Threat-Informed Red Teaming Nedir? Gerçek Tehdit Aktörlerine Göre Red Team Senaryosu Nasıl Oluşturulur?

Her kurum aynı tehditlerle karşı karşıya değildir.

Bir finans kuruluşunun saldırı yüzeyi, bir enerji şirketinin saldırı yüzeyiyle aynı değildir.

Bir savunma sanayi şirketinin tehdit profili, bir e-ticaret firmasının tehdit profiliyle aynı değildir.

Aynı şekilde saldırganların hedefleri, kullandıkları yöntemler ve öncelik verdikleri sistemler de sektöre göre değişebilir.

Bu nedenle Red Team operasyonlarında her kuruma aynı saldırı senaryosunu uygulamak, teknik olarak kapsamlı olsa bile gerçek tehditlerle yeterince örtüşmeyebilir.

Modern yaklaşım şu soruyu sorar:

“Bizi gerçekten hedeflemesi muhtemel tehdit aktörleri nasıl davranıyor?”

Bu sorunun cevabı Cyber Threat Intelligence – Siber Tehdit İstihbaratı tarafından üretilir.

Ardından bu istihbarat Red Team operasyonuna aktarılır.

Bu modele Threat-Informed Red Teaming, yani Tehdit İstihbaratıyla Beslenen Red Teaming denir.

Threat-Informed Red Teaming; kurumun sektörü, coğrafyası, teknoloji altyapısı ve gerçek tehdit aktörlerinin TTP'leri dikkate alınarak saldırı senaryolarının oluşturulduğu gelişmiş bir Red Team yaklaşımıdır.

Burada amaç rastgele saldırı teknikleri kullanmak değildir.

Amaç:

Gerçek saldırgan davranışlarını kontrollü biçimde simüle etmek ve kurumun bu davranışlara karşı ne kadar hazır olduğunu ölçmektir.

Threat-Informed Red Teaming Nedir?

Threat-Informed Red Teaming, Red Team operasyonlarının Cyber Threat Intelligence, MITRE ATT&CK, Threat Actor Profiling ve Adversary Emulation verileriyle beslenmesi yaklaşımıdır.

Klasik bir Red Team operasyonunda ekip;

ilk erişim,

yetki yükseltme,

lateral movement,

persistence,

Command & Control

gibi farklı saldırı tekniklerini kullanabilir.

Threat-Informed modelde ise önce şu sorular sorulur:

Hangi tehdit aktörleri bizi hedefliyor?

Bu aktörler hangi sektörlere saldırıyor?

Hangi Initial Access tekniklerini kullanıyorlar?

Hangi malware aileleriyle ilişkililer?

Hangi Persistence yöntemlerini tercih ediyorlar?

Hangi Lateral Movement tekniklerini kullanıyorlar?

Hangi C2 davranışları gözlemleniyor?

Böylece Red Team operasyonu genel saldırı simülasyonu olmaktan çıkar.

Kurumun gerçek tehdit profiline göre şekillenen Adversary Simulation haline gelir.

Her Red Team Senaryosu Neden Aynı Olmamalı?

Standartlaştırılmış saldırı senaryoları belirli güvenlik kontrollerini test etmek için faydalı olabilir.

Ancak her kurumun;

iş modeli,

kritik varlıkları,

çalışan profili,

teknoloji altyapısı,

regülasyonları,

coğrafi konumu

farklıdır.

Örneğin bir finans kuruluşunda;

ödeme sistemleri,

müşteri hesapları,

Microsoft 365,

Active Directory,

SWIFT benzeri finans altyapıları

yüksek değerli hedefler olabilir.

Bir enerji şirketinde ise;

OT/ICS,

SCADA,

mühendislik sistemleri,

uzak bakım altyapıları,

üretim ağı

daha kritik olabilir.

Bir yazılım şirketinde;

Git repository,

CI/CD pipeline,

cloud IAM,

source code,

secret management

ön plana çıkabilir.

Dolayısıyla aynı saldırı senaryosunu bütün kurumlara uygulamak gerçekçi olmayabilir.

Threat Profile Nedir?

Threat Profile – Tehdit Profili, bir kurumun karşı karşıya olduğu muhtemel saldırgan tiplerini ve saldırı yöntemlerini tanımlayan modeldir.

Threat profile oluşturulurken;

sektör,

ülke,

kurum büyüklüğü,

kritik teknolojiler,

iş modeli,

geçmiş saldırılar,

threat intelligence verileri

değerlendirilebilir.

Örneğin bir finans şirketi için threat profile içerisinde;

ransomware grupları,

financially motivated cybercrime,

credential theft,

Business Email Compromise,

Initial Access Broker faaliyetleri

önemli olabilir.

Savunma sanayi için ise;

APT,

espionage,

supply chain attack,

targeted phishing,

credential theft

daha öncelikli olabilir.

Threat Actor Profiling Red Team Senaryosunu Nasıl Etkiler?

Threat Actor Profiling sırasında belirli saldırgan grupların davranışları incelenir.

Örneğin bir tehdit aktörünün saldırı zinciri şu şekilde olabilir:

Reconnaissance

↓

Spear Phishing

↓

Valid Accounts

↓

PowerShell Execution

↓

Credential Access

↓

RDP Lateral Movement

↓

Scheduled Task Persistence

↓

HTTPS Command & Control

Bu bilgi Red Team açısından çok değerlidir.

Ekip saldırı senaryosunu aynı davranış kalıbına göre tasarlayabilir.

Böylece güvenlik ekibine şu soru sorulur:

“Bu gerçek tehdit aktörünün davranışlarını ortamınızda tespit edebilir misiniz?”

Adversary Emulation Nedir?

Adversary Emulation, belirli bir tehdit aktörünün bilinen davranışlarının kontrollü ortamda mümkün olduğunca gerçekçi şekilde simüle edilmesidir.

Bu yaklaşım klasik saldırı simülasyonundan daha spesifiktir.

Örneğin Red Team:

“Bir phishing senaryosu gerçekleştirelim.”

demek yerine:

“Sektörünüzü hedefleyen belirli tehdit aktörünün kullandığı Initial Access ve post-exploitation davranışlarını emüle edelim.”

yaklaşımını kullanabilir.

Burada amaç saldırgan grubun birebir kopyasını oluşturmak değildir.

Amaç o aktörün bilinen TTP'lerini güvenli ve kontrollü biçimde test etmektir.

Adversary Simulation ile Adversary Emulation Arasındaki Fark

Bu iki kavram birbirine yakın olsa da küçük bir fark bulunur.

Adversary Simulation

Genel olarak gerçek saldırgan davranışlarını simüle eder.

Adversary Emulation

Belirli bir tehdit aktörü veya tehdit profiline daha yakın davranışları yeniden üretmeye çalışır.

Örneğin:

“Ransomware saldırısı simüle etmek”

Adversary Simulation olabilir.

Belirli ransomware grubunun bilinen TTP'lerini takip etmek ise Adversary Emulation yaklaşımına daha yakındır.

MITRE ATT&CK Threat-Informed Red Teaming İçin Neden Önemlidir?

MITRE ATT&CK, Threat-Informed Red Teaming için ortak bir dil sağlar.

Threat Intelligence ekibi bir saldırgan grubun davranışlarını MITRE ATT&CK teknikleriyle eşleyebilir.

Örneğin:

Initial Access: Phishing

Execution: Command and Scripting Interpreter

Credential Access: OS Credential Dumping

Lateral Movement: Remote Services

Persistence: Scheduled Task/Job

Command and Control: Application Layer Protocol

Bu bilgiler Red Team operasyonunun teknik senaryosuna dönüştürülebilir.

Ardından Blue Team her tekniğin tespit edilip edilmediğini ölçebilir.

MITRE ATT&CK Mapping Nasıl Kullanılır?

Threat-Informed Red Team çalışmasında kullanılan teknikler ATT&CK üzerinden işaretlenebilir.

