“LOKI” ile Incident Response Süreçlerinde IOC Tespiti
Hepinize selamlar, Bu makalemde Open Source bir ürün olan IOC tarama toolu LOKI‘den ve kullanım amaçlarından bahsedeceğim. Umarım faydalı olur, şimdiden iyi okumalar. Tehdit istihbaratı ve olay müdahalesi süreçlerinde saldırganlar tarafından kullanılan araçların veya uygulamaların hash değerlerinin, domain adlarının, IP bilgilerinin kısacası ağ üzerindeki bıraktıkları izlerin takip edilmesi oldukça önemlidir. Gelişmiş saldırı tehditlerinin(APT), TTP (Tactics, Techniques and Procedures) kısmında işler oldukça zorlaşmaktadır. Saldırganların savunan kişiler tarafından tespit edilmek istememesinden dolayı işleri çok daha fazla karmaşıklaştırmaları ve zorlaştırmaları gerekmektedir. Bunun sonucunda ise savunma yapan kişilerin de bunları tespit etmesi oldukça zorlaşmaktadır. Sonuç olarak savunma yapan kişilerin, saldırı yapan kişilerden gerisinde kalması olasıdır. Bu durumda savunan kişilerin saldırganların kullandığı araçlar, yazılımlar ve dosyaların tespiti önem arz etmektedir. Yara kuralları ile belirli zararlı yazılımların tespit edilmesi mümkündür. İşte tam da bu noktada devreye makalemizin konusu olan LOKI aracı girmektedir. LOKI LOKI, ücretsiz ve basit bir IOC tarama aracıdır. Tam donanımlı bir APT tarayıcı…
YARA Nedir? Zeus Botnet’in Yara Kuralının Hazırlanması
Hepinize merhabalar bu yazımda size Yara kuralı nedir ve yara kuralının nasıl yazıldığını Zeus Botnet zararlı yazılımı üzerinden anlatmaya çalışacağım. Şimdiden iyi okumalar. 🙂 YARA Nedir? YARA, zararlı yazılımların tespit edilmesine, tanımlanmasına ve sınıflandırılmasına en hızlı ve en iyi şekilde yardımcı olmayı amaçlayan bir tool(araç) dur. VirüsTotal tarafından geliştirilmiş ve open source bir kaynaktır. YARA’nın çalıştırılabilir dosyasını indirip kendi sisteminizde de çalıştırabilirsiniz. Son sürümünü http://plusvic.github.io/yara/ adresinden indirebilirsiniz. Yara Kuralının Yazılması Yara kuralları ise zararlı yazılımların sınıflandırılmasında ve bu zararlı yazılımların kodlarının hex değerlerinin tanımlanmasında yardımcı olmak için oluşturulan kurallardır. Yazdığımız bu kuralları saldırı tespit sistemlerimize eklediğimiz zaman sisteme sızmaya çalışan bir zararlı yazılımı daha önceden hazırladığımız yara kuralı ile rahatlıkla sistemden bertaraf edebiliriz. Bu yara kuralları sayesinde de yara kuralını yazdığımız malwareların sistemimize vereceği zarardan kendimizi koruruz. Her bir YARA kural tanımlaması bir takım mantıksal ifadelerden oluşur. Bu ifadelerden aşağıda bahsettim ben burada Zeus Botnet zararlı yazılımını ele aldım ve basit…