Kazanimlar:
- Tehdit avının alarmla değil sınanabilir bir hipotezle başladığını ve yapay zekanın hipotez üretme ile sorgu taslağı çıkarmada nasıl yardımcı olduğunu kavrayabilme
- Yapay zekanın öne çıkardığı aykırı/nadir sinyalin otomatik olarak kötü niyet anlamına gelmediğini, hipotezin ham kanıtla doğrulanması gerektiğini uygulayabilme
- Yapay zekanın verdiği MITRE ATT&CK teknik numaralarını ve event ID'lerini resmi kaynakla doğrulayıp uydurma teknik detayı ayıklayabilme
Klasik güvenlik izleme "alarm bekle, gelince bak" mantığıyla çalışır. Ama en tehlikeli saldırganlar alarm üretmemek için uğraşır: meşru araçları kullanır (buna "araçtan yararlanma" — living off the land denir; yani sistemde zaten var olan PowerShell, WMI gibi araçları kötüye kullanmak), yavaş hareket eder ve normal trafiğe karışır. Bu yüzden tehdit avı (threat hunting) doğdu: bir alarmı beklemeden, "kurumumda şu anda tespit edilmemiş bir saldırgan olsaydı izi nerede olurdu?" sorusuyla proaktif olarak iz aramak. Tehdit avı, alarm değil hipotez ile başlar.
Yapay zeka tehdit avında iki yerde çok işe yarar. Birincisi hipotez üretimi: bir saldırı tekniğini verip "bu teknik kurumumda kullanılsaydı hangi loglarda, hangi örüntüde iz bırakırdı?" diye sordurabilirsiniz. İkincisi sinyal ayıklama: büyük veri içinde nadir, aykırı, "normalden farklı" olanı öne çıkarabilir. Ama YZ kurumunuzun neyin normal olduğunu bilmez ve bir hipotezi "kanıtlanmış" sanma tuzağına düşürebilir. Tehdit avında YZ bir fikir ortağı ve tarayıcıdır; avın gerçek bir tehdit bulup bulmadığına ve bunun rapora geçip geçmeyeceğine avcı (analist) karar verir.
Tehdit avının adımları
- Hipotez kur. Somut, sınanabilir bir cümle: "Bir saldırgan, ele geçirdiği bir hesapla iş dışı saatlerde iç ağı tarıyor olabilir." YZ'yi burada beyin fırtınası için kullanabilirsiniz.
- Veri kaynağını belirle. Hipotezi hangi log kanıtlar/çürütür? (Örneğin ağ tarama için güvenlik duvarı ve DNS logları, yetki yükseltme için kimlik logları.)
- Sorguyu tasarla. Hedeflenen örüntüyü arayacak sorgu (SIEM sorgu dili, KQL, SQL benzeri). YZ sorgu taslağı yazmakta yardımcı olur; ama sorguyu siz gözden geçirir ve çalıştırırsınız.
- Sonucu ayıkla. Çıkan yüzlerce satırdan gerçek sinyali süzün. Burada YZ kümeleme ve özetleme yapar.
- Doğrula veya çürüt. Bulunan izin gerçekten kötü niyetli mi yoksa masum mu olduğunu ham kanıtla ve bağlamla teyit edin.
- Sonucu belgele ve tespite dönüştür. Bulunan gerçek örüntüyü kalıcı bir tespit kuralına (detection) çevirin; hipotez boşa çıktıysa bunu da kaydedin (negatif sonuç da bilgidir).
Terimler: TTP (Tactics, Techniques, Procedures — saldırganın davranış örüntüsü). MITRE ATT&CK, saldırgan tekniklerinin numaralandırılmış ve dokümante edilmiş bir kütüphanesidir (örn. T1078 "Geçerli Hesaplar"); tehdit avında ortak bir dil sağlar. IOC (İhlal Göstergesi — kötü IP, hash, alan adı). Beyaz gürültü (whitelist/known-good), avın gözden çıkardığı bilinen normal davranıştır.
Tehdit avı yaklaşımları tablosu
Yaklaşım
Başlangıç noktası
YZ'nin katkısı
Dikkat
Hipotez tabanlı av
"Şöyle bir saldırgan olsa..."
Hipotez üretme, örüntü tarifi
Hipotez kanıt değildir
IOC tabanlı av
Bilinen kötü gösterge
IOC'leri loglarla eşleştirme
Eski/yanlış IOC yanıltır
TTP/ATT&CK tabanlı av
Bir teknik (T-numarası)
Tekniği log örüntüsüne çevirme
Teknik ≠ tek örüntü
Anomali tabanlı av
İstatistiksel sapma
Aykırıyı öne çıkarma
Aykırı ≠ kötü niyet
Yığın frekans analizi
"En nadir olan ne?"