Örneğin operasyon sonunda bir matriste;

hangi tekniklerin simüle edildiği,

hangilerinin EDR tarafından görüldüğü,

hangilerinin SIEM alarmına dönüştüğü,

hangilerinin SOC tarafından tespit edildiği

gösterilebilir.

Böylece kurum için bir Detection Coverage Map oluşturulabilir.

Bu harita güvenlik ekibine hangi alanlarda güçlü veya zayıf olduğunu gösterir.

Detection Coverage Nedir?

Detection Coverage, kurumun belirli saldırgan davranışlarını ne kadar iyi tespit edebildiğini gösteren ölçüm yaklaşımıdır.

Örneğin kurum;

Initial Access tekniklerinde güçlü,

Credential Access tekniklerinde orta,

Lateral Movement tekniklerinde zayıf

olabilir.

Bu bilgi yalnızca teknoloji seçimini değil, Detection Engineering önceliklerini de etkiler.

Threat-Informed Red Teaming bu coverage'ın gerçek tehdit profiline göre ölçülmesini sağlar.

Threat Intelligence Verisi Red Team Senaryosuna Nasıl Dönüştürülür?

İlk adım Intelligence Requirements belirlemektir.

Kurum için şu sorular sorulabilir:

Hangi tehdit aktörleri sektörümüzü hedefliyor?

Hangi TTP'ler en sık görülüyor?

Hangi kritik sistemler hedefleniyor?

Hangi saldırı zincirleri daha olası?

Ardından Threat Intelligence verileri analiz edilir.

Sonrasında teknik scenario oluşturulur.

Örneğin:

Threat Intelligence Bulgusu

Belirli saldırganlar finans sektöründe hedefli phishing kullanıyor.

Red Team Senaryosu

Yetkilendirilmiş spear phishing simülasyonu.

Threat Intelligence Bulgusu

Ele geçirilen identity ile cloud uygulamalarına erişim deneniyor.

Red Team Senaryosu

Identity-based Initial Access değerlendirmesi.

Threat Intelligence Bulgusu

RDP ile Lateral Movement gözlemleniyor.

Red Team Senaryosu

Yetkilendirilmiş remote services simülasyonu.

Bu yöntem istihbaratı doğrudan güvenlik testine dönüştürür.

Cyber Kill Chain ile Threat-Informed Red Teaming

Threat-Informed Red Team operasyonlarında saldırı zincirini açıklamak için MITRE ATT&CK dışında Cyber Kill Chain yaklaşımından da yararlanılabilir.

Genel olarak saldırı;

Reconnaissance,

Weaponization,

Delivery,

Exploitation,

Installation,

Command & Control,

Actions on Objectives

gibi aşamalar üzerinden değerlendirilebilir.

Modern Red Teaming'de MITRE ATT&CK daha detaylı teknik mapping sağlarken Cyber Kill Chain daha üst seviye saldırı akışını anlatmak için kullanılabilir.

İki yaklaşım birbirinin rakibi değildir.

Farklı seviyelerde görünürlük sağlar.

Crown Jewels Threat-Informed Red Teaming'de Neden Önemlidir?

Gerçek saldırgan yalnızca Domain Admin olmaya çalışmaz.

Asıl amacı değerli varlığa ulaşmaktır.

Bu varlıklara Crown Jewels – Kritik Varlıklar denir.

Örneğin;

müşteri veri tabanı,

SWIFT sistemi,

ERP,

source code repository,

cloud tenant,

OT engineering workstation,

backup infrastructure

Crown Jewel olabilir.

Threat-Informed Red Team operasyonunda senaryo bu kritik varlıklara göre tasarlanmalıdır.

Şu soru sorulur:

Gerçek saldırganın TTP'lerini kullanarak Crown Jewels'a ulaşılabiliyor mu?

Finans Sektörü İçin Threat-Informed Red Team Örneği

Bir finans kuruluşunda Threat Intelligence analizi şu riskleri öne çıkarabilir:

targeted phishing,

credential theft,

MFA abuse,

Microsoft 365 compromise,

Lateral Movement,

data exfiltration.

