NDR Nedir? Network Detection and Response ile Lateral Movement ve Anomali Tespiti

Bir saldırgan kurumsal network'e girdikten sonra her zaman malware alarmı üretmez.

Her zaman bilinen exploit signature kullanmaz.

Her zaman EDR tarafından doğrudan yakalanacak bir process çalıştırmaz.

Bazen attacker mevcut kullanıcı credential'larını kullanır.

Legitimate protocol'lerden yararlanır.

Normal görünen network connection'ları kurar.

Ve yavaş biçimde internal network içerisinde hareket eder.

Bu durumda klasik security controls önemli bir soru ile karşı karşıya kalır:

Signature bulunmayan ama network içerisinde anormal davranan bir saldırgan nasıl tespit edilir?

Bu ihtiyaca cevap vermek için geliştirilen önemli security technology'lerden biri:

NDR – Network Detection and Response

yaklaşımıdır.

NDR sistemleri network traffic ve network telemetry verilerini analiz ederek;

anormal behavior,

lateral movement,

Command and Control,

beaconing,

unusual DNS activity,

data exfiltration,

network reconnaissance

gibi davranışları tespit etmeye çalışır.

NDR'ın temel farkı yalnızca:

“Bu packet bilinen saldırı signature'ına uyuyor mu?”

sorusunu sormaması;

aynı zamanda:

“Bu network behavior normal mi?”

sorusuna cevap aramasıdır.

Bu nedenle NDR modern Network Security, Threat Detection, SOC ve Zero Trust mimarilerinde giderek daha kritik hale gelmektedir.

NDR Nedir?

NDR:

Network Detection and Response

network traffic ve telemetry verilerini analiz ederek şüpheli davranışları tespit etmeye ve incident response sürecini desteklemeye yönelik security technology'dir.

NDR Ne Yapar?

NDR genel olarak şu fonksiyonları sağlayabilir:

Network Visibility

Behavioral Analytics

Anomaly Detection

Threat Detection

Threat Investigation

Response Integration

NDR'ın Temel Amacı Nedir?

Network üzerinde normal behavior'dan sapan activity'leri tespit etmektir.

NDR IDS/IPS ile Aynı mı?

Hayır.

IDS/IPS ile NDR Arasındaki Fark Nedir?

IDS/IPS çoğunlukla:

Signature

Exploit Pattern

Protocol Inspection

üzerinden detection yapar.

NDR ise daha fazla:

Behavior

Baseline

Flow Pattern

Network Context

üzerinden analiz yapar.

Basit Karşılaştırma

IDS/IPS:

“Bu traffic bilinen saldırıya benziyor mu?”

NDR:

“Bu traffic bu cihaz için normal mi?”

NDR Hangi Verileri Kullanır?

NDR farklı network telemetry kaynaklarından yararlanabilir.

Örneğin:

NetFlow

IPFIX

sFlow

PCAP

DNS Logs

Firewall Logs

NDR Full Packet Capture Kullanır mı?

Bazı platformlar kullanabilir.

Metadata-Based NDR Nedir?

Raw packet yerine flow ve protocol metadata üzerinden behavior analizi yapan NDR yaklaşımıdır.

Packet-Based NDR Nedir?

Packet-level visibility ve deep packet analysis kullanan NDR yaklaşımıdır.

Hybrid NDR Nedir?

Flow metadata ve packet data'yı birlikte kullanan yaklaşımdır.

Network Behavioral Analytics Nedir?

Network communication pattern'lerinin davranış açısından analiz edilmesidir.

Behavioral Analytics Neleri İnceler?

Source

Destination

Protocol

Frequency

Duration

Volume

Timing

gibi özellikleri analiz edebilir.

Network Baseline Nedir?

Belirli user, device veya system için normal communication modelidir.

Baseline Nasıl Oluşur?

Sistem belirli süre boyunca network traffic'i gözlemler.

Örneğin:

Server A

normalde:

Application Server B

Database Server C

DNS Server

ile iletişim kuruyor olabilir.

Baseline Dışına Çıkmak Ne Demektir?

Server A bir anda:

100 farklı endpoint'e SMB connection

kurmaya başlarsa anomaly oluşabilir.

Anomaly Detection Nedir?

Normal behavior'dan anlamlı sapmaların tespit edilmesidir.

Anomaly Her Zaman Saldırı mıdır?

Hayır.

Business Change Anomaly Üretebilir mi?

Evet.

Yeni application deployment veya backup job anormal görünebilir.

NDR False Positive Üretebilir mi?

Evet.

Bu nedenle context ve tuning önemlidir.

Behavioral Detection Neden Önemlidir?

Attacker bilinen malware signature kullanmayabilir.

