Olay Müdahale ve Adli Bilişim
Bellek Analizi
Sistem kapatılmadan alınan bellek görüntüsünde, diske hiç yazılmayan zararlı kodu ve etkin bağlantıları inceliyoruz. Diskte iz bırakmayan saldırılar burada tespit edilebilir.
Nedir?
Bir sistemin belleği, o anda çalışan süreçleri, açık ağ bağlantılarını ve süreçlerin komut satırlarını içerir. Bazı saldırı araçları yalnızca bellekte çalışır ve diskte iz bırakmaz. Bu kanıt, sistem kapandığında kaybolur. Bu nedenle RFC 3227, en uçucu kanıttan başlanarak toplanmasını önerir.
Kapsam
- Çalışan sistemlerden ve sanal makinelerden bellek görüntüsü alınması
- Gizlenmiş veya başka bir sürece enjekte edilmiş kodun tespiti
- Etkin ve yakın zamanda kapanmış ağ bağlantılarının çıkarılması
- Kimlik bilgisi çalma girişimlerinin izlerinin aranması
- Bellekten çıkarılan kodun zararlı yazılım analizine aktarılması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- EDR bir süreçte şüpheli davranış bildirdiği hâlde diskte zararlı bir dosya bulunamadığında.
- Bir sunucunun bilinmeyen bir adrese düzenli aralıklarla bağlandığı görüldüğünde.
- Saldırganın hâlâ etkin olduğu düşünülen bir sistemi kapatma kararı verilmeden önce.
Yöntem
Nasıl çalışıyoruz?
-
Toplama
Belleği sistem çalışırken alırız. Sanal makinelerde bunu, sistemi durdurmadan anlık görüntüyle yaparız.
-
Bütünlük
Görüntünün özet değerini kaydeder, delil zinciri kaydına işleriz.
-
İnceleme
Süreçleri, bağlantıları ve yüklü modülleri olağan bir sistemle karşılaştırırız. Sapmaları MITRE ATT&CK tekniklerine eşleriz.
-
Yaygınlık
Bulduğumuz göstergeleri diğer sistemlerde ararız. Böylece aynı kodun başka nerede çalıştığı görülür.
Sonuç
Çalışmanın sonunda elinizde olan
Diskte görünmeyen saldırgan etkinliğini, hangi süreçte ve hangi bağlantıyla çalıştığıyla birlikte görürsünüz. Aynı izi diğer sistemlerde aramak için kullanılacak göstergeler elinizdedir.
Sık sorulan sorular
Sistem yeniden başlatıldıysa bellek analizi yapılabilir mi?
Yeniden başlatma bellekteki kanıtı siler. Yine de sayfa dosyası ve hazırda bekletme dosyası gibi diske yazılmış bellek parçaları incelenebilir.
Bellek görüntüsü almak sistemi etkiler mi?
Kısa süreli bir ek yük oluşur. Görüntü, sistemin bellek miktarı kadar yer kaplar. Bu yüzden yeterli depolama alanı önceden ayarlanır.
Olay Müdahale ve Adli Bilişim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın