SOC ve Tehdit Tespiti
Tehdit Avcılığı
Alarm üretmeyen saldırgan izlerini, bir hipotezden yola çıkarak loglarınızda arıyoruz. Bulguları kalıcı tespit kurallarına dönüştürüyoruz.
Nedir?
Tehdit avcılığı, otomatik tespitlerin kaçırdığı etkinliği insan analiziyle araştırır. Her av, belirli bir saldırgan davranışına dair bir hipotezle başlar. Örneğin, bir hipotez meşru uzaktan yönetim araçlarının olağandışı kullanımına odaklanabilir. Av sırasında saldırgan bulunmasa bile görünürlük boşlukları ve yeni kural ihtiyaçları ortaya çıkar.
Kapsam
- Tehdit istihbaratı ve MITRE ATT&CK'ten türetilen av hipotezleri
- EDR telemetrisi, kimlik doğrulama, DNS, proxy ve bulut denetim loglarında arama
- Şüpheli etkinliğin meşru iş süreçlerinden ayrılması
- Aktif saldırı izi bulunduğunda olay müdahalesine geçiş
- Her avdan çıkan yeni tespit kuralları ve görünürlük boşlukları
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Sektörünüzde bir kurum ihlale uğradığında ve aynı grubun sizde iz bırakıp bırakmadığını öğrenmek istediğinizde.
- Bir şirket satın aldığınızda ve devraldığınız ağın temiz olduğundan emin olmak istediğinizde.
- Uzun süre kritik alarm görülmediğinde, bunun gerçekten saldırı olmadığı anlamına gelip gelmediği sorulduğunda.
Yöntem
Nasıl çalışıyoruz?
-
Hipotez
Sektörünüzü hedef alan grupların yöntemleri ve ortamınızın yapısından av hipotezleri kurarız.
-
Veri kontrolü
Hipotezi sınamak için gereken logların mevcut ve yeterince geriye dönük olup olmadığını kontrol ederiz.
-
Arama ve analiz
Loglarda hipoteze uyan etkinliği arar, meşru işleri saldırgan davranışından ayırırız.
-
Sonuç
Bulguları, yeni kuralları ve görünürlük boşluklarını raporlarız. Aktif saldırı izi bulursak olay müdahale sürecini başlatırız.
Sonuç
Çalışmanın sonunda elinizde olan
Belirli saldırgan davranışlarının ortamınızda olup olmadığına dair kanıta dayalı bir yanıt alırsınız. Her av, kalıcı tespit kuralları ve kapatılması gereken görünürlük boşlukları bırakır.
Sık sorulan sorular
Av sırasında aktif bir saldırgan bulunursa ne olur?
Önceden belirlenen iletişim zinciriyle sizi hemen bilgilendiririz. Kanıtı koruyarak olay müdahale sürecine geçeriz.
Compromise assessment ile farkı nedir?
Compromise assessment, belirli bir anda ortamın geneline bakarak ihlal izi arar. Tehdit avcılığı ise belirli hipotezlerle ilerler ve tekrarlandıkça tespit yeteneğinizi geliştirir.
Avcılık için hangi verilere ihtiyaç var?
En çok EDR telemetrisi ve kimlik doğrulama logları kullanılır. Logların ne kadar geriye gittiği, avın ne kadar geriye bakabileceğini belirler.
SOC ve Tehdit Tespiti
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın