Persistence ve Command & Control (C2) Nedir? Saldırgan Ağda Nasıl Kalır?

Bir saldırganın kuruma ilk erişimi sağlaması, farklı sistemlere ilerlemesi ve yüksek yetki elde etmesi önemli aşamalardır.

Ancak gelişmiş bir tehdit aktörü için başka bir kritik hedef daha vardır:

Erişimi kaybetmemek.

Saldırgan için tek seferlik erişim her zaman yeterli değildir.

Kullanıcı parolası değişebilir.

Endpoint yeniden başlatılabilir.

EDR bir süreci durdurabilir.

SOC şüpheli hesabı kapatabilir.

Ağ bağlantısı kesilebilir.

Bu nedenle saldırgan, erişimini mümkün olduğunca koruyacak yöntemler geliştirmeye çalışır.

Bu aşama Persistence – Kalıcılık olarak adlandırılır.

Ancak sistem içerisinde kalabilmek tek başına yeterli değildir.

Saldırganın ele geçirdiği sistemlerle iletişim kurabilmesi, komut gönderebilmesi ve operasyonu yönetebilmesi gerekir.

Bu iletişim mekanizması ise siber güvenlik literatüründe Command & Control – C2 veya C&C olarak adlandırılır.

Red Team operasyonlarında Persistence ve Command & Control, saldırganın yalnızca sisteme girip giremeyeceğini değil, kurumun içerisinde ne kadar görünmeden kalabileceğini ve iletişim kurabileceğini test etmek açısından önemlidir.

Bu nedenle Persistence, C2, EDR, XDR, NDR, SIEM, SOC ve Detection Engineering modern saldırı simülasyonlarının birbirine doğrudan bağlı kavramlarıdır.

Persistence Nedir?

Persistence, bir saldırganın hedef sistem veya kurumsal ağ üzerindeki erişimini sürdürebilmek için kullandığı yöntemleri ifade eder.

MITRE ATT&CK framework içerisinde Persistence ayrı bir taktik olarak ele alınır.

Amaç basittir:

İlk erişim kaybolsa bile yeniden sisteme ulaşabilmek.

Örneğin saldırgan bir kullanıcı hesabını ele geçirmiş olabilir.

Ancak bu kullanıcının parolası değiştirildiğinde erişim sona erebilir.

Bu nedenle saldırgan farklı bir erişim mekanizması oluşturmaya çalışabilir.

Persistence teknikleri işletim sistemi, kimlik sistemi, cloud ortamı veya uygulama seviyesinde ortaya çıkabilir.

Savunma açısından kritik nokta şudur:

İlk erişimi temizlemek her zaman saldırganı ortamdan tamamen çıkarmak anlamına gelmez.

Persistence Neden Önemlidir?

Birçok kurum güvenlik olayına şu şekilde yaklaşır:

Şüpheli kullanıcı hesabı tespit edilir.

Parola değiştirilir.

Bilgisayar formatlanır.

Alarm kapatılır.

Olay tamamlandı kabul edilir.

Ancak saldırgan başka bir kalıcılık mekanizması oluşturmuşsa erişim devam edebilir.

Örneğin farklı bir kullanıcı hesabı oluşturulmuş olabilir.

Başka bir sistemde erişim noktası bırakılmış olabilir.

Cloud ortamında yeni bir yetki verilmiş olabilir.

Bir servis veya scheduled task oluşturulmuş olabilir.

Bu nedenle Incident Response sırasında sadece ilk belirtilen problemi çözmek yeterli değildir.

Persistence hunting – Kalıcılık avcılığı yapılmalıdır.

Persistence ile Initial Access Arasındaki Fark

Bu iki kavram sık karıştırılır.

Initial Access, saldırganın kuruma ilk giriş yöntemidir.

Persistence, bu erişimi devam ettirme yöntemidir.

Örneğin;

phishing yoluyla kullanıcı hesabının ele geçirilmesi Initial Access olabilir.

Daha sonra başka bir erişim yöntemi oluşturulması Persistence olabilir.

Bu fark özellikle MITRE ATT&CK tabanlı güvenlik analizlerinde önemlidir.

Çünkü iki aşama için kullanılan detection yöntemleri farklı olabilir.

Persistence Nasıl Sağlanabilir?

Persistence çok farklı yöntemlerle gerçekleştirilebilir.

Teknikler işletim sistemi ve ortam türüne göre değişir.

Genel olarak saldırganlar;

• yeni kullanıcı veya hesap oluşturma,
• mevcut hesap yetkilerini değiştirme,
• scheduled task mekanizmaları,
• servis yapılandırmaları,
• startup mekanizmaları,
• cloud identity değişiklikleri,
• uygulama veya erişim anahtarları,
• token ve credential tabanlı yöntemler

gibi farklı alanları değerlendirebilir.

Burada amaç saldırının nasıl gerçekleştirileceğini öğretmek değil, savunma açısından hangi davranışların izlenmesi gerektiğini anlamaktır.

Çünkü birçok persistence yöntemi normal IT yönetim faaliyetlerine benzeyebilir.

Bu da tespiti zorlaştırır.

Yeni Kullanıcı Hesabı Oluşturulması Neden Kritik Bir Sinyaldir?

Bir kurumda yeni kullanıcı oluşturulması normal bir işlemdir.

İnsan kaynakları yeni çalışan bildirir.

IT hesabı açar.

Ancak beklenmeyen bir zamanda veya beklenmeyen bir sistem üzerinde hesap oluşturulması önemli bir güvenlik sinyali olabilir.

Özellikle;

yüksek yetkili grup üyeliği,

administrator rolü,

uzak erişim yetkisi,

servis erişimi

ile birlikte gerçekleşiyorsa risk daha da büyür.

SOC ekipleri bu nedenle sadece login olaylarını değil, identity lifecycle event kayıtlarını da izlemelidir.

Scheduled Task ve Persistence

İşletim sistemlerinde scheduled task veya zamanlanmış görevler tamamen meşru özelliklerdir.

Backup işlemleri,

güncelleme süreçleri,

otomatik script'ler,

sistem bakımları

bu mekanizmaları kullanabilir.

Ancak saldırganlar da erişimi sürdürmek için meşru sistem özelliklerinden yararlanabilir.

Bu yaklaşım Living off the Land – LotL davranışlarının bir parçası olabilir.

Savunma açısından önemli olan scheduled task varlığı değil, bağlamıdır.

Örneğin;

hangi kullanıcı oluşturdu,

hangi endpoint üzerinde oluştu,

hangi process'i çalıştırıyor,

hangi saatte tetikleniyor,

daha önce benzer davranış görüldü mü

gibi sorular önemlidir.

Service-Based Persistence Nedir?

Windows ve Linux sistemlerinde servisler sistem operasyonlarının temel parçalarındandır.

Bir saldırgan yetki elde ettiğinde servis yapılandırmalarını kötüye kullanmaya çalışabilir.

Bu nedenle;

yeni servis oluşturulması,

mevcut servisin değişmesi,

beklenmeyen binary path değişiklikleri,

şüpheli servis başlangıçları

EDR ve SIEM açısından değerli sinyallerdir.

Burada yine kritik nokta davranış analizidir.

Çünkü sistem yöneticileri de normal operasyon sırasında servis oluşturabilir.

Bu nedenle Detection Engineering ekipleri yalnızca “servis oluşturuldu” şeklinde basit alarm üretmek yerine kullanıcı, sistem ve zaman bağlamını birlikte değerlendirmelidir.

Cloud Persistence Nedir?

Modern saldırılar artık yalnızca Windows endpoint üzerinde gerçekleşmez.

Cloud ortamlarında da Persistence önemli bir konudur.

Örneğin saldırgan;

yeni bir cloud identity,

service principal,

application permission,

access key,

API token,

role assignment

oluşturmaya çalışabilir.

Böylece kullanıcı parolası değişse bile cloud ortamına farklı bir erişim yolu devam edebilir.

Bu nedenle Cloud Security, IAM Security ve Identity Threat Detection Persistence açısından kritik hale gelmiştir.

Özellikle Azure, AWS ve Microsoft 365 ortamlarında identity ve permission değişiklikleri sürekli izlenmelidir.

Microsoft 365 Persistence Neden Önemlidir?

Microsoft 365 birçok kurumun;

e-posta,

doküman,

Teams,

SharePoint,

OneDrive

gibi kritik iş süreçlerini barındırır.

