24 Şubat'ta düzenlediğimiz "Rusya kaynaklı siber saldırılar" webinarına ait sunumdur.

1. Rusya Kaynaklı Siber Saldırılar
Alper Başaran
alper@sparta.com.tr
www.sparta.com.tr

2. Sparta Bilişim
• 2013 yılından beri siber güvenlik hzimetleri veriyor
• Sızma testleri
• SOC/SOME danışmanlığı
• Yönetilen güvenlik hizmetleri
www.sparta.com.tr

3. Sparta Bilişim
• Yönetilen hizmetler:
• Backup
• Felaket kurtarma
• Fidye yazılım önleme
• Zararlı yazılım önleme
• Zafiyet tarama
• Yama/güncelleme takibi
• URL filtreleme
• E-posta güvenliği
• Balküpü sistem kurulumu
• Ağ tabanlı saldırı tespiti hizmeti
www.sparta.com.tr

4. Konularımız
• Rusya siber saldırıları nasıl kullanıyor?
• Rusya kaynaklı siber saldırı grupları nasıl çalışıyor?
• Bu çerçevede nasıl saldırılar beklenmelidir?
• Siber güvenlik çözümlerini atlatmak için hangi yöntemler kullanılıyor?
• Ağ ve sistemlere sızmış saldırganları nasıl tespit edebiliriz?
• EDR benzeri yeni nesil çözümler nasıl atlatılıyor?
• APT saldırılarına uygun olarak SIEM kuralları nasıl ele alınmalıdır?
• APT saldırılarında kullanılan zararlı yazılımların temel özellikleri nedir?
• Bu çerçevede, siber tehdit istihbaratı nasıl kullanılır?
www.sparta.com.tr

5. Konularımız
www.sparta.com.tr

6. Konularımız
www.sparta.com.tr

7. Rusya siber saldırıları nasıl kullanıyor?
• Jeopolitik çıkarlarını korumak amacıyla
• Kinetik savaşa destek olarak
• Sadece "siber saldırılar" değil…
www.sparta.com.tr

8. Rusya siber saldırıları nasıl kullanıyor?
• Estonya – 2007: Ülke çapında DDoS
• Gürcistan – 2008: Cumhurbaşkanlığı sitesi
• Kırgısiztan – 2009: Ülke çapında DDoS
• Fransa – 2015: TV5 televizyonu
• Almanya – 2015: Almanya parlementosu
• İngiltere – 2016: Seçim altyapısı
• Güney Kore – 2018: Olimpiyat altyapısı
• Ukrayna…
www.sparta.com.tr

9. Rusya kaynaklı siber saldırı grupları nasıl
çalışıyor?
• Brute force saldırılar
• Hedefli oltalama saldırıları
• Çalıntı kullanıcı bilgileri
• Bilinen zafiyetler
www.sparta.com.tr

10. Rusya kaynaklı siber saldırı grupları nasıl
çalışıyor?
• Keşif
• İlk erişim
• Yetki yükseltme
• Güvenlik çözümü atlatma
• Amaç
www.sparta.com.tr

11. Siber Ölüm Zinciri
Bilgi Toplama
• Pasif bilgi
toplama
• Kuruluş
şemaları
• IP adresleri
• Port
taramaları
• İnternet
servis
sağlayıcısı
bilgileri
• Dışarıya
dönük
sistemler
• ...
Silahlandırma
• İstismar
kodunun
hazırlanması
• Zararlı yazılım
• Ambalaj
Teslimat
• Hedefli
oltalama
saldırısı
(spear
phishing)
• Zararlı içerikli
web sayfası
• İnternet
servis
sağlayıcısı
İstismar
• Kodun
çalıştırılması
• Hedef
sistemle
bağlantı
kurma
• Üçüncü
tarafların
istismarı
Kurulum
• Trojan veya
arkakapı
• Kalıcı erişim
kurabilme
• Yetki
yükseltme
• Kullanıcı
adlarını ve
parolaları
çalma
Komuta ve
kontrol
• Hedefle
iletişim
yolunun
açılması
• Yatay hareket
• İç ağda bilgi
toplama
• Erişimi kalıcı
hale getirme
Hedef üzerinde
işlemler
• Derinleşme
• Bağlantıyı ve
erişimi kalıcı
hale getirecek
ek yöntemler
• Veri sızdırma
1 2 3 4 5 6 7
www.sparta.com.tr

12. Gerçek…
www.sparta.com.tr
https://media.defense.gov/2021/Jul/01/2002753896/-1/-1/1/CSA_GRU_GLOBAL_BRUTE_FORCE_CAMPAIGN_UOO158036-21.PDF