Ancak network üzerinde bir şey yapmak zorundadır.

Attacker Network'te Ne Yapmak Zorundadır?

Discovery

Authentication

Communication

Lateral Movement

Command and Control

gibi aktiviteler gerçekleştirebilir.

Lateral Movement Nedir?

Compromise edilen ilk sistemden diğer internal system'lere ilerleme sürecidir.

Lateral Movement Neden Kritik?

Tek endpoint compromise tüm network compromise'a dönüşebilir.

NDR Lateral Movement Nasıl Tespit Eder?

Unexpected internal communication pattern'lerini analiz ederek.

Örnek Lateral Movement Senaryosu

User Laptop

normalde:

DNS

Proxy

File Server

ile konuşur.

Bir anda:

Domain Controller

Database Server

Backup Server

ile connection kurmaya başlar.

Bu davranış anormal olabilir.

East-West Traffic Nedir?

Internal system'ler arasındaki network traffic'tir.

NDR İçin East-West Visibility Neden Kritik?

Lateral Movement çoğunlukla East-West traffic üzerinde gerçekleşir.

Perimeter Security Neden Yeterli Değildir?

Attacker internal network'e girdikten sonra perimeter firewall tekrar devreye girmeyebilir.

East-West Monitoring Nedir?

Internal VLAN, server ve workload communication'ının izlenmesidir.

Internal Segmentation Firewall NDR'ın Yerine Geçer mi?

Hayır.

Firewall control sağlar.

NDR behavior detection sağlar.

Reconnaissance Nedir?

Attacker'ın network ve sistemleri tanımaya çalışmasıdır.

Internal Reconnaissance Nedir?

Compromise sonrası internal systems hakkında bilgi toplanmasıdır.

NDR Network Scan Tespit Edebilir mi?

Evet.

Horizontal Scan Nedir?

Bir source'un aynı port üzerinden çok sayıda host'u taramasıdır.

Vertical Scan Nedir?

Bir source'un tek host üzerindeki birçok port'u taramasıdır.

Slow Scan Nedir?

Detection'dan kaçmak için uzun sürede gerçekleştirilen scan'dir.

NDR Slow Scan Tespitinde Avantajlı mı?

Long-term behavioral analysis sayesinde yardımcı olabilir.

Service Discovery Nedir?

Network üzerinde hangi services'in çalıştığının belirlenmesidir.

NDR Service Discovery Activity'sini Görebilir mi?

Flow pattern üzerinden belirli behavior'ları tespit edebilir.

SMB Lateral Movement Nedir?

SMB protocol üzerinden internal systems'e hareket edilmesidir.

SMB Neden Önemlidir?

Windows environment'larda file sharing ve administrative communication için yaygındır.

RDP Lateral Movement Nedir?

Remote Desktop Protocol kullanılarak başka sistemlere geçilmesidir.

SSH Lateral Movement Nedir?

SSH credentials kullanılarak başka Linux/Unix systems'e erişilmesidir.

WinRM Nedir?

Windows Remote Management remote administration protocol'üdür.

NDR WinRM Traffic'i İzleyebilir mi?

Network visibility varsa evet.

Remote Service Usage Neden Detection İçin Değerlidir?

Normal user cihazlarının admin protocol kullanması anomaly olabilir.

Domain Controller Traffic Neden Kritik?

Active Directory environment'ın merkezi authentication infrastructure'ıdır.

User Endpoint'in Domain Controller'a Traffic'i Normal Değil mi?

Bazı traffic normaldir.

Ancak unusual port, volume veya pattern şüpheli olabilir.

Network Behavioral Context Neden Önemlidir?

Aynı connection bir server için normal, kullanıcı laptop'u için anormal olabilir.

Peer Group Analysis Nedir?

Benzer cihazların behavior'larının birbirleriyle karşılaştırılmasıdır.

Örnek

500 employee laptop:

aynı normal communication modeline sahip.

Bir cihaz farklı davranıyorsa anomaly score yükselir.

Entity Behavior Analytics Nedir?

User veya device entity'lerinin davranış pattern'lerinin analizidir.

UEBA ile NDR Arasında İlişki Var mı?

Evet.

NDR network behavior sağlarken UEBA user/entity behavior ile context ekleyebilir.

Beaconing Nedir?

Compromise edilmiş endpoint'in belirli aralıklarla attacker infrastructure'a connection kurmasıdır.

Beaconing Neden Kullanılır?

Malware veya implant C2 server'dan command almak için periodic check-in yapabilir.

Beaconing Nasıl Görünür?

Örneğin:

Her 60 saniyede

aynı destination

benzer data size

NDR Beaconing Nasıl Tespit Eder?

Timing pattern,

destination,

packet size,

connection interval

gibi özellikleri analiz ederek.