Bu nedenle saldırganın Microsoft 365 hesabına erişmesi ciddi risk oluşturur.

Persistence yalnızca parola üzerinden düşünülmemelidir.

Kurumlar;

yeni application consent,

şüpheli OAuth izinleri,

mailbox rule değişiklikleri,

beklenmeyen forwarding ayarları,

yeni privileged role assignment

gibi aktiviteleri de izlemelidir.

Bu tür değişiklikler saldırganın kullanıcı hesabı üzerinde daha uzun süre görünmeden kalmasına yardımcı olabilir.

Mailbox Rules Neden Güvenlik Açısından Önemlidir?

E-posta sistemlerinde kullanıcıların mesajları otomatik yönetebilmesi için mailbox rule mekanizmaları bulunur.

Örneğin belirli göndericiden gelen e-postalar otomatik klasöre taşınabilir.

Bu normal bir özelliktir.

Ancak saldırgan bir hesaba eriştiğinde bazı mesajları gizlemek veya farklı bir adrese yönlendirmek amacıyla kural değişiklikleri yapmaya çalışabilir.

Bu nedenle Microsoft 365 güvenliğinde;

mailbox forwarding,

inbox rule creation,

external forwarding

gibi aktiviteler SOC tarafından izlenmelidir.

Özellikle finans ve yönetici hesaplarında bu sinyaller kritik olabilir.

Command & Control (C2) Nedir?

Command & Control – C2, saldırganın ele geçirdiği sistemlerle iletişim kurmasını ve operasyonu yönetmesini sağlayan mekanizmadır.

Basit ifadeyle:

Saldırgan sistemi ele geçirdi.

Peki sisteme komutları nasıl gönderecek?

Sonuçları nasıl alacak?

Yeni görevleri nasıl iletecek?

İşte C2 bu iletişim kanalını ifade eder.

MITRE ATT&CK içerisinde Command and Control ayrı bir taktik olarak tanımlanır.

Bir saldırganın sistem üzerinde kalıcı erişime sahip olması, C2 kanalının çalışmadığı durumda operasyonel olarak sınırlı olabilir.

Bu nedenle Persistence ve C2 birbirini tamamlayan kavramlardır.

C2 Neden Önemlidir?

C2 sayesinde saldırgan uzaktan;

sistem hakkında bilgi alabilir,

komut gönderebilir,

operasyonu yönetebilir,

yeni hedefler belirleyebilir,

erişimi devam ettirebilir.

Ancak C2 trafiğinin ağ üzerinde görünmeden gerçekleşmesi saldırgan açısından kritik bir problemdir.

Çünkü kurumun;

firewall,

proxy,

NDR,

IDS/IPS,

EDR,

XDR,

SIEM

gibi güvenlik çözümleri bu iletişimi tespit etmeye çalışır.

Bu nedenle modern saldırganlar C2 trafiğini normal ağ trafiğine benzetmeye çalışabilir.

Savunma ekiplerinin de yalnızca bilinen kötü IP adreslerine değil, davranışsal ağ anomalilerine bakması gerekir.

C2 ile Malware Aynı Şey midir?

Hayır.

Malware kötü amaçlı yazılımı ifade eder.

C2 ise saldırgan ile ele geçirilmiş sistem arasındaki iletişim yapısını ifade eder.

Bir zararlı yazılım C2 sunucusuyla iletişim kurabilir.

Ancak her C2 davranışı klasik anlamda malware gerektirmez.

Meşru yönetim araçları veya farklı iletişim kanalları kötüye kullanılabilir.

Bu nedenle modern güvenlik yaklaşımında yalnızca zararlı dosya tespiti yeterli değildir.

Behavior-based Detection – Davranış Tabanlı Tespit önemlidir.

Beaconing Nedir?

C2 güvenliğinde sık karşılaşılan kavramlardan biri Beaconing'dir.

Beaconing, ele geçirilmiş sistemin belirli aralıklarla dışarıdaki kontrol altyapısıyla iletişim kurması davranışıdır.

Örneğin bir endpoint;

belirli aralıklarla aynı dış hedefe bağlantı kuruyorsa,

çok küçük veri paketleri gönderiyorsa,

benzer zaman aralıkları kullanıyorsa

bu davranış C2 açısından şüpheli olabilir.

