Tehdit tespiti: Olağandışını görün. Riski anlayın. Bağlamla davranın.

Brute force saldırısında saldırgan, bir hesaba çok sayıda parola ya da çok sayıda hesaba yaygın bir parola dener (password spraying) ve biri tutana kadar devam eder. Hedef genellikle SSH, RDP, VPN geçitleri ve web giriş sayfalarıdır. Asıl tehlike sondaki başarıdır: bir dizi başarısız denemenin ardından gelen geçerli giriş, çoğu zaman hesabın ele geçirildiği anlamına gelir.

Logchase bunu nasıl yakalar: hazır bir kural varsayılan olarak beş dakika içinde beş veya daha fazla başarısız giriş olduğunda uyarı üretir; ayrı ve kritik bir kural da tekrarlanan başarısız denemelerin ardından gelen başarılı girişi işaretler. Kaynak adresler ayrıca ThreatPeak'in brute-force kaynaklarıyla karşılaştırılır.

Webshell, saldırganın sıradan HTTP istekleriyle komut çalıştırabilmesi için web sunucusuna yerleştirilen küçük bir betiktir; genellikle PHP, ASPX veya JSP dosyasıdır. Çoğu zaman açığı olan bir yükleme formu, eklenti ya da yamalanmamış bir uygulama üzerinden gelir ve normal web trafiğine karışan sessiz bir arka kapıya dönüşür. Ayrıntılar için: Webshell nedir?

Logchase bunu nasıl yakalar: dosya bütünlüğü izleme, /var/www/html gibi web dizinlerindeki yeni veya değiştirilmiş betik dosyalarını işaretler; web güvenliği kuralları ise webshell'i çoğu zaman yükleyen exploit ve komut enjeksiyonu denemelerini yakalar. İkisini ilişkilendirmek isteği ve dosyayı birlikte gösterir.

Yetki yükseltme, saldırganın elde ettiği dayanağı kontrole dönüştürmesidir. Sıradan bir kullanıcı ya da servis hesabı; bir zafiyeti sömürerek, hatalı bir yapılandırmayı kötüye kullanarak veya ayrıcalıklı bir gruba eklenerek yönetici ya da root yetkisi kazanır. Bu adım çoğu zaman veri erişimi, savunmayı atlatma veya yanal hareketten hemen önce gelir.

Logchase bunu nasıl yakalar: davranış analizi, bir hesabın normal örüntüsünü bozan yetki değişikliklerini öne çıkarır; FIM /etc/sudoers gibi dosyalardaki düzenlemeleri kaydeder; exploit kuralları da IDS/IPS cihazlarının bildirdiği sömürü denemeleri için uyarı üretir. Risk puanlama bu olayları kuyruğun en üstüne taşır.

Saldırganlar sistemde zaten bulunan araçları tercih eder: PowerShell, cmd.exe, betik motorları ve yönetim araçları. Living-off-the-land denilen bu teknikler göze batan bir zararlı yazılım bırakmaz; bu yüzden sinyal sürecin ne olduğunda değil, nasıl başladığındadır. PowerShell başlatan bir Office belgesi ya da kimlik bilgisi çalmak için LSASS belleğini okuyan bir araç buna örnektir.

Logchase bunu nasıl yakalar: şablon kütüphanesindeki kurallar; Word, Excel, Outlook veya PowerPoint'in PowerShell ya da cmd.exe başlatması, LSASS bellek dökümü ve diğer kimlik bilgisi hırsızlığı teknikleri için uyarı üretir. Uç noktalarınızdan gelen süreç olayları diğer loglar gibi aranabilir ve ilişkilendirilebilir.

Yanal hareket, saldırganın ele geçirdiği bir sistemden aynı ağdaki diğer sistemlere geçmesidir; genellikle RDP, SMB, SSH veya uzaktan yönetim araçları ve çalınmış kimlik bilgileriyle yapılır. Her adım tek başına normal bir giriş gibi görünür; örüntü ancak farklı sunuculardan gelen olaylar sıraya konduğunda ortaya çıkar.

Logchase bunu nasıl yakalar: bir korelasyon kuralı, iç ağdaki bir cihaz kısa sürede çok sayıda iç cihaza bağlandığında uyarı üretir; inceleme zaman çizelgesi de farklı kaynaklardan gelen giriş ve süreç olaylarını sırayla göstererek saldırganın izlediği yolu takip etmenizi sağlar.