Jitter Nedir?

Beacon interval'larının detection'dan kaçmak için küçük miktarlarda değiştirilmesidir.

Jitter Beaconing Detection'ı Zorlaştırır mı?

Evet.

Behavioral Analytics Jitter'ı Yakalayabilir mi?

Gelişmiş time-series analysis yardımcı olabilir.

C2 Nedir?

C2:

Command and Control

attacker ile compromise edilmiş system arasındaki kontrol communication'ıdır.

C2 Traffic Hangi Protocol'leri Kullanabilir?

HTTPS

DNS

ICMP

veya başka legitimate protocol'ler kullanılabilir.

HTTPS C2 Neden Zordur?

Traffic encrypted olabilir.

NDR Encrypted Traffic'i Analiz Edebilir mi?

Payload olmadan metadata ve behavior analizi yapabilir.

Encrypted Traffic Analysis Nedir?

TLS encrypted traffic'in metadata özelliklerinden security insight çıkarılmasıdır.

TLS Metadata Neleri İçerebilir?

Destination

Certificate Information

Session Duration

Connection Frequency

JA3 Nedir?

TLS client behavior fingerprinting için kullanılan fingerprint yaklaşımıdır.

JA3 Tek Başına Güvenilir mi?

Hayır.

Ek context ile kullanılmalıdır.

TLS Fingerprinting Nedir?

TLS handshake özelliklerinden client veya application profile çıkarmaktır.

Encrypted Traffic Visibility Neden Önemlidir?

Modern network traffic'in büyük bölümü encrypted'dır.

TLS Inspection Olmadan NDR Çalışabilir mi?

Evet.

Metadata-based detection yapılabilir.

TLS Decryption Daha Fazla Visibility Sağlar mı?

Evet.

Ancak privacy ve performance değerlendirilmelidir.

DNS NDR İçin Neden Önemlidir?

DNS çoğu external communication öncesinde kullanılır.

DNS Anomaly Detection Nedir?

Normal DNS behavior'dan farklı query pattern'lerinin tespitidir.

DNS Beaconing Nedir?

Periodic DNS query'lerinin C2 amacıyla kullanılmasıdır.

DNS Tunneling Nedir?

DNS queries veya responses üzerinden data taşınmasıdır.

DNS Tunneling Belirtileri Nelerdir?

Long Subdomain

High Query Frequency

High Entropy

Unusual Record Types

Subdomain Entropy Nedir?

Subdomain karakterlerinin randomness seviyesidir.

DGA Nedir?

DGA:

Domain Generation Algorithm

malware tarafından çok sayıda domain üretmek için kullanılan algoritmadır.

NDR DGA Detection Yapabilir mi?

DNS behavior ve domain pattern analiziyle yardımcı olabilir.

NXDOMAIN Nedir?

DNS query sonucunda domain bulunamadığını ifade eden response'dur.

Yüksek NXDOMAIN Oranı Şüpheli mi?

DGA behavior göstergesi olabilir.

Newly Registered Domain Nedir?

Yakın zamanda kaydedilmiş domain'dir.

Yeni Domain'lere Connection Riskli mi?

Her zaman değil.

Ancak threat context olarak değerlendirilebilir.

Threat Intelligence NDR ile Nasıl Kullanılır?

Destination IP veya domain threat intelligence ile enrich edilebilir.

IOC Nedir?

IOC:

Indicator of Compromise

potential compromise göstergesidir.

IOC-Based NDR Detection Nedir?

Known malicious:

IP

Domain

URL

gibi indicator'larla traffic'in eşleştirilmesidir.

NDR Sadece IOC Kullanır mı?

Hayır.

Asıl gücü behavioral analysis'tir.

IOC Neden Yetersiz Olabilir?

Attacker infrastructure hızla değişebilir.

TTP Nedir?

TTP:

Tactics, Techniques and Procedures

saldırganın davranış yöntemleridir.

NDR TTP Detection Yapabilir mi?

Belirli network behavior'ları üzerinden evet.

MITRE ATT&CK Nedir?

Adversary tactics ve techniques için kullanılan knowledge framework'üdür.

NDR MITRE ATT&CK ile Eşleştirilebilir mi?

Evet.

Detection'lar ATT&CK technique'leri ile map edilebilir.

NDR Hangi MITRE Taktiklerinde Değer Sağlar?

Discovery

Lateral Movement

Command and Control

Exfiltration

Network Discovery MITRE ATT&CK'te Neden Önemlidir?

Attacker internal environment'ı anlamaya çalışır.

Lateral Movement Detection Coverage Nedir?

NDR'ın internal movement behavior'larını ne ölçüde tespit edebildiğini gösterir.

Command and Control Detection Coverage Nedir?