Ancak normal yazılımlar da düzenli bağlantılar gerçekleştirebilir.

Güncelleme servisleri,

cloud ajanları,

monitoring sistemleri

benzer trafik oluşturabilir.

Bu nedenle NDR ve SOC ekiplerinin yalnızca periyodik bağlantı görmesine değil, bağlam ve davranış modeline bakması gerekir.

C2 Trafiği Neden Normal Trafiğe Benzemeye Çalışır?

Kurumsal networklerde internet erişimi genellikle belirli protokoller üzerinden gerçekleşir.

HTTP ve HTTPS en yaygın örneklerdir.

Saldırganlar da iletişimlerini normal web trafiğine benzetmeye çalışabilir.

Çünkü tamamen farklı ve alışılmadık protokoller daha kolay fark edilebilir.

Bu durum şu güvenlik gerçeğini ortaya çıkarır:

HTTPS kullanılması trafiğin güvenli olduğu anlamına gelmez.

HTTPS yalnızca iletişimin şifreli olduğunu gösterir.

Bağlantının amacı iyi veya kötü olabilir.

Bu nedenle network güvenliğinde;

destination reputation,

DNS behavior,

traffic frequency,

endpoint context,

TLS metadata

gibi farklı sinyaller birlikte değerlendirilmelidir.

DNS ve C2 İlişkisi

DNS bütün kurumsal ağların temel servislerinden biridir.

Kullanıcıların web sitelerine erişmesi için sürekli DNS sorguları oluşturulur.

Bu nedenle DNS trafiği oldukça yoğundur.

Saldırganlar da bu yoğunluk içerisinde iletişim davranışlarını gizlemeye çalışabilir.

Savunma açısından;

alışılmadık domain sorguları,

yeni kayıt edilmiş domain'ler,

çok uzun veya anormal subdomain yapıları,

yüksek frekanslı DNS sorguları,

endpoint davranışıyla uyumsuz domain erişimleri

değerli sinyaller olabilir.

Bu nedenle DNS Security modern C2 detection süreçlerinin önemli bileşenlerinden biridir.

Domain Generation Algorithm – DGA Nedir?

Bazı zararlı yazılımlar sabit C2 domain'i kullanmak yerine algoritmik olarak çok sayıda domain adı oluşturabilir.

Bu yaklaşım Domain Generation Algorithm – DGA olarak bilinir.

Amaç güvenlik ekiplerinin tek bir domain'i engelleyerek iletişim kanalını tamamen kesmesini zorlaştırmaktır.

Savunma sistemleri DGA davranışlarını;

domain yapısı,

DNS sorgu paterni,

reputation,

domain yaşı

gibi sinyaller üzerinden değerlendirebilir.

Bu nedenle threat intelligence ve DNS analytics C2 tespitinde önemli rol oynar.

Domain Age Neden Önemlidir?

Yeni kayıt edilmiş domain'ler her zaman kötü değildir.

Bir şirket yeni ürün çıkarabilir.

Yeni kampanya başlatabilir.

Ancak siber saldırılarda yeni oluşturulmuş domain'ler phishing veya C2 altyapısı için kullanılabilir.

Bu nedenle SOC sistemlerinde newly registered domains – NRD risk sinyali olarak kullanılabilir.

Tek başına domain yaşı alarm üretmek için yeterli olmayabilir.

Ancak;

ilk kez görülen domain,

yeni kayıt edilmiş olması,

alışılmadık endpoint bağlantısı,

şüpheli process davranışı

birlikte görüldüğünde risk seviyesi yükselir.

C2 Framework Nedir?

Red Team operasyonlarında gerçek saldırgan davranışlarını güvenli şekilde simüle etmek için farklı Command & Control Framework çözümleri kullanılabilir.

Bu platformlar Red Team ekiplerinin;

simülasyonları merkezi yönetmesine,

operasyon aktivitelerini kontrol etmesine,

belirlenen test senaryolarını yürütmesine

yardımcı olabilir.

Ancak profesyonel Red Team çalışmasının değeri kullanılan C2 aracından gelmez.

Asıl önemli olan:

Kurumun güvenlik kontrollerinin simüle edilen saldırgan davranışını tespit edip edemediğidir.

