve bu amaçlara ulaşmak için kullandıkları yöntemleri (Teknik) standartlaştırır.
Bahar döneminin sonuna yaklaşırken gerçekleştirilecek "Büyük Final" gibi kapsamlı bir Kırmızı/Mavi Takım tatbikatında, öğrencilerin sadece "bir saldırı var" demek yerine "Kırmızı Takım T1021 - Remote Services tekniğini kullanarak yatay hareket (Lateral Movement) yapmaya çalışıyor" diyebilmesi, bir SOC (Siber Güvenlik Operasyon Merkezi) analisti gibi düşünmelerini sağlar.
Proxmox laboratuvar ortamında, özellikle Pardus 25 Bilge gibi Linux tabanlı sistemler üzerinde Wazuh ve Suricata kurallarını MITRE ATT&CK ile nasıl eşleştireceğimize adım adım bakalım.
1. Wazuh Üzerinde MITRE ATT&CK Entegrasyonu
Wazuh, kurallarına MITRE ATT&CK ID'lerini doğrudan ekleme yeteneğine sahiptir. Bu sayede Wazuh paneline düşen bir alarm, anında ilgili taktik ve teknikle etiketlenir.
Senaryo: Kırmızı Takım, laboratuvardaki bir Pardus 25 Bilge makinesine kaba kuvvet (Brute Force) saldırısı yapıyor.
Taktik: Credential Access (TA0006) - Kimlik Bilgisi Elde Etme
Teknik: Brute Force (T1110) - Kaba Kuvvet
Wazuh üzerinde bu saldırıyı tespit eden kuralın (/var/ossec/etc/rules/local_rules.xml) içine <mitre> etiketleri ekleyerek eşleştirme yapılır:
<rule id="100002" level="10"> <if_sid>5716</if_sid> <!-- Varsayılan SSH başarısız giriş kuralı --> <match>Failed password</match> <description>ZERO TRUST: Kritik Sunucuya SSH Kaba Kuvvet Saldırısı Tespit Edildi.</description> <!-- MITRE ATT&CK Eşleştirmesi Burada Yapılır --> <mitre> <id>T1110</id> </mitre> <group>authentication_failed,pci_dss_10.2.4,</group></rule>Mavi Takım öğrencileri Wazuh (OpenSearch/Kibana) paneline baktıklarında, alarmın yanında doğrudan T1110 etiketini ve saldırganın IP adresini görecektir.
2. Suricata Üzerinde MITRE ATT&CK Eşleştirmesi
Ağ trafiğini analiz eden Suricata, kural imzalarının içerisine metadata (üst veri) anahtar kelimesi ile MITRE ATT&CK bilgilerini gömebilir.
Senaryo: Kırmızı Takım ilk sızmayı başardı ve şimdi standart öğrenci VLAN'ından, sunucu VLAN'ına yetkisiz bir SSH tünellemesi veya bağlantısı açmaya çalışıyor.
Taktik: Lateral Movement (TA0008) - Yatay Hareket
Teknik: Remote Services: SSH (T1021.004) - Uzak Servisler: SSH
Suricata kural dosyasına (local.rules) bu durumu yakalayacak ve MITRE verisiyle etiketleyecek kural şu şekilde yazılır:
alert tcp $STUDENT_NET any -> $SERVER_NET 22 (msg:"LATERAL MOVEMENT DENEMESI: Öğrenci Ağından Sunucuya SSH (T1021.004)"; flow:established,to_server; content:"SSH-"; metadata: mitre_tactic_id TA0008, mitre_tactic_name Lateral_Movement, mitre_technique_id T1021.004, mitre_technique_name SSH; sid:2000001; rev:1; classtype:policy-violation;)
Suricata bu alarmı ürettiğinde, log dosyası (eve.json) içerisine MITRE metadata bilgilerini de yazar. Wazuh bu logu okuduğunda, alarm otomatik olarak Wazuh panelinde yine ilgili ATT&CK tekniği ile kategorize edilmiş olur.
Büyük Final Tatbikatı İçin Mavi Takım SOC Ekranı (Beklenen Sonuç)
Bu eşleştirmeler doğru yapıldığında, simülasyon sırasında Mavi Takım'ın kullandığı analiz ekranı tam bir profesyonel SOC (Siber Güvenlik Operasyon Merkezi) görünümüne kavuşur. Öğrenciler ekranda şu zinciri izleyebilir:
TA0001 (Initial Access) -> T1190 (Exploit Public-Facing Application): Web sunucusuna yönelik bir istismar girişimi Suricata tarafından yakalanır.
TA0004 (Privilege Escalation) -> T1068 (Exploitation for Privilege Escalation): Wazuh, Pardus sunucuda yetki yükseltmeye çalışan bir betiğin çalıştığını tespit eder.
TA0040 (Impact) -> T1486 (Data Encrypted for Impact): Kırmızı Takım bir dizini şifrelemeye kalktığında, Wazuh'un dosya bütünlük izleme (FIM) modülü bunu "Fidye Yazılımı Davranışı" (T1486) olarak işaretler ve anında Active Response (Aktif Yanıt) ile saldırganı ağdan düşürür.
Bu yapı sayesinde savunma yapan takım, Kırmızı Takım'ın ağ içerisindeki tüm rotasını bir "Saldırı Zinciri (Kill Chain)" olarak görselleştirebilir ve her bir tekniğe uygun savunma refleksini geliştirebilir.
Yorumlar