External attacker communication detection yeteneğidir.

Data Exfiltration Nedir?

Sensitive data'nın unauthorized şekilde dışarı çıkarılmasıdır.

NDR Data Exfiltration Tespit Edebilir mi?

Behavior ve traffic volume üzerinden yardımcı olabilir.

Large Data Transfer Detection Nedir?

Normalin üzerinde outbound transfer activity'sinin tespitidir.

Large Outbound Transfer Her Zaman Riskli mi?

Hayır.

Backup veya legitimate business traffic olabilir.

Baseline Neden Burada Önemlidir?

Normal volume bilinirse anomaly daha doğru değerlendirilir.

Low-and-Slow Exfiltration Nedir?

Data'nın küçük parçalar halinde uzun zaman içinde çıkarılmasıdır.

NDR Low-and-Slow Exfiltration Tespit Edebilir mi?

Long-term behavioral analytics avantaj sağlayabilir.

Cloud Storage Exfiltration Nedir?

Data'nın cloud storage platformlarına unauthorized şekilde aktarılmasıdır.

HTTPS Exfiltration Neden Zordur?

Traffic legitimate cloud service gibi görünebilir.

NDR Application Context Kullanabilir mi?

Platform capability'ye bağlı olarak evet.

Application Protocol Identification Nedir?

Traffic'in kullandığı application veya protocol'ün belirlenmesidir.

Network Risk Score Nedir?

Network entity veya alert için hesaplanan relative risk değeridir.

Risk Scoring Neleri Kullanabilir?

Anomaly Severity

Asset Criticality

Threat Intelligence

Behavior Frequency

Asset Criticality Nedir?

Bir sistemin business açısından önem seviyesidir.

Domain Controller ile Printer Aynı Riskte mi?

Hayır.

Context-Aware Risk Scoring Neden Önemlidir?

High-value asset üzerindeki medium anomaly bile kritik olabilir.

Example

Medium Anomaly

Domain Controller

Known Malicious Destination

=

Critical Incident

NDR Alert Nedir?

Network behavior sonucunda üretilen security detection'dır.

NDR Alert Tek Başına Incident mıdır?

Her zaman değil.

Alert Triage Nedir?

Alert'in gerçek threat olup olmadığının ilk analizidir.

NDR Alert Triage Neleri İnceler?

Source

Destination

User

Asset

Timeline

Related Connections

Network Storyline Nedir?

Bir incident ile ilişkili network events'in sequence şeklinde gösterilmesidir.

Attack Timeline Nedir?

Saldırgan activity'lerinin kronolojik sıralamasıdır.

NDR Timeline Neden Değerlidir?

Analyst şu sorulara cevap verebilir:

İlk connection ne zaman oldu?

Hangi systems etkilendi?

Attacker nereye hareket etti?

Root Cause Nedir?

Incident'ın başlangıç sebebidir.

NDR Root Cause'u Her Zaman Bulabilir mi?

Hayır.

Endpoint veya identity telemetry gerekebilir.

NDR + EDR Neden Güçlüdür?

NDR network behavior'ı görür.

EDR endpoint behavior'ı görür.

Örnek

NDR:

Suspicious SMB Lateral Movement

EDR:

PowerShell Execution

Birlikte:

daha güçlü incident context sağlar.

XDR Nedir?

XDR:

Extended Detection and Response

endpoint, network, identity ve diğer telemetry kaynaklarını birlikte analiz eden detection modelidir.

NDR XDR'ın Bir Parçası Olabilir mi?

Evet.

NDR ile SIEM Arasındaki Fark Nedir?

NDR network-specific analytics sağlar.

SIEM farklı log source'larını merkezi olarak correlate eder.

NDR SIEM'e Event Göndermeli mi?

Evet.

NDR ile SOC Nasıl Çalışır?

SOC NDR alert'lerini:

triage,

investigation,

incident response

süreçlerinde kullanır.

NDR SOC Use Case'leri Nelerdir?

Lateral Movement

C2 Beaconing

DNS Anomaly

Data Exfiltration

Network Scan

NDR ile SOAR Entegrasyonu Nedir?

NDR detection sonrası automated response başlatılmasıdır.

Automated Response Nedir?

Threat detection sonrasında belirli security action'ın otomatik uygulanmasıdır.

NDR Ne Tür Response Tetikleyebilir?

Firewall Block

NAC Quarantine

EDR Isolation

Ticket Creation

NDR + NAC Örneği

NDR:

Compromised Endpoint Alert

↓

SOAR

↓

NAC

↓

Quarantine VLAN

NDR + Firewall Örneği

NDR:

Malicious C2 Detected

↓

Firewall

↓

Destination Block

NDR + EDR Örneği

NDR:

Lateral Movement

↓

EDR

↓

Endpoint Network Isolation

Automated Response Riskli mi?