Nadir olayı bulma
Nadir ≠ tehlikeli
Üç mini vaka
Vaka 1 — Nadir olanı bulmak. Bir avcı, "iç ağda hangi süreç en az bilgisayarda çalışıyor ama en çok ağ bağlantısı kuruyor?" hipotezini kurar. YZ, anonimleştirilmiş süreç-bağlantı verisinden bir örüntü öne çıkarır: yalnızca 2 makinede görülen svchost32.exe adlı bir süreç, 340 farklı dış adrese bağlanıyor. Avcı bunu inceler; meşru svchost.exe'yi taklit eden bir zararlı bulur. YZ nadir olanı süzdü; teşhisi ve müdahaleyi avcı yaptı.
Vaka 2 — Boşa çıkan (ama değerli) av. Bir avcı, "iş dışı saatlerde toplu veri indirme olabilir mi?" hipotezini kurar; YZ ilgili sorgu taslağını yazar. Sonuç: 3 kullanıcı gece indirme yapmış, ama üçü de yurt dışı ofis çalışanı ve saat dilimi farkından iş saatinde çalışıyor. Hipotez çürür. Avcı bunu "negatif sonuç" olarak belgeler ve bu 3 kullanıcıyı gelecekteki avlar için istisna olarak not eder. Boşa çıkan av bile kurumu daha iyi tanımayı sağladı.
Vaka 3 — Uydurma teknik tuzağı. Bir avcı YZ'ye "T1055 tekniğini kurumumda nasıl ararım?" der. YZ ikna edici bir sorgu ve "T1055 şu event ID'yi üretir" iddiası yazar; ama verdiği event ID yanlıştır ve model bir ATT&CK alt-tekniğini uydurmuştur. Avcı MITRE ATT&CK kaydını açıp teknik açıklamasını ve gerçek log kaynaklarını teyit eder, yanlış event ID'yi düzeltir. Ders: YZ'nin verdiği her teknik detayı (event ID, T-numarası, log alanı) resmi kaynakla doğrulayın.
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Ağımda saldırgan var mı bul.
Bu istem hipotezsiz, verisiz, sınırsız ve doğrulanamaz. YZ genel geçer ya da uydurma bir liste döker; hiçbir işe yaramaz.
Güçlü prompt:
Rolün: tehdit avcısına fikir ve taslak veren asistan. Karar verme, "tehditvar" deme. Hipotezim: "Ele geçirilmiş bir hesap, iş dışı saatlerde iç ağıport taraması yapıyor olabilir." Şunları üret: (1) bu hipotezi kanıtlayacakve ÇÜRÜTECEK log kaynaklarını listele, (2) aranacak somut örüntüyü tarif et(hangi alanlar, hangi eşikler), (3) bir örnek sorgu taslağı yaz ve hersatırını yorumla, (4) çıkacak sonuçta hangi masum açıklamaların eleneceğiniyaz. İlgili MITRE ATT&CK tekniğini öner ama T-numarasını ve event ID'yi"[MITRE'den doğrulanmalı]" diye işaretle, uydurma.
Güçlü istem somut bir hipotezle başlar, kanıt/çürütme dengesini kurar, sorguyu açıklattırır ve teknik detayı doğrulamaya bırakır.
Kopyalanabilir prompt şablonları
HİPOTEZ ÜRETME ŞABLONUKurumum için [varlık: örn. Active Directory / bulut / uç nokta] bağlamında5 sınanabilir tehdit avı hipotezi üret. Her hipotez için: (1) hangisaldırgan davranışını hedeflediği, (2) hangi log kaynağının kanıt/çürütmesağlayacağı, (3) beklenen örüntü. Genel değil, sınanabilir cümleler kur.
TEKNİĞİ ÖRÜNTÜYE ÇEVİRME ŞABLONUŞu saldırı tekniğini [teknik adı] kurumumda arayacağım. Üret: (1) tekniğintipik iz bıraktığı log alanları, (2) aranacak somut örüntü ve eşikler,(3) bu örüntüyü tetikleyebilecek masum (yanlış pozitif) durumlar. İlgiliMITRE ATT&CK T-numarasını öner ama "[MITRE'den doğrulanmalı]" işaretiyle;uydurma event ID/numara verme.
