Siber Tehdit Avcılığı Cyber threat hunting

1. Siber Tehdit Avcılığı – 1
PsExec

2. Siber Tehdit Avcılığı
● Siber saldırılar çeşitli yöntemler ve taktikler kullanılarak
gerçekleştirilmektedir.
● Herhangi bir siber saldırı durumuyla karşılaştığınızda veya
şüphelendiğinizde bir çok noktanın araştırılması gerekmektedir.
– Bu tür durumlarda kritik logları kapsamlı bir şekilde analiz
ederek siber saldırı durumunun genel resmini olabildiğince
doğru tespit etmek gerekir.
– Analiz sonucunda iyileştirici tedbirler almak için gerekli olan
bilgiler ortaya çıkarılmalıdır.

3. Siber Tehdit Avcılığı
● Bu dokümanda siber saldırı yöntemleri arasında kullanılan
psexec aracını inceleyeceğiz.
● PsExec kullanıldığında
– Sunucu tarafından oluşması beklenen loglar nelerdir?
– Istemci tarafında oluşması beklenen loglar nelerdir?
– Sistemler üzerindeki default ayarlar, oluşması beklenen
loglar için yeterli mi?
– Değilse?
– Yeterli bilgi içeren logları elde etmek için yapılması gereken
ayarlar nelerdir?

4. Siber Tehdit Avcılığı
● Amaç-1:
– PsExec aracını kullanan saldırganların arkada bıraktıkları
izleri analiz ederek, saldırganların tespit edilmesini
sağlamaktır.
● Amaç-2:
– Siber olaylara müdahale kapsamında alınan SIEM ürünleri
yeterli seviyede kurgulanmadığında, saldırıların tespit
edilemeyeceğini göstermek.

5. PsExec Avcılığı
● Bu çalışma sanal yapıda bulunan Windows 2012R2 Domain
controller ve Windows-7 istemciden oluşan bir yapı üzerinde
gerçekleştirilmiştir.
– Kaynak makine (Source host): Windows-7
– Hedef makine (Destination host): Win2012R2
● PsExec çalıştırıldığından kaynak ve hedef makine üzerinden
oluşan bir takım loglar analiz edilecektir.

6. Windows-7 Log Analizi
Sysmon
● Event ID : 1 (Process Create)
– PsExec64.exe
– Uzaktan çalıştırılan komut “CommandLine” bölümünde görülmektedir.

7. Windows-7 Log Analizi
Sysmon
● Event ID : 5 (Process Terminated)
– PsExec64.exe

8. Windows-7 Log Analizi
Security
● Event ID : 4688 (A new process has been created)
● Ayrıntılar bölümünde: Kullanıcı, Domain ve process gibi bilgiler elde
edilebilmektedir.

9. Windows-7 Log Analizi
Security
● Event ID : 4689 (A process has exited)
● Ayrıntılar bölümünde: Kullanıcı, Domain ve process gibi bilgiler elde
edilebilmektedir.

10. Windows-7 Log Analizi
Registry
● PsExec kayıt defteri bilgisi
● Bilgisayar üzerinde PsExec daha önce çalıştırılmışsa, kayıt defterinde bir
değişiklik görülmeyecektir.

11. Windows 2012R2 Log analizi
Sysmon
● Event ID : 1 (Process Create)
● PsExec hedef makine üzerinde çalıştırdığı process
"C:WindowsPSEXESVC.exe"
● Kullanıcı bilgiside görülmektedir.

12. Windows 2012R2 Log analizi
Sysmon
● Event ID : 5 (Process Terminated)
● "C:WindowsPSEXESVC.exe" sonlandırılmıştır.

13. Windows 2012R2 Log analizi
System
● Event ID : 7045 (A service was installed in the system)
● Yüklenen servisin adı ve yerini görebiliyoruz.

14. Windows 2012R2 Log analizi
System
● Event ID : 7036 (The service entered the running state)
● Servis çalışır durumunu gösteren logu görüyoruz.

15. Windows 2012R2 Log analizi
System
● Event ID : 7036 (The service entered the stopped state)
● Servisin durduğunu gösteren logu görüyoruz.

16. Windows 2012R2 Log analizi
Security
● Event ID : 5156 (The Windows Filtering Platform has permitted a
connection)
● Port 445 üzerinden
bağlantı bilgileri

17. Windows 2012R2 Log analizi
Security
● Event ID : 5156 (The Windows Filtering Platform has permitted a
connection)
● Port 135 üzerinden
bağlantı bilgileri

18. Windows 2012R2 Log analizi
Security
● Event ID : 5140 (A network share object was accessed)
● Bağlantı yapan kullanıcı
bilgisi
● ip adres bilgisi
● Paylaşım bilgisi
gibi bilgiler görülmektedir.

19. Windows 2012R2 Log analizi
Security
● Event ID : 4672 (Special privileges assigned to new logon)
● Bağlantı yapan kullanıcı
bilgisi
● Atanmış yetkiler
gibi bilgiler görünmektedir.

20. Windows 2012R2 Log analizi
Security
● Event ID : 5145 (A network share object was checked to see whether client
can be granted desired access)
● Event ID: 5145 logu birden fazla oluşabilir.
● ip adres bilgisi
● Bağlantı yapan kullanıcı bilgisi
● Hedef bilgisi gibi bilgiler görülmektedir.

21. Sonuç
● Varsayılan Windows ayarları ile yeterli miktarda log tutulmadığını unutmayın.
● Ayrıntılı log elde etmek için önceden yapılandırılması gerekenler
– Gerekli denetim ilkesi logları
– Sysmon
●
Bu ayarlar yapıldığında sistemler üzerinde oluşan log kayıtlarındaki artış, yapı
kurulurken dikkate alınmalıdır.
● Siber saldırılar oldukça/arttıkça veya şüpheli durumlarda izleri takip edebilmek ve
ayrıntılı inceleme yapabilmek önemlidir. Bundan dolayı eğer verimli bir yapı
oluşturulmazsa, olay incelemeleri çözülemeyebilir.
– Saldırgan ne yaptı?
● PsExec kullanıldığında burada analiz edilen loglar dışında çıkabilecek ek loglar
olabilir.

22. İletişim Bilgileri
Kurtuluş Karasu
– kurtuluskarasu@gmail.com