Evet.

False positive production impact yaratabilir.

Human-in-the-Loop Nedir?

Automated response öncesi analyst approval gerektirilmesidir.

Semi-Automated Response Nedir?

Detection otomatik, final containment analyst onaylıdır.

Full Automation Nerede Kullanılmalı?

High-confidence detection'larda risk bazlı değerlendirilebilir.

Confidence Score Nedir?

Detection'ın gerçek threat olma güven seviyesidir.

Detection Confidence ile Severity Aynı mı?

Hayır.

Severity:

impact

Confidence:

doğruluk olasılığı

ile ilişkilidir.

NDR Threat Hunting Nedir?

Network telemetry üzerinde proaktif olarak threat behavior aranmasıdır.

Threat Hunting Alarm Gerektirir mi?

Hayır.

Hypothesis-Driven Hunting Nedir?

Belirli saldırı hipotezi üzerinden investigation yapılmasıdır.

Örnek Threat Hunt

Hipotez:

“Compromise edilmiş cihazlar periodic external beacon yapıyor olabilir.”

Analiz:

Periodic outbound connection'lar aranır.

Network Hunt Query Neleri Kullanabilir?

Source

Destination

Port

Frequency

Duration

Bytes

Historical Search Nedir?

Geçmiş telemetry üzerinde investigation yapılmasıdır.

Retrospective Detection Nedir?

Yeni IOC veya detection logic ortaya çıktığında historical data'nın tekrar analiz edilmesidir.

Retrospective Search Neden Değerlidir?

Bugün öğrenilen malicious IP geçmişte kullanılmış olabilir.

First Seen ve Last Seen Nedir?

Threat activity'nin ilk ve son görüldüğü zamanı gösterir.

NDR Forensic Investigation Nedir?

Network telemetry'nin incident analysis için kullanılmasıdır.

PCAP NDR Investigation'da Neden Faydalıdır?

Raw traffic detaylarına ulaşılabilir.

NDR Packet Replay Nedir?

Captured traffic'in daha sonra tekrar analiz edilmesidir.

Historical PCAP Her Zaman Saklanabilir mi?

Storage maliyeti nedeniyle genellikle sınırlıdır.

NDR Retention Strategy Nedir?

Flow ve packet data'nın farklı sürelerle saklanmasıdır.

Örnek Retention Modeli

Flow:

Uzun dönem

PCAP:

Kısa dönem

NDR Sensor Nedir?

Network traffic'i gözlemleyen component'tir.

NDR Sensor Nerede Konumlandırılır?

Internet Edge

Data Center

Core Network

Critical Segment

Sensor Placement Neden Kritik?

Görmediği traffic'i analiz edemez.

NDR East-West Sensor Nedir?

Internal communication'ı gözlemlemek için konumlandırılan sensor'dır.

Network TAP NDR İçin Kullanılır mı?

Evet.

SPAN NDR İçin Kullanılır mı?

Evet.

Virtual TAP Nedir?

Virtual/cloud environment'ta traffic copy sağlayan mechanism'dir.

Cloud NDR Nedir?

Cloud workload ve network traffic'i analiz eden NDR yaklaşımıdır.

VPC Flow Logs NDR İçin Kullanılır mı?

Evet.

VNet Flow Logs Nedir?

Cloud network flow telemetry'sidir.

Cloud East-West Traffic Neden Önemlidir?

Workload-to-workload lateral movement için kritiktir.

Hybrid Cloud NDR Nedir?

On-premise ve cloud network telemetry'nin birlikte analiz edilmesidir.

Multi-Cloud NDR Nedir?

Birden fazla cloud provider'daki network visibility'nin birleşik analizidir.

Kubernetes NDR Nedir?

Container ve Kubernetes environment'taki network behavior'ın izlenmesidir.

Pod-to-Pod Traffic Nedir?

Kubernetes workload'ları arasındaki communication'dır.

Pod-to-Pod Lateral Movement Mümkün mü?

Yanlış segmentation varsa evet.

Micro-Segmentation NDR'ın Yerine Geçer mi?

Hayır.

Micro-Segmentation + NDR Neden Güçlüdür?

Segmentation movement'ı sınırlar.

NDR movement attempt'lerini tespit eder.

Zero Trust ile NDR Arasında İlişki Nedir?

Zero Trust yalnızca access control değildir.

Continuous monitoring de gerektirir.

Continuous Verification NDR ile Desteklenebilir mi?

Network behavior risk signal olarak kullanılabilir.

Device Risk Score Access Policy'yi Etkileyebilir mi?

Entegrasyon varsa evet.