Bu durumda Red Team senaryosu;

OSINT

↓

Spear Phishing Simulation

↓

Identity Compromise

↓

Internal Discovery

↓

Lateral Movement

↓

Critical Finance Application

şeklinde modellenebilir.

Bu senaryo kurumun gerçek tehdit profiline daha yakın olacaktır.

Enerji ve OT/ICS Sektörü İçin Threat-Informed Red Team

Enerji sektöründe saldırı senaryosu farklılaşabilir.

Burada IT sistemlerine erişim tek başına nihai hedef olmayabilir.

Saldırganın amacı;

OT/ICS network'üne erişmek,

mühendislik workstation'larını hedeflemek,

uzak bakım altyapılarını kullanmak

olabilir.

Ancak OT ortamlarında Red Team çalışmaları çok daha kontrollü gerçekleştirilmelidir.

Üretim güvenliği her zaman önceliklidir.

Bu nedenle kritik OT sistemlerinde gerçek exploit yerine;

simulation,

tabletop exercise,

attack path validation

gibi daha kontrollü yöntemler kullanılabilir.

Savunma Sanayi İçin Threat-Informed Red Team

Savunma sanayi kuruluşları açısından en önemli tehditlerden biri siber casusluk olabilir.

Bu durumda saldırganın hedefi sistemi şifrelemek değil;

teknik dokümanlara,

AR-GE verilerine,

proje dosyalarına,

source code'a,

tasarım bilgilerine

erişmek olabilir.

Bu nedenle Red Team senaryosu;

targeted reconnaissance,

spear phishing,

credential access,

persistence,

stealthy lateral movement,

data collection

üzerine daha fazla odaklanabilir.

Holding Yapılarında Threat-Informed Red Team

Holdinglerde saldırı yüzeyi daha karmaşık olabilir.

Farklı şirketler,

farklı domain'ler,

ortak Microsoft 365,

merkezi Active Directory,

ortak finans sistemleri,

tedarikçi bağlantıları

bulunabilir.

Saldırgan bir iştirakten başlayarak holding merkezine ilerlemeye çalışabilir.

Bu nedenle Threat-Informed Red Team sadece tek şirketi değil, organizasyonlar arası trust relationship yapılarını da değerlendirebilir.

Supply Chain Threat-Informed Senaryolar

Threat Intelligence belirli tehdit aktörlerinin doğrudan ana kurumu hedeflemek yerine tedarikçileri kullandığını gösterebilir.

Bu durumda Red Team senaryosu;

third-party access,

vendor account,

remote support,

B2B application

gibi alanlara odaklanabilir.

Bu yaklaşım Supply Chain Security Validation açısından değerlidir.

Threat-Led Scenario ile Generic Scenario Arasındaki Fark

Generic Red Team senaryosu şöyle olabilir:

“İnternetten başlayıp Domain Admin olmaya çalışalım.”

Threat-Led senaryo ise daha özeldir:

“Finans sektörünü hedefleyen belirli tehdit aktörlerinin gözlemlenen TTP'lerini kullanarak kritik ödeme sistemine erişim mümkün mü?”

İkinci yaklaşım yönetim açısından çok daha anlamlıdır.

Çünkü test gerçek tehdit modeliyle ilişkilendirilmiştir.

Threat Intelligence Güncel Değilse Ne Olur?

Threat-Informed Red Teaming'in önemli risklerinden biri eski istihbarattır.

Threat actor davranışları zaman içerisinde değişebilir.

Yeni malware kullanabilirler.

Yeni Initial Access yöntemi benimseyebilirler.

C2 altyapılarını değiştirebilirler.

Bu nedenle CTI verisi güncel olmalıdır.

Threat-Informed Red Teaming tek seferlik yapılacak sabit bir senaryo değildir.

Threat environment değiştikçe senaryolar da güncellenmelidir.

IOC Bazlı Red Team Yeterli mi?

Hayır.