13. Bilimsel…
www.sparta.com.tr

14. Rusya kaynaklı siber saldırı grupları nasıl
çalışıyor?
• Brute force saldırılar (ID: T1110)
• Hedefli oltalama saldırıları (ID: T1566)
• Çalıntı kullanıcı bilgileri (ID: T1589)
• Bilinen zafiyetler (T1190)
www.sparta.com.tr

15. Bu çerçevede nasıl saldırılar beklenmelidir?
Kaynak: https://www.cisa.gov/uscert/sites/default/files/publications/AA22-047A%20Russian%20State-
Sponsored%20Cyber%20Actors%20Target%20CDC%20Networks.pdf
www.sparta.com.tr

16. Bu çerçevede nasıl saldırılar beklenmelidir?
• Aktif APT gruplarının %90'ı ilk erişim vektörü olarak sosyal
mühendislik e-postalarını kullanıyor (maliyet +/- 300 USD)
• "Watering hole attacks" (%14, maliyet +/- 10.000 USD)
• Zeroday zafiyeti (maliyet +/- 1.000.000 USD)
Siz hangisini kullanırdınız?
www.sparta.com.tr

17. Bu çerçevede nasıl saldırılar beklenmelidir?
• APT gruplarının %48'I sızma testi araçları kullanıyor (Cobalt Strike yıllık
3.500 USD)
• Değiştirilmiş Teamviewer (maliyet +/- 100 USD)
• Değiştirilmiş VNC (maliyet +/- 1.000 USD)
• Sysinternals Suite (BEDAVA!)
www.sparta.com.tr

18. Bu çerçevede nasıl saldırılar beklenmelidir?
• https://mitre-attack.github.io/attack-navigator/
www.sparta.com.tr

19. Siber güvenlik çözümlerini atlatmak için hangi
yöntemler kullanılıyor?
www.sparta.com.tr

20. www.sparta.com.tr
Kaynak: https://docs.google.com/spreadsheets/d/1H9_xaxQHpWaa4O_Son4Gx0YOIzlcBWMsdvePFX68EKU/edit#gid=1636225066

21. Siber güvenlik çözümlerini atlatmak için hangi
yöntemler kullanılıyor?
• Kullanıcı hesapları
• Microsoft, vb. "legal" yazılımlar
• Gelişmiş zararlı yazılımlar
• Hazır zararlı yazılımlar (Örn. Cobalt Strike)
www.sparta.com.tr

22. Bu çerçevede, siber tehdit istihbaratı nasıl
kullanılır?
• Kullanılmaz
• Kullanılamaz
• Kullanılabilemez
• Beyhudedir…
www.sparta.com.tr

23. Bu çerçevede, siber tehdit istihbaratı nasıl
kullanılır?
• Siber tehdit istihbaratı size ne sağlar?
• Çalınan kullanıcı bilgileri
• Saldırgan IP adresleri
• Saldırgan IoCleri
www.sparta.com.tr

24. Bu çerçevede, siber tehdit istihbaratı nasıl
kullanılır?
• Siber tehdit istihbaratı size ne sağlar?
• Çalınan kullanıcı bilgileri
• Saldırgan IP adresleri
• Saldırgan IoCleri
• Cobalt Strike
• Malleable C2 Profiles
www.sparta.com.tr

25. Bu çerçevede, siber tehdit istihbaratı nasıl
kullanılır?
• Cobalt Strike
• Malleable C2 Profiles
www.sparta.com.tr

26. APT saldırılarına uygun olarak SIEM kuralları
nasıl ele alınmalıdır?
• Sigma kuralları: https://github.com/SigmaHQ/sigma
www.sparta.com.tr

27. APT saldırılarına uygun olarak SIEM kuralları
nasıl ele alınmalıdır?
• Yara kuralları: https://github.com/Yara-Rules/rules
www.sparta.com.tr

28. APT saldırılarına uygun olarak SIEM kuralları
nasıl ele alınmalıdır?
• Yara kuralları: https://github.com/Yara-Rules/rules
www.sparta.com.tr

29. Ağ ve sistemlere sızmış saldırganları nasıl
tespit edebiliriz?
• Örn: Emotet ve Cobalt Strike trafik incelemesi
www.sparta.com.tr

30. Ağ ve sistemlere sızmış saldırganları nasıl
tespit edebiliriz?
• Tehdit avcılığı sayesinde
• Tehdit avcılığı: "Mevcut güvenlik çözümlerini atlatmış olabilecek
zararlı yazılım ve/veya siber saldırganları yakalamak amacıyla; insan
tarafından, proaktif ve tekrar eden inceleme süreçleri."
www.sparta.com.tr