Bu nedenle C2 simülasyonu bir araç testi değil, bir Detection & Response Validation çalışmasıdır.

Defense Evasion Nedir?

Persistence ve C2 konularıyla yakından ilişkili başka bir MITRE ATT&CK taktiği Defense Evasion – Savunmadan Kaçınmadır.

Saldırganın amacı güvenlik teknolojileri ve güvenlik ekipleri tarafından tespit edilmesini zorlaştırmaktır.

Bu nedenle saldırgan davranışları;

meşru sistem araçlarını kullanmaya,

normal kullanıcı aktivitelerine benzemeye,

düşük ve yavaş hareket etmeye

çalışabilir.

Bu yaklaşım özellikle gelişmiş tehdit aktörlerinde önemlidir.

Savunma açısından yalnızca imza tabanlı güvenlik mekanizmalarının yetersiz kalmasının nedenlerinden biri de budur.

Low and Slow Attack Nedir?

Bazı saldırganlar hızlı biçimde onlarca sisteme saldırmak yerine uzun zaman içerisinde düşük yoğunlukta hareket eder.

Bu yaklaşıma genellikle Low and Slow saldırı davranışı denir.

Amaç büyük ve belirgin anomaliler oluşturmamaktır.

Örneğin saldırgan;

kısa sürede yüz sisteme bağlanmak yerine,

günler içerisinde birkaç sistemi araştırabilir.

Bu durum güvenlik ekipleri açısından tespiti zorlaştırır.

Çünkü tek bir aktivite normal görünebilir.

Bu nedenle uzun dönemli telemetry ve davranış korelasyonu önemlidir.

Living off the Land ve C2

Modern saldırganların önemli yaklaşımlarından biri Living off the Land – LotL yöntemidir.

Saldırgan yeni ve kolay tespit edilebilir araçlar çalıştırmak yerine işletim sisteminde veya kurumda zaten bulunan meşru araçları kötüye kullanabilir.

Bu yaklaşım;

Persistence,

Execution,

Discovery,

Lateral Movement,

Command & Control

gibi farklı saldırı aşamalarında görülebilir.

Savunma ekipleri bu nedenle yalnızca “hangi dosya çalıştı?” sorusunu değil;

“Bu kullanıcının bu araçla bu işlemi yapması normal mi?”

sorusunu da sormalıdır.

EDR Persistence ve C2 Davranışlarını Nasıl Tespit Eder?

Endpoint Detection and Response – EDR sistemleri endpoint üzerindeki davranışları gözlemlemek için önemli telemetry sağlar.

Örneğin;

process creation,

registry değişiklikleri,

servis aktiviteleri,

scheduled task işlemleri,

network bağlantıları,

script davranışları

analiz edilebilir.

Bu veriler Persistence veya C2 davranışlarının tespit edilmesine yardımcı olabilir.

Ancak EDR tek başına bütün resmi göremeyebilir.

Örneğin C2 iletişiminin network tarafındaki özelliklerini görmek için NDR veya proxy logları gerekebilir.

Bu nedenle XDR yaklaşımı farklı güvenlik sinyallerinin birlikte değerlendirilmesini amaçlar.

XDR Neden Önemlidir?

Extended Detection and Response – XDR, endpoint, network, identity, email ve cloud gibi farklı güvenlik alanlarından gelen sinyalleri ilişkilendirmeyi amaçlar.

Bir saldırı zincirini düşünelim:

Phishing e-postası geldi.

Kullanıcı hesabı ele geçirildi.

Endpoint üzerinde şüpheli davranış oluştu.

Yeni dış bağlantı başladı.

Kimlik doğrulama aktiviteleri değişti.

Bu olayların her biri farklı güvenlik sistemlerinde görülebilir.

XDR yaklaşımının amacı bunları tek bir saldırı hikâyesine dönüştürmektir.

Bu nedenle Persistence ve C2 detection açısından XDR önemli bir avantaj sağlayabilir.

NDR C2 Tespitinde Nasıl Kullanılır?

Network Detection and Response – NDR, ağ trafiğini analiz ederek anormal ve saldırgan davranışlarını tespit etmeye odaklanır.

C2 açısından NDR özellikle önemlidir.