Adaptive Access Nedir?

Risk değiştikçe access policy'nin dinamik değiştirilmesidir.

NDR + Zero Trust Senaryosu

User authenticated.

Device compliant.

Access verildi.

Daha sonra NDR:

Unusual Lateral Movement

tespit etti.

↓

Risk yükseldi.

↓

Access daraltıldı.

NDR Machine Learning Kullanır mı?

Birçok modern NDR platformu kullanabilir.

Machine Learning Neden Kullanılır?

Büyük hacimli network behavior verisinde pattern ve anomaly belirlemek için.

Supervised Learning Nedir?

Labelled data üzerinden model training yaklaşımıdır.

Unsupervised Learning Nedir?

Önceden label olmadan pattern ve cluster analizi yapılmasıdır.

Unsupervised Learning NDR İçin Neden Kullanılabilir?

Unknown behavior'ları keşfetmeye yardımcı olabilir.

Machine Learning Zero-Day Tespit Eder mi?

Kesin garanti vermez.

Ancak unknown anomaly'leri belirlemeye yardımcı olabilir.

AI NDR'da Kullanılır mı?

Evet.

Behavior analysis, alert prioritization ve investigation desteğinde kullanılabilir.

AI Detection Her Zaman Doğru mudur?

Hayır.

Analyst validation gerekir.

Explainable Detection Nedir?

Sistemin neden alert verdiğini anlaşılır biçimde açıklayabilmesidir.

Explainability Neden Önemlidir?

SOC analyst'in güvenilir triage yapmasını sağlar.

Black Box Detection Neden Sorundur?

Detection'ın hangi evidence üzerinden oluştuğu anlaşılmayabilir.

NDR Tuning Nedir?

Detection model ve policy'lerinin kuruma göre optimize edilmesidir.

NDR Baseline Öğrenme Süresi Nedir?

Environment ve platforma göre değişir.

Learning Period Nedir?

Sistemin normal network behavior'ı anlamak için veri topladığı dönemdir.

Learning Mode'da Alert Çıkar mı?

Ürün architecture'ına göre değişir.

Dynamic Baseline Nedir?

Network behavior değiştikçe baseline'ın güncellenmesidir.

Baseline Poisoning Nedir?

Malicious behavior'ın uzun süre normal gibi görülerek baseline'a dahil olma riskidir.

Bu Risk Nasıl Azaltılır?

Threat intelligence, rules ve analyst validation birlikte kullanılabilir.

NDR False Positive Neden Oluşur?

Yeni application

backup traffic

maintenance

network migration

gibi legitimate aktiviteler anomaly oluşturabilir.

Change Management NDR İçin Neden Önemlidir?

Planned change ile malicious anomaly ayrımı kolaylaşır.

NDR Allowlist Kullanabilir mi?

Evet.

Ancak dikkatli kullanılmalıdır.

Excessive Allowlisting Neden Risklidir?

Blind spot oluşturabilir.

NDR Exception Management Nedir?

Belirli detection'ların kontrollü olarak suppression veya exclusion'a alınmasıdır.

Exception'larda Expiration Date Olmalı mı?

Mümkün olduğunca evet.

NDR Detection Engineering Nedir?

Network detection logic'lerinin geliştirilmesi ve optimize edilmesidir.

Custom Detection Nedir?

Kuruma özel network behavior rule'larının oluşturulmasıdır.

Example Custom Detection

User VLAN

→

Backup Server

SMB Access

Normalde:

No

Detection:

High Severity

NDR Use Case Library Nedir?

Önceden tanımlanmış network threat detection senaryolarıdır.

Critical NDR Use Case'leri

Lateral Movement

Beaconing

C2

Data Exfiltration

DNS Tunneling

NDR Coverage Assessment Nedir?

Mevcut sensors ve telemetry'nin kritik attack scenarios'u görüp görmediğinin değerlendirilmesidir.

Detection Coverage Map Nedir?

Threat techniques ile mevcut detection'ların eşleştirilmesidir.

MITRE ATT&CK Coverage Map Nedir?

Detection'ların ATT&CK technique'lerine göre görselleştirilmesidir.

NDR Health Monitoring Nedir?

Sensor ve analytics platformunun sağlıklı çalışıp çalışmadığının izlenmesidir.

NDR Sensor Packet Loss Neden Risklidir?

Missing traffic detection gap oluşturur.

Sensor Packet Drop İzlenmeli mi?

Evet.

NDR Collector Nedir?

Network telemetry'yi merkezi olarak toplayan component'tir.

Collector Capacity Planning Nedir?

Network traffic ve telemetry volume'a göre infrastructure'ın boyutlandırılmasıdır.

NDR Throughput Nedir?