Sadece IOC kullanarak tehdit aktörü simüle etmek mümkün değildir.

IOC;

IP,

domain,

hash

gibi teknik göstergelerdir.

Saldırgan bunları kolayca değiştirebilir.

Red Team açısından daha önemli olan TTP'lerdir.

Çünkü davranışlar saldırganın operasyon yöntemini gösterir.

Bu nedenle Threat-Informed Red Teaming'de:

IOC → yardımcı veri

TTP → ana senaryo girdisi

olarak düşünülebilir.

Threat-Informed Red Team ve Detection Engineering

Threat-Informed Red Teaming'in en güçlü çıktılarından biri Detection Engineering'e doğrudan veri sağlamasıdır.

Örneğin Red Team belirli MITRE ATT&CK tekniğini simüle eder.

EDR alarm üretmez.

SIEM detection oluşturmaz.

SOC aktiviteyi görmez.

Bu durumda açık bir Detection Gap – Tespit Boşluğu bulunmuştur.

Detection Engineering ekibi;

gerekli telemetry'yi belirler,

SIEM rule geliştirir,

EDR policy değiştirir,

yeni correlation oluşturur.

Ardından Red Team aynı tekniği tekrar test eder.

Bu döngü Purple Team modelidir.

Purple Team Threat-Informed Defense'ın Neresindedir?

Purple Teaming, Threat-Informed Defense'ın operasyonel hale geldiği alanlardan biridir.

Döngü şöyle çalışabilir:

1. CTI tehdidi belirler

↓

2. Threat actor TTP'leri çıkarılır

↓

3. Red Team TTP'leri simüle eder

↓

4. Blue Team tespit etmeye çalışır

↓

5. Detection gap belirlenir

↓

6. Purple Team detection'ı geliştirir

↓

7. Teknik tekrar test edilir

Bu model güvenlik savunmasını sürekli iyileştirir.

Threat Hunting ile Nasıl Birlikte Çalışır?

Threat Intelligence yalnızca gelecekteki Red Team senaryolarını oluşturmak için kullanılmaz.

Aynı zamanda geçmiş sistem aktivitelerinde saldırı izi aranabilir.

Örneğin CTI ekibi belirli threat actor'ın yeni bir TTP kullandığını tespit etti.

Threat Hunting ekibi geçmiş EDR ve SIEM telemetry'sinde bu davranışı arayabilir.

Bu yaklaşım şu soruya cevap verir:

“Bu tehdit bizi zaten hedeflemiş olabilir mi?”

Threat-Informed Red Team ise sonraki soruyu sorar:

“Hedeflerse görebilir miyiz?”

Breach and Attack Simulation ile Red Team Arasındaki Fark

Breach and Attack Simulation – BAS platformları güvenlik kontrollerini otomatik olarak test edebilir.

Belirli saldırı teknikleri düzenli biçimde simüle edilebilir.

Bu yaklaşım sürekli security validation açısından faydalıdır.

Ancak Red Teaming ile aynı değildir.

Red Team;

insan zekâsı,

adaptasyon,

hedef odaklı saldırı zinciri,

OSINT,

decision making

gibi unsurları içerir.

BAS ise daha çok tekrarlanabilir ve otomatik kontrol doğrulamasına odaklanır.

İkisi birlikte kullanılabilir.

Continuous Security Validation Nedir?

Tehdit ortamı sürekli değiştiği için güvenlik kontrollerinin yılda bir kez test edilmesi yeterli olmayabilir.

Continuous Security Validation – Sürekli Güvenlik Doğrulaması, güvenlik kontrollerinin düzenli ve tekrarlanabilir şekilde test edilmesini amaçlar.

Bu model içerisinde;

BAS,

Purple Team,

Red Team,

Detection Engineering,

Threat Intelligence

birlikte kullanılabilir.

Amaç siber güvenliği yıllık proje olmaktan çıkarıp sürekli ölçülen bir süreç haline getirmektir.

Threat-Informed Red Team Operasyonu Nasıl Planlanır?