Çünkü saldırgan endpoint üzerinde görünmemeye çalışsa bile dış sistemle iletişim kurması gerektiğinde network üzerinde iz bırakabilir.

NDR;

alışılmadık destination,

beaconing davranışı,

anormal DNS,

beklenmeyen protokol kullanımı,

network traffic pattern

gibi sinyalleri analiz edebilir.

Bu nedenle EDR ve NDR birbirinin alternatifi değil, tamamlayıcısıdır.

Firewall C2'yi Tek Başına Durdurabilir mi?

Firewall güvenlik mimarisinin önemli bir parçasıdır.

Ancak modern C2 davranışlarında tek başına yeterli olmayabilir.

Çünkü saldırganlar normalde izin verilen HTTPS veya DNS gibi protokolleri kullanabilir.

Bu nedenle firewall'a ek olarak;

DNS Security,

secure web gateway,

proxy,

NDR,

EDR/XDR,

Threat Intelligence

gibi kontroller önemlidir.

En güçlü yaklaşım farklı katmanların birbirini beslediği yapıdır.

Threat Intelligence C2 Detection İçin Nasıl Kullanılır?

Cyber Threat Intelligence – CTI, bilinen saldırgan altyapılarının tespit edilmesine yardımcı olabilir.

Örneğin threat intelligence kaynaklarında;

malicious IP,

domain,

URL,

file hash,

certificate,

malware infrastructure

gibi göstergeler bulunabilir.

Bu göstergeler genel olarak IOC – Indicator of Compromise olarak adlandırılır.

Firewall, SIEM, EDR, NDR veya diğer güvenlik sistemleri bu IOC'leri kullanarak bilinen tehdit altyapısını tespit etmeye çalışabilir.

Ancak yalnızca IOC tabanlı detection yeterli değildir.

Çünkü saldırgan altyapısını değiştirebilir.

Bu nedenle modern Threat Intelligence yaklaşımında IOC'lerle birlikte TTP – Tactics, Techniques and Procedures bilgisi de önemlidir.

IOC ile TTP Arasındaki Fark Nedir?

IOC bir saldırıya ilişkin gözlemlenebilir teknik göstergedir.

Örneğin;

IP adresi,

domain,

hash,

URL

bir IOC olabilir.

TTP ise saldırganın nasıl davrandığını ifade eder.

Örneğin belirli bir threat actor'ın;

hangi Initial Access tekniğini kullandığı,

hangi Persistence yöntemlerini tercih ettiği,

hangi C2 davranışlarını kullandığı

TTP bilgisidir.

IOC hızlı değişebilir.

TTP ise genellikle daha uzun süre anlamlı kalır.

Bu nedenle Detection Engineering çalışmalarında davranış tabanlı TTP detection giderek daha önemli hale gelmektedir.

SOC Persistence Aktivitesini Nasıl Tespit Eder?

SOC ekipleri persistence davranışlarını farklı veri kaynakları üzerinden değerlendirebilir.

Örneğin;

beklenmeyen kullanıcı oluşturulması,

privileged group değişiklikleri,

yeni servisler,

scheduled task aktiviteleri,

startup değişiklikleri,

OAuth application değişiklikleri,

mail forwarding kuralları

önemli sinyaller olabilir.

Ancak her değişiklik saldırı değildir.

Bu nedenle değişikliğin;

kim tarafından,

hangi cihazdan,

hangi saatte,

hangi değişiklik kaydıyla,

hangi iş süreci kapsamında

yapıldığı önemlidir.

Bu yaklaşım Context-Aware Detection – Bağlam Odaklı Tespit olarak değerlendirilebilir.

SOC C2 Davranışını Nasıl Tespit Eder?

C2 detection daha farklı veri kaynakları gerektirir.

SOC;

DNS logları,

firewall kayıtları,

proxy logları,

EDR network telemetry,

NDR verileri,

Threat Intelligence

gibi kaynakları birlikte değerlendirebilir.

Örneğin tek bir HTTPS bağlantısı normal olabilir.

Ancak;

yeni domain,

her beş dakikada tekrar eden bağlantı,

kullanıcı aktivitesi olmadığı halde trafik,

şüpheli process ile ilişki

birlikte değerlendirildiğinde C2 ihtimali artabilir.