NDR platformunun analiz edebildiği network traffic kapasitesidir.

NDR Flows Per Second Nedir?

Saniyede analiz edilebilen flow sayısıdır.

NDR Storage Planning Nedir?

Flow, metadata ve PCAP retention için storage boyutlandırmasıdır.

NDR High Availability Nedir?

Analytics ve sensor infrastructure'ın failure durumunda devamlılığını sağlayan architecture'dır.

NDR Security Hardening Nedir?

NDR platformunun kendisinin güvenli şekilde yapılandırılmasıdır.

NDR Platformu High-Value Asset midir?

Evet.

Network hakkında kritik visibility içerir.

NDR Admin MFA Kullanmalı mı?

Evet.

Role-Based Access Control NDR'da Kullanılmalı mı?

Evet.

Read-Only Analyst Role Olmalı mı?

Mümkünse evet.

NDR Audit Log Nedir?

Admin ve analyst action'larının kaydıdır.

NDR Logları SIEM'e Gönderilmeli mi?

Evet.

NDR KPI'ları

Örneğin:

Network Visibility Coverage

Detection Count

True Positive Rate

Mean Time to Triage

NDR KRI'ları

Sensor Blind Spot

Packet Loss

Critical Segment Without Visibility

High-Risk Unresolved Alert

MTTD Nedir?

MTTD:

Mean Time to Detect

tehdidin tespit edilmesine kadar geçen ortalama süredir.

MTTR Nedir?

MTTR:

Mean Time to Respond

incident'a response verilmesine kadar geçen ortalama süredir.

NDR MTTD'yi Azaltabilir mi?

Evet.

Özellikle network behavior detection sayesinde.

NDR Dashboard Neleri Göstermeli?

High-Risk Alerts

Top Anomalies

Lateral Movement

External Connections

Network Risk Map Nedir?

Network asset ve communication risklerinin görselleştirildiği haritadır.

NDR Dashboard Tek Başına Yeterli mi?

Hayır.

Operational workflow gerekir.

NDR Playbook Nedir?

Belirli detection sonrası uygulanacak investigation ve response adımlarıdır.

Beaconing Playbook Neleri İçerebilir?

Destination analysis

Endpoint check

DNS history

Threat intelligence

Lateral Movement Playbook Neleri İçerebilir?

Source device

Target systems

Authentication logs

EDR evidence

Exfiltration Playbook Neleri İçerebilir?

Transferred volume

Destination

User

Data sensitivity

NDR Incident Response Lifecycle

Detect

↓

Validate

↓

Investigate

↓

Contain

↓

Eradicate

↓

Learn

Lessons Learned NDR İçin Neden Önemlidir?

Her incident sonrasında detection logic geliştirilebilir.

Feedback Loop Nedir?

Analyst result'larının detection modeline geri beslenmesidir.

Detection Feedback Neden Önemlidir?

True positive ve false positive accuracy geliştirilebilir.

NDR'da En Sık Yapılan Hatalar

Kurumlarda sık karşılaşılan hatalar şunlardır:

• NDR kurup East-West traffic göstermemek
• Sadece internet edge'i izlemek
• Baseline learning'i önemsememek
• Sensor packet loss'u takip etmemek
• DNS telemetry kullanmamak
• Asset criticality eklememek
• NDR'ı SIEM ve EDR'dan izole çalıştırmak
• Too many alerts üretmek
• False positive tuning yapmamak
• Automated containment'ı kontrolsüz açmak
• Network change'leri NDR'a yansıtmamak
• Retention süresini kısa tutmak
• Historical hunting capability kullanmamak
• MITRE ATT&CK coverage değerlendirmemek
• NDR platformunu harden etmemek

NDR Checklist

• East-West visibility var mı?
• North-South visibility var mı?
• NetFlow/IPFIX aktif mi?
• DNS telemetry mevcut mu?
• SPAN/TAP coverage yeterli mi?
• Packet loss izleniyor mu?
• Network baseline oluşturuluyor mu?
• Lateral movement detection aktif mi?
• Beaconing detection var mı?
• C2 detection var mı?
• DNS anomaly detection var mı?
• Data exfiltration detection var mı?
• Asset criticality ekleniyor mu?
• Threat intelligence entegrasyonu var mı?
• NDR SIEM'e entegre mi?
• EDR entegrasyonu var mı?
• NAC/firewall response entegrasyonu var mı?
• Threat hunting yapılabiliyor mu?
• Historical search retention yeterli mi?
• MITRE ATT&CK coverage analiz ediliyor mu?

NDR Maturity Model

Seviye 1 – Basic Network Visibility

Network traffic görülür ancak advanced analytics sınırlıdır.

Seviye 2 – Flow-Based Detection

NetFlow/IPFIX üzerinden anomaly monitoring yapılır.