31. Tehdit avcılığı temel gereksinimler
• Reaktif siber güvenlik tedbirleri
• SIEM, IPS, vb. otomatik tespit tedbirleri
• "Savunulabilir network yapısı"
• Ağ, sistem ve uygulama loglarının toplanması
www.sparta.com.tr

32. Tehdit avcılığı temel gereksinimler
• Merkezi bir log yapısının oluşturulması (proxy, firerwall, switch, Active
Directory, vs.)
• Alarmların incelenmesi için gerekli süreçlerin oluşturulması
• Zafiyet ve "siber tehdit istihbaratı"
www.sparta.com.tr

33. Tehdit avcılığı temel gereksinimler
• Metrikler:
• Alarm sayısı ve önem derecesi
• Olay ile olayın tespiti arasaında geçen süre
• Doldurulan "tespit boşluğu" sayısı
• Doldurulan "loglama boşluğu" sayısı
• Tespit edilen ve giderilen zafiyet sayısı
www.sparta.com.tr

34. Siber Ölüm Zinciri
Bilgi Toplama Silahlandırma Teslimat İstismar Kurulum
Komuta ve
kontrol
Hedef üzerinde
işlemler
1 2 3 4 5 6 7
www.sparta.com.tr

35. Siber Ölüm Zinciri
Bilgi Toplama Silahlandırma Teslimat İstismar Kurulum
Komuta ve
kontrol
Hedef üzerinde
işlemler
1 2 3 4 5 6 7
www.sparta.com.tr

36. Siber Ölüm Zinciri
Bilgi Toplama Silahlandırma Teslimat İstismar Kurulum
Komuta ve
kontrol
Hedef üzerinde
işlemler
1 2 3 4 5 6 7
www.sparta.com.tr
• Zararlı yazılım trafiği
• Pass-the-Hash
• DNS tünelleme
• vs…

37. Tehdit avcılığı temel gereksinimler
• Takvim
• Hangi inceleme, ne zaman yapılacak?
• İncelemeye nereden başlanacak?
• Örn:
• 2 haftada 1 yüksek etkisi olacak olaylar
• Ayda 1 orta etkisi olacak olaylar
www.sparta.com.tr

38. Tehdit avcılığı temel gereksinimler
• Neler arayacağız?
• Sistem keşif çalışmaları
• Yerel ağ keşif çalışmaları
• Kalıcı olmaya yönelik çalışmalar
• Komuta sunucusu trafiği
• Yatay hareketler
• Veri sızdırma işlemleri
www.sparta.com.tr

39. Sorular…
• Endpoint - network security çözümlerinin korelasyonunun önemi
www.sparta.com.tr

40. Sorular…
• Ransomware
www.sparta.com.tr

41. Sorular…
• Bu saldırılara karşı hangi OS en güvenlidir, ve başka ne önlemler
alınabilir ?
www.sparta.com.tr

42. Sorular…
• Ddos saldırısı
www.sparta.com.tr

43. Sorular…
• UTM cihazları saldırıları önlemede yeterlilik payı
www.sparta.com.tr

44. Sorular…
• Ülkemiz de Ruslarla benzer şekilde çalışıyor mu? Yerli APT grupları var
mı?
www.sparta.com.tr

45. Sorular…
• Ülkemiz de Ruslarla benzer şekilde çalışıyor mu? Yerli APT grupları var
mı?
www.sparta.com.tr

46. Sorular…
• Sizce Ruslar nükleer santralde ileride saldırı için backdoor yada sıfırınci
gün için açık bırakırlar mı?
www.sparta.com.tr

47. Sorular…
• İnternete açık servislerde (Exchange, iis vb.) bu saldırılara karşı nasıl
ek önlemler almalıyız.
www.sparta.com.tr

48. Sorular…
• KOBİ'ler bu tür siber saldırılardan nasıl korunur. Hangi tür IT
yatırımlarına kaynak ayırmalıdır? Siber güvenlik önlemlerine ait
yatırımların amortismanı hesaplanabilir mi? Makul yatırım seviyeleri
nedir?
www.sparta.com.tr

49. Sorular…
• fidye saldırıları ve felaket kurtarma
www.sparta.com.tr

50. Sorular…
• Rusya ile Ukrayna arasındaki krizde Rus hacker'ların siber savaş
anlamında faaliyetleri oldu mu?
www.sparta.com.tr