Giriş
Siber suçlar, genellikle ileri seviye tespit teknikleri değil, temel operasyon hataları nedeniyle kesintiye uğramaktadır. Bu durum, suçluların operasyon güvenliğini sürdürülebilir hale getirmeyi hedefleyen yeni stratejilerin geliştirilmesine yol açmıştır.
A Three-Tier OPSEC Architecture
Saldırganın metodolojisinin temelinde, maruziyeti, uygulamayı ve kazanç elde etmeyi ayıran üç katmanlı bir altyapı modeli bulunmaktadır.
Public Layer
Saldırgan, kamu katmanının “temiz cihazlar, her 48 saatte bir değiştirilen konut IP’leri, kişisel bilgilerin kullanılmaması” gerektiğini belirtmiştir. Her operatör ayrıca ayrı kimlikler korumalıdır. Bu, modern tespit yeteneklerini iyi anlamaktadır. Dolandırıcılık önleme sistemleri, kimlik korelasyonu ve davranışsal izleme yaparak, kimlik yeniden kullanımını büyük bir risk haline getirmektedir.
Operational Layer
Operasyon katmanı, tam anlamıyla kamu katmanından izole edilmelidir: “public layer’dan erişim sağlanmamalıdır.” Saldırgan, bu katmanın aşağıdaki unsurları içermesi gerektiğini söylemektedir:
- Hassas bilgilerin ayrımını sağlamak
- Bir kısımda meydana gelen bir ihlalin, tüm altyapıyı tehlikeye atmaması
- Eylem, yürütme ve kazanç elde etme arasındaki ayrım
Extraction Layer
Son katman, kazanç elde etmeye odaklanmaktadır. Saldırgan, “izole sistemlerin ve özel nakit akışı kanallarının” olmasının yanı sıra, mümkün olduğunda “airgapped” olması gerektiğini vurgulamaktadır. Bu, finansal işlemlerin genellikle soruşturmaların başarılı olduğu nokta olduğunu gösterir.
Etkilenen Sistemler
Saldırgan birkaç temel hatayı belirterek, bunların hala siber suç operasyonlarını açığa çıkardığını ifade etmektedir.
Kimlik Yeniden Kullanım
Bir kez kullanılan hesapların tekrar kullanılması, büyük bir güvenlik riski olarak öne çıkmaktadır. Bu durum, birçok soruşturmayla da örtüşerek, kolluk kuvvetlerinin aktörleri platformlar arası kimlik yeniden kullanımı ile ilişkilendirmesinde sıkça görülmektedir.
Zayıf Parmak İzi Kaçışı
Saldırgan, “yetersiz dijital parmak izi karşı önlemleri” eleştirisi yapmaktadır. Modern sistemler, cihaz parmak izini analiz ediyor ve buna bağlı olarak, temel OPSEC önlemlerinin artık yetersiz kalmakta olduğu anlaşılmaktadır.
Aşama Ayrımı Zayıflığı
Saldırgan, “edinme ve nakit akış işlemleri arasındaki yetersiz ayrım” eleştirisi yapmaktadır. Aynı altyapının birden fazla aşamada kullanılmasının, savunucuların faaliyetleri izleyebilmesinin daha kolay hale gelmesine yol açtığını ifade etmektedir.
Metadata Maruziyeti
Saldırgan ayrıca “operasyonel materyallerdeki zayıf metadata yönetimi” üzerinde durmaktadır. Dosyalar içindeki metadata, zaman damgaları veya cihaz kimlikleri gibi bilgileri içermektedir ve bu tür detaylar farklı operasyonların belirlenmesinde kullanılabilmektedir.
İleri Düzey Teknikler
Temel hijyenin ötesinde, saldırgan operasyonel dayanıklılığı artırmayı amaçlayan birkaç ileri düzey teknik önermektedir.
- Zaman gecikmeli tetikleyiciler: “zaman gecikmeli operasyonel tetikleyicilerin” uygulanması, eylemler ve altyapı arasındaki korelasyonu azaltabilir.
- Davranışsal rastgeleleme: Saldırgan, “davranışsal model rastgelelemesi” önererek tespit edilme olasılığını azaltmayı hedeflemektedir.
- Dağıtılmış doğrulama: “dağıtılmış doğrulama protokolleri” kullanılması, sistemlerdeki veya operatörlerdeki tekil başarısızlık noktalarına bağımlılığı azaltabilir.
- Ölü adamın anahtarları: Saldırgan, “kritik veriler için ölü adamın anahtarlarını” önermektedir; bu, belli koşullar sağlandığında hassas verilerin otomatik olarak silinmesini veya devre dışı bırakılmasını sağlamaktadır.
Defansif Stratejiler ve Uygulanacak Adımlar
Saldırganın mesajı, tehdit aktörlerinin operasyonel sürekliliği belirlemenin yollarını aradığını göstermektedir. Savunucuların ise şu adımları takip etmesi önerilmektedir:
- Çok platformlu korelasyon anlayışına yatırım yapın: Kimlik yeniden kullanımını önlemek için tanınan bağlantıları ortaya çıkarın.
- Davranışsal algılamayı geliştirin: Statik göstergelere dayanmayın, davranış analitiği üzerinde çalışın.
- Tüm saldırı zincirini izleyin: Saldırılar arasındaki bağlantıları belirleyin ve bu aşamalarla ilgili bilgileri birleştirin.
- Metadata’dan faydalanın: Metadata analizlerinin güçlü bir soruşturma aracı olduğunu unutmayın.
- Dayanıklı rakiplere hazırlıklı olun: Saldırganların planlarını bozacak mekanizmalar geliştirin.
Siber güvenlik alanında atılan bu adımlar, saldırganların uzun vadeli operasyonlarını sürdürmelerini zorlaştıracak ve sistemlerinizi daha güvenli hale getirecektir.
Sonuç olarak, kimliklerin ve davranışların izlenmesi gerektiği, tespit yöntemlerinin evrilmesi gerektiği açıktır. Bu bağlamda, güncellemeler yaparak sistemlerinizi koruma altına alın ve var olan güvenlik açıklarını kapatmayı unutmayın.