Bu nedenle saldırı tespiti tek bir alarm yerine multiple weak signals – birden fazla zayıf sinyalin korelasyonu üzerinden güçlendirilebilir.

Detection Engineering Persistence ve C2 İçin Neden Önemlidir?

Sadece SIEM veya EDR satın almak iyi detection anlamına gelmez.

Kurumun kendi ortamına uygun tespit senaryoları geliştirmesi gerekir.

Detection Engineering ekipleri;

hangi telemetry'nin bulunduğunu,

hangi MITRE ATT&CK tekniğinin nasıl görüneceğini,

hangi alarmın hangi bağlamda değerli olduğunu,

false positive oranını

değerlendirir.

Red Team operasyonları da bu detection'ların gerçekten çalışıp çalışmadığını doğrular.

Bu nedenle Red Team ve Detection Engineering arasında güçlü bir ilişki bulunur.

Red Team C2 Testinde Neyi Ölçer?

Profesyonel bir Red Team operasyonunda C2 kurulması “başarı” olarak tek başına değerlendirilmemelidir.

Asıl sorular şunlardır:

Firewall bağlantıyı gördü mü?

NDR anomali tespit etti mi?

EDR network davranışını ilişkilendirdi mi?

DNS Security alarm oluşturdu mu?

SIEM olayları korele etti mi?

SOC saldırıyı fark etti mi?

C2 kanalı ne kadar sürede engellendi?

Bu sorular sayesinde C2 testi, kurumun Detection and Response kabiliyetini ölçen gerçek bir Security Validation çalışmasına dönüşür.

Time to Detect C2 İçin Neden Önemlidir?

Siber güvenlikte saldırının hiç gerçekleşmemesi ideal sonuçtur.

Ancak gerçek dünyada her saldırının engellenmesi mümkün olmayabilir.

Bu nedenle Mean Time to Detect – MTTD önemli bir metriktir.

Bir saldırganın C2 iletişimi başladığında kurum bunu ne kadar sürede görebiliyor?

Dakikalar mı?

Saatler mi?

Günler mi?

Haftalar mı?

Bu süre saldırganın ortamda yapabileceklerini doğrudan etkiler.

Tespit süresi ne kadar uzarsa saldırganın;

Discovery,

Credential Access,

Lateral Movement,

Collection

gibi faaliyetler gerçekleştirme fırsatı o kadar artar.

Dwell Time Nedir?

Dwell Time, saldırganın bir ortamda tespit edilmeden kaldığı süreyi ifade eder.

Dwell Time ne kadar uzunsa saldırganın ortamı tanıması ve hedeflerine ulaşması için o kadar fazla zamanı olabilir.

Bu nedenle Red Team operasyonlarının değerli çıktılarından biri sadece “saldırı başarılı mı?” sorusu değildir.

Şu soru da önemlidir:

Saldırgan ne kadar süre fark edilmeden hareket edebildi?

Bu metrik SOC olgunluğu açısından önemli bir göstergedir.

Persistence ve C2 Riskini Azaltmak İçin Ne Yapılmalı?

Kurumların bu riskleri azaltmak için katmanlı güvenlik yaklaşımı kullanması gerekir.

Özellikle;

EDR/XDR

endpoint davranışlarının izlenmesi,

NDR

network davranışlarının analiz edilmesi,

SIEM

farklı telemetry'nin korelasyonu,

DNS Security

şüpheli domain davranışlarının incelenmesi,

Identity Security / ITDR

hesap ve yetki değişikliklerinin izlenmesi,

PAM

yüksek yetkili hesapların kontrol edilmesi,

Application Control

beklenmeyen uygulama davranışlarının sınırlandırılması,

Threat Intelligence

bilinen saldırgan altyapılarının takip edilmesi,

Detection Engineering

davranış tabanlı tespitlerin geliştirilmesi,

Threat Hunting

gizli saldırgan davranışlarının proaktif aranması

birlikte değerlendirilmelidir.

Incident Response Sırasında Persistence Nasıl Ele Alınmalıdır?

Bir siber olayda yalnızca ilk malware dosyasını silmek yeterli değildir.

Incident Response ekibinin şu soruları sorması gerekir:

Yeni kullanıcı oluşturuldu mu?