Profesyonel çalışma genel olarak şu aşamalardan oluşabilir:

1. Intelligence Requirements

Kurum için hangi tehditlerin önemli olduğu belirlenir.

2. Threat Profiling

Sektör ve kuruma uygun threat actor'lar analiz edilir.

3. TTP Mapping

Davranışlar MITRE ATT&CK ile eşlenir.

4. Crown Jewel Analysis

Kritik varlıklar belirlenir.

5. Attack Scenario Design

Gerçekçi saldırı zinciri oluşturulur.

6. Rules of Engagement

Güvenli operasyon sınırları tanımlanır.

7. Adversary Emulation

Senaryo kontrollü biçimde uygulanır.

8. Detection & Response Measurement

Blue Team performansı değerlendirilir.

9. Purple Team Improvement

Detection gap'ler kapatılır.

10. Retest

Kontroller yeniden doğrulanır.

Bu model Red Team operasyonunun sonuçlarını doğrudan güvenlik olgunluğuna dönüştürür.

Threat-Informed Red Team'de Hangi Metrikler Ölçülmelidir?

Yalnızca “hedefe ulaşıldı mı?” metriği yeterli değildir.

Daha anlamlı ölçümler şunlardır:

Time to Detect – TTD

Saldırgan davranışı ne kadar sürede fark edildi?

Time to Respond – TTR

SOC ne kadar sürede müdahale etti?

Attack Path Length

Kritik hedefe kaç adımda ulaşıldı?

Detection Coverage

Threat actor TTP'lerinin kaçı görülebiliyor?

Prevention Coverage

Kaç teknik güvenlik kontrolü tarafından engellendi?

Dwell Time

Simüle edilen saldırgan ne kadar süre fark edilmeden kalabildi?

Containment Effectiveness

Saldırgan tespit edildiğinde yayılımı durdurulabildi mi?

Bu metrikler yönetim için de anlamlı güvenlik KPI'ları oluşturabilir.

Red Team Başarısı Nasıl Değerlendirilmelidir?

Red Team'in bütün güvenlik kontrollerini geçmesi her zaman başarılı bir operasyon anlamına gelmez.

Benzer şekilde Blue Team'in saldırıyı erken tespit etmesi Red Team'in başarısız olduğu anlamına gelmez.

Operasyonun amacı yarışmak değildir.

Amaç kurumun savunmasını ölçmektir.

Örneğin Red Team'in saldırısı Initial Access aşamasında durdurulmuşsa bu önemli bir güvenlik başarısıdır.

Ardından soru şudur:

“Başka hangi TTP'leri test etmeliyiz?”

Bu nedenle iyi Red Team programlarında başarı öğrenme ve iyileştirme kapasitesiyle ölçülmelidir.

Threat-Informed Red Team Raporunda Neler Olmalıdır?

Profesyonel rapor hem teknik ekiplerin hem de yönetimin anlayabileceği yapıda olmalıdır.

Örneğin:

Executive Threat Profile

Kurum açısından önemli tehdit aktörleri ve riskler.

Adversary Profile

Simüle edilen tehdit aktörünün davranış modeli.

Attack Narrative

Operasyonun kronolojik saldırı hikâyesi.

MITRE ATT&CK Mapping

Kullanılan teknikler.

Attack Path

İlk erişimden kritik hedefe kadar oluşan yol.

Detection Coverage

SOC, SIEM, EDR/XDR ve NDR görünürlüğü.

Control Effectiveness

Hangi güvenlik kontrollerinin işe yaradığı.

Detection Gaps

Tespit edilemeyen davranışlar.

Business Impact

Başarılı gerçek saldırının iş açısından etkisi.

Remediation Roadmap

Önceliklendirilmiş iyileştirme planı.

Bu yapı raporu teknik exploit listesinden çıkararak bir Cyber Resilience Assessment haline getirir.

Threat-Informed Red Teaming Yönetim İçin Neden Değerlidir?

Üst yönetimin temel sorusu genellikle:

“Güvenli miyiz?”

olur.