SORGU TASLAĞI ŞABLONUŞu örüntüyü arayan bir [SIEM/KQL/SQL] sorgu taslağı yaz: [örüntü tarifi].Her satırı yorumla, hangi alanı neden filtrelediğini açıkla, performansriski olan yerleri işaretle. Sorguyu ben gözden geçirip çalıştıracağım;sen çalıştırma varsayımı yapma. Alan adlarını bildiğim şemaya göre"[şemaya göre düzelt]" işaretiyle bırak.
SONUÇ ELEME ŞABLONUAvımın sonucunda şu satırlar çıktı (anonim): [yapıştır]. Bunları grupla,her grup için (1) kötü niyetli olma senaryosu, (2) en az 2 masum açıklama,(3) ayırt etmek için bakılacak ek kanıt yaz. Karar verme; bana ayrıştırmasun. Kanıtı olmayan iddiayı "[dayanak yok]" işaretle.
Sık yapılan hatalar
- Hipotezsiz avlanmak. "Bir şey bul" demek YZ'yi tahmine ve uydurmaya iter; av somut, sınanabilir bir cümleyle başlar.
- Hipotezi kanıt sanmak. Av bir olasılığı test eder; bulunan iz ham kanıtla doğrulanmadan "tehdit" değildir.
- Aykırıyı otomatik kötü saymak. Nadir/aykırı olan çoğu zaman masumdur (bakım, yeni yazılım, tek seferlik iş); bağlamla eleyin.
- Teknik detayı doğrulamamak. YZ event ID, T-numarası ve log alanı uydurabilir; MITRE ATT&CK ve ürün dokümanıyla teyit edin.
- Boşa çıkan avı çöpe atmak. Negatif sonuç da bilgidir: kurumu daha iyi tanır, gelecekteki yanlış pozitifleri azaltır; belgeleyin.
İpucu: İyi bir tehdit avı hipotezi "sınanabilir" olmalıdır: doğru ya da yanlış çıkabilecek somut bir iddia. "Ağımda kötü bir şey var mı?" sınanamaz; "X hesabı iş dışı saatte 50'den fazla iç IP'ye bağlandı mı?" sınanabilir.
Dikkat: Tehdit avı yalnızca kendi yetkili olduğunuz sistemlerde yapılır. YZ'den başka bir kurumu, bir kişiyi ya da izniniz olmayan bir ağı "araştırmasını" istemek yetkisiz erişim girişimidir ve bu modülün dışındadır.
Özetle
Tehdit avı, alarm beklemeden proaktif olarak gizli saldırganın izini aramaktır ve alarmla değil hipotezle başlar. YZ bu süreçte iki güçlü katkı sunar: sınanabilir hipotezler ve sorgu taslakları üretmek, büyük veriden nadir/aykırı sinyali süzmek. Ama YZ kurumunuzun normalini bilmez, teknik detay uydurabilir ve bir hipotezi kanıt sanma tuzağına iter. Bu yüzden av altı adımlıdır (hipotez, veri, sorgu, ayıklama, doğrulama, belgeleme) ve her adımda karar avcınındır. Aykırı ≠ kötü, hipotez ≠ kanıt, YZ'nin verdiği teknik detay ≠ doğru; hepsi ham kanıt ve MITRE ATT&CK ile teyit edilir.
Uygulama görevi
Kendi kurumunuz (ya da bir örnek ortam) için "Hipotez Üretme" şablonuyla YZ'den 5 tehdit avı hipotezi alın. En sınanabilir olanı seçin, "Tekniği Örüntüye Çevirme" ve "Sorgu Taslağı" şablonlarıyla bir sorgu taslağı çıkarın, sorgudaki her satırı ve önerilen her T-numarasını MITRE ATT&CK'te doğrulayın. Sonucu (hipotez doğrulandı mı, çürüdü mü, ne öğrendiniz) kısa bir avı notu olarak yazın.
Kontrol listesi
- [ ] Avıma somut, sınanabilir bir hipotezle başladım.
- [ ] Hipotezi hem kanıtlayacak hem çürütecek log kaynaklarını belirledim.
- [ ] Sorgu taslağının her satırını gözden geçirip kendi şemama uyarladım.
- [ ] Önerilen MITRE ATT&CK tekniğini ve event ID'leri resmi kaynakla doğruladım.
- [ ] Çıkan her sinyali ham kanıt ve bağlamla teyit ettim; aykırıyı otomatik kötü saymadım.
- [ ] Boşa çıkan hipotezi de belgeledim (negatif sonuç bilgidir).
- [ ] Yalnızca yetkili olduğum sistemlerde avlandım.