Yetki değişikliği yapıldı mı?

Yeni servis veya scheduled task var mı?

Cloud IAM değişikliği gerçekleşti mi?

OAuth application eklendi mi?

Mailbox forwarding oluştu mu?

Başka endpoint'lerde benzer davranış var mı?

Bu yaklaşım saldırganın farklı persistence noktalarının temizlenmesine yardımcı olur.

Aksi durumda saldırgan ilk sistem temizlendikten sonra yeniden erişebilir.

Red Team Raporunda Persistence ve C2 Nasıl Gösterilmelidir?

Profesyonel bir Red Team raporunda yalnızca teknik yöntem listesi bulunmamalıdır.

Persistence ve C2 açısından rapor şu bilgileri içerebilir:

Persistence Objective

Erişimin hangi yöntemle sürdürülebildiği.

C2 Communication

İletişimin hangi güvenlik katmanlarından geçtiği.

MITRE ATT&CK Mapping

İlgili Persistence ve Command & Control teknikleri.

Detection Timeline

EDR, NDR veya SOC'un saldırıyı ne zaman fark ettiği.

Security Control Effectiveness

Hangi kontrolün başarılı veya başarısız olduğu.

Dwell Time

Simüle edilen saldırganın ne kadar süre görünmeden kalabildiği.

Remediation

Saldırı zincirini kıracak öneriler.

Bu yapı teknik bulguyu kurumsal siber dayanıklılık ölçümüne dönüştürür.

Persistence ve C2 Neden Yönetim İçin Önemlidir?

Bu iki kavram çok teknik görünse de doğrudan iş riskiyle ilişkilidir.

Saldırganın uzun süre sistem içerisinde fark edilmeden kalabilmesi;

hassas bilgileri incelemesine,

kullanıcı hesaplarını analiz etmesine,

kritik sistemleri keşfetmesine,

daha geniş saldırı hazırlamasına

olanak sağlayabilir.

Dolayısıyla kurum için temel risk yalnızca:

“Bir saldırgan içeri girdi mi?”

değildir.

Asıl soru şudur:

“İçeri girdikten sonra ne kadar süre fark edilmeden kalabildi?”

Bu nedenle Dwell Time ve Time to Detect yönetim seviyesinde takip edilebilecek önemli siber güvenlik göstergeleridir.

Sonuç: Saldırganı İçeri Almamak Yetmez, İçeride Kalmasını da Engellemek Gerekir

Modern siber güvenlikte savunma yalnızca çevre güvenliğinden ibaret değildir.

Firewall güçlü olabilir.

MFA kullanılabilir.

EDR kurulu olabilir.

Ancak saldırgan ilk savunma katmanını bir şekilde aştığında kurumun ikinci sorusu başlamalıdır:

“Onu içeride görebiliyor muyuz?”

Persistence saldırganın erişimini sürdürmesini sağlar.

Command & Control ise bu erişimi uzaktan yönetilebilir hale getirir.

Bu nedenle kurumun güvenlik mimarisi;

endpoint,

network,

identity,

cloud,

email,

SOC

katmanlarında birlikte çalışmalıdır.

Güçlü bir savunma modeli saldırganın yalnızca sisteme girmesini zorlaştırmaz.

İçeride kalmasını, iletişim kurmasını ve görünmeden hareket etmesini de zorlaştırır.

Red Team ve Purple Team operasyonları tam olarak bu noktada değer kazanır.

Çünkü gerçek saldırı davranışları kontrollü biçimde simüle edilerek şu soruların cevabı ölçülebilir:

Persistence davranışını görüyor muyuz?

C2 iletişimini tespit edebiliyor muyuz?

SOC ne kadar hızlı müdahale ediyor?

Saldırganın Dwell Time süresi ne kadar?

Ancak tüm bu teknik davranışları anlamanın başka bir boyutu daha vardır.

Kurumun karşısındaki saldırgan kim?

Ne istiyor?

Hangi sektörü hedefliyor?

Hangi teknikleri tercih ediyor?

Hangi altyapıları kullanıyor?

İşte bu sorular bizi Red Teaming'in ikinci büyük alanına götürür:

Cyber Threat Intelligence – Siber Tehdit İstihbaratı.