Seviye 3 – Behavioral NDR

Network baseline ve behavioral analytics kullanılır.

Seviye 4 – Integrated Detection and Response

NDR, SIEM, EDR, NAC ve SOAR ile entegredir.

Seviye 5 – Adaptive Network Defense

Behavioral risk detection ve automated containment birlikte uygulanır.

Sık Sorulan Sorular

NDR nedir?

NDR, Network Detection and Response anlamına gelir ve network traffic ile telemetry üzerinden threat detection, investigation ve response capability sağlar.

Network Detection and Response ne işe yarar?

Lateral movement, Command and Control, beaconing, DNS anomaly ve data exfiltration gibi şüpheli network behavior'larını tespit etmeye yardımcı olur.

NDR ile IDS arasındaki fark nedir?

IDS çoğunlukla signature-based detection'a odaklanırken NDR behavioral analytics ve network baseline kullanır.

NDR ile IPS arasındaki fark nedir?

IPS inline prevention sağlar. NDR daha geniş network behavior analizi ve investigation capability'sine odaklanır.

NDR ile SIEM arasındaki fark nedir?

NDR network-specific telemetry ve analytics sağlar. SIEM farklı security log'larını merkezi olarak toplar ve correlate eder.

NDR ile EDR arasındaki fark nedir?

NDR network behavior'ı, EDR endpoint behavior'ı izler.

Lateral Movement nedir?

Attacker'ın compromise ettiği ilk sistemden diğer internal system'lere ilerlemesidir.

Beaconing nedir?

Compromise edilmiş endpoint'in belirli aralıklarla Command and Control server'a communication kurmasıdır.

C2 nedir?

Command and Control, attacker ile compromise edilmiş system arasındaki kontrol iletişimidir.

NDR encrypted traffic'i analiz edebilir mi?

Evet. Payload decrypt edilmese bile metadata ve traffic behavior analiz edilebilir.

NDR Zero-Day saldırıları tespit eder mi?

Garantili değildir ancak signature yerine behavioral anomaly kullandığı için unknown threat'leri tespit etmeye yardımcı olabilir.

NDR Zero Trust için gerekli midir?

Zorunlu bir ürün değildir ancak continuous monitoring ve risk-based access modelini güçlü şekilde destekler.

NDR data exfiltration tespit eder mi?

Traffic volume, destination ve behavioral pattern analizi üzerinden potential exfiltration activity'sini tespit etmeye yardımcı olabilir.

Sonuç: Modern Network Detection'ın Temeli Davranışı Anlamaktır

Geleneksel intrusion detection uzun süre şu soruya odaklandı:

“Bu traffic içerisinde bilinen saldırı signature'ı var mı?”

Bu yaklaşım hâlâ önemlidir.

Ancak modern saldırılarda tek başına yeterli değildir.

Çünkü saldırgan:

legitimate credentials,

encrypted traffic,

trusted protocol'ler,

built-in administration tools

kullanabilir.

Bu durumda malicious packet ile legitimate packet arasındaki fark çok küçük olabilir.

Ancak davranış farklıdır.

Normal bir employee laptop'un:

backup server,

domain controller,

database server,

50 farklı endpoint

ile kısa sürede communication kurması normal olmayabilir.

Bu nedenle NDR'ın temel gücü şudur:

Packet'i değil yalnızca davranışı da sorgular.

Modern network detection zinciri şu şekilde düşünülebilir:

Visibility

↓

Telemetry

↓

Baseline

↓

Behavioral Analytics

↓

Anomaly Detection

↓

Investigation

↓

Response

NDR tek başına tüm security problemlerini çözmez.

Ama IDS/IPS, EDR, SIEM, NAC, firewall ve SOAR ile birlikte kullanıldığında güçlü bir Detection and Response architecture oluşturabilir.

Özellikle:

East-West Visibility

kritiktir.

Çünkü attacker network'e girdikten sonra hedefi genellikle:

Discovery → Credential Access → Lateral Movement → Privilege Escalation → Exfiltration

zincirini ilerletmektir.

Network segmentation bu hareketi sınırlar.

NAC kimlerin network'e girdiğini kontrol eder.

IDS/IPS bilinen attack pattern'lerini tespit eder.

NDR ise şu soruyu sorar:

“Network içerisinde şu anda normal olmayan ne oluyor?”

Modern network defense'in en önemli prensiplerinden biri bu nedenle şudur:

Normal davranışı bilmiyorsanız anormal davranışı güvenilir biçimde tespit edemezsiniz.

NDR'ın gerçek değeri ürün kurulumundan değil;

Visibility + Baseline + Context + Detection + Response

bileşiminden ortaya çıkar.