Bu soruya basit “evet” veya “hayır” cevabı vermek mümkün değildir.

Threat-Informed Red Teaming daha anlamlı bir cevap sağlar:

“Sektörünüzü hedefleyen gerçek tehdit aktörlerinin kullandığı 18 kritik tekniği test ettik. 11 teknik güvenlik kontrolleri tarafından tespit edildi, 4 teknik engellendi, 3 teknikte ise önemli detection gap bulundu.”

Bu çıktı yönetim açısından ölçülebilirdir.

Ayrıca siber güvenlik yatırımlarının hangi alanlara yönlendirilmesi gerektiğini gösterir.

Güvenlik Yatırımlarının Gerçek Etkinliği Nasıl Ölçülür?

Bir kurumda;

EDR,

XDR,

SIEM,

SOAR,

NDR,

PAM,

DLP,

MFA,

WAF,

Firewall

bulunabilir.

Ancak soru şu olmalıdır:

Bu teknolojiler gerçek tehdit davranışlarına karşı birlikte çalışıyor mu?

Threat-Informed Red Team bunu ölçebilir.

Örneğin;

phishing e-posta güvenliğini,

credential theft EDR ve Identity Security'yi,

Lateral Movement NDR ve segmentation'ı,

C2 firewall ve NDR'yi,

privileged access PAM'i

test edebilir.

Bu nedenle Threat-Informed Red Teaming aynı zamanda Security Control Validation yöntemidir.

Threat-Informed Red Teaming ile Siber Tehdit İstihbaratının Birleştiği Nokta

Threat Intelligence saldırganı anlamaya çalışır.

Red Team saldırgan gibi davranır.

Blue Team saldırganı tespit etmeye çalışır.

Purple Team savunmayı geliştirir.

Bu dört fonksiyon birlikte çalıştığında kurumun güvenlik modeli teorik tehditlerden gerçek tehditlere doğru evrilir.

Döngü basitçe şöyledir:

Kim bizi hedefliyor?

↓

Nasıl saldırıyor?

↓

Bunu simüle edebilir miyiz?

↓

Görebiliyor muyuz?

↓

Durdurabiliyor muyuz?

↓

Bir sonraki sefer daha iyi olabilir miyiz?

İşte Threat-Informed Defense'ın özü budur.

Sonuç: En İyi Red Team Senaryosu En Karmaşık Olan Değil, En Gerçekçi Olandır

Red Teaming'in amacı mümkün olan en karmaşık saldırı tekniklerini göstermek değildir.

Amaç kurumun karşılaşabileceği gerçek tehditleri anlamlı biçimde simüle etmektir.

Bu nedenle iyi bir Red Team operasyonu sadece saldırı araçlarından başlamaz.

Threat Intelligence ile başlar.

Kurumun sektörü analiz edilir.

Tehdit aktörleri belirlenir.

TTP'ler incelenir.

MITRE ATT&CK mapping oluşturulur.

Crown Jewels belirlenir.

Ardından gerçekçi bir saldırı senaryosu hazırlanır.

Bu yaklaşım saldırı simülasyonunu doğrudan kurumsal riskle ilişkilendirir.

Ve şu kritik soruya cevap verir:

“Bizi gerçekten hedefleyebilecek saldırganların yöntemlerine karşı ne kadar hazırız?”

Threat-Informed Red Teaming'in en büyük değeri budur.

Ancak Red Team operasyonunun tamamlanmasıyla süreç bitmez.

Asıl önemli aşamalardan biri sonuçların doğru değerlendirilmesi ve saldırı zincirinin kurumun savunma kapasitesine dönüştürülmesidir.

Hangi saldırı teknikleri başarılı oldu?

Hangileri tespit edildi?

Hangi güvenlik ürünü gerçekten işe yaradı?

SOC saldırıyı ne zaman gördü?

Hangi noktada Attack Path kırılabilirdi?

Ve en önemlisi:

Aynı saldırı yarın tekrar edilirse sonuç değişecek mi?